Можно ли подписать папку с документами электронной подписью

Подписать папку с документами электронной подписью напрямую нельзя — подпись накладывается на файл, а папка файлом не является. Решение простое: папку упаковывают в один архив (ZIP или RAR), и вот этот архив уже подписывают как обычный файл. Разберём, чем отличается подпись присоединённая от отсоединённой, какие программы справляются с задачей, что происходит с юридической значимостью пачки документов и как потом всё это проверить. Материал входит в большой разбор про массовое подписание документов ЭЦП, где описаны все способы заверить сразу несколько файлов.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Можно ли подписать папку электронной подписью напрямую

Нет. И тут надо сразу разобраться, почему. Электронная подпись по 63-ФЗ — это, если очень грубо, криптографическое преобразование над конкретным набором байт. Программа берёт содержимое файла, прогоняет через хеш-функцию, шифрует закрытым ключом — получается подпись, привязанная именно к этому набору данных. Папка же байтами не является. Это запись в файловой системе, контейнер, ссылка на список файлов внутри. Подписывать там, по сути, нечего.

Поэтому когда человек говорит «мне надо подписать папку», он на самом деле имеет в виду «мне надо подписать содержимое этой папки». А это уже другая задача, и у неё два пути. Либо подписывать каждый файл по отдельности — и тогда у вас на выходе будет столько подписей, сколько файлов. Либо собрать всё в один архив и подписать его целиком — одна подпись на всё.

Второй путь — это и есть ответ на вопрос из заголовка. Папку запаковали в ZIP, получили один файл, его и заверили. Архив — тот же файл, набор байт, криптопровайдеру всё равно, что внутри: docx, картинки, таблица или вложенные подпапки. Он видит один объект и накладывает на него одну подпись.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Самая частая путаница у людей — они думают, что ‘серт’ умеет подписать структуру каталогов. Не умеет. Закидываете весь ворох документов в один зип, и вот этот зип уже подписываете как единый файл. По юридике это нормально, главное — чтобы получатель понимал, что подпись стоит на архиве целиком, а не на отдельных файлах внутри.»

Присоединённая и отсоединённая подпись архива — в чём разница

Когда вы подписываете архив, программа спросит, какой тип подписи делать. От ответа зависит, что окажется на выходе и как потом проверять.

Присоединённая подпись. Создаётся один новый файл, внутри которого лежат и сам архив, и подпись к нему. Расширение обычно .sig. Удобно тем, что отдать получателю надо только один файл — всё в нём. Минус — чтобы достать содержимое архива обратно, сначала надо снять подпись через криптопровайдер. То есть просто открыть .sig двойным кликом и распаковать не выйдет.

Отсоединённая подпись (её ещё называют открепленной). Здесь исходный архив остаётся как был, а подпись складывается в отдельный маленький файл рядом — формат .sig, .sgn, .p7s или .bin. Получателю надо передавать оба файла: и сам ZIP, и файл подписи. Зато архив никак не меняется, его можно открыть и распаковать обычным архиватором без всякой крипты, а подпись проверить отдельно.

Для проверки отсоединённой подписи нужны оба файла — и исходный архив, и файл подписи. Потеряли файл подписи — проверять нечего. Потеряли архив — то же самое. Так что если выбрали открепленную, передавайте всегда пару.

Что выбирать? Зависит от того, куда несёте документы. Многие информационные системы и торговые площадки жёстко требуют отсоединённую подпись с конкретным расширением — например, .sig с сохранением исходного имени файла. Это надо смотреть в требованиях конкретной площадки. Если же вы просто отправляете архив контрагенту по почте и хотите, чтобы он одним файлом всё получил, — берите присоединённую.

