Как проверить электронную подпись на подлинность документа — полное руководство

Как проверить электронную подпись на подлинность документа — задача, которая встаёт при получении любого входящего файла с ЭЦП: договора от контрагента, акта сверки, кадрового приказа из системы КЭДО. Проверка устанавливает три факта: документ не менялся после подписания, подписант — тот, за кого себя выдаёт, и его сертификат был действителен в момент подписания. Разберём четыре рабочих инструмента — Госуслуги, КриптоАРМ, Adobe Reader с плагином КриптоПро и онлайн-сервис Добыто Подпись, объясним, как читать результат, почему штампик на PDF ещё не доказательство подписи и что хранить в архиве для суда и ГИТ. Эта статья — часть большого руководства про проверку подписи, где собраны все нюансы работы с ЭЦП.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что даёт проверка электронной подписи и зачем её делать

Проверка решает три задачи: подтвердить, что документ после подписания не меняли ни на одну букву; установить, кто его подписал; убедиться, что сертификат был действителен в момент подписания, а не просрочен и не отозван. По 63-ФЗ «Об электронной подписи» (в речи практиков — «тройка») подпись считается действительной только при положительном результате всей этой цепочки. Если хотя бы один этап не пройден — юридически документ не подписан. Неважно, что на PDF красуется красивый штампик с ФИО и должностью.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Штампик на документе и валидная подпись — две разные вещи. В суде предъявляют не синенький квадратик в углу PDF, а файл подписи с расширением .sig или .p7s плюс исходный документ. Штамп можно скопировать любым редактором, а вот подменить криптографический хэш — нет. Когда контрагент присылает «подписанный» договор, первое действие — выгрузить sig-файл и прогнать через сервис проверки.»

Проверка нужна в трёх сценариях: входящий документооборот (договор, акт, счёт-фактура от контрагента); передача кадровых документов в контролирующие органы (Роструд, ГИТ, Социальный фонд); архивное хранение.

Открепленная и присоединённая подпись — чем отличаются

Перед проверкой важно понять, с каким типом подписи вы работаете. От этого зависит, что именно загружать в сервис.

Открепленная подпись — отдельный файл с расширением .sig, .sgn или .p7s рядом с документом. Для проверки нужны два файла: исходный документ и файл подписи. Если один из них потерялся — проверить подпись невозможно.

Присоединённая подпись встроена прямо в документ. Один файл, внутри которого и контент, и подпись. Для проверки достаточно одного файла. Минус: открыть его можно только через программу с поддержкой формата (КриптоАРМ, Adobe Reader с плагином КриптоПро, онлайн-сервисы). В Word такое не откроется.

Отдельный случай — подпись в PDF. Когда документ подписан внутри PDF через Adobe Reader или КриптоПро PDF, подпись встроена в структуру файла. Для проверки достаточно открыть документ в Adobe Reader с плагином КриптоПро — программа покажет статус: зелёную галочку или предупреждение. Подробный разбор, как устроен файл с откреплённой УКЭП заявителя, мы разбирали в отдельном материале.

Четыре способа проверки электронной подписи

Теперь к практике. Вот четыре рабочих инструмента, каждый — под свою задачу.

1. Проверка на портале Госуслуг

Самый простой способ для разовой проверки. Государственный сервис, бесплатный, никаких установок. На портале Госуслуг есть раздел проверки электронной подписи и сертификатов. Поддерживает проверку квалифицированной ЭП (УКЭП), неквалифицированной (УНЭП) и машиночитаемых доверенностей (МЧД).

Что делает сервис: проверяет целостность документа, валидность сертификата на момент подписания, статус сертификата в списках отозванных (СОС). Показывает данные владельца сертификата, срок действия, удостоверяющий центр. Отчёт можно скачать.

Минус: проверяет только подписи по ГОСТам (российским криптоалгоритмам). Если документ пришёл, например, от иностранного контрагента с зарубежной подписью — сервис Госуслуг не поможет.

2. Проверка через КриптоПро CSP и КриптоАРМ

Путь для тех, кто постоянно работает с электронной подписью. КриптоПро CSP — криптопровайдер, в нём напрямую мало что проверишь, но он нужен как основа. КриптоАРМ (от компании «Цифровые технологии») — программа с графическим интерфейсом для подписания и проверки.

