Не запускается программа для электронной подписи чаще всего по четырём причинам: закончился срок действия лицензии КриптоПро CSP, не установлен драйвер ключевого носителя, программа встала поверх старой версии и не доустановила компоненты, либо открывается не то приложение. Сам КриптоПро CSP документы не подписывает: подписание живёт в отдельной программе «Инструменты КриптоПро». Порядок действий определяет одно различие: приложение вообще не открывается или открывается, но не видит ваш сертификат. В первом случае разбираются лицензия и установка, во втором — носитель, драйвер и хранилища сертификатов.
Ниже разобраны пять точек отказа по порядку и показано, какая версия криптопровайдера какие ключи вообще способна прочитать: ключ формата ФКН на машине с КриптоПро CSP 4.0 не заведётся никогда, сколько его ни переустанавливай. Отдельно — порядок установки компонентов, который нельзя нарушать, признаки того, что чинить рабочее место уже не нужно, и что делать, если документ горит, а компьютер лечится вторые сутки. Тарифы на подписи для сотрудников и ответы на частые вопросы — во второй половине статьи.
Подписать документ можно прямо в браузере, пока рабочее место не восстановлено: форма ниже создаёт присоединённую или открепленную подпись и отдаёт архив с файлами.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Пять точек отказа: где именно ломается подписание
«Программа не запускается» на практике описывает пять разных поломок, и лечатся они по-разному. Первая: приложение не стартует вовсе или закрывается сразу после запуска. Вторая: окно открылось, но список сертификатов пуст. Третья: сертификат виден, а подписание падает на вводе пароля к контейнеру. Четвёртая: настольная программа работает, но браузер не видит плагин и площадка сообщает, что криптопровайдер не найден. Пятая: подпись создалась, но получатель её не принял.
Диагностику стоит вести сверху вниз, от того, что происходит на экране, а не от красивых версий вроде «слетела винда». Ниже — раскладка по симптомам с точкой, куда смотреть первой.
| Что видит пользователь | Что сломано | Куда смотреть первой |
|---|---|---|
| Окно с предложением купить лицензию или ввести серийный номер | Истёк срок действия лицензии или демо-периода | Вкладка «Общее» в КриптоПро CSP: срок действия и тип лицензии |
| Ярлык открывается, но кнопки «подписать» нигде нет | Открыт криптопровайдер вместо приложения подписания | Поиск Windows по слову «Инструменты КриптоПро» |
| Список сертификатов пуст, токен вставлен | Нет драйвера носителя либо версия провайдера не читает этот режим ключа | Панель управления Рутокен или диспетчер устройств, затем версия CSP |
| Ошибка про цепочку сертификатов или недоверенный издатель | Не установлены корневые сертификаты либо установлены не в то хранилище | Хранилища «Доверенные корневые центры» и «Промежуточные центры» |
| Площадка пишет, что плагин не установлен | Не установлен КриптоПро ЭЦП Browser Plug-in или выключено расширение браузера | Страница расширений браузера и проверка работы плагина на сайте разработчика |
Четыре строки из пяти закрываются без переустановки системы и без обращения в удостоверяющий центр. В практике Добыто на инвентаризации рабочих мест перед запуском КЭДО первые две строки дают большую часть обращений: люди годами открывают криптопровайдер и ищут в нём кнопку подписания.
Мария Ж, специалист по цифровой подписи и КЭДО: «Прежде чем переустанавливать что-либо, откройте КриптоПро CSP на вкладке «Общее» и прочитайте два поля: срок действия лицензии и тип лицензии. Половина обращений заканчивается на этом экране: программа не сломана, у неё закончился срок. Демонстрационный режим после установки провайдера даёт 3 месяца работы, дальше нужен серийный номер».
Лицензия закончилась, а выглядит это как неработающая программа
Лицензия КриптоПро CSP отвязана от сертификата подписи, и это сбивает с толку. Сертификат может действовать ещё год, а программа при этом откажется работать, потому что закончился её собственный срок. Разбираться нужно с тем, откуда лицензия взялась.
