Проверить действующую электронную подпись сотрудника перед подписанием нужно по четырём параметрам: выпущен ли сертификат вообще, какой вид подписи у работника (ПЭП, УНЭП или УКЭП), не истёк ли срок действия сертификата и не отозван ли он удостоверяющим центром. Первые три параметра кадровик видит в карточке работника в системе КЭДО и в свойствах сертификата на его рабочем месте. Четвёртый проверяется только обращением к списку отзыва сертификатов или к службе OCSP удостоверяющего центра: в свойствах сертификата статус отзыва не отображается. Главное различие, которое определяет исход: для трудового договора, договора о материальной ответственности, ученического договора и приказа о дисциплинарном взыскании работнику нужна УКЭП или УНЭП, простая электронная подпись по статье 22.3 ТК РФ для этих документов не подходит.
Дальше разберём, где смотреть срок действия и статус сертификата в КриптоПро CSP, в личном кабинете КЭДО и на портале Госуслуг, чем отличается истёкший сертификат от отозванного и почему документ, подписанный за час до отзыва, остаётся действительным. Покажем, какие столбцы держать в реестре сертификатов сотрудников, чтобы не ловить просрочку в день подписания приказа, и когда кадровику нужна машиночитаемая доверенность, а когда она не требуется. Тарифы на 2026 год, образцы протокола проверки подписи и реестра сертификатов, разбор расширений p7s, sig и sgn и ответы на частые вопросы находятся во второй половине статьи.
Загрузите файл подписи или подписанный документ: сервис покажет владельца сертификата, издателя, срок действия, статус и дату подписания.
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Четыре параметра, которые проверяют перед отправкой документа на подпись
Наличие подписи и её пригодность для конкретного документа — разные вещи. Сотрудник может иметь выпущенный сертификат, который формально действует, но не подходит для трудового договора по виду подписи. Или подходит по виду, но выпущен на прошлое место работы вместе с прекратившим действие корпоративным сертификатом. Поэтому проверка идёт не по одному полю, а по шести позициям, и порядок здесь имеет значение: смысла смотреть срок действия у сертификата, которого нет, немного.
| Что проверяем | Где смотрит кадровик | Что считается стоп-фактором |
|---|---|---|
| Наличие сертификата | Карточка работника в системе КЭДО, раздел «Сотрудники» | Сертификат не выпущен либо выпущен на другое физическое лицо |
| Вид подписи | Тип подписи в карточке работника, соглашение об использовании ПЭП и УНЭП | ПЭП там, где статья 22.3 ТК РФ требует УНЭП или УКЭП |
| Срок действия сертификата | Свойства сертификата, раздел «Сертификаты» в КриптоПро CSP | Срок заканчивается раньше плановой даты подписания |
| Статус отзыва | Список отзыва сертификатов (CRL) или ответ службы OCSP удостоверяющего центра | Сертификат отозван или его действие приостановлено |
| Полномочия подписанта со стороны работодателя | Машиночитаемая доверенность, приказ о наделении полномочиями | Нет действующей МЧД у сотрудника, который подписывает от имени организации |
| Носитель и криптопровайдер | КриптоПро CSP, панель управления токеном | Контейнер не читается, нет лицензии на криптопровайдер, заблокирован пин-код |
Первые две строки закрываются кадровой службой без участия администратора, последние две обычно требуют технического специалиста. Разделите зоны ответственности заранее: срыв подписания часто связан не с самой подписью, а с тем, что вопрос о носителе и криптопровайдере никто не считает своим. В сервисе Добыто маршрут документа виден целиком: до отправки кадровик видит последовательность подписантов и статус каждого участника, поэтому очередь останавливается на конкретном человеке, а не «где-то в системе».
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Какая подпись должна быть у сотрудника: ПЭП, УНЭП и УКЭП по статье 22.3 ТК РФ
Статья 22.3 ТК РФ делит кадровые документы на две группы, и требования к подписи в этих группах разные. Для первой группы работодатель в собственной информационной системе применяет только УКЭП, а работник — УКЭП или УНЭП. Для второй группы допуски шире, и именно там появляется ПЭП, но только если стороны заключили соглашение о её использовании.
| Документ | Подпись работодателя | Подпись работника |
|---|---|---|
| Трудовой договор и изменения к нему | УКЭП | УКЭП или УНЭП |
| Договор о материальной ответственности | УКЭП | УКЭП или УНЭП |
| Ученический договор, договор на получение образования | УКЭП | УКЭП или УНЭП |
| Приказ о применении дисциплинарного взыскания | УКЭП | УКЭП или УНЭП |
| Уведомление об изменении определённых сторонами условий трудового договора | УКЭП | УКЭП или УНЭП |
| Заявление об увольнении и отзыв заявления | Подписывает работник | УКЭП или УНЭП |
| Остальные кадровые документы: приказы на отпуск и командировку, ознакомление с ЛНА | УКЭП или УНЭП | УКЭП, УНЭП или ПЭП по соглашению сторон |
Из таблицы следует практический критерий отбора: если документ попадает в первые шесть строк, ПЭП работника проверять бессмысленно, нужна другая подпись, и вопрос решается до формирования документа, а не в момент отправки на маршрут.