Мария Ж, судебный эксперт по трудовому праву:
«В судах я насмотрелась на ситуации, когда сторона приносит архив, а файл подписи к нему — потеряла. И всё, доказать, что архив подписан, уже не получается отсоединённую подпись без оригинального файла проверить физически невозможно. Поэтому я всегда говорю: храните закрытку и пару ‘файл плюс подпись’ вместе, в одной папке, а лучше ещё и в зеркальной копии.»

Какой подписью подписывать архив: ПЭП, НЭП или УКЭП

Тип файла на выбор вида подписи не влияет — архив подписывается любой из трёх. А вот юридическая значимость зависит целиком от того, какой подписью вы заверили.

УКЭП — усиленная квалифицированная. По 63-ФЗ приравнивается к собственноручной подписи без дополнительных соглашений. Если архив содержит документы, которые должны иметь полную юридическую силу — договоры, отчётность, что-то для госорганов — подписывайте УКЭП. Её формируют через сертифицированный криптопровайдер (тот же КриптоПро CSP) и ключ, который чаще всего лежит на токене — на «флешке» вроде Рутокена или JaCarta.

НЭП — усиленная неквалифицированная. Подтверждает авторство и неизменность после подписания, но для приравнивания к собственноручной нужно соглашение между сторонами. Для внутреннего обмена внутри компании или между знакомыми контрагентами с заключённым соглашением — вполне рабочий вариант.

ПЭП — простая электронная подпись. Логин-пароль, СМС-код, «одноразка». Юридическая сила минимальна, для подписания архива с важными документами не годится. Хотя для совсем бытовых задач кто-то и так делает.

Нюанс, который многие упускают: при подписании архива УКЭП в формате CAdES можно выбрать стандарт с меткой времени — CAdES-T, CAdES-X Long Type 1 или CAdES-A. Это нужно, если документы будут храниться долго и важно потом доказать, что подпись была действительна на момент подписания, даже когда сертификат давно протух. Подробнее о том, как сформировать отсоединённую подпись в КриптоПро с метками времени, стоит почитать отдельно — тема глубокая.

Как подписать ZIP или RAR архив электронной подписью

Алгоритм одинаковый почти для всех программ. Сначала собираете нужные документы в одну папку, потом эту папку архивируете — правый клик, «Добавить в архив», получаете один ZIP или RAR. И вот его уже подписываете.

В сервисе Добыто мы постоянно сталкиваемся с тем, что люди пытаются перетащить в форму подписания именно папку, а не файл, и удивляются, почему не работает. Объясняем каждый раз одно и то же: упакуйте сначала. После архивации всё проходит без затыков.

Как подписать архив электронной подписью: пошаговая инструкция

Дам по программам конкретику, потому что инструменты ведут себя по-разному.

КриптоАРМ. Самый ходовой инструмент для подписания файлов. Кликаете правой кнопкой по архиву, «КриптоАРМ» — «Подписать», дальше мастер. В нём есть отдельная галка «включить архивирование», чтобы результат подписи сам помещался в ZIP. Подписать можно файл любого формата и размера. Есть и пакетный режим — когда надо подписать сразу пачку файлов, для каждого создаётся отдельный пакет с исходником и подписью.

КриптоПро CSP. Через него подписывают программно или через интерфейс. На форуме разработчика прямо отвечают: ZIP и RAR подписываются как обычные файлы, желательно усиленной подписью. Никаких ограничений на тип архива нет.

ViPNet CryptoFile. Добавляете файл в список, выбираете сертификат, ставите флаг открепленной подписи, если нужен отдельный .sig. Результат складывается в ту же папку, где лежит исходный архив.

Образцы документов по электронной подписи

Подписать каждый файл отдельно или весь архив целиком

Вопрос не такой простой, как кажется. От ответа зависит и трудоёмкость, и юридическая значимость, и то, как потом этим пользоваться.

Подпись архива целиком — одна подпись на всё. Быстро, удобно, один файл. Но есть подвох: подпись подтверждает целостность архива как единого объекта. Достать один документ из архива и доказать, что вот именно он подписан, — не получится. Подпись стоит на пачке. Если кто-то распакует архив и возьмёт оттуда один договор, подпись на этот отдельный договор уже не распространяется.

