Проверить, работает ли ЭЦП перед отправкой важного документа, — это три отдельные проверки, а не одна. Подпись должна математически сходиться с файлом, сертификат подписанта должен быть действителен на момент подписания, а полномочия сотрудника — подтверждаться машиночитаемой доверенностью. Быстрее всего это делается загрузкой пары файлов, документа и файла подписи, в сервис проверки: статус виден за минуту, протокол сохраняется отдельным файлом. От чего зависит порядок действий: подпись присоединённая или откреплённая. В первом случае вы отправляете получателю один файл, во втором — обязательно два, документ и файл подписи с расширением sig, p7s, sgn, sign или bin.
Дальше разберём, как читать статусы окна проверки, какие сообщения означают отзыв сертификата, а какие — подмену файла, и почему у получателя в PDF не видно отметки о подписи. Отдельно покажем, что смотреть в данных МЧД до отправки и как быть, если токен остался дома или лицензия криптопровайдера просрочена. Таблица типовых сообщений программы проверки, сценарии для отчётности и договоров, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Загрузите документ и файл подписи в форму ниже: сервис покажет статус подписи, данные подписанта и издателя сертификата.
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Что значит «подпись работает»: три независимые проверки
Программа проверки отвечает сразу на три вопроса, и каждый из них может дать отрицательный ответ независимо от других. Первый: совпадает ли хэш документа со значением, зашитым в подпись. Если файл после подписания открывали и пересохраняли, хэш не сойдётся, и проверка вернёт сообщение о неверной подписи. Второй: действовал ли сертификат подписанта в момент подписания и не отозван ли он. Здесь программа обращается к списку отозванных сертификатов и службе OCSP удостоверяющего центра. Третий: были ли у подписанта полномочия, а это уже машиночитаемая доверенность, а не сама подпись.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Математически верная подпись и юридически действительная подпись — разные состояния файла. Подпись, созданная сертификатом тестового удостоверяющего центра, проходит криптографическую проверку и при этом получает статус недействительной: тестовый центр не аккредитован, документ такой подписью не подтверждается. То же самое с отозванным сертификатом — криптография сходится, статус отрицательный.
Мария Ж, юрист со стажем более 20 лет: «Бухгалтеры чаще всего смотрят только на строку «подпись верна» и не разворачивают вкладку с сертификатом. Именно там видно, что сертификат отозван или выдан не тем центром, которому доверяет ваш контрагент. Разверните карточку сертификата и сверьте владельца, издателя и срок действия закрытого ключа, прежде чем нажимать «отправить».»
Факт: для проверки чужой подписи лицензия не нужна. КриптоАРМ ГОСТ проверяет подпись без установки лицензии, лицензия требуется только для создания подписи и шифрования.
Экспресс-проверка перед отправкой: порядок действий
Проверка занимает минуты, если под рукой оба файла и известно, куда уходит документ. Отчётность в ведомство, договор контрагенту и кадровый документ работнику проверяются по одному алгоритму, различается только то, что вы делаете с результатом: протокол проверки прикладывается к переписке, а не хранится в загрузках браузера.
Как проверить ЭЦП перед отправкой документа: пошаговая инструкция
- Шаг 1. Соберите пару файлов в одну папку: исходный документ и файл подписи с тем же именем. Для присоединённой подписи файл будет один.
- Шаг 2. Откройте документ и убедитесь, что после подписания его не пересохраняли и не конвертировали. Любое пересохранение меняет хэш и ломает подпись.
- Шаг 3. Загрузите оба файла в сервис проверки или откройте их в программе подписания. Если файлов много, соберите архив: сервисы принимают zip и разбирают пары внутри.
- Шаг 4. Разверните карточку сертификата и сверьте четыре поля: владелец, издатель, срок действия сертификата, срок действия закрытого ключа. Владелец должен совпадать с тем, кто по документу является подписантом.
- Шаг 5. Если документ подписывал сотрудник, а не руководитель, проверьте МЧД отдельно: сертификат представителя, XML доверенности и файл подписи доверенности загружаются вместе.
- Шаг 6. Сохраните протокол проверки и приложите его к письму или к делу. Протокол фиксирует статус на дату проверки, дальше сертификат может быть отозван, а протокол останется.
Проверить квалифицированную подпись и машиночитаемую доверенность можно в сервисе проверки электронной подписи на Госуслугах: там же ведутся реестры аккредитованных удостоверяющих центров, по которым сверяется издатель сертификата. В практике Добыто этим сервисом чаще всего пользуются, когда контрагент прислал подпись от малознакомого удостоверяющего центра и нужно подтвердить его аккредитацию.
