Копия электронной подписи, выданной налоговой инспекцией, штатными средствами не создаётся: закрытый ключ записывается на токен как неэкспортируемый, и регламент удостоверяющего центра ФНС этого не допускает. КриптоПро CSP на попытке скопировать такой контейнер откажет: запрет заложен в самом контейнере при генерации ключевой пары. Свободно копируются только открытая часть — файл сертификата — и файл подписи формата p7s или sig рядом с документом, но подписать ими новый документ невозможно. Порядок действий определяет одно различие: если подпись нужна на втором рабочем месте или бухгалтеру, задача закрывается вторым сертификатом и машиночитаемой доверенностью, а если токен потерян или сломан, остаётся только прекращение действия сертификата и выпуск нового.
Разберём, чем неэкспортируемый ключ отличается от извлекаемого и неизвлекаемого, где в КриптоПро CSP и панели управления токеном это видно своими глазами, и какие пять законных сценариев закрывают задачу вместо копии. Покажем, что можно передать бухгалтеру, а что передавать нельзя по 63-ФЗ. Сценарная таблица по типовым ситуациям ИП, порядок действий при забытом ПИН-коде и утраченном носителе, стоимость подключения подписей и ответы на частые вопросы — во второй половине статьи.
Можно ли скопировать электронную подпись, выданную налоговой
Закрытый ключ КЭП, выпущенной удостоверяющим центром ФНС, записывается на токен в виде неэкспортируемого контейнера. Флаг экспорта криптопровайдер выставляет один раз, в момент генерации ключевой пары, и по регламенту удостоверяющего центра ФНС он не выставляется. Изменить флаг задним числом нельзя: он часть самого контейнера, а не настройка программы.
На практике это выглядит так. Вы открываете КриптоПро CSP, вкладку «Сервис», выбираете «Скопировать контейнер», указываете исходный носитель и получаете отказ. Дальше обычно начинается поиск утилиты, которая «умеет обходить». Работающего штатного способа нет, а сторонние утилиты решают задачу не копированием, а подменой сценария: они либо копируют экспортируемый контейнер из другого источника, либо создают новый ключ, к которому ваш сертификат не подходит.
Копируется без ограничений другое. Файл сертификата с расширением .cer — это открытая часть, её можно поставить на любое число компьютеров, отправить контрагенту и приложить к заявке. Файл подписи p7s или sig копируется вместе с документом и должен передаваться получателю. Ни тем, ни другим подписать новый документ нельзя: подпись формируется закрытым ключом, который остаётся на токене.
Мария Ж, специалист по цифровой подписи и КЭДО: «Ключ из удостоверяющего центра ФНС приходит только неэкспортируемым контейнером: флаг экспорта выставляет криптопровайдер при генерации, и по регламенту центра он не выставляется. Поэтому вопрос «какой программой скопировать» здесь не решается ничем, ограничение сидит в самом контейнере. Откройте КриптоПро CSP и попробуйте скопировать контейнер: отказ на этом шаге и есть ответ на вопрос.»
Проверить свой случай можно за минуту: если в КриптоПро CSP кнопка копирования контейнера отрабатывает отказом, дальше имеет смысл выбирать не утилиту, а сценарий работы без копии.
Три типа ключей на токене: чем неэкспортируемый отличается от неизвлекаемого
Ключи на токене делятся на программные и аппаратные. Программные генерирует криптопровайдер на компьютере, и токен работает как защищённое ПИН-кодом хранилище. При подписании закрытый ключ ненадолго попадает в оперативную память, поэтому такие ключи называют извлекаемыми. Аппаратные генерирует криптоядро внутри микроконтроллера токена, и закрытый ключ никогда не покидает устройство, поэтому такие ключи называют неизвлекаемыми.
