Файл подписи не загружается для проверки ЭЦП: 5 причин

Файл подписи не загружается для проверки квалифицированной ЭЦП по одной из пяти причин: расширение отличается от того, которое ждёт форма (.p7s или .sgn вместо .sig), присоединённая подпись отправлена в поле для откреплённой, документ и подпись взяты из разных версий файла, размер превышает лимит сервиса, либо в поле подписи оказался сертификат или архив. Форма фильтрует файл до того, как заглянет внутрь: сначала расширение и размер, потом содержимое, поэтому технически исправная подпись отсекается на входе. Различие, от которого зависит порядок действий: у присоединённой подписи файл один и грузится в одно поле, у откреплённой файлов два, и документ должен быть тем же самым, до байта.

Разберём, как за минуту определить, что за файл у вас на руках, какому полю формы он соответствует и почему переименование .sgn в .sig работает, а в некоторых случаях бесполезно. Покажем, что означают сообщения про неправильное значение хеша и отозванный сертификат и почему подпись из тестового удостоверяющего центра всегда показывается недействительной. Во второй половине статьи — пошаговый порядок проверки, разбор МЧД с тремя файлами загрузки, образцы протокола и чек-листа диагностики, тарифы на 2026 год и ответы на частые вопросы.

Загрузите проблемный файл в чекер: он определит по расширению и содержимому, присоединённая это подпись, откреплённая или вообще не подпись, и подскажет, чем её открыть.

Пять причин, по которым форма проверки не принимает файл подписи

Веб-форма проверки работает как фильтр на входе: расширение, размер, количество файлов. Содержимое читается уже после загрузки. Поэтому отказ на этапе выбора файла почти никогда не означает, что подпись плохая.

Первая причина — расширение. В настройках Инструментов КриптоПро расширение подписанного файла выбирается из списка p7s, sig или sgn, а формат подписи при этом один и тот же, CAdES-BES. Отправитель выбрал .p7s, а форма ждёт .sig, и корректная подпись не проходит дальше кнопки выбора файла.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Вторая причина — неверно выбран вид подписи. У присоединённой подписи документ лежит внутри файла подписи, и грузить нужно один файл. У откреплённой файлов два: сам документ и отдельный файл подписи. Если в форме отмечена откреплённая подпись, а второй файл не приложен, отправка не уйдёт.

Третья причина — документ не тот. Откреплённая подпись считает хеш конкретного набора байт. Пересохранённый в Word файл, перекачанный через мессенджер с конвертацией или распечатанный и отсканированный заново документ дают другой хеш, и пара разваливается.

Четвёртая причина — размер. Лимиты у сервисов разные: форма подписания и проверки на mos.ru принимает файлы до 15 МБ, форма Добыто.Подпись — до 100 МБ на файл. Один и тот же комплект в одном сервисе проходит, в другом нет.

Пятая причина — в поле подписи не подпись. Туда попадают сертификат в формате .cer, zip-архив целиком или сам документ во второй раз.

Ниже — разбор того, что чаще всего приходит вместе с подписанным документом, и куда каждый файл грузится.

Три верхние строки таблицы закрывают большую часть отказов: расширение и вид подписи меняются за минуту, без обращения к отправителю.

Расширения sig, p7s и sgn: одна подпись под тремя именами

Расширение файла откреплённой подписи задаёт программа, которая её создавала. В Инструментах КриптоПро это выпадающий список из трёх значений — p7s, sig, sgn — рядом с указанием формата CAdES-BES. Сотрудник, который подписывал документ, чаще всего этот список не открывал и получил расширение по умолчанию.

Отсюда практическое следствие: если сервис принимает только .sig, файл достаточно переименовать. Чтобы расширение вообще было видно, в Проводнике Windows включается отметка «Расширения имён файлов» в меню «Показать». Без неё файл выглядит как «договор.pdf», хотя на диске лежит «договор.pdf.sgn».

Отдельная история — формат SGN. Название сбивает с толку, и файл регулярно принимают за зашифрованный. Он подписан, а не зашифрован: внутри тот же контейнер подписи, читается теми же средствами.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Кейс из практики: в практике Добыто при выгрузке архива приказов из ведомственной системы вся партия получила расширение .sgn, а приёмная сторона принимала только .sig. Переименование выполнили пакетно командой Rename-Item в PowerShell, отдельно замерив время на партии в 1500 файлов: перекладывать вручную не пришлось, содержимое подписей не изменилось.

Мария Ж, специалист по цифровой подписи и КЭДО: «Прежде чем писать отправителю, что подпись битая, посмотрите на расширение и на размер файла. Если рядом с документом на 74 КБ лежит файл на 2-4 КБ, это откреплённая подпись, и она в порядке: её просто нужно положить в правильное поле формы. Расширение p7s, sig или sgn задаётся настройкой программы подписания, а не видом подписи, и меняется переименованием.»

