Проверить подпись XML-файла можно за пару минут на портале Госуслуг, в КриптоАРМ или через КриптоПро ЭЦП Browser Plugin — и в каждом случае система покажет, кто подписал документ, действовал ли сертификат на момент подписания и не менялся ли файл после. XML-формат коварен тем, что одна лишняя запятая в структуре или пересохранение через текстовый редактор ломает подпись, а сервис выдаёт «подпись недействительна» — хотя ключ рабочий. Разберём, чем проверка XML отличается от проверки обычного SIG, какие сервисы реально работают с XMLDSig, как читать протокол проверки и что делать, когда подпись не проходит. Тема входит в большой материал про проверку подписи XML-файла, где собран весь процесс от форматов до юридической значимости.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Что такое подпись XML-файла и чем она отличается от обычной
XML-подпись — это электронная подпись по стандарту XMLDSig (XML Digital Signature), который разработал консорциум W3C. От привычного SIG-файла она отличается тем, что живёт прямо внутри структуры XML, в специальном теге Signature с пространством имён http://www.w3.org/2000/09/xmldsig#. То есть подпись — не отдельная «бумажечка» рядом с документом, а часть самого документа. Хотя бывает и наоборот, об этом ниже.
С таким форматом сталкивается куда больше людей, чем кажется. Машиночитаемая доверенность — это XML-файл. Чистый электронный документ, который без компьютера и определённых программ вообще не использовать. Сообщения в СМЭВ — межведомственной системе электронного взаимодействия — тоже XML с подписью внутри. Выписки из госреестров, справки с Госуслуг, формализованные счета-фактуры, отчётность в ФНС — везде XML. И везде своя специфика проверки.
Ключевой момент, который ломает людям нервы: любое изменение XML-файла ломает подпись. Добавили полномочие в МЧД руками — подпись слетела, нужна новая доверенность. Открыли XML в Word и пересохранили — всё, проверка провалится. Подпись считается по точному набору байт, и если хоть один символ съехал, хэш не совпадёт. Поэтому XML с подписью нельзя «подредактировать» — только перевыпустить. Если разбираетесь, как вообще устроено формирование такого файла, посмотрите отдельный разбор про то, как подписать XML-файл электронной подписью — там обратная сторона процесса.
Мария Ж, специалист по цифровой подписи и КЭДО:
«XML пугает кадровиков больше всего. Прислали справку в виде xml плюс sig, человек открывает — там «крипта», непонятные теги, и сразу паника. А по сути всё то же самое: есть документ, есть закрытка, которой его подписали, и есть открытка для проверки. Просто упаковано иначе. Я всегда говорю — не пытайтесь это читать глазами, грузите в сервис и смотрите протокол.»
Виды XML-подписи: enveloped, enveloping и detached
Прежде чем проверять, надо понять, как именно подпись прикреплена к XML. От этого зависит, что грузить в сервис — один файл или два. По стандарту XMLDSig есть три варианта расположения.
Enveloped (вложенная) — подпись лежит внутри подписываемого XML, тег Signature — один из элементов документа. Так устроена МЧД и большинство справок с госпорталов. На проверку отдаёте один файл — сам XML, подпись уже внутри.
Enveloping (обёртывающая) — наоборот, подписываемые данные вложены внутрь элемента подписи. Встречается реже, в основном в специфических интеграциях.
Detached (открепленная, отсоединённая) — подпись и данные разделены. Либо это два разных файла (XML-документ отдельно, файл подписи отдельно), либо они в одном XML, но подпись ссылается на данные через URI. Здесь на проверку нужно подавать оба файла: и документ, и подпись. Если загрузить только один — сервис честно скажет, что проверить не может.
СМЭВ — отдельная история. Там своя проприетарная трансформация каноникализации, urn://smev-gov-ru/xmldsig/transform, со своими правилами приведения XML к единому виду перед хэшированием. Обычный валидатор такую подпись может не понять — нужны средства, которые знают про специфику СМЭВ. По сути это enveloped-подпись, но с национальными доработками формата.
Мария Ж, судебный эксперт по трудовому праву:
«Самый частый затык на проверке открепленной подписи — человек грузит только sig или только xml, а сервис требует оба. Потом звонит: «ключ рабочий, а подпись не проходит». Ну конечно не проходит, вы исходник не приложили. Проверить целостность без исходного файла невозможно в принципе — не с чем сравнивать хэш.»
