Настройка компьютера для работы с электронной подписью сводится к четырём обязательным компонентам: драйвер ключевого носителя, криптопровайдер КриптоПро CSP, корневые сертификаты Минцифры России и удостоверяющего центра, плагин КриптоПро ЭЦП Browser Plug-in вместе с расширением для браузера. Порядок жёсткий: сначала драйвер токена, затем СКЗИ, затем корневые сертификаты, и только после этого личный сертификат и плагин. Личный сертификат ставится прямо с носителя через вкладку «Сервис» в КриптоПро CSP, а сам токен должен оставаться в USB-порту всё время работы. Главное различие, от которого зависит объём работы: для квалифицированной подписи на токене нужен весь этот комплект и лицензия КриптоПро, а для подписания кадровых документов в КЭДО или через Госключ на компьютер не устанавливается ничего.
Разберём состав рабочего места покомпонентно, порядок установки по шагам и то, какая версия КриптоПро CSP нужна под конкретную задачу: отчётность в ФНС, электронные площадки, ЕГАИС или кадровые документы. Покажем, чем отличаются извлекаемые и неизвлекаемые ключи и почему выбор режима при генерации определяет, заработает ли ваш токен на чужом компьютере. Форматы файлов подписи p7s, sig и sgn, чек-лист диагностики, сценарная таблица, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Подпишите файл своей подписью прямо в браузере: если форма видит ваш сертификат, связка «носитель — КриптоПро — браузер» собрана правильно.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Из чего состоит рабочее место с электронной подписью
Комплект программного обеспечения на рабочем месте включает семь позиций: драйверы используемого ключевого носителя, СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, корневые сертификаты Минцифры России и удостоверяющего центра ФНС России, личный сертификат ключа электронной подписи, расширение крипто-плагина для вашего браузера и плагины конкретных информационных систем, если они требуются. Ни один из компонентов не заменяет другой: криптопровайдер без драйвера не увидит токен, а плагин без криптопровайдера не сможет выполнить ни одной операции.
| Компонент | Зачем нужен | Где брать | Признак, что встал корректно |
|---|---|---|---|
| Драйвер ключевого носителя | Компьютер распознаёт токен или смарт-карту | Сайт производителя носителя: Рутокен, JaCarta, eSmart | Панель управления носителя показывает подключённое устройство |
| КриптоПро CSP 5.0 R2 (сборка 12000 и выше) | Выполняет криптографические операции по ГОСТ | Сайт КриптоПро; для клиентов УЦ ФНС — страница эксперимента по безвозмездному предоставлению ПО | Вкладка «Общее» показывает версию, тип и срок действия лицензии |
| Корневой сертификат Минцифры России | Вершина цепочки доверия | Раздел с корневыми сертификатами на uc.nalog.ru/crt, файл guc_22.cert | Лежит в хранилище «Доверенные корневые центры сертификации» |
| Корневой сертификат УЦ ФНС России | Связывает ваш сертификат с корнем цепочки | Тот же раздел, файл CA_FNS_Russia_2022_01.cert | Лежит в хранилище «Промежуточные центры сертификации» |
| Личный сертификат | Идентифицирует подписанта | Ключевой носитель, выданный удостоверяющим центром | Виден в «Просмотреть сертификаты в контейнере» на вкладке «Сервис» |
| Плагин и расширение для браузера | Подписание на сайтах, порталах и торговых площадках | Сайт КриптоПро, каталог дополнений браузера | Страница проверки работы плагина показывает зелёные индикаторы |
Из таблицы видно, где чаще всего рвётся связка: два корневых сертификата ставятся в разные хранилища, и если оба положить в «Доверенные корневые», цепочка не выстроится, а подпись будет считаться недоверенной. Проверить это можно за минуту в разделе «Сертификаты» криптопровайдера.
Порядок установки: почему драйвер идёт первым
Установка начинается с определения типа носителя: визуально по корпусу или по документам, выданным вместе с ключом. От этого зависит, какой установочный пакет скачивать — для Рутокена, Рутокена ЭЦП 2.0, JaCarta или eSmart. Драйвер ставится в режиме по умолчанию, компьютер за время установки криптопровайдера перезагружается один-два раза, и после перезагрузки на рабочем столе появляется значок продолжения установки.
Как настроить компьютер для электронной подписи: пошаговая инструкция
- Шаг 1. Определите тип ключевого носителя и скачайте установочный пакет драйвера с сайта его производителя.
- Шаг 2. Установите драйвер в режиме по умолчанию и дождитесь завершения. Токен в этот момент лучше отключить от порта.