Что проверить до того, как нажать «отправить»
Часть отказов ловится до проверки подписи, на этапе подготовки комплекта:
- Срок действия сертификата и закрытого ключа. Сроки не совпадают: ключ может закончиться раньше сертификата.
- Наличие обоих файлов пары. Документ без файла подписи проверить невозможно, это просто файл.
- Вид подписи, который принимает получатель: встроенная в PDF, откреплённая CAdES или подпись с меткой времени.
- Актуальность МЧД: срок, код полномочия, данные доверителя и представителя.
- Работоспособность рабочего места: криптопровайдер запускается, токен определяется, лицензия не просрочена.
Файл подписи: sig, p7s, sgn, sign, bin и почему получатель её не видит
Расширение файла подписи выбирает тот, кто подписывает: в параметрах подписания есть список из пяти вариантов — sig, p7s, sgn, sign и bin. Содержимое при этом одинаковое, это контейнер CMS с подписью, сертификатом и списком отзыва. Получателю важно другое: файл подписи бесполезен без исходного документа, а исходный документ без файла подписи не является подписанным.
Отдельная история — файлы sgn. Расширение выглядит непривычно, почтовые клиенты его не открывают, и бухгалтерия регулярно принимает такой файл за зашифрованный. Файл sgn подписан, а не зашифрован: он открывается любой программой проверки, а при необходимости переименовывается в sig без потери содержимого.
Важный нюанс из практики: когда от контрагента приходит пакет из сотен файлов sgn, переименование по одному съедает рабочий день. Пакетное переименование расширения выполняется одной командой PowerShell и на массиве в 1500 файлов занимает секунды, содержимое подписи при этом не меняется.
Если получатель открывает PDF и не находит отметки о подписи, причин обычно три: подпись откреплённая и лежит в соседнем файле, подпись встроенная, но штамп не настроен и остался невидимым, либо документ пересохранили и подпись отвалилась. Штамп на странице — это визуализация, её добавляют на копию документа, чтобы не нарушить целостность оригинала. Юридически значима сама подпись, а не картинка со штампом.
Мария Ж, специалист по цифровой подписи и КЭДО: «Отправляйте документ и файл подписи одним архивом и одним письмом. Как только пара разъезжается по двум письмам, получатель почти гарантированно теряет файл подписи, а потом пишет, что документ пришёл неподписанным. Если канал незащищённый, файлы перед отправкой шифруются открытым ключом получателя — это касается и мессенджеров, включая корпоративные.»
Как читать сообщения программы проверки
Формулировки в окне проверки отличаются у разных программ, но смысл сводится к нескольким типовым состояниям. Таблица ниже собрана по сообщениям, которые чаще всего приходят к нам от бухгалтерий вместе со скриншотами.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Что показывает проверка | Что это значит | Что делать |
|---|---|---|
| «Сертификат недействителен. Сертификат отозван» | Удостоверяющий центр отозвал сертификат, подпись юридической силы не имеет | Запросить переподписание действующим сертификатом, письмо контрагенту оформить в свободной форме |
| Неправильное значение хэша, сообщение содержит неверную подпись | Файл изменён после подписания либо подпись относится к другому файлу | Запросить исходный файл и подпись заново, парой, без пересохранения |
| Подпись верна, но статус недействительна, издатель — тестовый центр | Документ подписан тестовым сертификатом, аккредитации у издателя нет | Проверить издателя по реестру аккредитованных центров и потребовать подпись рабочим сертификатом |
| Не удалось построить цепочку доверия | На рабочем месте нет корневого сертификата удостоверяющего центра | Установить корневой сертификат в доверенное хранилище и повторить проверку |
| В PDF нет отметки о подписи | Подпись откреплённая, либо штамп не настроен, либо файл пересохранён | Проверять пару файлов, а для наглядности запрашивать копию с визуализацией штампа |
| Окно криптопровайдера с требованием ввести серийный номер лицензии | Истёк срок лицензии на рабочем месте, подпись создать нельзя | Ввести действующую лицензию; проверять чужие подписи можно и без неё |
Первые две строки таблицы закрывают большую часть обращений: отзыв сертификата решается только переподписанием, а расхождение хэша почти всегда означает, что кто-то открыл и сохранил файл в промежутке между подписанием и отправкой.