Если подпись получена в удостоверяющем центре ФНС России в рамках пилотного проекта, лицензия на КриптоПро CSP вшивается внутрь сертификата и действует ровно столько, сколько действует сам сертификат электронной подписи. Такой ключ работает даже на компьютере, где лицензия провайдера истекла. Но как только вы попробуете использовать на той же машине другой ключ, выпущенный удостоверяющим центром без вшитой лицензии, потребуется полная лицензия на провайдер.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Факт: лицензия на КриптоПро CSP 5.0 действует на всю линейку — 5.0 R1, R2 и R3. А вот лицензия от версии 4.0 подходила только к первой сборке 5.0: начиная с 5.0 R2 нужна именно лицензия на пятую версию.
Отдельный сюжет — сертификация. Сертификаты ФСБ России на все три релиза линейки КриптоПро CSP 5.0 действуют до 1 мая 2027 года, а на версию 4.0 сертификат был выдан до 15 января 2026 года. Компании, которые остались на четвёрке, упираются в это дважды: сначала в информационных системах, которые перестают принимать старый провайдер, потом при проверке. Работнику это заметно как «вчера работало, сегодня площадка не пускает».
Вы открываете не ту программу
КриптоПро CSP — это криптопровайдер, набор библиотек и служб. Он умеет показывать контейнеры, сертификаты и лицензию, но интерфейса для подписания документов в привычном виде у него нет. Подписание, проверка подписи и шифрование файлов живут в отдельном приложении «Инструменты КриптоПро», которое ставится вместе с провайдером и запускается своим ярлыком.
Наберите в поиске Windows слово «КриптоПро» и посмотрите на список: там окажутся сам CSP, «Инструменты КриптоПро», управление лицензиями PKI, а если ставился КриптоАРМ — и он тоже. Человек, который «не может запустить программу для подписи», в трёх случаях из четырёх открывает первый пункт списка и ищет в нём кнопку, которой там нет.
Полезно знать: встроенная криптография на токене не заменяет установленный КриптоПро CSP. Если информационная система требует работы через провайдер, его нужно поставить на компьютер и ввести лицензию, даже когда токен умеет подписывать на борту.
Версия провайдера и режим ключа: почему переустановка не помогает
Есть класс ситуаций, где переустановка бесполезна по устройству системы. Ключи бывают извлекаемыми и неизвлекаемыми. Извлекаемые генерирует программный криптопровайдер, а токен работает как защищённое ПИН-кодом хранилище: при подписании закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемые ключи рождаются внутри криптоядра токена и наружу не выходят никогда. Читать их умеют не все версии провайдера.
| Версия КриптоПро CSP | Какие ключи читает | Ограничение |
|---|---|---|
| 4.0 | Только извлекаемые ключи на пассивных носителях | Ключ ФКН или PKCS#11 не увидит; сертификат ФСБ выдан до 15 января 2026 года |
| 5.0 R1 | Пассивные носители, активные токены, ключи ФКН с защитой канала по SESPAKE | Ключ ФКН работает только с продуктами КриптоПро не ниже 5.0 |
| 5.0 R2 | Всё перечисленное плюс ключи PKCS#11 и смарт-карты Рутокен по NFC | Ключ PKCS#11 выбирается отдельным считывателем, в общем списке носителей его нет |
| 5.0 R3 | Все режимы в одном списке выбора носителя, встроенный браузерный плагин | Windows XP не поддерживается; поддержка Windows 11 есть начиная с линейки 5.0 |
Практический вывод из таблицы один: если ключ выдан в формате ФКН или PKCS#11, а на рабочем месте стоит КриптоПро CSP 4.0, список сертификатов будет пустым при любом количестве переустановок. Лечится это обновлением провайдера, а не работой с носителем. Для отчётности через ЕГАИС в алкогольном сегменте формат PKCS#11 обязателен, и там же обязательна версия не ниже 5.0 R2.