- Шаг 3. Установите КриптоПро CSP версии 5.0 R2 сборки 12000 или выше. Клиенты удостоверяющего центра ФНС получают дистрибутив вместе с плагином на странице эксперимента по безвозмездному предоставлению ПО.
- Шаг 4. Скачайте два корневых сертификата и установите их в разные хранилища: сертификат Минцифры России — в «Доверенные корневые центры сертификации», сертификат УЦ ФНС России — в «Промежуточные центры сертификации».
- Шаг 5. Вставьте токен, откройте КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», «Обзор», выберите контейнер и установите личный сертификат.
- Шаг 6. Установите КриптоПро ЭЦП Browser Plug-in и подтвердите включение расширения в браузере, а затем убедитесь в списке расширений, что оно действительно включено.
- Шаг 7. Проверьте работу плагина на демонстрационной странице производителя: индикаторы расширения, плагина и криптопровайдера должны быть зелёными.
- Шаг 8. Подпишите тестовый файл и проверьте подпись. Токен на всё время работы остаётся в USB-порту.
Факт: сертификаты соответствия на все три релиза линейки КриптоПро CSP 5.0 — R1, R2 и R3 — действуют до 1 мая 2027 года, а на четвёртую версию сертификат действовал до 15 января 2026 года. Единая лицензия на 5.0 подходит и для R2, и для R3, а при переходе с четвёртой версии покупается лицензия на обновление.
Важный нюанс из практики: «встроенная криптография на токене» не заменяет установленный КриптоПро CSP. Если информационная система требует именно этот криптопровайдер, его ставят на компьютер и вводят лицензию, даже если носитель умеет выполнять криптографию на борту.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, специалист по цифровой подписи и КЭДО: «Половина обращений «подпись не работает» закрывается проверкой двух хранилищ. Корневой сертификат Минцифры должен лежать в доверенных корневых центрах, сертификат удостоверяющего центра — в промежуточных. Если их поменять местами или установить только один, операционная система не построит цепочку и покажет, что сертификат недоверенный, хотя с самим ключом всё в порядке.»
Носитель ключа: пассивные и активные токены
Ключи на токене делятся на две категории. Программные, или извлекаемые, генерируются криптопровайдером, и на время операции закрытый ключ ненадолго попадает в оперативную память компьютера. Аппаратные, или неизвлекаемые, генерируются криптоядром внутри микроконтроллера токена и не покидают его память никогда, поэтому скопировать их нельзя в принципе. Для первого варианта подойдёт любой носитель, совместимый с КриптоПро CSP, для второго нужна модель с криптоядром.
Извлекаемые ключи дополнительно делятся на экспортируемые и неэкспортируемые: флаг устанавливается криптопровайдером при генерации или копировании контейнера. Удостоверяющий центр ФНС по регламенту выдаёт только неэкспортируемый контейнер, так что скопировать такой ключ на второй компьютер не получится — это решение центра, а не сбой на вашей стороне.
| Тип ключа | Где рождается ключ | Минимальная версия CSP | Ограничения |
|---|---|---|---|
| Извлекаемый экспортируемый | Программно, криптопровайдером | 4.0 | Контейнер копируется, работает на машинах со старыми версиями провайдера |
| Извлекаемый неэкспортируемый | Программно, с запретом копирования | 4.0 | Копирование контейнера запрещено; такой ключ выдаёт УЦ ФНС |
| Неизвлекаемый ФКН с защитой канала по SESPAKE | Криптоядро токена совместно с криптопровайдером | 5.0 R2 | Не работает с версией 4.0; нужен Рутокен ЭЦП 3.0 или Рутокен ЭЦП 2.0 3000 |
| Неизвлекаемый в формате PKCS#11 | Криптоядро токена | 5.0 R2 | Обязателен для производителей и поставщиков алкоголя, отчитывающихся через ЕГАИС |
Выбор режима делается один раз, в момент генерации контейнера, в выпадающем списке считывателя. Если ключом придётся пользоваться на нескольких рабочих местах и часть из них работает на четвёртой версии криптопровайдера, берите извлекаемый пассивный ключ: неизвлекаемый там просто не заработает.
Полезно знать: в 128 КБ защищённой памяти носителей линейки Рутокен ЭЦП 3.0 помещается до 31 контейнера в формате CSP. Один контейнер с большим сертификатом и дополнительными расширениями занимает до 12 КБ, поэтому реальное число ключей на одном токене может оказаться в разы меньше.
