Облачная ЭЦП открывается из дома входом в личный кабинет: закрытый ключ хранится на сервере удостоверяющего центра, а вы подтверждаете подписание паролем и кодом из приложения. Устанавливать программы для этого не требуется. Для кадровых документов работнику чаще выдают другой инструмент — УНЭП в Госключе, где ключ лежит на самом смартфоне. Это главное различие: от него зависит, можно ли восстановить доступ после смены телефона, нужен ли компьютер и что делать при утере пароля. Чтобы подписать документ дома, обычно достаточно трёх вещей: подтверждённой учётной записи на Госуслугах, доступа к системе КЭДО работодателя и интернета. Токен, КриптоПро CSP и драйверы носителя нужны только в сценарии с УКЭП на физическом носителе.
Разберём, чем облачная подпись отличается от Госключа и токена, что проверить до обращения к кадровику и как действовать, если пароль забыт, а телефон сменился. Покажем, какие файлы приходят вместе с подписанным документом, как читать журнал проверки и почему отозванный сертификат внешне выглядит исправным. Сравнительная таблица видов подписи с годовой платой, сценарии под разные ситуации, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Если сертификат уже установлен на вашем компьютере, подписать файл можно прямо в браузере: форма собирает присоединённую или открепленную подпись сразу для нескольких документов и отдаёт архив с файлами и подписями.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Облачная ЭЦП, Госключ и токен: где на самом деле лежит ваш ключ
Усиленная электронная подпись состоит из трёх частей: сертификата, открытого ключа и закрытого ключа. Проверяют подпись открытым ключом, формируют закрытым, и именно место хранения закрытого ключа определяет, как вы получите доступ из дома.
Вариантов хранения три, и они не взаимозаменяемы. В облачной схеме закрытая часть находится на стороне удостоверяющего центра: пользователь не носит с собой носитель, а подтверждает операции через отдельное приложение вроде MyDSS или его аналога у другого удостоверяющего центра. Ответственность за компрометацию ключей в такой схеме лежит на удостоверяющем центре, и расследование утечки ведёт он же. В Госключе всё устроено иначе: закрытая часть хранится на вашем мобильном телефоне внутри приложения, и доступа к ней нет ни у оператора, ни у государственных служб. Третий вариант — аппаратный токен: Рутокен, JaCarta, eSmart. Ключ лежит на устройстве, которое нужно физически подключить к USB-порту.
Практическое следствие простое. Из облака подпись доступна с любого устройства, где вы прошли аутентификацию. С токена — только там, где стоят драйверы носителя и криптопровайдер. Из Госключа — только с того телефона, где приложение активировано.
Мария Ж, специалист по цифровой подписи и КЭДО: «Слово «облачная» работники понимают буквально: раз облако, значит подпись живёт в интернете и её можно забрать с любого устройства. В облачной схеме закрытый ключ действительно лежит на сервере удостоверяющего центра, и за его сохранность отвечает центр. В Госключе ключ хранится на самом телефоне, поэтому смена аппарата или удаление приложения означает выпуск новой подписи с новым сроком действия. Прежде чем менять телефон, посмотрите, какая из двух схем у вас.»
Внимание: если вы удалили приложение Госключ или забыли пароль от него, другого способа входа нет. Подпись придётся выпускать заново, и это будет иная подпись со своим сроком действия, а не восстановленная старая.
Что проверить дома до того, как просить доступ
Часть обращений к кадровику закрывается самим работником за десять минут. Пройдите список до того, как писать в поддержку.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- Учётная запись на Госуслугах. Она должна быть подтверждённой. Без этого не выпускается ни УНЭП, ни УКЭП в Госключе. Нерезидентам подтверждение доступно через МФЦ; в банке в такой ситуации обычно отказывают.
- Номер телефона. Российский номер, привязанный к учётной записи, и доступ к нему прямо сейчас. Если номер сменился, сначала обновите его на Госуслугах, потом идите за подписью.
- Согласие на КЭДО. Работодатель не может перевести вас на электронные кадровые документы без вашего письменного согласия. Если согласия не было, доступа в систему у вас и не появится.
- Тип подписи, который вам назначили. ПЭП, УНЭП по соглашению сторон, УНЭП из инфраструктуры электронного правительства и УКЭП выдаются по-разному. Спросите у кадровой службы точную формулировку.
- Носитель. Если речь про токен, проверьте, что он физически у вас дома, а не заперт в сейфе на работе.
- Актуальность сертификата. Сертификат обычно действует год. Если год прошёл, ничего чинить не нужно: нужен перевыпуск.
