КриптоПро DSS: проверка электронной подписи онлайн в 2026 году

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Проверка электронной подписи через КриптоПро DSS онлайн — удобный способ убедиться в подлинности и целостности подписанного документа без установки крипто-провайдера на каждое рабочее место. Сервис работает в браузере, принимает все актуальные форматы подписи (CAdES-BES, CAdES-T, CAdES-X Long Type 1, CAdES-A) и формирует протокол проверки в PDF, который можно приложить к делу или отправить контрагенту. Разберём, как пользоваться публичным веб-интерфейсом DSS, как подключить корпоративный сервис проверки в свой контур и что делать, если подпись не проходит верификацию. Это часть большого разбора про проверку электронной подписи, где описаны все доступные способы верификации — от Госуслуг до настольного КриптоАРМ.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое КриптоПро DSS и зачем он нужен

КриптоПро DSS (Distributed Signature Service) — серверная система электронной подписи разработки компании КриптоПро. Под одним названием объединены три вещи: центральный сервер, который выполняет криптографические операции; защищённое хранилище ключей КриптоПро HSM; клиентские модули для веб-интерфейса и мобильного приложения myDSS. В новом поколении продукт получил название «КриптоКЛЮЧ», но в большинстве систем и документации до 2026 года используется привычное обозначение DSS.

В отличие от классического КриптоПро CSP, который ставится на каждый компьютер и работает с локальным токеном, DSS реализует распределённую подпись. Закрытый ключ хранится не у пользователя, а на защищённом сервере организации или у оператора электронной подписи. Подписывающий подтверждает операцию через мобильное приложение или одноразовый код. Отсюда и проверка — она тоже выполняется централизованно: вы загружаете подписанный файл в веб-интерфейс или отправляете запрос через REST API, сервер проверяет подпись и возвращает результат.

Мария Ж, специалист по цифровой подписи и КЭДО:
«DSS закрывает реальную боль крупных компаний: не нужно ставить флешку каждому бухгалтеру и юристу, не нужно гонять токены между офисами. Закрытка лежит в HSM, проверка идёт через веб-интерфейс. Кадровик загружает скопом пачку трудовых, нажимает кнопку — и через минуту получает протокол на каждый документ. Это совсем другие денюжки в инфраструктуре, но скорость работы вырастает кратно.»

Чем проверка через DSS отличается от КриптоПро CSP и Госуслуг

Способы проверки электронной подписи в России делятся на три большие группы. Локальная проверка через КриптоПро CSP и КриптоАРМ работает на компьютере пользователя — быстро, но требует установки софта и наличия лицензии. Проверка через портал Госуслуг (e-trust.gosuslugi.ru) — бесплатно, без установки, но с ограничениями: только открепленная и присоединённая КЭП, лимит 25 МБ на файл, нет автоматизации. Проверка через КриптоПро DSS — онлайн, без установки на клиент, поддерживает все форматы подписи и позволяет автоматизировать процесс через REST.

Ключевое отличие DSS от Госуслуг — набор форматов и глубина анализа. Госуслуги показывают валидность подписи и данные сертификата. DSS дополнительно умеет работать с усовершенствованными подписями (CAdES-T со штампом времени, CAdES-X Long Type 1 с доказательствами действительности на момент подписания, архивная CAdES-A), показывает цепочку доверия с указанием конкретных УЦ и формирует отчёт в формате PDF с визуализацией штампика подписи. Для долгосрочного архивного хранения это критично: подпись проверяется даже после истечения срока действия сертификата подписанта.

Ещё одна особенность DSS — возможность не просто проверить, но и улучшить подпись. Если документ был подписан простой CAdES-BES, через сервис её можно дотянуть до CAdES-X Long Type 1, добавив штамп доверенного времени и OCSP-ответ о действительности сертификата на момент подписания. Это та самая операция, которую профи между собой называют «ухаживание за подписью» — переподписание поверх старой при смене криптоалгоритмов или истечении срока. Для кадровых документов со сроком хранения 50 лет без такой процедуры подпись через 12-15 лет станет непроверяемой.