Подпись каждого файла отдельно — на выходе у каждого документа своя подпись. Дольше, файлов больше, но зато каждый документ юридически самостоятелен. Его можно вынуть, переслать, использовать отдельно — подпись при нём. Для кадровых документов, для договоров, которые потом фигурируют по отдельности, это правильнее.

Грубо говоря: если документы всегда ходят вместе и как комплект (например, пакет отчётности за период) — архивируйте и подписывайте целиком. Если каждый документ живёт своей жизнью — подписывайте поштучно. В сервисе Добыто для кадрового документооборота мы по умолчанию заверяем каждый документ отдельной подписью, потому что трудовой договор, приказ, согласие — это самостоятельные единицы, и каждая должна быть подписана сама по себе.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Бывает, заказчик хочет ‘скопом’ подписать сотню кадровых документов одним архивом, чтобы быстрее. Я отговариваю. Потому что потом при проверке ГИТ или в суде попросят конкретный приказ, а он внутри подписанного зипа болтается без собственной подписи. Каждая ‘бумажечка’, которая может всплыть отдельно, должна нести свою подпись. Архивом подписывают то, что и хранится, и используется только пачкой.»

Юридическая значимость и долговременное хранение подписанного архива

Подписанный архив юридически значим ровно настолько, насколько значима подпись на нём. УКЭП по 63-ФЗ — сила собственноручной. Но есть отдельная история — что будет с этой подписью через 5, 10, 50 лет.

Сертификат подписи действует ограниченный срок — сейчас обычно год-полтора. Когда он истечёт, проверить, что подпись была действительна на момент подписания, обычной проверкой уже не выйдет. Для документов с долгим сроком хранения (а кадровые и финансовые хранятся годами, иногда до 50 лет) это проблема.

Решается метками времени и усовершенствованными форматами подписи. Когда срок жизни криптоалгоритмов подходит к концу, поверх старой подписи накладывают новую — этот процесс называют «ухаживанием за подписью», а саму надстройку — «архивариусом». Сверху ещё метка времени, потом ещё одна, и так до следующей смены поколения алгоритмов. Так подпись доживает до нужного срока. Архивная метка времени объединяет и заверяет предыдущие метки, и это позволяет проверять подпись даже после истечения сертификата.

По хранению самих электронных архивов — тут работает 125-ФЗ «Об архивном деле» и приказ Росархива от 15 июня 2020 года с типовыми требованиями к системам хранения электронных документов. Понятия «электронный документ» в законе об архивном деле как такового нет, поэтому при организации электронного архива ориентируются на правила хранения и на ГОСТ Р 57762-2017 о долговременной сохранности. Если коротко: подписали архив — думайте сразу, как обеспечить проверяемость подписи на весь срок хранения, иначе через годы получите файл, который технически не подтвердить.

Мария Ж, юрист со стажем более 20 лет:
«Самая частая ‘грабля’ с архивами — подписали УКЭП, положили на диск и забыли. Через три года сертификат протух, метки времени никто не ставил, и доказать действительность подписи нечем. Если документы в архиве долгоиграющие — сразу закладывайте усовершенствованный формат с метками. Это не лишняя крипта, это страховка на годы вперёд.»

Как проверить подпись на архиве

Проверка зависит от того, какую подпись делали. Присоединённую проверяют по одному файлу .sig — программа сама достанет из него и архив, и подпись, сверит. Отсоединённую — загружают пару: исходный архив плюс файл подписи, проверка идёт автоматически.

Где проверять. Локально — через КриптоАРМ, КриптоПро, ViPNet: загружаете файл (или пару файлов) в мастер проверки, программа показывает результат — валидна подпись или нет, чей сертификат, когда подписано. Онлайн — через портал Госуслуг, там есть сервис проверки электронной подписи документа, куда можно загрузить файл и файл подписи. Это удобный способ проверить без установки софта — проверка электронной подписи на Госуслугах работает с отсоединёнными подписями.