Мария Ж, юрист со стажем более 20 лет: «Прежде чем ехать в удостоверяющий центр за перевыпуском, сверьте три вещи: модель носителя, режим, в котором создан ключ, и версию провайдера на конкретном компьютере. Токен — вещь мобильная, его носят между машинами, и пассивный извлекаемый ключ выбирают именно ради совместимости со старыми версиями. Если ключ создан как ФКН, он не заработает на рабочем месте с версией 4.0, и перевыпуск сертификата тут ничего не изменит».
Носитель не определяется: драйвер, порт, ПИН-код
Когда токен вставлен, а система его не видит, начинать нужно с драйвера. Для каждой линейки носителей он свой: Рутокен, JaCarta и ESMART Token ГОСТ ставятся разными установочными пакетами с сайтов производителей, и универсального драйвера не существует. Отсюда типовая история: человек пересаживается на новый компьютер, переносит токен, а драйвер поставить забывает.
Заблокированный ПИН-код носителя
Второй по частоте случай — заблокированный ПИН-код. После нескольких неверных попыток носитель блокирует пользовательский ПИН, и внешне это выглядит как отказ программы: сертификат виден, а подписание не проходит. Разблокировка делается в панели управления носителя ПИН-кодом администратора, который выдавали вместе с токеном. Если администраторский ПИН тоже утрачен, остаётся форматирование носителя с потерей ключа и перевыпуск сертификата.
Внимание: ключи, выданные удостоверяющим центром ФНС России, по регламенту создаются неэкспортируемыми. Скопировать такой контейнер на второй компьютер или на флешку нельзя — работать придётся с того носителя, который выдали.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Образцы и памятки для восстановления рабочего места
Комплект собран под самостоятельную диагностику: начните с инструкции по установке, а чек-лист держите открытым, когда подпись уже создаётся, но не принимается получателем.
| Документ | Скачать |
|---|---|
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Ответы на вопросы об установке ЭЦП | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Шпаргалка по командам cryptcp | Скачать |
| Разбор ошибок площадок при подписании | Скачать |
Переустановка начисто: порядок компонентов нарушать нельзя
Установка поверх старой версии — отдельная причина, по которой программа запускается наполовину. При установке нового провайдера на компьютер, где уже что-то стояло, инсталлятор способен остановиться на сообщении об ошибке установки криптодрайвера, а пользователь при этом видит установленный ярлык и считает, что всё прошло. Дальше приложение открывается, но не работает с носителем.
Как переустановить программу для электронной подписи начисто: пошаговая инструкция
- Шаг 1. Определите тип носителя визуально или по документам от удостоверяющего центра: Рутокен, JaCarta, ESMART Token ГОСТ. От этого зависит установочный пакет драйвера.
- Шаг 2. Удалите прежний криптопровайдер и перезагрузите компьютер. В процессе установки нового провайдера машина перезагружается ещё раз или два, а на рабочем столе появляется ярлык продолжения установки — его нужно запустить, иначе установка останется незавершённой.
- Шаг 3. Поставьте драйвер носителя и только после этого КриптоПро CSP. Для работы с подписью УЦ ФНС России нужна версия 5.0 R2 сборки 12000 или выше.
- Шаг 4. Установите корневые сертификаты: сертификат Минцифры России в хранилище «Доверенные корневые центры сертификации», сертификат УЦ ФНС России в «Промежуточные центры сертификации». Оба файла лежат на странице распространения корневых сертификатов Минцифры и УЦ ФНС России, откуда их и следует брать.
- Шаг 5. Установите личный сертификат: КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выбор контейнера через «Обзор».
- Шаг 6. Поставьте КриптоПро ЭЦП Browser Plug-in, включите расширение в браузере и проверьте его работу на тестовой странице разработчика. Только после этого подписание в браузере начнёт видеть сертификаты.