Какие форматы подписи проверяет КриптоПро DSS

Сервис принимает все распространённые в РФ форматы электронной подписи. Перечисляю с пояснением, что под каждым стоит:

1. CAdES-BES (или просто CMS) — базовый формат, содержит хеш документа и подпись подписанта. Самый распространённый, но не содержит доказательств действительности на момент подписания. Если сертификат подписанта истёк, проверка невозможна.
2. CAdES-T — подпись со штампом доверенного времени от службы TSP. Фиксирует момент подписания. Проверяется, пока действует сертификат TSP-службы.
3. CAdES-X Long Type 1 — подпись со штампом времени и доказательствами статуса сертификата на момент подписания (OCSP-ответ или CRL). Проверяется и после истечения сертификата подписанта.
4. CAdES-A — архивная подпись с архивной меткой времени поверх предыдущей. Используется для документов с длительным сроком хранения. Может многократно «подкачиваться» новыми архивными метками.
5. PAdES — подпись внутри PDF-документа. DSS проверяет встроенную в PDF подпись и показывает визуальный штамп.
6. XMLDSig / XAdES — подпись в XML-файле. Применяется в обмене с госорганами (ФНС, СФР, СМЭВ).

Загружать в сервис можно как сам подписанный документ с присоединённой подписью (формат p7s, p7m, sgn, или PDF), так и комплект «исходный документ + файл подписи» для отсоединённой подписи (популярный формат — .sig). При большом количестве файлов сервис принимает ZIP-архив, разбирает его и проверяет каждую подпись отдельно. Это удобно для пакетной верификации — например, когда кадровик получает архив с подписанными трудовыми договорами на 50 человек.

Образцы документов и инструкции по работе с ЭП

Как проверить ЭП через КриптоПро DSS онлайн: пошаговое руководство

Публичный веб-интерфейс проверки расположен на демо-стенде разработчика и доступен любому пользователю без регистрации. Для корпоративных задач сервис разворачивается в контуре заказчика и доступен сотрудникам по внутренней ссылке. Логика работы одинаковая.

Как проверить электронную подпись через КриптоПро DSS: пошаговая инструкция

Если работа идёт через REST API, последовательность та же, но файлы передаются POST-запросом, а ответ приходит в виде JSON или XML с полным набором атрибутов проверки. Это позволяет встроить верификацию подписи в свою кадровую или ERP-систему — кадровик нажимает кнопку «Принять документ», а на бэкенде автоматически запускается проверка через DSS, и если она прошла, документ уходит в архив.

Что показывает результат проверки и как его читать

Отчёт о проверке через DSS состоит из четырёх блоков. Первый — общий статус подписи (валидна / невалидна / требует уточнения). Второй — сведения о подписанте: ФИО физлица или наименование организации, ИНН, СНИЛС, должность (если зашита в сертификат). Третий — данные сертификата: серийный номер, период действия, наименование УЦ, отпечаток (thumbprint). Четвёртый — доказательства действительности: штамп времени с датой и временем подписания, OCSP-ответ от УЦ о статусе сертификата на момент подписи.

Нюанс в том, что общий статус «подпись валидна» не равен статусу «документ юридически безупречен». DSS проверяет криптографию, но не содержание. То есть если в трудовом договоре указана неправильная должность или дата приёма на работу, технически подпись будет валидной, но юридически документ может быть оспорен. Поэтому проверка в сервисе — это первый и обязательный, но не единственный этап работы с подписанным документом.

Мария Ж, судебный эксперт по трудовому праву:
«В судебных спорах протокол проверки из DSS принимается как доказательство наряду с заключением экспертизы. Но я всегда обращаю внимание клиентов: зелёный замочек на интерфейсе и зелёная галочка в протоколе — это про то, что подпись настоящая. Не про то, что сотрудника правильно оформили. Кадровик с протоколом приходит в суд — и тут уже разговор не о крипте, а о соблюдении ст. 67 ТК РФ. Это разные плоскости.»

В сервисе Добыто мы интегрировали проверку через DSS в общий маршрут согласования документа. Когда сотрудник подписывает заявление на отпуск или допник к трудовому, система автоматически прогоняет файл через сервис и записывает в карточку документа статус и протокол. Кадровик видит зелёный значок в реестре — можно работать. Жёлтый или красный — документ возвращается на переподписание. Так мы убираем человеческий фактор: никто не забывает проверить, ничего не теряется.

Подготовка к проверке: какие компоненты нужны

Главное преимущество DSS — на стороне клиента не нужен ни крипто-провайдер, ни плагин, ни токен. Достаточно браузера. Однако есть нюанс: сервис должен иметь доступ к корневым сертификатам УЦ, выпустивших проверяемые подписи, и к спискам отозванных сертификатов (CRL). При публичном развёртывании всё это уже настроено. При корпоративном развёртывании администратор системы загружает корневые сертификаты Минцифры, УЦ ФНС и аккредитованных удостоверяющих центров вручную или подписывается на их автоматическое обновление.