Этот же список закрывает вопрос «почему у коллеги работает, а у меня нет»: чаще всего у коллеги подтверждённая учётная запись, а у вас стандартная.
Три рабочих сценария доступа к подписи из дома
Сценарий выбирается по тому, какие документы вы подписываете и что вам выдал работодатель. Сравнение видов подписи по безопасности, удобству и стоимости выглядит так.
| Вид подписи | Безопасность | Удобство пути | Применимость в КЭДО | Плата за использование |
|---|---|---|---|---|
| Простая ЭП | 10 % | 100 % | 10 % | Стоимость каждого SMS-сообщения |
| ПЭП ЕСИА | 30 % | 85 % | 30 % | Бесплатно |
| УНЭП информационной системы | 50 % | 75 % | 80 % | Около 500 руб. в год на сотрудника |
| УНЭП Госключ | 75 % | 50 % | 80 % | Бесплатно, разовые затраты на интеграцию |
| УКЭП Госключ | 100 % | 30 % | 100 % | Бесплатно, разовые затраты на интеграцию |
| УКЭП на носителе | 100 % | 10 % | 100 % | От 2 до 5 тыс. руб. в год на сотрудника |
Из таблицы видно, почему работодатели уходят от простой подписи и от платных сертификатов на носителях: УНЭП в Госключе даёт приемлемый уровень безопасности без операционных затрат, а проигрывает только в удобстве, потому что требует перехода в отдельное приложение.
Юридическое основание для этого варианта прямое. Часть 2 статьи 22.3 ТК РФ разрешает работнику использовать УНЭП, выданную с применением инфраструктуры электронного правительства, а порядок создания такого сертификата установлен постановлением Правительства РФ от 01.12.2021 № 2152. Технические условия и перечень способов идентификации собраны на странице Госключа на портале Госуслуг, там же опубликованы ответы на типовые вопросы по выпуску сертификата.
Полезно знать: УНЭП, выданная в инфраструктуре электронного правительства, не требует подписывать с работодателем отдельное соглашение об использовании неквалифицированной подписи. Для УНЭП по соглашению сторон такое соглашение обязательно.
Как выпустить УНЭП и подписать кадровый документ дома: пошаговая инструкция
- Шаг 1. Установите мобильное приложение Госключ или откройте встроенный раздел в приложении Госуслуги: с 6 августа 2025 года функциональность работает внутри Госуслуг, отдельное приложение ставить не обязательно.
- Шаг 2. Пройдите аутентификацию в ЕСИА. Вход доступен по FaceID, отдельно вспоминать логин и пароль ЕСИА не нужно.
- Шаг 3. Примите условия лицензионного соглашения и задайте пароль приложения. С 2026 года доступ к ключу УНЭП открывается по Face или Touch ID.
- Шаг 4. Выпустите сертификат УНЭП. Операция бесплатная, дополнительных документов и визита в удостоверяющий центр не требует.
- Шаг 5. Откройте документ, который работодатель отправил вам на подпись. Он приходит из системы КЭДО через инфраструктуру электронного правительства, прочитайте текст целиком до нажатия кнопки.
- Шаг 6. Подтвердите подписание. Подписанный документ и файл подписи возвращаются в систему работодателя, а копия остаётся доступна вам.
Отдельно про УКЭП: она выпускается в том же приложении, но требует подтверждения личности. Способов четыре: загранпаспорт нового образца, чип которого сканируется телефоном с NFC; подтверждённая биометрия в Единой биометрической системе; действующий сертификат УКЭП, полученный ранее; очная идентификация в банке или МФЦ. Очный вариант доступен в МФЦ в 87 регионах и в банках в 89 регионах, так что закрытым он не является ни для кого.
Факт: на 15 апреля 2026 года в Госключе активировано более 41,2 млн приложений с выпущенными сертификатами и подписано около 50,4 млн документов. Технологию используют более 3200 компаний, из них более 1000 — в кадровом электронном документообороте.
В практике Добыто на этом маршруте чаще всего останавливает содержание документа: работник получает уведомление, открывает файл и не понимает, обязан ли он подписывать его прямо сейчас. Мы закладываем пилотную группу перед раскаткой на всю компанию именно для того, чтобы такие вопросы всплыли до массового запуска.
Доступ с домашнего компьютера: криптопровайдер, драйверы и корневые сертификаты
Компьютер нужен в двух случаях: у вас УКЭП на носителе либо работодатель использует систему, где подписание идёт через браузерный плагин. Комплект программ при этом фиксированный.