Извлекаемые ключи, в свою очередь, бывают экспортируемыми и неэкспортируемыми. Флаг задаёт программный криптопровайдер при генерации или копировании контейнера. Разрешён экспорт — контейнер копируется; не разрешён — копирование запрещено. Ключ УЦ ФНС попадает во вторую категорию.
| Тип ключа | Как создаётся | Копирование | Где встречается |
|---|---|---|---|
| Извлекаемый экспортируемый | Программный криптопровайдер, флаг экспорта выставлен | Разрешено | Коммерческие удостоверяющие центры, если флаг задан при генерации |
| Извлекаемый неэкспортируемый | Программный криптопровайдер, флаг экспорта не выставлен | Запрещено | Удостоверяющий центр ФНС России |
| Неизвлекаемый ФКН | Криптоядро токена, канал с криптопровайдером защищён протоколом SESPAKE | Технически невозможно | Рутокен ЭЦП 2.0 и 3.0 в связке с КриптоПро CSP 5.0 R2 и выше |
| Неизвлекаемый PKCS#11 | Криптоядро токена через библиотеку PKCS#11 | Технически невозможно | ЕГАИС для производителей и поставщиков алкоголя, мобильные компоненты Рутокен |
Поддержка неизвлекаемых ключей появилась только начиная с пятой версии криптопровайдера. На машине со старым КриптоПро CSP 4.0 ключ в режиме ФКН работать не будет, поэтому режим выбирают заранее, при генерации контейнера.
Факт: получить в удостоверяющем центре ФНС извлекаемый ключ можно только в виде неэкспортируемого контейнера. Регламент центра прямо ограничивает копирование ради повышения безопасности владельца сертификата.
Носитель для записи КЭП в инспекции должен быть USB-токеном типа A и иметь сертификат ФСБ или ФСТЭК России. Подходят Рутокен Lite, Рутокен S, Рутокен ЭЦП 2.0, линейка JaCarta, ESMART Token и ESMART Token ГОСТ. Модели со встроенным криптомодулем — Рутокен ЭЦП 2.0, JaCarta-2 ГОСТ, ESMART Token ГОСТ — реализуют алгоритмы подписи на борту, остальным нужен установленный криптопровайдер на компьютере.
Файл подписи p7s и sig: что копировать можно и нужно
Подпись на документе существует в двух формах. Присоединённая упаковывает документ и подпись в один файл: открыть его без специальной программы не получится, зато потерять половину комплекта невозможно. Открепленная создаёт рядом с документом отдельный файл подписи, и на проверку нужно подавать оба файла — исходный документ и файл подписи.
Расширение файла открепленной подписи задаёт программа, которой подписывали, или требования площадки-получателя. В параметрах КриптоАРМ ГОСТ доступны пять вариантов: sig, p7s, sgn, sign и bin. Внутри это один и тот же контейнер CMS по стандарту PKCS#7, различается только имя. Поэтому переименование p7s в sig содержимое не портит, но делать это стоит только тогда, когда получатель прямо требует конкретное расширение.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
В практике Добыто чаще всего спотыкаются не на формате, а на комплектности: получателю отправляют документ без парного файла подписи или наоборот. Если контрагент прислал только файл подписи, документ придётся запрашивать отдельно, восстановить его из подписи нельзя.
Мария Ж, юрист со стажем более 20 лет: «Копию ключа и копию подписи путают постоянно. Файл p7s или sig, который лежит рядом с документом, копируется свободно и должен уходить получателю вместе с исходным файлом. Подписать им новый документ невозможно: подпись формирует закрытый ключ, а он остаётся на токене. Получили от контрагента один файл из пары — запрашивайте второй, а не пытайтесь проверить подпись в одиночку.»
Та же логика работает с электронной почтой: письмо, подписанное по стандарту S/MIME, несёт подпись внутри самого сообщения, а вложения подписываются и шифруются отдельно. Копия такого письма остаётся проверяемой, копия ключа для этого не нужна.
Проверьте подпись на своём документе онлайн
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Как убедиться, что ключ на вашем токене неэкспортируемый
Диагностика занимает несколько минут и не требует ничего, кроме уже установленного криптопровайдера и панели управления носителем. Она отвечает на два вопроса: какой у вас тип ключа и есть ли вообще смысл искать способ копирования.