Если в компании используется собственный корпоративный УЦ — например, для выпуска УНЭП сотрудникам в рамках КЭДО — его корневой сертификат тоже добавляется в доверенные. Без этого подписи, выпущенные таким УЦ, будут показываться как «сертификат не доверен», даже если технически они валидны.

Для работы с архивными подписями (CAdES-A) сервис требует постоянного доступа к службе TSP (штампы времени) и службе OCSP. Эти сервисы поднимаются вместе с DSS или арендуются у внешнего провайдера. Стоимость аренды штампов времени — отдельная статья расходов, обычно тарифицируется по количеству штампов в месяц.

Типичные ошибки при проверке подписи через DSS

Большинство «непонятных» ошибок проверки сводятся к шести причинам. Перечисляю в порядке частоты:

1. Не построена цепочка доверия. На сервере не загружен корневой сертификат УЦ, который выпустил подпись. Решение: добавить корневой сертификат УЦ в доверенные. Для УЦ ФНС — скачать с сайта ФНС, для остальных — с сайта конкретного аккредитованного УЦ.
2. Сертификат отозван. Свежий CRL подгружен, и в нём указан сертификат подписанта. Проверка покажет «Сертификат отозван», и сделать с этим ничего нельзя — подпись недействительна с момента отзыва.
3. Сертификат истёк. Если подпись CAdES-BES (без штампа времени) и сертификат подписанта уже истёк, проверка не пройдёт — доказать, что на момент подписания серт был действителен, невозможно. Только усовершенствованные подписи (CAdES-T и выше) проверяются после истечения серта.
4. Документ изменён после подписания. Хеш файла не совпадает с тем, что зашит в подпись. Это критичная ошибка, она означает, что в файле что-то поменяли — даже одну букву или невидимый символ при пересохранении в Word.
5. Несоответствие алгоритмов. Подпись по ГОСТ-2001 (старый стандарт) проверяется на сервере, который умеет только ГОСТ-2012. Решение: установить старшую версию КриптоПро на сервере или попросить контрагента переподписать актуальной подписью. Старые сертификаты ГОСТ-2001 уже не выпускаются с 2019 года, но в архивах ещё попадаются.
6. Файл подписи повреждён. Передача через мессенджеры, конвертация форматов, копирование в обрезанные носители — .sig файл легко портится. Проверка покажет «Не удалось разобрать структуру подписи». Решение: запросить у отправителя оригинал файла подписи в ZIP-архиве.

В практике Добыто мы сталкиваемся с шестью этими ошибками в каждой второй сессии техподдержки. Чаще всего проблема в первом пункте — не загруженный корневой сертификат корпоративного УЦ. Это решается за 5 минут, но без подсказки администратор может неделю ломать голову, почему подпись не проходит.

Мария Ж, юрист со стажем более 20 лет:
«Самая частая ситуация — кадровик получает от контрагента документ с подписью, проверяет в DSS, видит жёлтый треугольник и пугается. А там просто не дотянулся CRL за пределы корпоративной сети, проксик режет. Документ нормальный, подпись валидная, серт действует. Но человек уже звонит юристу и трубит, что нас обманули. Поэтому в обучении HR-команды на КЭДО мы отдельный час уделяем разбору таких сценариев — чтобы зелёная галочка не превращалась в догму.»

Альтернативы DSS: где ещё проверить ЭП онлайн

DSS — не единственный сервис онлайн-проверки. Для разовой задачи разворачивать сервер избыточно, и есть смысл использовать готовые альтернативы:

Госуслуги (e-trust.gosuslugi.ru) — бесплатный сервис от Минцифры. Принимает открепленные и присоединённые подписи КЭП, лимит 25 МБ на файл, нет проверки PAdES (PDF-подписи), нет работы с архивными подписями CAdES-A. Подходит для разовой проверки одной подписи. Государственный сервис, в суде принимается без вопросов. Альтернативный домен — gosuslugi.ru/eds.

Контур.Крипто (crypto.kontur.ru) — сервис от компании СКБ Контур. Принимает основные форматы, есть пакетная проверка, требует регистрации. Бесплатно для физлиц, для юрлиц — в составе платных тарифов.

КриптоАРМ Server — корпоративная альтернатива DSS от компании «Цифровые технологии». Аналогичный функционал, развёртывается у себя, поставляется в виде Docker-образов. Включает Telegram-бот для проверки подписей сотрудниками. Включён в реестр отечественного ПО.