Мария Ж, юрист со стажем более 20 лет: «Перед покупкой носителя выясните не бренд, а сценарий работы. Для ЕГАИС подойдёт только ключ в формате PKCS#11 на модели с криптоядром, для отчётности в ФНС хватит неэкспортируемого контейнера, а для кадровых документов токен обычно вообще не нужен. Ошибка на этом шаге стоит перевыпуска сертификата, а не смены настроек.»
Браузер, плагин и вход на порталы
Плагин КриптоПро ЭЦП Browser Plug-in ставится отдельным установочным файлом, после чего браузер предлагает включить расширение. Установки мало: расширение нужно открыть в списке дополнений и убедиться, что оно активно, иначе портал не увидит ни одного сертификата. В версии КриптоПро CSP 5.0 R3 плагин уже встроен в дистрибутив и отдельно не скачивается, там же появилась поддержка TLS 1.3 с российской криптографией.
Если прав администратора на рабочем месте нет, задача решается облегчённым криптопровайдером КриптоПро CSP Lite: он одновременно реализует функции провайдера и браузерного плагина, не требует прав администратора и сводит настройку к минимуму. Набор поддерживаемых токенов и смарт-карт в нём настраивается под конкретный веб-ресурс. Для мобильных устройств пока доступны экспериментальные браузеры под Android: один поддерживает ГОСТ TLS и вход на Госуслуги, второй — работу с электронной подписью через плагин.
Отдельный инструмент для массовой настройки — КриптоПро Master. Он проходит установку и настройку провайдера и плагина по шагам, позволяет заранее задать параметры, установить браузер с плагином и добавить нужные сертификаты сайтов. В практике Добыто это единственный сценарий, где настройку сотен рабочих мест удаётся не превращать в ручную работу инженера.
Форматы подписи: p7s, sig, sgn и подписанное письмо
Расширение файла подписи выбирается в настройках приложения «Инструменты КриптоПро»: в списке доступны p7s, sig и sgn, а формат подписи при этом остаётся CAdES-BES. Содержимое контейнера от выбора расширения не меняется, меняется только имя файла, поэтому требование контрагента «пришлите p7s, а не sig» решается настройкой, а не переподписанием. Отдельный флажок «Создать отсоединённую подпись» определяет, получите вы один файл с вложенным документом или пару «документ плюс файл подписи».
Подписанное и зашифрованное письмо — отдельный сценарий, который обычный почтовый клиент не закрывает. В сертифицированном исполнении КриптоАРМ ГОСТ 3 есть встроенный почтовый клиент: подключение к серверам по IMAP, SMTP и POP3, защищённое соединение по ГОСТ, стандарт S/MIME с ГОСТ 2012 для подписи и ГОСТ 2015 для шифрования. Зашифрованные письма помечаются замком, а при отсутствии ключа расшифрования вместо текста показывается вложение S/MIME. Такой клиент ставят рядом с основным — для писем с персональными данными, коммерческой тайной и файлами МЧД.
Данные машиночитаемой доверенности прикрепляются к подписи отдельным файлом: программа формирует единый архив, где лежат подписанные документы и файл МЧД. Саму доверенность удобно создать на сайте ФНС с выбором полномочий, а затем подписать и отправить на регистрацию. Проверять статус доверенности нужно каждый раз при получении документа от представителя контрагента, а не однократно при первом обмене.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: лицензия КриптоПро, вшитая в сертификат УЦ ФНС, действует ровно столько же, сколько сам сертификат электронной подписи, и распространяется только на этот ключ. Как только вы попробуете подписать чужим ключом на том же компьютере, потребуется полноценная лицензия на криптопровайдер.
Как проверить, что рабочее место настроено
Диагностика идёт снизу вверх, от носителя к браузеру, и занимает несколько минут. Панель управления носителя должна видеть подключённый токен и показывать его тип. КриптоПро CSP на вкладке «Общее» должен показывать действующую лицензию, а на вкладке «Сервис» через «Просмотреть сертификаты в контейнере» — находить ваш контейнер. В разделе «Сертификаты» личный сертификат должен лежать в хранилище «Личное», а корневые — в доверенных корневых и промежуточных центрах.
Дальше проверяется браузерная часть. На демонстрационной странице производителя блок диагностики показывает состояние расширения, плагина и криптопровайдера с версиями компонентов, а ниже открывается выбор сертификата и создание тестовой подписи формата CAdES-BES. Готовый файл подписи стоит прогнать через сервис подтверждения подлинности электронной подписи на Госуслугах: там отдельно проверяются присоединённая и отсоединённая подпись, а также машиночитаемая доверенность вместе с сертификатом представителя.