Как проверить тип ключа и подготовить рабочее место: пошаговая инструкция
- Шаг 1. Определите модель носителя визуально или по документам на выдачу подписи и установите драйвер именно для неё: Рутокен, JaCarta или eSmart. Без драйвера токен не будет виден криптопровайдеру.
- Шаг 2. Установите КриптоПро CSP версии 5.0 R2 сборки 12000 или выше и плагин КриптоПро ЭЦП Browser Plug-in, затем включите расширение плагина в браузере и проверьте его работу на странице загрузки.
- Шаг 3. Установите корневой сертификат Минцифры России в хранилище доверенных корневых центров сертификации, а корневой сертификат УЦ ФНС России — в промежуточные центры сертификации. Без этой пары подпись будет формироваться, но проверка выдаст разрыв цепочки доверия.
- Шаг 4. Откройте панель управления носителем, вкладку с сертификатами, и посмотрите отметку о ключевой паре. Признак «неэкспортируемая» означает, что копия невозможна и дальше нужно выбирать сценарий из следующего раздела.
- Шаг 5. В КриптоПро CSP на вкладке «Сервис» нажмите «Просмотреть сертификаты в контейнере», выберите контейнер на токене и установите личный сертификат в хранилище компьютера. Именно этот шаг делает подпись доступной браузеру и учётным программам.
- Шаг 6. Зарегистрируйте сертификат в сервисе ФНС и получите код абонента — он понадобится при формировании транспортного контейнера с отчётностью.
Шаг 5 из инструкции повторяется на любом числе рабочих мест. Ставить сертификат из контейнера на второй и третий компьютер закон и регламент не запрещают: копируется открытая часть, закрытый ключ по-прежнему считывается только с подключённого токена.
Полезно знать: в рамках проекта удостоверяющего центра ФНС России лицензия на КриптоПро CSP вшивается внутрь сертификата и действует ровно столько, сколько действует сам сертификат. Отдельно устанавливать лицензию на компьютере для работы с этим ключом не нужно.
Образцы документов по электронной подписи для предпринимателя
Комплект закрывает выпуск, передачу и прекращение действия сертификата; начните с инструкции по установке, если рабочее место ещё не настроено.
| Документ | Скачать |
|---|---|
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Реестр выданных токенов | Скачать |
Пять законных сценариев вместо копии подписи
За запросом на копию обычно стоит одна из трёх задач: подписать из дома, отдать отчётность бухгалтеру, оставить подпись работающей на время отъезда. Каждая решается своим механизмом.
Первый сценарий — перенос токена. Носитель мобилен, ключ работает на любом компьютере с установленным криптопровайдером и корневыми сертификатами. Второй — второй сертификат на то же лицо. Закон не запрещает иметь одновременно КЭП индивидуального предпринимателя от ФНС на токене и сертификат физического лица, полученный в аккредитованном удостоверяющем центре и записанный на другой носитель. Третий — машиночитаемая доверенность на сотрудника или бухгалтера. Четвёртый — выпуск подписи в приложении «Госключ», где закрытая часть хранится на телефоне. Пятый — подписи внутри системы КЭДО для кадровых документов, где токен не требуется вовсе.
Машиночитаемая доверенность существует в виде XML-файла, который читают алгоритмы информационной системы получателя. Данные МЧД включают сведения о доверителе, о представителе, срок и перечень полномочий по кодам из классификатора, размещённого в Единой системе нормативной и справочной информации. Каждое полномочие имеет код, дату и уникальный идентификационный номер, и именно код читает информационная система получателя. Организация может направить свой перечень полномочий в Минцифры: на рассмотрение отводится 10 дней, при положительном решении на присвоение кодов и включение в классификатор — три рабочих дня.