- Драйверы используемого ключевого носителя: Рутокен, JaCarta, eSmart и другие, в зависимости от того, что вам выдали.
- СКЗИ КриптоПро CSP версии 5.0 R2, сборка 12000 или выше.
- Плагин КриптоПро ЭЦП Browser Plug-in и расширение криптоплагина для вашего браузера.
- Корневые сертификаты Минцифры России и удостоверяющего центра, выдавшего вам подпись.
- Личный сертификат ключа электронной подписи, установленный из контейнера.
Порядок установки корневых сертификатов имеет значение. Корневой сертификат Минцифры России ставится в хранилище «Доверенные корневые центры сертификации», сертификат удостоверяющего центра ФНС России — в «Промежуточные центры сертификации». Для подписи, выданной УЦ ФНС, оба файла публикуются по адресу uc.nalog.ru/crt.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Ещё одно ограничение, о котором работники узнают уже в процессе: скопировать подпись с носителя на домашний компьютер получается не всегда. Ключи бывают извлекаемыми и неизвлекаемыми, а извлекаемые дополнительно делятся на экспортируемые и неэкспортируемые. Удостоверяющий центр ФНС России по своему регламенту выдаёт только неэкспортируемый контейнер, скопировать его нельзя. У неизвлекаемых ключей закрытая часть вообще никогда не покидает память токена.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Домашний компьютер подводит чаще всего на цепочке сертификатов. Если корневой сертификат Минцифры и сертификат удостоверяющего центра не установлены, программа сообщит, что подпись недействительна, хотя с ключом всё в порядке. Откройте свойства сертификата и дойдите по цепочке до корневого: в большинстве обращений причина именно там.»
Образцы документов, которые понадобятся для доступа к подписи
Комплект закрывает путь от согласия на КЭДО до аннулирования сертификата; начните с согласия, без него остальные документы не имеют смысла.
| Документ | Скачать |
|---|---|
| Заявление о согласии на переход на КЭДО | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата ЭП | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
Забыли пароль, сменили телефон, подпись не открывается
Три частых сбоя устраняются по-разному, и путать их дорого.
Забыт пароль от приложения с подписью. Если ключ хранится на телефоне, восстановления нет. Вы проходите активацию заново и выпускаете новый сертификат. Ранее подписанные документы при этом остаются действительными: подпись проверяется по сертификату, который действовал на момент подписания. Если подпись облачная, пароль сбрасывается по процедуре удостоверяющего центра, потому что ключ лежит у него.
Забыт пароль от личного кабинета КЭДО. Этот случай подписи не касается. В Добыто.КЭДО вход выполняется по электронной почте или телефону с паролем, пароль восстанавливается через ссылку «Восстановить пароль», а войти можно и через Яндекс или ВКонтакте. Сама подпись при этом не затрагивается.
Подписанный документ не открывается. Причина обычно в формате. Подпись бывает присоединённой, когда документ и подпись лежат в одном файле, и открепленной, когда рядом с документом появляется отдельный файл подписи. В настройках инструментов КриптоПро расширение подписанного файла выбирается из списка p7s, sig или sgn, формат по умолчанию — CAdES-BES. Файл с расширением .sig или .p7s содержит только подпись, поэтому двойным кликом он не открывается: его загружают в программу проверки вместе с исходным документом.
Отдельная ситуация — отзыв сертификата. Срок действия и статус отзыва не одно и то же: сертификат можно отозвать досрочно, и тогда подпись перестанет считаться действительной, хотя даты в ней выглядят нормально. Отзывает сертификат тот удостоверяющий центр, который его выдал, по заявлению владельца. Удаление сертификата из хранилища на компьютере отзывом не является.
Сколько стоит ошибка с доступом
Ошибка с доступом обходится дороже, чем время на переустановку программы. Если подпись не работает в день, когда нужно подписать заявление на отпуск или согласие на перевод, кадровая процедура сдвигается на весь срок восстановления доступа: перевыпуск сертификата в Госключе занимает минуты, а очная идентификация в МФЦ или банке — отдельный визит и рабочий день.
Есть и более дорогой сценарий. В спорах о том, подписывал работник документ или нет, суд проверяет файл подписи и то, что в удостоверяющий центр был передан именно этот документ в неизменённом виде. Картинка штампа на PDF доказательством не служит. Известны дела, где суд признавал увольнение незаконным, восстанавливал работника в должности и взыскивал средний заработок с компенсацией морального вреда именно из-за пробелов в этой цепочке. Работнику это даёт простое правило: храните документ вместе с парным файлом подписи, а не распечатку.