В КриптоАРМ выбираете вкладку «Проверить подпись», указываете документ и sig-файл (или только документ, если подпись присоединённая), жмёте «Проверить». Программа покажет отчёт: целостность документа, цепочку сертификатов до головного УЦ Минцифры, статусы сертификатов, наличие штампа времени.

Плюс КриптоАРМ — умеет работать с усовершенствованными подписями (CAdES-T, CAdES-X Long Type 1, CAdES-A), которые используются в архивном хранении. Ещё — проверка подписи с приложенной МЧД: срок действия, соответствие подписанту, статус. Для проверки без лицензии подойдёт бесплатный сервис КриптоАРМ Server от «Цифровых технологий» — веб-интерфейс, загружаете файлы, получаете статус и PDF-отчёт.

3. Проверка подписи PDF в Adobe Reader

Когда документ — PDF со встроенной подписью (формат PAdES), проверка делается в Adobe Reader. Условие: в системе должен быть установлен КриптоПро CSP и плагин КриптоПро PDF. Без плагина Adobe не понимает ГОСТ-алгоритмы и выдаёт ошибку «подпись не удалось проверить».

Открываете PDF, сверху появляется панель с информацией о подписи. Зелёная галочка — подпись действительна, документ не менялся. Жёлтый треугольник — подпись есть, но что-то не так (например, сертификат не в доверенных). Красный крестик — подпись невалидна, документ изменён или сертификат отозван. По клику на «Свойства подписи» смотрите детали: ФИО подписанта, срок действия сертификата, УЦ, время подписания.

4. Онлайн-сервис Добыто Подпись

Вариант для тех, кому нужно быстро проверить подпись без установки программ. Сервис Проверки подписи работает онлайн, без регистрации и без установки КриптоПро.

Загружаете файл документа и файл подписи (для открепленной) или один файл (для присоединённой). Ставите галочку согласия на обработку персональных данных по 152-ФЗ, нажимаете «Проверить подпись». Сервис показывает целостность, сведения о сертификате, итоговый статус. Максимум 25 МБ на каждый файл, поддерживаются форматы .sig, .sgn, .p7s. Сервис внесён в Реестр российского ПО. Документы не сохраняются на сервере — после проверки удаляются, так что персональные данные клиентов туда можно загружать спокойно.

Мария Ж, юрист со стажем более 20 лет:
«В практике Добыто каждый второй запрос от клиента — «а как мне проверить, что документ подписан правильно?». Люди боятся попасть впросак: подписал контрагент какой-то там ЭЦП, а потом в суде выясняется, что серт был отозван за неделю до подписания. Поэтому встроенная проверка подписи в КЭДО — это не плюшка, это гигиенический минимум. Мы её закладываем с первого дня внедрения.»

Что означают результаты проверки

Независимо от того, каким сервисом вы проверяете подпись, результат сводится к одному из трёх статусов.

Подпись действительна. Зелёная галочка, «signature valid», «подпись верна». Это означает: хэш документа совпал с тем, что зафиксирован в подписи (документ не менялся), сертификат подписанта был действителен на момент подписания, цепочка сертификатов выстраивается до головного удостоверяющего центра, сертификат не находится в списке отозванных. Можно работать с документом дальше.

Подпись недействительна. Красный крестик, «signature invalid». Причин может быть несколько: документ изменили после подписания (даже одна запятая ломает подпись); сертификат был отозван; подпись подделана. В любом случае документ юридически не подписан.

Подпись не может быть проверена. Жёлтый треугольник, «signature unknown», «невозможно определить статус». Обычно это значит, что на компьютере не установлены корневые сертификаты Минцифры или УЦ ФНС, либо истёк срок действия сертификата подписанта и нет штампа времени. Тут нужен отдельный разбор — не торопитесь считать документ неподписанным.

Почему визуальный штамп на документе — не доказательство подписи

Это миф номер один, и его нужно прибить раз и навсегда. Многие кадровики и бухгалтеры считают, что если на PDF есть штампик с ФИО подписанта, сертификатом и датой — значит, документ подписан. Это ошибка.