Создать доверенность для налоговых действий можно в сервисе «Создание и проверка доверенности в электронной форме» на сайте ФНС: сервис формирует XML-файл, который вы скачиваете и подписываете своей КЭП. Ограничение сервиса в том, что созданная в нём доверенность рассчитана на взаимодействие с налоговыми органами. Для доверенностей от юридического лица с филиалами и представительствами действует общее правило: доверителем выступает руководитель, а не руководитель подразделения, и передоверие оформляется через нотариуса. Порядок получения самой КЭП и требования к личному присутствию описаны на странице Удостоверяющего центра ФНС России, там же публикуются предупреждения о схемах «подпись без визита в инспекцию».
Мария Ж, соучредитель сервиса КЭДО Добыто: «Две действующие подписи на одно лицо законом не запрещены: КЭП индивидуального предпринимателя от ФНС на токене и отдельный сертификат физического лица на другом носителе спокойно живут параллельно. Для бухгалтера на аутсорсе это единственный рабочий путь: он получает свой сертификат, вы своей КЭП подписываете машиночитаемую доверенность. Передача токена постороннему такую задачу не решает и переносит на вас ответственность за всё, что им подпишут.»
Мы закладываем выпуск сертификата бухгалтера и оформление МЧД до начала отчётного периода, а не в последнюю неделю перед сроком сдачи. Классификатор полномочий заполняется постепенно, и подобрать нужный код иногда получается не с первой попытки.
Лайфхак: один токен вмещает несколько ключевых контейнеров. В формате ЦСП на носитель с 128 КБ защищённой памяти помещается до 31 контейнера, а с учётом дополнительных расширений в сертификате — около 10 крупных. Отдельный носитель под каждый сертификат покупать не обязательно.
Сценарная таблица: что делать в вашей ситуации
Таблица собрана по обращениям предпринимателей, которые начинали с запроса «как скопировать ЭЦП из налоговой».
| Ситуация | Что критично | Рабочее решение |
|---|---|---|
| Два рабочих места: офис и дом | Драйвер носителя и корневые сертификаты на обеих машинах | Носить токен с собой, сертификат установить из контейнера на каждом компьютере |
| Отчётность сдаёт бухгалтер на аутсорсе | Запрет на передачу ключа третьим лицам | Сертификат физлица бухгалтеру плюс МЧД, подписанная вашей КЭП |
| Нужна подпись с телефона, токена под рукой нет | Подтверждённая учётная запись на Госуслугах | Отдельный сертификат в приложении «Госключ», закрытый ключ хранится на телефоне |
| Токен утрачен или вышел из строя | Срок подачи заявления о прекращении действия сертификата | Заявление в УЦ ФНС и выпуск нового сертификата на новый носитель |
| Забыт ПИН-код носителя | Число оставшихся попыток ввода | Разблокировка ПИН-кода пользователя администраторским ПИН в панели управления токеном |
| Кадровые документы подписывают работники | Вид подписи под конкретный документ | ПЭП и УНЭП внутри системы КЭДО, ваша КЭП для этого не используется |
Если ваша строка в таблице — вторая или шестая, копия ключа не понадобится вовсе: обе задачи закрываются чужими подписями, а не вашей.
Забыли ПИН, потеряли токен, сломался носитель: цена ошибки
ПИН-код пользователя блокируется после исчерпания попыток ввода. Разблокировать его можно администраторским ПИН-кодом в панели управления носителем; там же меняются оба кода и задаётся имя токена. Форматирование носителя стирает контейнеры вместе с ключом, и восстановить их нельзя — придётся выпускать сертификат заново.
Утрата носителя даёт основание считать конфиденциальность ключа нарушенной. Федеральный закон № 63-ФЗ «Об электронной подписи» обязывает участника электронного взаимодействия обеспечивать конфиденциальность ключа, не допускать его использования без своего согласия и уведомить выдавший сертификат удостоверяющий центр о нарушении конфиденциальности в срок не более одного рабочего дня со дня, когда стало известно о нарушении. Использовать ключ, если есть основания полагать, что конфиденциальность нарушена, закон запрещает.