Важный момент при проверке архива: убедитесь, что проверяете подпись именно на архиве, а не ждёте, что система проверит подписи внутри него. Если внутри ZIP лежат отдельно подписанные файлы — их надо проверять по отдельности, распаковав. А подпись на самом архиве — это про целостность всего ZIP.

Проверка электронной подписи онлайн — сервис Добыто

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Ошибки при подписании папки с документами

Собрала частые промахи, на которые натыкаются и новички, и те, кто вроде бы опытный.

Попытка подписать папку напрямую. Человек тащит папку в форму подписания и не понимает, почему не работает. Делается ради экономии шага — лень архивировать. Цена ошибки — потерянное время и нервы, пока не дойдёт, что папку надо сначала упаковать в один файл.

Потеря файла отсоединённой подписи. Сделали открепленную подпись, передали или сохранили только архив, а файл .sig куда-то делся. Так выходит, когда не понимают, что открепленная подпись — это всегда два файла. Цена ошибки — подпись не проверить вообще, доказать подписание невозможно. Документ де-факто становится неподписанным.

Не тот формат под площадку. Система требует отсоединённую с расширением .pdf.sig, а сделали присоединённую .sig. Делают, потому что не читают требования конкретной системы. Цена — документ отклоняют, переделываете, теряете время, иногда срываете сроки подачи.

Подписали архивом то, что должно подписываться поштучно. Загнали кадровые документы в один зип ради скорости. Цена всплывает позже — при проверке или споре, когда нужен отдельный документ с собственной подписью, а его нет. Переподписывать задним числом уже поздно.

Забыли про долговременное хранение. Подписали УКЭП без меток времени, документ лежит годами, сертификат истёк. Цена — через несколько лет подпись технически не подтверждается, юридическая значимость под вопросом.

Стоимость подписания и хранения электронных документов в Добыто

Если подписание архивов — разовая задача, хватит программы для подписи и сертификата. Но когда документооборот постоянный и его надо вести системно, с хранением и проверками, считают уже по тарифам сервиса. Стоимость зависит от численности сотрудников, выбранного тарифа и набора подключаемых функций — подписей, архива, интеграций.

Итоговая сумма складывается из численности персонала, выбранного тарифа и подключаемого электронного архива для долговременного хранения подписанных документов — актуальные тарифы сервиса Добыто помогут сориентироваться под конкретную компанию.

Выводы: подписание папки с документами электронной подписью

Папку как объект файловой системы подписать нельзя — подпись накладывается на файл. Чтобы заверить содержимое папки, её упаковывают в один архив ZIP или RAR и подписывают этот архив как обычный файл. Подпись бывает присоединённая (всё в одном .sig) и отсоединённая (архив плюс отдельный файл подписи .sig, .sgn, .p7s). Для отсоединённой проверки нужны оба файла — и архив, и подпись, потеря одного делает проверку невозможной.

Юридическая значимость определяется видом подписи: для документов с полной силой нужна УКЭП по 63-ФЗ. Если документы внутри архива должны использоваться по отдельности — подписывайте каждый файл своей подписью, а не пачку целиком: подпись на архиве подтверждает целостность всего пакета, но не отдельного документа внутри. Перед подписанием уточняйте требования конкретной площадки к формату и расширению файла подписи.

Для документов с долгим сроком хранения сразу закладывайте усовершенствованный формат подписи с метками времени — CAdES-T, CAdES-X Long Type 1 или CAdES-A. Иначе после истечения сертификата подпись технически не подтвердить. Хранение электронных архивов регулируется 125-ФЗ и приказом Росархива от 15 июня 2020 года, проверять подпись можно локально или через портал Госуслуг.

Часто задаваемые вопросы