Рабочее место: токен, криптопровайдер и лицензия
Вторая по частоте причина срыва отправки лежит не в документе, а в рабочем месте. Криптопровайдер обновили, токен переставили в другой компьютер, лицензия закончилась — подпись не создаётся, хотя вчера всё работало.
Ключи на токене бывают извлекаемыми и неизвлекаемыми. Извлекаемый ключ на время операции подгружается в память компьютера, и токен работает как защищённое ПИН-кодом хранилище. Неизвлекаемый ключ генерируется внутри криптоядра токена и никогда его не покидает: скопировать такой ключ нельзя. Носители с неизвлекаемыми ключами работают начиная с пятой версии криптопровайдера, на четвёртой они не заведутся. Сами носители на рынке разные — Рутокен, JaCarta, ESMART, — и модель имеет значение: неизвлекаемые ключи поддерживают только те модели, внутри которых есть криптоядро.
Полезно знать: лицензия на криптопровайдер может быть вшита в сам сертификат. У сертификатов, выданных удостоверяющим центром ФНС в рамках пилотного проекта, лицензия действует ровно столько, сколько действует сертификат электронной подписи, отдельно вводить серийный номер не нужно.
Важный нюанс из практики: токен — вещь мобильная, и почти никто не работает одним ключом всю жизнь на одном компьютере. Если ключ придётся вставлять в машины, где стоит четвёртая версия криптопровайдера, ключ должен быть извлекаемым: неизвлекаемый там не заработает.
Про версии стоит помнить две даты. Сертификаты соответствия на линейку КриптоПро CSP 5.0 — релизы R1, R2 и R3 — действуют до 1 мая 2027 года. Сертификат на четвёртую версию действовал до 15 января 2026 года, и если бухгалтерия до сих пор работает на ней, обновление рабочих мест уже просрочено. Дополнительный аргумент за пятую линейку — поддержка Windows 11, которой в четвёртой версии нет.
Если вы отвечаете не только за свои документы, но и за парк подписей в компании, отдельная задача — вести реестр сертификатов и выданных токенов: кому выдан, до какой даты действует, на каком носителе лежит ключ. В сервисе Добыто такой реестр ведётся в самой системе, и срок действия сертификата видно до того, как сотрудник придёт с неработающей подписью в день сдачи отчётности.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы закладываем проверку сроков действия сертификатов за месяц до окончания, а не в день сдачи. Перевыпуск занимает время, а сотрудник узнаёт о просроченном сертификате ровно в тот момент, когда документ уже нужно отправить. Поставьте себе напоминание по каждому сертификату и держите под рукой контакт удостоверяющего центра, в котором он выпускался.»
МЧД: что смотреть в данных доверенности
С 1 сентября 2023 года сертификаты на сотрудника организации не выдаются. Сотрудник получает квалифицированный сертификат как физическое лицо, а полномочия подтверждает машиночитаемой доверенностью, которую подписывает руководитель своей подписью. Руководитель и индивидуальный предприниматель получают сертификат в удостоверяющем центре ФНС и подписывают документы без доверенности.
МЧД — это XML-файл, а не картинка и не PDF. Проверяется он алгоритмом, поэтому важны машиночитаемые поля: данные доверителя, данные представителя, срок действия и код полномочия из классификатора. Классификатор полномочий размещён в Единой системе нормативной и справочной информации, каждое полномочие в нём имеет код, дату и уникальный идентификационный номер. Именно код, а не текстовое описание, определяет, подойдёт ли доверенность для конкретного документа. Компания может направить свой перечень полномочий в Минцифры: на рассмотрение отводится 10 дней, после положительного решения коды присваиваются и включаются в классификатор в течение трёх рабочих дней.
Для налоговых действий доверенность создаётся в сервисе ФНС «Создание и проверка доверенности в электронной форме». Ограничение прямое: доверенность из этого сервиса рассчитана на взаимодействие с налоговой, для других адресатов нужен другой источник формы.
Внимание: передоверие машиночитаемой доверенности оформляется только у нотариуса. Понадобятся паспортные данные нового уполномоченного лица и актуальная выписка из ЕГРЮЛ, нотариус подписывает доверенность своей квалифицированной подписью и выгружает её в информационную систему.
Отсюда же ответ на вопрос про филиалы. Филиал не является юридическим лицом, поэтому доверенность выдаётся от имени организации и подписывается её руководителем. Если документы от филиала подписывает его директор и он же выдаёт доверенности сотрудникам филиала, это уже передоверие со всеми нотариальными формальностями. Проверять такую цепочку нужно до отправки: сертификат представителя, XML доверенности и файл подписи доверенности загружаются в проверку вместе.