Дальше работает механизм реестра: сведения о прекращении действия сертификата удостоверяющий центр вносит в реестр в течение 12 часов с момента наступления обстоятельств или с момента, когда центру стало известно о них. До внесения записи сертификат числится действующим, и всё, что им подпишут, будет проверяться как подписанное вами.
Внимание: удаление контейнера из реестра компьютера подпись не отзывает. Прекратить действие сертификата можно только заявлением в тот удостоверяющий центр, который его выдал: для КЭП индивидуального предпринимателя это удостоверяющий центр ФНС России.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Считать подпись отозванной после удаления контейнера с компьютера — частая ошибка. Сертификат живёт в реестре удостоверяющего центра, а не у вас на диске, и прекращается он по заявлению в тот центр, который его выдал. Пока заявление не подано, сертификат действует. Сразу после пропажи носителя подайте заявление, а уже потом занимайтесь выпуском нового.»
Основные потери при утрате носителя приходятся на простой, а не на покупку нового токена. Сертификат УЦ ФНС выдаётся на 15 месяцев, при первичном получении требуется личное присутствие в месте выдачи с паспортом и СНИЛС, а дистанционное продление через личный кабинет налогоплательщика работает только при исправном прежнем носителе и неизменных данных владельца. Пока сертификат перевыпускается, отчётность и подписание в государственных системах стоят. В практике Добыто заявление на прекращение действия сертификата оформляют в тот же день, когда обнаружили пропажу носителя, и параллельно запускают выпуск нового.
Отдельная строка расходов — попытка обойти запрет. Утилиты, которые обещают снять флаг неэкспортируемости, в лучшем случае не сработают, в худшем повредят контейнер на единственном носителе. Ключ при этом всё равно считается скомпрометированным, если он проходил через сторонний софт.
Когда копия подписи вам не нужна вообще
Часть запросов на копирование снимается пересмотром задачи. Если вы подписываете документы только в одном месте и с одного компьютера, вопрос копии не возникает: токен переносится вместе с вами. Если подпись нужна работникам, ваша КЭП для этого не используется в принципе.
Кадровые документы работники подписывают собственной подписью. Для большинства из них достаточно ПЭП или УНЭП, которые выпускаются внутри системы КЭДО и не требуют ни токена, ни визита в удостоверяющий центр. Четыре документа закон оставляет за рамками КЭДО: приказ об увольнении, акт о несчастном случае на производстве, документы об инструктаже по охране труда и бумажную трудовую книжку. Проверьте свой набор документов по этому перечню до того, как начнёте искать техническое решение.
Мария Ж, HR-эксперт с 13-летним стажем: «Предпринимателю с наёмными работниками копия собственной КЭП чаще всего не нужна: кадровые документы подписывает работник своей подписью, а не вы за него. Проверьте, какие документы у вас вообще нельзя перевести в электронный вид, и только потом считайте, сколько подписей и каких видов вам нужно. Обычно после такой ревизии задача копирования исчезает сама.»
Не подходит этот путь в двух случаях. Первый — вам нужна подпись именно от имени индивидуального предпринимателя в государственной системе, которая принимает только УКЭП; здесь ни ПЭП, ни УНЭП не заменят КЭП от ФНС. Второй — вы работаете с ЕГАИС как производитель или поставщик алкоголя: там требуется формат ключей PKCS#11, и подобрать носитель придётся под это требование, а не под удобство переноса. В сервисе Добыто подписи для работников выпускаются внутри системы, но задачу выпуска КЭП предпринимателя это не заменяет.
Стоимость подключения электронных подписей и КЭДО
Стоимость зависит от численности сотрудников, набора видов подписи и потребности в интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | 12 месяцев |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | 1 день |
| УКЭП через партнёров-удостоверяющих центров | по запросу | по запросу |
Итоговая сумма складывается из численности подключаемых сотрудников и выбранного тарифа, а переход между тарифами пересчитывается пропорционально оставшемуся периоду. Актуальный состав тарифов и условия минимальной оплаты опубликованы на странице тарифов ДОБЫТО КЭДО.