Факт: по части 2 статьи 22.3 ТК РФ работник может использовать УНЭП, выданную через инфраструктуру электронного правительства, то есть подпись Госключа. В этом случае отдельное соглашение об использовании УНЭП с работником подписывать не нужно, порядок создания такого сертификата установлен постановлением Правительства РФ от 1 декабря 2021 года № 2152.
Мария Ж, специалист по цифровой подписи и КЭДО: «Вид подписи проверяют до того, как документ ушёл в маршрут. Если работник подписал трудовой договор простой электронной подписью, переподписать его тем же комплектом уже нельзя: нужен новый экземпляр и новая процедура. Проще один раз развести в системе типы документов по требуемому виду подписи, чем разбирать последствия по каждому сотруднику.»
Когда проверять сертификат сотрудника не нужно
Проверка сертификата теряет смысл в трёх ситуациях. Первая: работник подписывает документы простой электронной подписью в информационной системе работодателя. Сертификата там нет вообще, юридическую силу подписи подтверждают соглашение сторон, правила системы и журналы входа, поэтому проверять надо не срок действия, а наличие подписанного соглашения об использовании ПЭП. Вторая: работник подписывает через Госключ. Сертификат УНЭП формирует само приложение после подтверждения личности через подтверждённую учётную запись Госуслуг, заранее ничего не выпускается, и кадровику проверять нужно не сертификат, а то, что у сотрудника есть смартфон и подтверждённая учётная запись. Третья: исполнитель работает по договору ГПХ или как самозанятый. Требования статьи 22.3 ТК РФ на него не распространяются, вид подписи определяется договором между сторонами.
Где посмотреть срок действия сертификата сотрудника
Срок действия виден в четырёх местах, и они дают разный объём данных. В свойствах сертификата на вкладке состава есть версия, серийный номер, алгоритм подписи по ГОСТ, издатель и период действия: это минимальный набор, которого хватает для планового контроля. В КриптоПро CSP разделы «Контейнеры» и «Сертификаты» показывают ещё и связку с ключевым носителем, то есть отвечают на вопрос, на каком токене физически лежит закрытый ключ. Карточка работника в системе КЭДО даёт вид подписи и статус в разрезе конкретного сотрудника. Портал Госуслуг проверяет уже подписанный файл и показывает результат по факту.
Как проверить срок действия и статус сертификата сотрудника: пошаговая инструкция
- Шаг 1. Определите вид подписи, который требуется для документа, по статье 22.3 ТК РФ. Если нужна УКЭП или УНЭП, а у работника только ПЭП, дальнейшая проверка не нужна: подпись меняется.
- Шаг 2. Откройте карточку работника в системе КЭДО и сверьте фамилию, имя и отчество владельца сертификата с данными в трудовом договоре. Расхождение в одной букве отчества делает проверку подписи отрицательной.
- Шаг 3. Посмотрите период действия сертификата в его свойствах или в разделе «Сертификаты» КриптоПро CSP. Сравните дату окончания не с сегодняшним днём, а с плановой датой подписания и датой окончания маршрута согласования.
- Шаг 4. Проверьте статус отзыва по списку отзыва сертификатов или через службу OCSP того удостоверяющего центра, который указан в поле издателя. Действующий срок и неотозванный статус — это два разных условия, и второе не следует из первого.
- Шаг 5. Если сотрудник подписывает от имени работодателя, проверьте машиночитаемую доверенность: срок, состав полномочий и то, что она выдана действующим руководителем.
- Шаг 6. Проверьте работоспособность связки на тестовом файле: попросите сотрудника подписать пустой документ и загрузите результат в сервис проверки. Так вы увидите заблокированный пин-код, отсутствующую лицензию криптопровайдера и несовместимость носителя до того, как встанет реальный приказ.
Шестой шаг экономит больше всего времени. Проверка на тестовом файле занимает пару минут и снимает технические причины срыва, потому что она воспроизводит ровно ту операцию, которая потом должна пройти на боевом документе.