Формы и памятки, которые закрывают спорные ситуации с подписью
Начните с чек-листа диагностики: он проходит по тем же пяти шагам, что и схема выше, и подсказывает формулировку для письма контрагенту.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Памятка бухгалтерии: файл SGN от контрагента | Скачать |
| Памятка получателю: два файла | Скачать |
| Письмо контрагенту о переподписании (образец) | Скачать |
| Шпаргалка по командам cryptcp | Скачать |
Журнал ЭЦП и протокол проверки: чем подтвердить свою правоту
Проверка без следа существует только в момент, когда вы смотрите на экран. Через месяц спор с контрагентом или ведомством упрётся в вопрос, какой была подпись на дату отправки. Поэтому результат проверки сохраняют: программы формируют отчёт о проверке отдельным файлом, а системы документооборота ведут журнал операций — кто, когда, каким сертификатом подписал и что показала проверка.
Второй инструмент долговременной защиты — штамп времени и усовершенствованные форматы подписи. Обычная подпись CAdES-BES проверяется, пока действует сертификат. Добавление штампа времени TSP даёт формат CAdES-T, ответ службы OCSP о статусе сертификата на момент подписания — CAdES-X Long, а архивная метка поверх них — CAdES-A. Для документов с длительным сроком хранения, а в кадрах и бухгалтерии такие сроки исчисляются десятилетиями, это единственный способ подтвердить подпись после истечения срока действия сертификата.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Протокол проверки, сохранённый в день отправки, снимает половину будущего спора: в нём зафиксированы подписант, издатель сертификата, серийный номер и алгоритм. Заведите правило прикладывать протокол к каждому значимому договору и к отчётности, которая уходит с подписью сотрудника по доверенности.»
Когда проверять подпись не нужно
Сплошная проверка каждого входящего файла — лишняя работа. Если документ пришёл через систему электронного документооборота, оператор уже проверил подпись на входе и показал статус в карточке документа: дублировать эту проверку вручную незачем. То же с кадровыми документами внутри КЭДО, где подписание и проверка выполняются системой по маршруту. Ручная проверка нужна там, где файл пришёл по почте или в мессенджере, где документ уходит в суд, в Росреестр или в ведомство, и там, где сумма или последствия документа делают спор реальным.
Если подпись не прошла проверку
Цена сорванной проверки складывается не из стоимости подписи. Отчётность, отклонённая приёмным шлюзом из-за отозванного сертификата, возвращается на переподписание, а срок сдачи не сдвигается. Договор, подписанный сертификатом с истекшим сроком, придётся переподписывать обеими сторонами, а это повторное согласование и потерянные дни. Документ, отправленный без файла подписи, юридически равен неотправленному.
Порядок действий зависит от того, где сломалась проверка. Если проблема на вашей стороне — лицензия, токен, криптопровайдер, — документ переподписывается после починки рабочего места. Если на стороне контрагента, отправляется письмо о переподписании с указанием, что именно показала проверка: статус сертификата, дата, серийный номер. Когда контрагент переподписать не может, например сертификат отозван, а подписант уволился, ситуация фиксируется актом о невозможности переподписания.
Ниже — что критично в разных сценариях отправки, а что вторично.
| Сценарий отправки | Что критично | Что вторично |
|---|---|---|
| Отчётность в ведомство | Действующий сертификат, МЧД с нужным кодом полномочия, шифрование сертификатом ведомства | Визуальный штамп подписи на документе |
| Договор контрагенту по почте | Отправка пары файлов одним письмом, совпадение подписанта с реквизитами сторон | Расширение файла подписи: sig, p7s и sgn равнозначны |
| Документ в суд или Росреестр | Формат подписи, который принимает площадка, и полномочия подписанта | Способ хранения ключа: токен или облако |
| Кадровый документ работнику | Вид подписи, допустимый для этого документа, и фиксация факта подписания в системе | Пересылка файлов по почте: маршрут ведёт система |
| Документ на длительное хранение | Штамп времени и усовершенствованный формат подписи | Наглядность штампа в PDF |
Строка про кадровые документы отличается от остальных принципиально: там подпись работника и работодателя живёт внутри системы, и проверять её вручную приходится только при запросе инспекции. В сервисе Добыто статус подписания и данные сертификата хранятся в карточке документа, выгрузка формируется по конкретному сотруднику или периоду.