Правило пары: документ и файл подписи грузятся вместе

Откреплённая подпись не содержит документа. Внутри неё лежит хеш подписанных данных, сертификат подписанта и служебные атрибуты, поэтому файл весит килобайты: в паре «primer.xml на 74 КБ и primer.xml.sig на 4 КБ» второй файл сам по себе бесполезен. Форма проверки просит оба файла именно за этим — пересчитать хеш документа и сравнить его с тем, что в подписи.

Порядок действий отсюда простой. Сначала отмечается вид подписи, потом грузится документ, потом файл подписи. Если поле для подписи не появилось, значит выбрана присоединённая подпись, и форма ждёт один файл. В Добыто.Подпись оба поля видны сразу после выбора вида подписи, предельный размер файла — 100 МБ.

Отдельно про пересылку. Документ, отправленный через мессенджер или пересохранённый почтовым клиентом, может прийти изменённым на уровне байт. Внешне он тот же, подпись к нему уже не подходит. Проверять нужно тот файл, который отдал подписант, а не его копию, полученную после промежуточной обработки.

Мария Ж, юрист со стажем более 20 лет: «Когда контрагент присылает один документ без файла подписи и уверяет, что документ подписан, вариантов два: подпись присоединённая и лежит внутри файла, либо это PDF со встроенной подписью. В обоих случаях второй файл не нужен, а проверять надо в режиме присоединённой подписи. Просите отправителя прислать папку целиком, а не отдельные файлы: так пара не теряется.»

Файл загрузился, а проверка не прошла: что означают сообщения

После загрузки сервис делает две независимые вещи: сверяет хеш документа с подписью и проверяет статус сертификата подписанта. Сообщение об ошибке относится к одной из них, и лечатся они по-разному.

Сообщение вида «неправильное значение хеша, сообщение содержит неверную подпись» с кодом 0x80091007 говорит о первой проверке: документ не совпал с тем, что подписывали. Менять сертификат бессмысленно, нужно искать исходный файл.

Статус «Сертификат недействителен. Сертификат отозван» относится ко второй проверке. Подпись математически верна, но удостоверяющий центр отозвал сертификат. Дальше вопрос уже юридический: подпись, созданная после отзыва, к документу отношения не имеет, и документ переподписывают действующим сертификатом.

Важный нюанс из практики: подпись, сделанная сертификатом тестового удостоверяющего центра, всегда показывается недействительной с пояснением, что сертификат отсутствует в списке доверенных. Математически такая подпись корректна, но для квалифицированной она не годится. Проверьте издателя сертификата в карточке результата, прежде чем звонить в поддержку.

Во что обходится неверный вывод по результату проверки

Ошибка на этом шаге стоит не переделки файла. Если документ приняли, а сертификат подписанта был отозван, комплект придётся переподписывать целиком: писать контрагенту письмо о переподписании, оформлять акт о невозможности переподписания, если подписант уже недоступен, и заново собирать подписи по маршруту. На пакете из нескольких сотен кадровых документов это недели переписки вместо одной проверки цепочки доверия на входе.

Обратная ошибка не дешевле: комплект отклоняют из-за расширения .p7s, отправитель заново подписывает документы, срок приёмки уходит. Поэтому диагностику имеет смысл доводить до конца, а результат фиксировать протоколом проверки: он выгружается в PDF и содержит статус, данные сертификата и алгоритмы ГОСТ Р 34.10-2012 и 34.11-2012.

Как проверить подпись, если форма отказывается принимать файл

Веб-сервисы отличаются набором принимаемых форматов и лимитами. Если один сервис файл не берёт, проверка не закончена: остаются другие сервисы и настольные программы, которые читают файл прямо с диска и в лимит веб-формы не упираются.

Проверить статус аккредитации удостоверяющего центра, который выпустил сертификат, можно на портале уполномоченного федерального органа в области электронной подписи: там же публикуются реестры и результаты мониторинга удостоверяющих центров. Это тот случай, когда причина отказа не в файле, а в издателе сертификата.

Как проверить квалифицированную подпись: пошаговая инструкция

1. Шаг 1. Включите показ расширений файлов в Проводнике и посмотрите, что перед вами: документ, файл подписи .sig, .p7s, .sgn или архив.
2. Шаг 2. Сравните размеры. Файл в килобайтах рядом с документом в десятках или сотнях килобайт — откреплённая подпись. Файл, сопоставимый с документом по размеру, — присоединённая подпись или архив.
3. Шаг 3. Распакуйте архив, если он есть, и разложите документ и подпись в одну папку без переименования.
4. Шаг 4. Выберите в форме вид подписи. Откреплённая — два поля, присоединённая — одно.
5. Шаг 5. Если форма не принимает расширение, переименуйте файл подписи в .sig. Содержимое от этого не меняется.
6. Шаг 6. Если файл больше лимита сервиса, проверьте подпись локально в КриптоПро CSP или КриптоАРМ: программа читает файл с диска.
7. Шаг 7. Прочитайте результат по двум пунктам отдельно: совпадение хеша и статус сертификата с цепочкой доверия. Сохраните протокол проверки в PDF.