Полезно знать: в рамках проекта удостоверяющего центра ФНС России лицензия на КриптоПро CSP вшивается внутрь сертификата и действует столько же, сколько сам сертификат электронной подписи. Отдельно устанавливать лицензию на рабочем месте в этом случае не нужно, но только для того ключа, которому соответствует этот сертификат.
Важный нюанс из практики: извлекаемый ключ, полученный в удостоверяющем центре ФНС, выдаётся только в неэкспортируемом контейнере. Скопировать его на второй компьютер или на запасной токен по регламенту удостоверяющего центра нельзя, поэтому план «сделаем дубликат на случай, если сотрудник в отпуске» не работает: нужен либо доступ к тому же носителю, либо отдельный сертификат на другого подписанта с машиночитаемой доверенностью.
Истёкший и отозванный сертификат: почему срока действия недостаточно
Отзыв сертификата не меняет поля периода действия. Удостоверяющий центр вносит серийный номер в список отзыва, и с этого момента подпись, поставленная позже, проверку не проходит, хотя в свойствах сертификата по-прежнему написано, что он действует до определённой даты. Именно поэтому проверять надо не дату, а результат обращения к списку отзыва или к службе OCSP: они дают статус на момент запроса. Причины отзыва бывают разные: увольнение сотрудника, компрометация ключа, утеря токена, ошибка в данных владельца.
Обратная ситуация встречается чаще и пугает кадровиков сильнее: сертификат истёк или был отозван уже после того, как документ подписали. Сама по себе подпись от этого недействительной не становится, но подтвердить момент подписания нечем, если в подпись не встроены дополнительные доказательства. Их два: штамп времени и ответ службы OCSP о статусе сертификата на момент создания подписи. Третий элемент, архивная метка, объединяет и заверяет первые два. Для кадровых документов это существенно: сроки их хранения измеряются десятилетиями, а сертификаты выпускаются на несоизмеримо меньший срок. Проверить готовый файл можно через сервис проверки электронной подписи на портале Госуслуг: он работает и с присоединённой, и с откреплённой подписью.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: штамп времени, ответ OCSP и архивная метка позволяют проверить электронную подпись после того, как срок действия сертификата истечёт. Если подпись сформирована без этих доказательств, при длительном хранении документ придётся усовершенствовать отдельной процедурой.
Мария Ж, судебный эксперт по трудовому праву: «В споре о кадровом документе смотрят не только на факт подписи, но и на то, чем подтверждён момент её создания. Если в подписи есть штамп времени и ответ OCSP о статусе сертификата на этот момент, истёкший позднее сертификат вопросов не вызывает. Если доказательств нет, дату придётся подтверждать другими средствами, а это заметно сложнее.»
Цена ошибки считается не стоимостью переоформления. Документ, подписанный подписью неподходящего вида, для инспектора равнозначен неоформленному: по части 1 статьи 5.27 КоАП РФ это влечёт штраф от 30 000 до 50 000 рублей на юридическое лицо, а сам документ в споре не работает как доказательство. Отдельная статья расходов — повторный сбор подписей: при отзыве сертификата подписанта переподписать нужно все документы, которые он завизировал после даты отзыва, а не один спорный приказ.
Полномочия подписанта: МЧД, филиалы и обезличенный сертификат
Схема с корпоративным сертификатом на сотрудника, где указывались наименование организации и должность, прекратила действовать: с 1 сентября 2024 года сотрудник подписывает документы от имени организации личным сертификатом физического лица в паре с машиночитаемой доверенностью. Для кадровика это означает, что проверка «есть ли действующая подпись» распадается на два вопроса: есть ли действующий сертификат физического лица и есть ли действующая МЧД с нужным полномочием. Руководителю организации МЧД не нужна: он действует по уставу.
Машиночитаемая доверенность — это XML-файл, который считывается не человеком, а информационной системой. В нём содержатся данные доверителя, данные представителя, перечень полномочий и срок действия. Полномочие описывается кодом из классификатора, размещённого в Единой системе нормативной и справочной информации: у каждого полномочия есть код, дата и уникальный идентификационный номер. Если нужного полномочия в классификаторе нет, участник электронного взаимодействия направляет свой перечень в Минцифры, там его рассматривают в течение 10 дней, а при положительном решении в течение трёх рабочих дней присваивают коды и включают в классификатор.