Визуальный штамп (в речи спикеров — «плашечка», «синенький квадратик») создаётся программой при подписании и накладывается на копию PDF как картинка. Сам по себе он не содержит криптографических данных. Штамп можно открыть в редакторе, скопировать, вставить в любой другой файл и сохранить как PDF — визуально будет «подписано», а по факту — ничего. Настоящая проверка — только через криптографические средства: КриптоАРМ, Госуслуги, Добыто Подпись, Adobe Reader с плагином.

Мария Ж, судебный эксперт по трудовому праву:
«В суде штампик на PDF — ноль. Судья потребует файл sig или zip-архив с подписью, открытый ключ, сертификат, историю статусов. Именно это суд передаёт на экспертизу, а не красивую плашечку в углу. Работодатель, который хранит в архиве только PDF со штампиком и выкинул sig-файлы, в случае спора с работником рискует не доказать факт подписания вообще. Это не предположение — это практика дел Сбера и Винлаба.»

Правило архивного хранения простое. Храните всегда три вещи: исходный документ, файл подписи (.sig), сертификат подписанта. Если выкинули sig-файл — документ юридически голый, как бы красиво он ни выглядел.

Как проверить сертификат подписавшего

Проверка подписи — это и проверка сертификата. Сертификат содержит открытый ключ («открытка» в жаргоне), ФИО владельца, срок действия, данные об удостоверяющем центре.

Что смотрят в сертификате:

• Владелец. ФИО и, для юрлица, наименование компании с ИНН. Должны совпадать с тем, от чьего имени подписан документ.
• Срок действия. Сертификат ФНС выдаётся на 15 месяцев, коммерческие УЦ — до 12 лет в новых форматах. На момент подписания сертификат должен быть действителен.
• Удостоверяющий центр. Должен быть аккредитован Минцифрой. Список аккредитованных УЦ размещён на сайте Минцифры. Если сертификат выпущен УЦ, потерявшим аккредитацию — подпись юридически ничтожна.
• Цепочка доверия. От сертификата подписанта к сертификату УЦ и к головному удостоверяющему центру Минцифры. Если цепочка рвётся — подпись невалидна.
• Статус. Сертификат должен быть не отозван. Проверка по СОС обязательна — в каждом сертификате есть ссылка на эти списки.

На компьютере корневые сертификаты Минцифры и УЦ ФНС устанавливаются с сайта uc.nalog.ru/crt. Без них подпись не валидируется. Это типичный косяк при первой установке КриптоПро — поставили криптопровайдер, забыли корневые, подпись «не проверяется».

Штамп времени: что это и зачем нужен при архивном хранении

Представьте: сотрудник подписал заявление на отпуск 15 марта 2025 года. Сертификат у него действовал до 20 марта. А спор возник в 2028 году — работник оспаривает увольнение и заявляет, что ничего не подписывал. Как доказать, что подпись была валидной именно 15 марта?

Ответ — штамп времени (TSP-ответ, time stamp). Специальный файл от доверенной службы, который фиксирует: «в такую-то точку времени вот этот хэш документа существовал». Штамп подписывается самой службой — у налоговой, у удостоверяющих центров, у Госключа есть собственные службы штампов времени.

Усовершенствованная подпись (CAdES-T, CAdES-X Long, CAdES-A) включает не только саму подпись, но и штамп времени, и OCSP-ответ о статусе сертификата на момент подписания. Такая подпись проверяется даже после истечения срока сертификата — максимум до 18 лет с момента подписания.

Для хранения дольше используется техника «ухаживания» за подписью: служба периодически перепроверяет документ и накладывает свежие штампы поверх старых. При смене поколения криптоалгоритмов поверх всей конструкции накладывается новая подпись («архивариус»), и процесс начинается заново.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Кадровые документы хранятся десятилетиями. Трудовой договор — 50 лет, приказы о приёме — 75. Если вы подписываете их обычной ЭП без штампа времени — через 3 года сертификат умрёт, и доказать подлинность подписи станет ощутимо сложнее. В Добыто мы изначально закладываем усовершенствованные подписи для всех кадровых документов длительного хранения. Это не прихоть, это требование архивариусов и ГИТ при проверках.»