Шаг с хранилищами сертификатов пропускают чаще остальных. Корневой сертификат, поставленный не в то хранилище, даёт ошибку цепочки доверия: подпись создаётся, но проверяющая сторона видит её как недействительную, а пользователь ищет проблему в программе.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Перед раскаткой на всю компанию мы прогоняем пилотную группу и снимаем инвентаризацию рабочих мест: версия провайдера, модель носителя, наличие плагина. Это скучный шаг, который снимает основную часть обращений первой недели. Без него служба поддержки получает поток одинаковых заявок, где половина решается обновлением версии, а вторая половина — установкой драйвера».
Браузер не видит подпись, хотя программа работает
Подписание на площадках и порталах идёт не через настольное приложение, а через связку из трёх компонентов: криптопровайдер, КриптоПро ЭЦП Browser Plug-in и расширение конкретного браузера. Отказ любого из трёх выглядит одинаково: страница сообщает, что криптопровайдер не найден. Начиная с версии 5.0 R3 браузерный плагин входит в состав самого провайдера, и для свежих установок отдельный шаг с плагином отпадает.
Расширение в браузере после установки плагина иногда остаётся выключенным. Откройте страницу расширений и убедитесь, что переключатель активен, затем перезапустите браузер целиком, а не только вкладку. Если вы работаете со старым порталом, который требует настроек безопасности для доверенных сайтов, адрес портала добавляется в список надёжных узлов — эта настройка одинакова для налоговой отчётности и торговых площадок.
Лайфхак: у КриптоПро есть отдельный инструмент установки и настройки — КриптоПро Master. Он ставит провайдер вместе с браузерным плагином и нужными сертификатами по заданным параметрам, без ручного прохода по шести шагам на каждом компьютере.
Когда чинить рабочее место уже не нужно
Часть задач вообще не требует установленного криптопровайдера, и тратить на него день в такой ситуации бессмысленно. Кадровые документы в системе КЭДО работник подписывает ПЭП или УНЭП: ключ хранится на стороне сервиса, а подтверждение приходит на телефон. Токен, драйвер и лицензия провайдера в этом сценарии не участвуют вовсе.
Проверить чужую подпись тоже можно без покупки лицензии: программы проверки подписи лицензии не требуют, а веб-сервисы проверки работают из браузера. В Добыто подписание и проверка запускаются из браузера без установки чего-либо на компьютер. Для мобильных сценариев существует связка мобильного приложения подписи с носителем Рутокен ЭЦП 3.0 NFC: подпись формируется по бесконтактному каналу, когда токен прикладывают к телефону.
Если вы работодатель и читаете этот раздел с мыслью, что у половины сотрудников токены и КриптоПро на личных ноутбуках, для кадровых документов такой парк не нужен: в сервисе Добыто подписи ПЭП и УНЭП выпускаются внутри системы, а подписание идёт из браузера и с телефона.
Сколько стоит попытка починить не то
Цена ошибки здесь измеряется не деньгами за лицензию, а сорванными сроками. Работник, который вторые сутки переустанавливает провайдер, хотя ключ у него в формате ФКН, а провайдер версии 4.0, теряет время дважды: сначала на переустановку, потом на поездку в удостоверяющий центр, куда ехать не требовалось. Перевыпуск сертификата в этой ситуации не решает задачу и добавляет к простою срок оформления.
Обратный случай дороже: сотрудник, отчаявшийся с настройкой, подписывает документ чужим ключом «с компьютера коллеги». Для кадрового документа это означает подпись неуполномоченного лица, и в споре такой документ придётся доказывать отдельно. Быстрее и безопаснее подписать в браузере своей подписью или перенести подписание в КЭДО, чем искать обходной путь через чужой токен.