Результат проверки в «Инструментах КриптоПро» показывает отпечаток сертификата, имя субъекта и время подписания. Если статус подписи отрицательный, а сам файл не менялся, причина почти всегда в цепочке доверия или в отозванном сертификате, а не в криптографии: программа отдельно выводит статус «сертификат отозван» и адреса списков отзыва.
Когда компьютер настраивать не нужно
Для кадровых документов рядовому сотруднику не нужны ни токен, ни криптопровайдер, ни плагин. По статье 22.3 ТК РФ работодатель ведёт кадровый электронный документооборот в своей системе, а работник подписывает документы простой или усиленной неквалифицированной подписью, которая выпускается внутри сервиса или в приложении Госключ по подтверждённой учётной записи Госуслуг. Установка на личный компьютер здесь не требуется вообще, а подписание идёт с телефона.
Не нужен отдельно настроенный компьютер и тем, кто подписывает разово: проверить чужую подпись или подписать один документ можно веб-сервисом, который не требует установки КриптоПро на вашу машину. Настройка рабочего места оправданна, когда подписание ежедневное, идёт через порталы с плагином или связано с квалифицированной подписью на аппаратном носителе.
Если вы работодатель и читаете этот раздел с мыслью, что настраивать сотни рабочих мест ради кадровых документов невозможно, то этого и не требуется: в сервисе Добыто подписи для сотрудников выпускаются внутри платформы, а подписание идёт из браузера и с телефона без установки криптопровайдера на устройство работника.
Что подготовить заранее и во что обходятся ошибки
До запуска установки полезно закрыть пять вопросов. Первый: какой у вас носитель и есть ли под него актуальный драйвер. Второй: какая версия криптопровайдера требуется вашей информационной системе — часть систем уже не работает со старыми версиями. Третий: есть ли лицензия и чем она подтверждается, вшита ли она в сертификат или куплена отдельно. Четвёртый: сохранены ли файлы сертификатов и данные доступа, выданные удостоверяющим центром. Пятый: нужны ли смежные компоненты — код абонента для отчётности в ФНС, программа «Налогоплательщик ЮЛ» для формирования транспортного контейнера, плагины конкретных площадок.
Лайфхак: сразу после получения ключа скопируйте файлы сертификатов с выданного носителя или из облака удостоверяющего центра в отдельную папку и храните её вместе с логином и паролем от личного кабинета. При переустановке системы это экономит повторный визит в удостоверяющий центр.
Важный нюанс из практики: контейнер, выданный удостоверяющим центром ФНС, всегда неэкспортируемый. Скопировать ключ на второй компьютер или сделать резервную копию не выйдет, поэтому потеря или форматирование токена означает не переустановку программ, а перевыпуск сертификата с новым визитом в удостоверяющий центр.
Вторая по частоте ошибка — несовпадение версии провайдера и типа ключа. Неизвлекаемый ключ, сгенерированный в режиме ФКН, на рабочем месте с четвёртой версией КриптоПро не заработает, и лечится это не настройкой, а перевыпуском ключа в другом режиме. Цена вопроса — сорванный срок подачи документов и повторное обращение в удостоверяющий центр.
| Сценарий работы | Что критично | Что вторично |
|---|---|---|
| Кадровые документы в КЭДО | Вид подписи по статье 22.3 ТК РФ и согласие работника | Версия криптопровайдера, модель токена |
| Отчётность в ФНС от юридического лица | Оба корневых сертификата, код абонента, программа «Налогоплательщик ЮЛ» | Формат ключа: хватит неэкспортируемого контейнера |
| Электронные площадки и порталы | Плагин, включённое расширение браузера, сайт в списке надёжных | Тип контейнера и способ хранения ключа |
| ЕГАИС у производителей и поставщиков алкоголя | Ключ формата PKCS#11 на модели с криптоядром и CSP 5.0 R2 и выше | Почтовый клиент и визуализация подписи |
| Переписка с конфиденциальными данными | Сертифицированное средство с S/MIME и шифрованием по ГОСТ | Расширение файла подписи |
Строки таблицы показывают, что универсальной настройки не существует: комплект под ЕГАИС избыточен для кадровика, а комплект под КЭДО не закроет торги. Определите свой сценарий до покупки носителя, а не после.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Перед раскаткой на всю компанию мы закладываем пилотную группу и на ней проверяем связку носитель — криптопровайдер — браузер. Это снимает основную часть ошибок настройки до того, как в поддержку придут все подразделения сразу. Заодно сразу видно, у кого на рабочем месте нет прав администратора и кому нужен облегчённый провайдер.»