Как проверить подпись XML-файла на Госуслугах
Самый официальный путь — сервис Минцифры на портале Госуслуг. Он бесплатный, авторизация не нужна, работает с квалифицированными подписями. Государственный валидатор, его протокол принимают и суды, и ГИТ, и приставы. Адрес страницы проверки — раздел проверки электронной подписи на gosuslugi.ru, отдельный портал проверки расположен на e-trust.gosuslugi.ru.
Логика та же, что и с SIG. Выбираете тип проверки — присоединённая ЭП или отсоединённая ЭП. Для enveloped-XML, где подпись внутри, выбираете присоединённую и грузите один файл. Для detached — отсоединённую, грузите документ и файл подписи отдельно. Вводите код с картинки, жмёте «Проверить». Через пару секунд — таблица: статус подписи, ФИО и организация подписанта, сведения о сертификате, время подписания.
Нюанс по XML конкретно: базовый сервис Госуслуг отлично справляется с PKCS#7 (это SIG), а вот глубокую проверку именно XMLDSig со всеми трансформациями он тянет не всегда. Если XML непростой — например, со спецификой СМЭВ — лучше идти в КриптоПро DSS, об этом дальше.
Ещё одно ограничение: Госуслуги проверяют только подписи, выпущенные аккредитованными в Минцифры удостоверяющими центрами. Если сертификат от неаккредитованного УЦ или это самоподписанный тестовый серт — проверить не выйдет.
Как проверить подпись XML-файла на Госуслугах: пошаговая инструкция
Показать пошаговую инструкцию
- Шаг 1. Откройте раздел проверки ЭП на портале Госуслуг (gosuslugi.ru/eds) или e-trust.gosuslugi.ru. Регистрация не нужна.
- Шаг 2. Определите тип подписи в вашем XML. Если тег Signature внутри документа — присоединённая (enveloped). Если подпись отдельным файлом — отсоединённая (detached).
- Шаг 3. Выберите соответствующий пункт: «Проверка присоединённой ЭП» либо «Проверка отсоединённой ЭП».
- Шаг 4. Загрузите файлы. Для присоединённой — один XML. Для отсоединённой — сам документ плюс файл подписи. Если файлы были в архиве, сначала распакуйте.
- Шаг 5. Введите код с картинки и нажмите «Проверить». Дождитесь таблицы результата.
- Шаг 6. Скачайте протокол проверки в PDF — это документ с печатью Минцифры, который прикладывают в суд и к ответу в ГИТ.
Проверка XML-подписи в КриптоАРМ и КриптоПро
Когда нужна не просто галочка «верна», а технический разбор, идут в десктопные средства. КриптоАРМ — программа для формирования и проверки электронной подписи от компании «Цифровые технологии», на рынке с 99-го года, больше миллиона проданных лицензий. Проверка делается через контекстное меню: правый клик по файлу подписи, «Проверить подпись», дальше мастер ведёт по шагам. КриптоАРМ умеет распечатать отчёт о проверке — правда, такая распечатка юридической силы не несёт, юридически значим только электронный результат.
Для собственно XMLDSig самый показательный инструмент — КриптоПро DSS. Это онлайн-сервис от «КРИПТО-ПРО», который проверяет присоединённую и отсоединённую подпись формата CMS, плюс подписи в PDF, Word, Excel и — что важно для нас — подпись в XML-документах, то есть XMLDSig. Результат показывается на отдельной странице, информативно: статус, профиль подписи, сведения о сертификате.
Под капотом любой проверки — криптопровайдер. На большинстве машин это КриптоПро CSP версии 5.0 R3, поддерживающий и российские, и зарубежные криптоалгоритмы. Без установленного криптопровайдера ни КриптоАРМ, ни браузерный плагин подпись не посчитают — им просто нечем считать хэш по ГОСТу. В практике Добыто мы при настройке рабочих мест под КЭДО первым делом проверяем именно связку «КриптоПро CSP плюс актуальный сертификат» — половина проблем с проверкой подписи родом отсюда.
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
Ещё один сценарий — проверка через КриптоПро ЭЦП Browser Plugin прямо в браузере. Плагин ставится вместе с криптопровайдером, идёт в составе дистрибутива КриптоПро CSP. Этот путь удобен, когда XML проверяется на веб-странице информационной системы, без выгрузки файлов на сторонний сервис.
Мария Ж, соучредитель сервиса КЭДО Добыто:
«Денюжки тут роли почти не играют — проверить можно бесплатно. Госуслуги для официальной бумаги, КриптоПро DSS для XMLDSig, КриптоАРМ когда надо покопаться в профиле. У меня все серьёзные споры по подписи начинались именно с разбора этих деталей, и большинство до суда не доходило: кадровая служба сама видела по протоколу, что подпись слетела, и вопрос закрывался.»