Лайфхак: если получатель жалуется, что не видит подписи в документе, отправьте ему копию с визуализацией штампа. Штамп добавляется на копию, оригинал и его подпись остаются нетронутыми, поэтому проверка по-прежнему проходит.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников и набора функций: видов подписи, интеграции с 1С и требований к хранению.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющие центры | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма считается от численности и выбранного набора функций: интеграция с 1С, кастомные шаблоны и электронный архив входят в тариф «Бизнес», а выделенный сервер и SLA относятся к «Корпорации». Актуальные условия по каждому тарифу и состав функций собраны на странице тарифов ДОБЫТО КЭДО.
Отдельная строка расходов на подписи для сотрудников не возникает: ПЭП и УНЭП выпускаются бесплатно на всех тарифах, УКЭП оформляется через партнёров-удостоверяющие центры.
Выводы
Работоспособность ЭЦП перед отправкой подтверждается тремя ответами: хэш сходится, сертификат действителен и не отозван, полномочия подписанта закрыты доверенностью. Быстрее всего это проверяется загрузкой пары файлов в сервис проверки, а результат имеет смысл сохранять протоколом на дату отправки. Отдельно проверяются рабочее место и срок действия сертификата: половина срывов происходит не из-за документа, а из-за просроченной лицензии, забытого токена или подписи, созданной сертификатом, который уже отозван.
Мы в Добыто ежедневно разбираем такие ситуации на стороне бухгалтерии и кадров: ведём реестр сертификатов сотрудников, фиксируем статусы подписания в карточке документа и настраиваем маршруты так, чтобы документ нельзя было отправить неподписанным. Это снимает основную часть ручных проверок и переписки о том, дошла ли подпись.
Частые вопросы
Можно ли проверить подпись, если на компьютере нет КриптоПро
Да. Онлайн-сервисы проверки и портал Госуслуг работают через браузер и не требуют установленного криптопровайдера: загружаются документ и файл подписи, результат выводится на странице. Программы вроде КриптоАРМ ГОСТ проверяют подпись без установки лицензии, лицензия нужна для создания подписи и шифрования. Установленный криптопровайдер понадобится, когда нужно не проверить чужую подпись, а поставить свою.
Контрагент прислал файл с расширением sgn, чем его открыть
Файл sgn — это подпись, а не зашифрованный документ. Он открывается программой проверки подписи так же, как sig или p7s. Если программа не видит файл из-за расширения, его можно переименовать в sig: содержимое контейнера при этом не меняется. При массовой рассылке переименование удобнее делать пакетно, одной командой, а не вручную по файлу.
Что будет с подписью, когда срок действия сертификата закончится
Обычная подпись формата CAdES-BES проверяется, пока действует сертификат. Чтобы документ подтверждался и после окончания срока, в подпись добавляют штамп времени TSP и ответ OCSP о статусе сертификата на момент подписания: получаются форматы CAdES-T и CAdES-X Long, а поверх них ставится архивная метка CAdES-A. Для документов с длительным сроком хранения усовершенствование подписи делают заранее, а не в момент спора.
Нужна ли МЧД, если документ подписывает директор
Нет. Руководитель юридического лица и индивидуальный предприниматель подписывают документы своим квалифицированным сертификатом, полученным в удостоверяющем центре ФНС, доверенность им не требуется. МЧД нужна сотруднику, который подписывает документы сертификатом физического лица: бухгалтеру, сдающему отчётность, или специалисту, отправляющему документы контрагентам.
Можно ли подписать документ, если токен остался дома
С аппаратным носителем — нет. Неизвлекаемый ключ генерируется внутри токена и не покидает его память, скопировать или восстановить такой ключ невозможно, ПИН-код тоже не восстанавливается. Альтернатива на этот случай — облачная или мобильная подпись, где закрытый ключ хранится на стороне удостоверяющего центра или в приложении на телефоне; такие подписи выпускаются заранее, а не в момент, когда токен забыт.
Сколько сертификатов помещается на один токен
Зависит от объёма памяти носителя и от того, что удостоверяющий центр записал в контейнер. У актуальных моделей с 128 КБ защищённой памяти в формате извлекаемых программных ключей помещается до 31 контейнера. Один контейнер с полным набором дополнительных сведений и цепочкой сертификатов может занимать порядка 12 КБ, и тогда на носитель поместится около десяти таких контейнеров.