Стоимость подключения электронных подписей сотрудникам: тарифы
Стоимость зависит от численности сотрудников и от того, какие виды подписи нужны компании. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | рассчитывается индивидуально |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф, отдельно не оплачивается | рассчитывается индивидуально |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма считается по численности и набору функций: тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Состав каждого тарифа и условия перехода перечислены на странице тарифов ДОБЫТО КЭДО.
УКЭП в тариф не входит: её выпускают через партнёров-удостоверяющие центры. Для кадровых документов внутри компании достаточно ПЭП и УНЭП, и именно поэтому проблема с настольным криптопровайдером на кадровый документооборот не влияет.
Выводы
Отказ программы для электронной подписи почти никогда не требует переустановки операционной системы. Сначала читается срок лицензии на вкладке «Общее», затем проверяется, то ли приложение открыто, потом сверяются версия провайдера с режимом ключа, драйвер носителя и состояние ПИН-кода, и только в конце — плагин с расширением браузера. Ключ ФКН на версии 4.0 и корневой сертификат не в том хранилище дают симптомы, которые внешне выглядят как поломка программы, но лечатся совсем другими действиями.
Мы в Добыто снимаем инвентаризацию рабочих мест перед запуском кадрового документооборота и переносим подписание кадровых документов в браузер и телефон, где криптопровайдер, токен и лицензия не нужны. Для компаний это снимает основную часть обращений в поддержку в первые недели после запуска.
Частые вопросы
Нужна ли отдельная лицензия КриптоПро, если она вшита в сертификат?
Нет, если вы используете именно тот ключ, в сертификат которого лицензия вшита: он работает и на компьютере с истёкшей лицензией провайдера. Полная лицензия потребуется, если на этой же машине нужно работать с другими ключами — выпущенными удостоверяющим центром, который лицензию в сертификат не включает, или созданными самостоятельно при генерации запроса на рабочем месте.
Подойдёт ли лицензия от КриптоПро CSP 4.0 к пятой версии?
К первой сборке 5.0 лицензии от 4.0 подходили. Начиная с 5.0 R2 нужна лицензия именно на пятую версию, и она действует на всю линейку: R1, R2 и R3. При переходе с четвёртой версии покупается лицензия на обновление, она дешевле новой.
Что делать, если ПИН-код токена заблокирован?
Пользовательский ПИН разблокируется в панели управления носителя ПИН-кодом администратора, который выдаётся вместе с токеном. Если администраторский ПИН утрачен, остаётся форматирование носителя: ключ при этом уничтожается, а сертификат придётся выпускать заново.
Сколько подписей помещается на один токен?
У носителей линейки Рутокен ЭЦП 3.0 — 128 килобайт защищённой памяти. В формате извлекаемых программных ключей на такой токен помещается до 31 контейнера. Реальное число меньше, если удостоверяющий центр записал в сертификат много расширений: один тяжёлый контейнер занимает до 12 килобайт.
Можно ли подписать документ с телефона, пока компьютер не работает?
Да, для этого есть два пути. Первый — подписание в кадровом сервисе, где ключ хранится на стороне системы, а подтверждение приходит на телефон. Второй — связка мобильного приложения подписи с носителем Рутокен ЭЦП 3.0 NFC: токен или смарт-карта прикладывается к телефону, и подпись формируется по бесконтактному каналу.
Работает ли КриптоПро CSP на Windows 11 и на старых системах?
Windows 11 поддерживается начиная с линейки 5.0, в четвёртой версии поддержки нет. Windows XP неофициально поддерживалась до версии 5.0 R2 включительно, в 5.0 R3 её уже нет. Для Linux и российских операционных систем дистрибутивы выкладываются готовыми пакетами, конвертировать установщик вручную не требуется.
Нужно ли ставить криптопровайдер, чтобы просто проверить чужую подпись?
Для проверки подписи лицензия на программу не нужна: приложения проверки работают без ввода серийного номера, а веб-сервисы проверки открываются из браузера. Устанавливать провайдер обязательно только там, где вы сами создаёте подпись через информационную систему, которая обращается к нему напрямую.