Образцы документов для работы с электронной подписью
Открыть список документов
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Согласие на обработку ПДн для выпуска сертификата ЭП | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Ответы на вопросы об установке ЭЦП | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
| Уведомление работнику о переходе на КЭДО | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
Как читать протокол проверки XML-подписи
Результат проверки — это не просто «верна / неверна». В протоколе несколько строк, и каждая отвечает за свою сторону подписи. Целостность — менялся ли документ после подписания. Если хэш совпал, в протоколе зелёная галочка, документ не трогали. Статус сертификата — был ли сертификат действителен на момент подписания и не отозван ли он. Тут работает связка из списка отозванных сертификатов и службы OCSP, которая выдаёт актуальный статус серта.
Отдельная история — срок действия. Сертификаты ЭП выдаются на разные сроки, сейчас могут и на 12 лет. Подпись действительна, пока действует сертификат, — если только не используется метка времени. Вот тут начинается «ухаживание за подписью»: для долгого хранения XML дополняют штампом времени по протоколу TSP и ответом OCSP о статусе серта на момент подписания. Эти доказательства позволяют проверить подпись даже после того, как сертификат истёк. Без метки времени документ, у которого серт уже просрочен, при проверке даст замечание, хотя подписан был законно.
Для кадровых XML это критично. Срок хранения кадровых документов может быть 50 лет и дольше, а серт — максимум 12. Поэтому при формировании архивов используют усовершенствованные подписи с метками времени. В сервисе Добыто вся цепочка подписей фиксируется с отметками времени — при проверке ГИТ или в суде видно, кто и когда подписал, и подпись не «протухает» вместе с сертификатом.
Мария Ж, юрист со стажем более 20 лет:
«Распечатка XML со штампиком «подписано ЭЦП» — это просто картинка, нарисованная плашка, юридической значимости в ней ноль. Значим электронный оригинал: сам XML плюс подпись, которую можно проверить. Если просят бумагу — прикладывайте протокол проверки с Госуслуг, а не скриншот. Логику в этом требовании искать бессмысленно, его нужно просто выполнить.»
Типичные ошибки при проверке XML-подписи
Перебрала за годы практики сотни обращений «подпись не проходит» — и почти всегда дело в одном из нескольких типовых косяков. Разберу с ценой каждого.
Ошибка первая — неверно выбран тип подписи. Человек грузит enveloped-XML, а в сервисе выбирает «отсоединённая». Сервис ждёт два файла, получает один, выдаёт отказ. Делают так от невнимательности — кнопки похожи. Цена ошибки: потерянный час и ложный вывод «подпись недействительна», после которого иногда перевыпускают рабочий сертификат за деньги, хотя с ним всё в порядке.
Ошибка вторая — редактирование XML после подписания. Открыли в текстовом редакторе, пересохранили, поменяли кодировку — подпись слетела. Делают, потому что XML выглядит как обычный текст и кажется, что «чуть поправить» безопасно. Цена: документ становится непригодным, нужна новая подпись, а если это МЧД — новая доверенность и заново вся процедура регистрации.
Ошибка третья — проверка XML обычным валидатором без поддержки СМЭВ. Подпись со смэвовской трансформацией каноникализации обычный сервис не разворачивает и честно говорит «не могу». Делают, потому что не знают про специфику формата. Цена: ложная паника и обращения в техподдержку вместо использования средства, которое умеет работать с СМЭВ.
Ошибка четвёртая — забыли про криптопровайдер. Нет установленного КриптоПро CSP — браузерный плагин и КриптоАРМ не считают ГОСТовый хэш. Цена: «ничего не работает» на ровном месте и день на диагностику рабочего места. На одном из наших проектов внедрения КЭДО (производство, около 1900 человек) именно отсутствие актуального криптопровайдера на части машин тормознуло массовую проверку подписей — вычистили за два дня после того, как раскатали единую инструкцию по настройке.
XML с подписью — тот случай, где одна ошибка в типе проверки или лишнее пересохранение файла стоит и времени, и нервов, а иногда и перевыпуска сертификата на пустом месте. Если документы массовые — МЧД на сотрудников, справки, кадровые XML — ручная проверка каждого превращается в рутину. Специалисты Добыто настраивают проверку и фиксацию подписей внутри КЭДО, чтобы статус каждого документа был виден сразу, без выгрузки на сторонние сервисы.
Проверка электронной подписи онлайн — сервис Добыто
Проверка электронной подписи
Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
1 Выберите тип подписи:
Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.