Sign-CSP-Tools — утилиты, которые работают локально и не требуют сервера, но требуют установки КриптоПро CSP. Альтернатива для небольших организаций без бюджета на DSS.

В этом ряду программы для подписания документов ЭЦП часто работают в связке с проверочными сервисами — подписание и верификация идут одним маршрутом.

Стоимость подключения проверки ЭП через КриптоПро DSS и сервис Добыто

Стоимость работы с DSS складывается из трёх частей: лицензии на серверный продукт КриптоПро DSS, лицензии на КриптоПро HSM (если используется аппаратное хранение ключей), стоимости штампов времени и OCSP. Для проверки подписи в составе КЭДО Добыто эта инфраструктура входит в тариф — заказчику не нужно отдельно покупать DSS и считать рабочие места.

Итоговая сумма зависит от формата поставки (облако или on-premise), численности сотрудников, набора подключаемых модулей и того, нужен ли отдельный TSP-сервис под архивное хранение. Чем больше штат — тем ниже цена за рабочее место. Актуальные тарифы сервиса Добыто помогут сориентироваться по стоимости и подобрать пакет под численность вашей компании.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Когда заказчик приходит и говорит «нам нужен DSS, посчитайте» — первое, что я спрашиваю: а сколько подписей в месяц? Если 200-300, в том числе входящих, разворачивать DSS экономически бессмысленно. Тариф КЭДО с готовой проверкой обойдётся в 3-4 раза дешевле, и кадровик не будет шариться по интерфейсу администратора крипто-сервера. А вот если у компании поток в 10000+ подписей и есть требования информбеза по on-premise — тогда DSS в своём контуре оправдан. Это как покупать грузовик: одни тягает, другому раз в месяц диван перевезти.»

Безопасность: что важно учесть при работе с DSS онлайн

Публичный демо-сервис — удобный инструмент, но для проверки чувствительных документов он не годится. Подписанный трудовой договор содержит персональные данные, и его загрузка на внешний сервис формально нарушает требования 152-ФЗ о персональных данных. Поэтому для регулярной работы с кадровыми документами развёртывают корпоративный DSS в защищённом контуре или используют готовые сервисы КЭДО, прошедшие сертификацию ФСТЭК и оформившие обработку ПД по 152-ФЗ.

Сервер DSS располагается в защищённой сетевой зоне — ДМЗ или внутренней сети — и доступ к нему ограничен по белому списку IP. Канал между клиентом и сервером шифруется по протоколу TLS с использованием отечественной криптографии (ГОСТ TLS). Логи всех операций проверки сохраняются и подлежат архивированию вместе с проверенными документами.

Дополнительный слой безопасности — двухфакторная аутентификация при входе в веб-интерфейс. Для администраторов и пользователей с расширенными правами (массовая проверка, переподписание, управление сертификатами) она обязательна. Для пользователей с правами «только проверка» — на усмотрение организации.

Выводы: что нужно знать о проверке ЭП через КриптоПро DSS

КриптоПро DSS — корпоративный сервис проверки и подписания электронных документов, который работает через веб-интерфейс и REST API без установки клиентского крипто-провайдера. Сервис принимает все актуальные форматы подписи (CAdES-BES, CAdES-T, CAdES-X Long Type 1, CAdES-A, PAdES, XAdES), формирует PDF-протокол проверки и встраивается в кадровые и ERP-системы для автоматизации верификации входящих документов. Альтернатива для разовых задач — бесплатный сервис на портале Госуслуг, для пакетной автоматизации — Контур.Крипто или КриптоАРМ Server.

Перед запуском проверки убедитесь, что на сервере DSS загружены корневые сертификаты всех УЦ, чьи подписи планируется проверять, настроен доступ к сервисам OCSP и TSP, корректно работает CRL-обновление. Большинство ошибок проверки связано не с реальной невалидностью подписи, а с неполной настройкой инфраструктуры. Для архивного хранения кадровых документов используйте усовершенствованные подписи CAdES-X Long Type 1 или CAdES-A — только они корректно проверяются после истечения сертификата подписанта.

Для компаний, которым нужна не серверная инфраструктура, а готовый процесс проверки в рамках КЭДО, разумнее подключить сервис, в котором верификация уже встроена в маршрут согласования документа. К 2026 году такой формат стал отраслевым стандартом — кадровик не лезет в крипто-сервер, не разбирается в форматах CAdES, не думает про штампы времени. Открыл документ, увидел зелёный значок — работаешь дальше.

Часто задаваемые вопросы