Проверка МЧД при подписании от имени юрлица

С 1 сентября 2023 года сотрудник компании может подписывать документы от имени юрлица двумя способами: руководитель подписывает своей УКЭП, либо сотрудник подписывает собственной ЭЦП физлица плюс прикладывает машиночитаемую доверенность (МЧД, или «эмчедэшка»).

При проверке подписи с МЧД проверяется всё вместе: подпись сотрудника, сама доверенность (её электронная подпись руководителя), срок действия доверенности, полномочия сотрудника по доверенности. Порядок:

1. Проверяется электронная подпись документа — стандартная процедура.
2. Проверяется подпись руководителя на МЧД — должна быть валидной УКЭП.
3. Проверяется срок действия МЧД — доверенность не должна быть истёкшей или отозванной. Статус проверяется через сервис ФНС или блокчейн распределённого реестра.
4. Проверяются полномочия — сотрудник должен иметь право подписывать именно этот тип документа.

Для проверки МЧД на Госуслугах нужны три параметра: 36-символьный номер доверенности, ИНН доверителя, СНИЛС доверенного лица. Эти данные указаны в метаданных файла доверенности.

Образцы документов по теме проверки электронной подписи и КЭДО

Типичные ошибки при проверке электронной подписи

За годы работы с клиентами набрался стандартный набор граблей. Шесть самых частых — ниже.

1. Передача токена или пароля третьим лицам. Сотрудник даёт «флешку» с УКЭП коллеге — «подпиши за меня». Юридически всё, что подписано этой ЭЦП, подписал владелец. Передача равна подписанию — это доказала и практика Сбера, и Винлаба.

2. Использование просроченного сертификата. Сертификат истёк за неделю до подписания — документ юридически ничтожен. Проверяйте срок действия до подписания, не после.

3. Хранение сканов паспорта и СНИЛС в облаке без защиты. Если к облаку получат доступ мошенники — могут оформить ЭЦП на ваше имя через неаккредитованный УЦ и подписывать всё, что хотят.

4. Игнорирование уведомлений от УЦ. УЦ сообщает о компрометации, о скором истечении срока, об отзыве — читайте эти письма. Игнор = подписываете документы ЭЦП, которая больше не работает.

5. Неустановленные корневые сертификаты Минцифры и УЦ ФНС. Типичный косяк первого дня: поставили КриптоПро, токен видит, а подпись «не проверяется». Качайте корневые с uc.nalog.ru/crt и устанавливайте оба: Минцифры — в доверенные корневые, УЦ ФНС — в промежуточные.

6. Подписание с чужого компьютера или по публичному Wi-Fi. Закрытый ключ («закрытка») с токена может быть скопирован вредоносным ПО. Используйте только свою машину с антивирусом и доверенной сетью.

Как проверить электронную подпись: пошаговая инструкция

Стоимость сервиса КЭДО с встроенной проверкой электронной подписи

Если вам нужна не разовая проверка, а постоянная работа с подписанными документами — стоит смотреть в сторону КЭДО-сервиса со встроенной проверкой подписи. Цена зависит от численности персонала, выбранного тарифа и набора подключаемых модулей. Ниже — тарифы Добыто КЭДО.

Итоговая сумма зависит от численности персонала, выбранного тарифа и объёма подключаемых модулей — актуальные тарифы Добыто КЭДО помогут сориентироваться точнее. Электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, УКЭП оформляется через партнёрские удостоверяющие центры.

Вывод

Проверка электронной подписи — не опциональная процедура, а базовый инструмент работы с электронными документами. Четыре рабочих способа: Госуслуги для разовой проверки, Добыто Подпись для быстрой онлайн-проверки без установки программ, КриптоАРМ для регулярной работы с подписями и архивами, Adobe Reader для PDF со встроенной подписью. Визуальный штампик не считается — проверять нужно криптографически. Храните в архиве исходник, sig-файл и сертификат — только этот комплект даёт юридическую значимость в случае спора.

Часто задаваемые вопросы