Шаблоны и реестры для работы с электронной подписью
Начните с инструкции по установке: она закрывает базовый сценарий, остальные документы нужны, когда подписей и носителей становится больше одной.
| Документ | Скачать |
|---|---|
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Реестр выданных токенов | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
Реестр выданных токенов заменяет бумажный журнал учёта: в нём фиксируется, кому передан носитель, какой на нём сертификат и когда он истекает. В практике Добыто этот файл первым спрашивают, когда сотрудник увольняется, а его ключ остаётся действующим.
Стоимость подключения КЭДО и что входит в тарифы
Стоимость зависит от числа сотрудников и набора функций: подписи для работников входят в тариф, отдельно докупать их не нужно.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного набора функций: кастомные шаблоны, интеграция с 1С, электронный архив и приоритетная поддержка доступны начиная с тарифа «Бизнес». Действующие условия и состав каждого пакета опубликованы на странице тарифов ДОБЫТО КЭДО, там же указана минимальная оплата и правила перехода между тарифами.
Тариф меняется в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду оплаченного срока.
Выводы
Рабочее место для квалифицированной подписи собирается из драйвера носителя, криптопровайдера, двух корневых сертификатов в разных хранилищах, личного сертификата и плагина с расширением браузера. Версия криптопровайдера подбирается под тип ключа: неизвлекаемые ключи и формат PKCS#11 требуют КриптоПро CSP 5.0 R2 и выше, а извлекаемый пассивный ключ остаётся единственным вариантом там, где сохраняются рабочие места с четвёртой версией. Расширение файла подписи и вид подписи, присоединённая или отсоединённая, задаются настройками программы, а не свойствами сертификата.
Для кадровых документов вся эта конструкция избыточна: подпись сотрудника живёт в системе КЭДО или в мобильном приложении. Мы в Добыто выпускаем подписи работникам внутри платформы и настраиваем маршруты согласования так, чтобы отдел кадров не занимался установкой криптографии на чужие компьютеры.
Частые вопросы
Забыл пароль от контейнера или PIN-код токена — что делать?
PIN-код пользователя разблокируется в панели управления носителя PIN-кодом администратора, там же он меняется на новый. Если утерян и административный PIN, остаётся только форматирование токена: вместе с ним удаляются ключи и сертификаты, а сертификат придётся перевыпускать в удостоверяющем центре. Пароль от контейнера восстановлению не подлежит, поэтому его хранят вместе с файлами сертификатов, а не в памяти.
Можно ли скопировать подпись с токена на флешку или второй компьютер?
Зависит от флага, установленного при генерации. Экспортируемый извлекаемый контейнер копируется штатными средствами криптопровайдера. Неэкспортируемый контейнер, а именно такой выдаёт удостоверяющий центр ФНС, скопировать нельзя по регламенту центра. Неизвлекаемые ключи не копируются в принципе: закрытый ключ никогда не покидает память токена.
Чем p7s отличается от sig и sgn?
Это три варианта расширения для одного и того же файла подписи, они выбираются в настройках приложения «Инструменты КриптоПро» и не меняют содержимое контейнера, формат подписи остаётся CAdES-BES. Разница проявляется только на стороне принимающей системы: часть площадок и ведомств принимает файлы строго с одним расширением, и тогда его меняют в настройках перед подписанием.
Нужна ли отдельная подпись сотруднику филиала?
Филиал не является юридическим лицом, поэтому подпись и машиночитаемая доверенность оформляются от имени головной организации. Сотрудник филиала получает подпись физического лица, а полномочия подтверждает МЧД, подписанная квалифицированной подписью руководителя организации. Файл доверенности прикрепляется к подписи и передаётся вместе с документами, а её статус проверяется при каждом получении документа от представителя.
Работает ли электронная подпись на Linux и на мобильном устройстве?
Криптопровайдер поддерживает отечественные операционные системы, включая Astra Linux, а средства подписи выпускаются под Windows, Linux, macOS и мобильные платформы. На мобильных версиях набор функций уже: почтового клиента там нет, доступны подпись и шифрование, в том числе бесконтактное подписание через NFC с приложением ключа или смарт-карты к телефону.
Как отправить письмо с конфиденциальными данными, чтобы его нельзя было прочитать по дороге?
Используется почтовый клиент с поддержкой S/MIME и российской криптографии: письмо подписывается по ГОСТ 2012 и шифруется по ГОСТ 2015 открытым ключом получателя. Такой клиент подключается к серверам по IMAP, SMTP и POP3 с защищённым соединением по ГОСТ и ставится рядом с основной почтовой программой — только для переписки с документами ограниченного доступа. Если файлы уходят через мессенджер, их шифруют открытым ключом получателя до отправки.