Филиал добавляет отдельный слой проверки. Филиал не является юридическим лицом, поэтому доверенность выдаёт головная организация, а руководитель филиала действует в пределах переданных ему полномочий. Если он передоверяет право подписи кадровых документов сотруднику филиала, передоверие оформляется у нотариуса: нужны паспортные данные нового уполномоченного лица и актуальная выписка из ЕГРЮЛ, нотариус подписывает новую доверенность своей квалифицированной электронной подписью и выгружает её в информационную систему. Закладывайте на это время: техническая оснащённость нотариусов различается, и в небольших городах процедура идёт дольше.
Лайфхак: при самостоятельном подключении Госключа по API организации нужен обезличенный сертификат, который выпускает только генеральный директор и только на 1 год, с личным перевыпуском каждый год. Поставьте напоминание за месяц до окончания срока: перевыпуск нельзя делегировать кадровой службе.
Реестр сертификатов сотрудников: журнал, который снимает ручную проверку
Разовая проверка перед подписанием решает задачу одного документа. Когда подписантов больше десяти, работает только реестр. Минимальный состав столбцов: фамилия, имя и отчество владельца, вид подписи, удостоверяющий центр-издатель, серийный номер сертификата, отпечаток, даты начала и окончания действия, тип носителя, дата планового перевыпуска и текущий статус. Серийный номер и отпечаток нужны не для красоты: по ним проверяют статус отзыва и сверяют сертификат, которым фактически подписан файл, с тем, который числится за сотрудником.
Плановый перевыпуск ставят не на дату окончания, а минимум за две недели до неё. Сертификаты в кадровой службе заканчиваются обычно в неподходящий момент: массовые кампании вроде ознакомления с графиком отпусков или с приказом об индексации приходятся на конец года, туда же попадает пик перевыпусков. В Добыто КЭДО подписанные документы вместе с файлами подписи остаются во вкладке «Архив» и выгружаются оттуда, поэтому сверять реестр с фактическими подписями можно по архиву, не поднимая переписку.
Образцы документов по учёту и проверке электронных подписей
Первым берите реестр сертификатов: он задаёт структуру учёта, остальные документы прикладываются к нему по мере событий.
| Документ | Скачать |
|---|---|
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Машиночитаемая доверенность (МЧД): образец и структура XML | Скачать |
Мария Ж, соучредитель сервиса КЭДО Добыто: «Реестр сертификатов ведёт не техническая служба, а кадровая: именно она первой узнаёт об увольнении, переводе и смене фамилии. Три события должны сразу менять строку в реестре: увольнение, смена фамилии и утеря носителя. Если строка не поменялась, вы отправите документ на подпись человеку, у которого сертификат уже отозван.»
Что делать, если подпись не работает в момент подписания
Забытый пин-код от контейнера решается не восстановлением, а перевыпуском. Закрытый ключ на токене восстановить нельзя, а после серии неверных попыток пин-код блокируется. В актуальных моделях носителей политики пин-кодов вшиты внутрь самого токена, а не в конкретное рабочее место, поэтому перенос токена на другой компьютер ситуацию не меняет. Порядок такой: заявление на аннулирование действующего сертификата, заявление на выпуск нового, повторная выдача носителя. На это уходит время, поэтому массовые кампании подписания не планируют на день выдачи ключей.
Отдельная категория сбоев касается формата файла подписи. Расширения p7s, sig и sgn выбираются в настройках инструментов криптопровайдера и обозначают один и тот же формат откреплённой подписи, чаще всего CAdES-BES. Принимающая сторона иногда требует конкретное расширение, и тогда файлы просто переименовывают, содержимое от этого не меняется. Массовое переименование партии подписей делается одной командой в консоли, вручную это разбирать не нужно.
Если сертификат подписанта отозвали уже после подписания, задним числом ничего не переподписывают. Ситуацию фиксируют актом о невозможности переподписания, направляют письмо второй стороне и оформляют новый экземпляр документа действующей подписью. Для внутренних кадровых документов логика та же: приказ издаётся заново, а не правится.
Кейс из практики: перевод 1100 сотрудников на КЭДО с подписанием через Госключ сократил цикл одного кадрового процесса до 15-30 минут, раньше он занимал несколько недель. Экономия на выпуске электронных подписей составила 0,5 млн рублей в год: подпись работнику выпускается бесплатно, и организовывать работу удостоверяющего центра на своей стороне не требуется.
Перед раскаткой на всю компанию мы закладываем пилотную группу: 20-30 человек проходят полный цикл от выпуска подписи до подписания реального документа. Это снимает основную часть ошибок настройки до того, как в процесс войдёт весь штат.