Что подготовить до загрузки файлов

Перед проверкой соберите четыре вещи, и половина отказов не случится: исходный документ ровно в том виде, в котором его отдал подписант; файл подписи с полным именем документа в названии; сведения о том, какой программой подписывали (от этого зависит расширение и формат); данные удостоверяющего центра, выпустившего сертификат. Если чего-то из этого нет, запрашивайте у отправителя папку целиком, а не отдельные файлы.

Если вы работодатель и читаете этот раздел, потому что кадровая служба каждую неделю разбирает такие письма от сотрудников, в КЭДО эта задача закрывается на стороне системы: документ и подпись хранятся связанной парой в электронном архиве, и сопоставлять их вручную не нужно.

МЧД: почему для проверки нужны три файла, а не два

Машиночитаемая доверенность — это XML-файл, а не PDF. С 1 сентября 2023 года закончился переходный период: сертификаты на сотрудников организаций не выпускаются, сотрудник подписывает документы квалифицированной подписью физического лица и прикладывает МЧД, подписанную электронной подписью руководителя. Проверять такой комплект нужно в отдельном разделе.

В форме проверки доверенности три зоны загрузки: сертификат представителя, файл доверенности в формате XML и файл откреплённой подписи доверенности. Пользователи регулярно грузят XML в форму проверки обычной подписи и получают отказ. Сама доверенность при этом в порядке.

Полномочия в МЧД задаются кодами из классификатора, который размещён в Единой системе нормативной и справочной информации: каждое полномочие имеет код, дату и уникальный идентификационный номер. Алгоритм на приёмной стороне читает именно код и решает, подходит ли доверенность для конкретного документа. Компания может направить перечень своих полномочий в Минцифры: на рассмотрение отводится 10 дней, при положительном решении коды присваиваются и включаются в классификатор в течение трёх рабочих дней.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Если доверенность нужно передоверить, самостоятельно это не оформить: понадобится нотариус, паспортные данные нового уполномоченного лица и актуальная выписка из ЕГРЮЛ. Нотариус подписывает новую доверенность своей квалифицированной подписью и выгружает её в информационную систему. Закладывайте на это время заранее, а не в день сдачи отчётности.»

Образцы документов для разбора спорной подписи

Комплект под ситуацию «подпись не грузится или не проходит проверку»; начните с чек-листа диагностики, остальное понадобится, если подпись придётся оформлять заново.

Когда дело не в файле: токен, КриптоПро и рабочее место

Проверка чужой подписи криптопровайдера не требует. А вот подписание и работа в личных кабинетах требуют настроенного рабочего места, и здесь отказ выглядит похоже: файл не выбирается, окно выбора сертификата пустое, кнопка подписания не срабатывает.

Комплект программ для работы с квалифицированной подписью УЦ ФНС на рабочем месте фиксированный: драйверы носителя, КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in с расширением для браузера, корневые сертификаты Минцифры России и УЦ ФНС и личный сертификат. Корневые сертификаты берутся на странице uc.nalog.ru/crt: guc_22.cert устанавливается в доверенные корневые центры сертификации, CA_FNS_Russia_2022_01.cert — в промежуточные.

Драйвер ставится под конкретный носитель: Rutoken, JaCarta, eSmart. Установка драйвера чужой линейки не помогает, а сама по себе аппаратная криптография на токене не заменяет КриптоПро CSP: если информационная система требует этот криптопровайдер, его нужно установить и активировать лицензию.

Ещё одна причина пустого списка сертификатов — выбран не тот контейнер. Когда подпись продлевали, в менеджере видно несколько записей: сортируйте по дате и берите самую свежую. Объём защищённой памяти токена ограничен: на носителе со 128 КБ при программном формате ключей помещается до 31 контейнера, и при переполнении новый сертификат просто не запишется.

Мария Ж, HR-эксперт с 13-летним стажем: «Мы ведём реестр выданных сертификатов по каждому сотруднику: владелец, издатель, срок действия, носитель. Это снимает половину обращений вида «подпись не работает»: по реестру за минуту видно, что сертификат просрочен или что человек подключил чужой токен. Заведите такой файл до того, как подписей станет больше двадцати.»

Когда онлайн-проверка не подходит

Веб-форма не универсальна, и есть ситуации, где она не даст результата.