2 Загрузите документ и подпись:
Документ
Файл подписи
Стоимость подключения сервиса с проверкой XML-подписи
Отдельной цены «за проверку подписи» нет — проверка идёт внутри тарифа на КЭДО. Итоговая сумма зависит от численности персонала, выбранного тарифа и набора подключаемых модулей. Цена считается за рабочее место в месяц.
| Тариф | Стоимость | Условия |
|---|---|---|
| Старт — ПЭП и УНЭП, базовые шаблоны, до 25 сотрудников | от 30 ₽ за сотрудника / мес | небольшие компании |
| Бизнес — ПЭП, УНЭП и УКЭП, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес | средний бизнес |
| Корпорация — всё из Бизнеса, выделенный сервер, SLA 99.9%, API | По запросу | крупный бизнес |
На итог влияет число сотрудников, нужна ли интеграция с учётной системой и набор видов подписи под ваши документы — актуальные тарифы сервиса Добыто помогут сориентироваться точнее. Для XML-документов с госорганами и МЧД нужна УКЭП — она доступна на тарифе Бизнес и выше.
Выводы: проверка подписи XML-файла
XML-подпись по стандарту XMLDSig проверяется тремя основными путями: бесплатный государственный сервис Минцифры на Госуслугах для официального протокола, КриптоПро DSS для собственно XMLDSig со всеми трансформациями, КриптоАРМ и браузерный плагин для технического разбора. Перед проверкой определите тип подписи — enveloped грузится одним файлом, detached требует и документ, и подпись. Без установленного криптопровайдера КриптоПро CSP проверка по ГОСТу невозможна в принципе.
Главное правило при работе с XML — не редактировать файл после подписания. Любое изменение, вплоть до пересохранения и смены кодировки, ломает подпись и требует перевыпуска, а для МЧД — новой доверенности. При проверке смотрите три строки протокола: целостность документа, статус сертификата по OCSP и срок его действия. Для долгого хранения кадровых XML нужны метки времени по TSP, иначе подпись перестанет проходить после истечения сертификата.
Юридически значим электронный оригинал — XML плюс проверяемая подпись, а не распечатка со штампиком. Для предъявления в суд или ГИТ скачивайте протокол проверки с Госуслуг в PDF. В 2026 году роль базового государственного валидатора сохраняется за сервисом Минцифры, а специфика СМЭВ требует средств, знающих про национальные трансформации формата.
Часто задаваемые вопросы
Чем подпись XML-файла отличается от подписи в SIG?
Можно ли проверить подпись XML бесплатно?
Почему подпись XML показывает «недействительна», хотя сертификат рабочий?
Как проверить подпись машиночитаемой доверенности (МЧД)?
Что такое enveloped и detached подпись XML?
Нужен ли КриптоПро для проверки XML-подписи?
Почему подпись XML слетает после редактирования файла?
Можно ли проверить XML-подпись СМЭВ обычным сервисом?
Действительна ли подпись XML после истечения сертификата?
Имеет ли юридическую силу распечатка XML с отметкой о подписи?
Какой сертификат нужен для проверки подписи на Госуслугах?
Можно ли проверить XML-подпись без интернета?
Проверка XML-подписи поодиночке через сторонние сервисы — нормально для разовой задачи. Но когда документов сотни, а то и тысячи — МЧД на сотрудников, кадровые XML, справки — ручная сверка каждого превращается в постоянную рутину с риском пропустить слетевшую подпись. Добыто закрывает это внутри КЭДО: подпись формируется, проверяется и фиксируется в одном интерфейсе, а кадровик видит статус каждого документа без выгрузок на внешние порталы.
За время работы сервиса мы подключили к КЭДО сотни компаний — от небольших до штата в несколько тысяч человек — и в каждом проекте проверка и хранение подписей с метками времени закрывали вопрос юридической значимости при проверках ГИТ и в судах. Вся цепочка фиксируется с отметками времени, документ остаётся проверяемым даже после истечения сертификата.
- Поддержка всех трёх видов подписей — ПЭП, УНЭП, УКЭП — для любого кадрового процесса
- Вся цепочка подписей фиксируется с отметками времени — защита при проверках ГИТ и в суде
- Юридическая значимость по 63-ФЗ и 377-ФЗ — электронный документ равносилен бумажному
- Хранение документов до 50 лет — доступ к архиву сохраняется даже при расторжении договора с провайдером
- Готовый коннектор с 1С (ЗУП, КА, ERP) — ставится за час без привлечения разработчиков
- Защищённые каналы связи, шифрование данных, соответствие 152-ФЗ, лицензии ФСТЭК и ФСБ
- Мобильное приложение для подписания документов с телефона — в командировке, в отпуске, без похода в отдел кадров