Мария Ж, HR-эксперт с 13-летним стажем: «Часть сотрудников не разбирается с мобильным приложением подписи самостоятельно, и это нормально: возрастной состав в производстве и ритейле отличается от офиса. Закладывайте сопровождение на этапе выпуска подписей и короткую инструкцию с иллюстрациями, иначе кадровая служба неделю отвечает на одни и те же вопросы по телефону.»
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников, набора видов подписи и потребности в интеграции с учётной системой. Электронные подписи ПЭП и УНЭП для сотрудников входят в тариф и отдельно не оплачиваются.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 руб. за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 руб. за сотрудника в месяц, минимальная оплата 50 сотрудников за 30 000 руб. в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП для сотрудников через партнёров-удостоверяющие центры | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного тарифа, а разница между тарифами лежит в наборе видов подписи и в наличии интеграции с учётной системой: полный состав условий указан на странице тарифов Добыто КЭДО. При переходе на другой тариф разница пересчитывается пропорционально оставшемуся периоду.
Для кадровой службы важна не цена подписи, а то, что при бесплатном выпуске ПЭП и УНЭП пропадает главный аргумент против регулярного перевыпуска: перевыпустить сертификат и выдать новый сотруднику дешевле, чем разбирать последствия подписания просроченным ключом.
Выводы
Готовность сотрудника к подписанию определяется четырьмя условиями: сертификат выпущен на него лично, вид подписи соответствует документу по статье 22.3 ТК РФ, срок действия перекрывает дату подписания, статус отзыва положительный. Отдельно проверяются полномочия, если человек подписывает от имени организации: с сентября 2024 года это личный сертификат физического лица плюс машиночитаемая доверенность. Разовая проверка закрывает один документ, реестр сертификатов закрывает поток, а штамп времени и ответ OCSP внутри подписи снимают вопросы к документу через годы после истечения сертификата.
Мы в Добыто выстраиваем эту проверку как часть маршрута: вид подписи привязан к типу документа, статусы подписантов видны до отправки, а подписанные файлы вместе с подписями хранятся в архиве и выгружаются для проверки. Кадровой службе остаётся следить за реестром и плановыми перевыпусками, а не выяснять причину сбоя в день подписания приказа.
Частые вопросы
Действительна ли подпись, если сертификат истёк уже после подписания документа?
Истечение срока сертификата после момента подписания само по себе подпись не аннулирует. Проблема в другом: подтвердить момент создания подписи нечем, если в неё не встроены штамп времени и ответ службы OCSP о статусе сертификата на этот момент. Для документов с длительным сроком хранения подпись усовершенствуют до формата с архивной меткой, которая заверяет обе отметки сразу.
Можно ли подписывать кадровые документы сертификатом, где указана прежняя организация?
Нет. Схема с сертификатом, в который вписаны наименование организации и должность сотрудника, прекратила применяться: с 1 сентября 2024 года сотрудник подписывает от имени работодателя личным сертификатом физического лица в паре с машиночитаемой доверенностью. Сам сертификат физического лица при смене работодателя остаётся действующим, меняется только доверенность.
Нужна ли МЧД руководителю филиала для подписания кадровых документов?
Филиал не является юридическим лицом, поэтому полномочия его руководителю передаёт головная организация. По уставу он не действует, значит при электронном подписании от имени юридического лица нужна машиночитаемая доверенность с соответствующим полномочием. Передоверие права подписи сотруднику филиала оформляется у нотариуса: понадобятся паспортные данные нового представителя и актуальная выписка из ЕГРЮЛ.
Чем отличаются файлы подписи с расширениями p7s, sig и sgn?
Расширение задаётся в настройках программы подписания и на содержимое файла не влияет: это откреплённая подпись, чаще всего в формате CAdES-BES. Если принимающая сторона требует конкретное расширение, файл переименовывают, подпись при этом остаётся валидной. Партию файлов переименовывают одной командой в консоли, а не вручную по одному.
Что делать, если сотрудник заблокировал пин-код от токена?
Закрытый ключ с токена не восстанавливается, поэтому вариант один: аннулировать действующий сертификат и выпустить новый. В актуальных моделях носителей политики пин-кодов хранятся внутри самого токена, а не на рабочем месте, поэтому подключение к другому компьютеру блокировку не снимает. Заложите время на выпуск и не ставьте массовое подписание на тот же день.
Сколько сертификатов помещается на одном токене?
Актуальные модели носителей имеют 128 килобайт защищённой памяти. При хранении извлекаемых программных ключей в формате криптопровайдера на токен помещается до 31 контейнера, но реальное число меньше: объём одного контейнера зависит от того, что удостоверяющий центр записал в сертификат в качестве расширений, и для крупных сертификатов оценка сверху составляет 12 килобайт на контейнер.