• Документ содержит персональные данные или сведения ограниченного доступа, и загружать его во внешний сервис нельзя по внутреннему регламенту. Проверка выполняется локально в КриптоПро CSP или КриптоАРМ.
• Файл больше лимита сервиса. Для форм с ограничением 15 МБ это обычный сканированный комплект на несколько сотен страниц.
• Подпись усовершенствованная, со штампом времени, ответом OCSP или архивной меткой в форматах CAdES-X Long Type 1 либо CAdES-A, а сервис умеет только базовый CAdES-BES.
• Проверять нужно партию документов, а не один комплект. Ручная загрузка пар файлов на сотнях документов не окупается: такие задачи закрывают серверными решениями с пакетной проверкой и автоматическим формированием протоколов.
• Речь о доверенности: МЧД проверяется в отдельном разделе, вместе с сертификатом представителя.

Во всех этих случаях отказ формы — не признак неисправной подписи, а сигнал сменить инструмент проверки.

Стоимость подключения КЭДО в Добыто: тарифы 2026 года

Стоимость зависит от численности сотрудников, набора видов подписи и потребности в интеграции с учётной системой.

Итоговая сумма складывается из численности, выбранного набора подписей и потребности в выделенном контуре: сравнить условия и минимальные платежи по каждому пакету можно на странице тарифов ДОБЫТО КЭДО. Электронные подписи ПЭП и УНЭП для сотрудников входят в тариф и отдельно не покупаются.

Переход между тарифами возможен в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.

Выводы

Отказ формы при загрузке файла подписи почти всегда объясняется формой подачи, а не качеством подписи: не то расширение, не тот вид подписи, изменённый документ, превышенный лимит или посторонний файл в поле подписи. Расширения p7s, sig и sgn относятся к одному формату CAdES-BES и меняются переименованием. Откреплённая подпись работает только в паре с исходным документом, а сообщения о неправильном хеше и об отозванном сертификате указывают на разные причины и лечатся по-разному.

Мы в Добыто ведём кадровый документооборот так, чтобы документ и подпись жили связанной парой в электронном архиве: сотруднику не приходится искать файл .sig в переписке, а кадровой службе — вручную сопоставлять комплекты перед проверкой.

Частые вопросы

Нужен ли токен и пароль, чтобы проверить подпись на присланном документе?

Нет. Проверка работает с открытой частью: в карточке сертификата при проверке прямо отмечается отсутствие закрытого ключа. Ни носитель, ни пароль от контейнера получателю не нужны, поэтому проверить документ может любая сторона, включая работника, которому прислали приказ.

Файл подписи весит столько же, сколько документ. Это нормально?

Это не откреплённая подпись. Файл откреплённой подписи занимает единицы килобайт: рядом с документом на 74 КБ она весит 2-4 КБ. Сопоставимый размер означает присоединённую подпись, внутри которой лежит сам документ, либо архив с двумя файлами. Проверять такой файл нужно в режиме присоединённой подписи или сначала распаковать.

Почему один сервис подпись принимает, а другой отказывает?

Сервисы отличаются лимитом размера и набором поддерживаемых форматов. Одна форма принимает файлы до 15 МБ, другая — до 100 МБ на файл. Базовый формат CAdES-BES читают все, а усовершенствованные подписи со штампом времени, ответом OCSP или архивной меткой в форматах CAdES-X Long Type 1 и CAdES-A поддерживаются не везде.

Кто подписывает МЧД для сотрудника филиала?

Доверенность выдаётся от юридического лица и подписывается квалифицированной подписью руководителя организации или индивидуального предпринимателя, а сотрудник использует квалифицированную подпись физического лица. Если полномочия нужно передать дальше по цепочке, оформляется передоверие у нотариуса: понадобятся паспортные данные нового уполномоченного лица и актуальная выписка из ЕГРЮЛ.

Сотрудник не помнит, где его подпись и на каком носителе. Что делать?

Для проверки уже подписанных документов подпись сотрудника не нужна вовсе. Для подписания нужен носитель с контейнером и установленный криптопровайдер. Определите тип носителя (Rutoken, JaCarta, eSmart) и поставьте драйвер именно для него, затем проверьте список контейнеров в КриптоПро CSP. Если контейнеров несколько, сортируйте по дате и выбирайте самый свежий: старый сертификат после продления остаётся в списке и даёт ошибку.

Нужно ли сохранять результат проверки?

Да, если документ имеет юридическое значение. Сервисы выгружают протокол проверки в PDF: он фиксирует статус подписи, пару проверенных файлов, данные сертификата и алгоритмы ГОСТ Р 34.10-2012 и 34.11-2012. Протокол прикладывается к документу в архиве и снимает вопрос о том, в каком состоянии находился сертификат на момент приёмки.