Расходы на КЭП индивидуального предпринимателя в эту таблицу не входят: сертификат выдаёт удостоверяющий центр ФНС, платить нужно только за сертифицированный носитель.
Выводы
Ключ квалифицированной подписи из инспекции скопировать нельзя: запрет закреплён регламентом удостоверяющего центра и зафиксирован в самом контейнере. Открытая часть — сертификат и файл подписи p7s или sig — копируется свободно, но подписывать ими новые документы невозможно. Задачи, ради которых обычно ищут копию, закрываются переносом токена, вторым сертификатом с машиночитаемой доверенностью, подписью в «Госключе» или подписями внутри системы КЭДО. При утрате носителя первым действием идёт заявление о прекращении действия сертификата, а не поиск способа восстановления.
Мы в Добыто разбираем такие ситуации на стороне работодателя каждый день: подбираем вид подписи под конкретный документ, настраиваем маршруты подписания и переводим кадровый документооборот в электронный вид без лишних токенов у сотрудников.
Частые вопросы
Можно ли скопировать сертификат на второй компьютер, если ключ не копируется
Да. Сертификат — это открытая часть, файл с расширением .cer, его можно установить на любое число компьютеров и передать контрагенту. Ставится он через КриптоПро CSP: вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выбор контейнера на токене и установка в личное хранилище. Подписать документ на этом компьютере всё равно получится только при подключённом токене.
Сколько сертификатов помещается на один токен
Зависит от формата ключей и объёма памяти носителя. На носителе со 128 КБ защищённой памяти в формате ЦСП размещается до 31 контейнера. Если удостоверяющий центр записал в сертификат дополнительные расширения и цепочки, один контейнер может занимать порядка 12 КБ, и реально помещается около 10 таких сертификатов.
Можно ли одновременно иметь КЭП от ФНС и сертификат физлица от коммерческого удостоверяющего центра
Можно, закон это не запрещает. Одна подпись может быть записана на токен, другая — в реестр компьютера или на второй носитель, они не конфликтуют. При подписании с машиночитаемой доверенностью используйте тот сертификат, данные которого указаны в самой доверенности: иначе проверка полномочий по СНИЛС и ФИО не пройдёт.
Нужен ли КриптоПро CSP, если у меня Рутокен ЭЦП 3.0 со встроенной криптографией
Да, если этого требует информационная система. Встроенное криптоядро токена не заменяет программный криптопровайдер: КриптоПро CSP устанавливается на компьютер отдельно, и для него нужна лицензия. Для ключей, выданных удостоверяющим центром ФНС, лицензия вшита в сертификат и действует одновременно с ним.
Как понять, какой формат файла подписи требует площадка: p7s, sig или sgn
Формат задаёт получатель, а расширение выбирается в настройках программы подписания. В КриптоАРМ ГОСТ доступны sig, p7s, sgn, sign и bin, содержимое при этом одинаковое — контейнер CMS по стандарту PKCS#7. Если площадка отклоняет файл, сначала проверьте требование к расширению в её регламенте, а уже потом переподписывайте документ.
Что делать, если подпись нужна на компьютере без прав администратора
Устанавливать полноценный криптопровайдер в этом случае не выйдет. Рабочий вариант — облегчённый криптопровайдер, который реализует функции провайдера и браузерного плагина одновременно и не требует прав администратора, либо подпись через мобильное приложение «Госключ», где закрытая часть ключа хранится на телефоне.
Помогает ли усовершенствованная подпись, если срок сертификата уже истёк
Помогает подтвердить момент подписания. Усовершенствованный формат добавляет к подписи штамп доверенной службы времени и ответы о статусе сертификата, поэтому после окончания срока действия сертификата остаётся доказательство, что на момент подписания он действовал и не был отозван. Службы штампов времени есть у налоговой и у удостоверяющих центров.