Мария Ж, судебный эксперт по трудовому праву: «Визуализация подписи на документе юридической силы не несёт, это картинка для человека. Значение имеют файл подписи, метка доверенного времени и данные о том, что сертификат не был отозван на момент подписания. Если у вас спор с работодателем, запрашивайте выгрузку журнала действий из системы: логи входов и операций подтверждают, когда именно вы открывали и подписывали документ.»
Когда доступ к облачной подписи из дома не решает задачу
Схема не универсальна, и её границы полезно знать заранее.
- У вас нет смартфона или подтверждённой учётной записи. Мобильная подпись в этом случае недоступна физически. Переход на КЭДО остаётся добровольным: работник вправе не давать согласие и получать документы на бумаге.
- Работодатель использует УКЭП на носителе для вашей должности. Облачный доступ такую подпись не заменяет: понадобится компьютер, драйверы и криптопровайдер.
- Вы работаете по договору ГПХ или как самозанятый. Требования статьи 22.3 ТК РФ рассчитаны на работников по трудовому договору, к исполнителям по гражданско-правовому договору они не переносятся.
- Нужна отчётность в государственные системы от имени организации. Здесь работает УКЭП юридического лица и машиночитаемая доверенность, а не подпись работника для кадровых документов.
- Отдельный интерфейс критичен. Работник заходит в личный кабинет работодателя, а подписывать уходит в другое приложение. Часть людей теряется именно на этом переходе, и механизм перехода по ссылке с возвратом обратно реализован не во всех системах.
Мария Ж, HR-эксперт с 13-летним стажем: «Самое частое возражение работника звучит не про технику: люди опасаются, что по электронной подписи возьмут кредит или продадут квартиру. Практика этого не подтверждает, кадровая подпись работает в связке работник — работодатель и в конкретной системе. Если сомневаетесь, попросите у кадровой службы Положение о ведении КЭДО и посмотрите, какие типы документов подписываются вашей подписью.»
Если вы читаете этот раздел как работодатель и думаете, что сотрудников проще оставить на бумаге, собственная инфраструктура для мобильной подписи не нужна: в практике Добыто маршрут подписания собирается на стороне сервиса, а работник видит только кнопку «Подписать» в своём кабинете.
Лайфхак: Госключ включён в «Белый список» и остаётся доступным даже в период ограничений доступа в интернет. Если сторонние сервисы не открываются, подписать кадровый документ вы всё равно сможете.
Сценарии: что критично именно в вашей ситуации
Ниже разбор по типовым ситуациям, с которыми работник приходит к кадровику.
| Ситуация дома | Что критично | Что вторично |
|---|---|---|
| Только смартфон, компьютера нет | Подтверждённая учётная запись и российский номер телефона | Криптопровайдер, драйверы, браузерный плагин |
| Личный компьютер и токен с УКЭП | КриптоПро CSP 5.0 R2 сборки 12000 и выше, корневые сертификаты, драйверы носителя | Наличие NFC и загранпаспорта |
| Нужна УКЭП, у телефона нет NFC | Подтверждённая биометрия либо очная идентификация в банке или МФЦ | Модель смартфона и операционная система |
| Сменили телефон или удалили приложение | Готовность выпустить новый сертификат, доступ к учётной записи Госуслуг | Попытки восстановить прежний пароль приложения |
| Пришёл документ, а вы вне России | Доступ к номеру, привязанному к учётной записи | Гражданство: подпись доступна и нерезидентам с подтверждённой записью |
Общий вывод из таблицы: критичным почти всегда оказывается статус учётной записи и доступ к телефону. Программное обеспечение имеет значение только в сценарии с носителем.
Кейс из практики: в одном из внедрений КЭДО на 1100 сотрудников с распределёнными по регионам подразделениями подписание через мобильную подпись сократило цикл одного кадрового процесса с нескольких недель до 15-30 минут, а годовая экономия на электронных подписях составила около 0,5 млн рублей. Больше всего времени заняло обучение линейного персонала.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Работник за подпись не платит: расходы несёт работодатель, и они зависят от численности и набора функций.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес», неограниченно сотрудников, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9 %, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности и выбранного набора функций: кастомные шаблоны, интеграция с 1С, электронный архив и приоритетная поддержка входят в тариф «Бизнес», а выделенный сервер и персональный менеджер — в «Корпорацию». Актуальный состав тарифов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Доступ к подписи из дома определяется тем, где лежит закрытый ключ. Облачная схема хранит его у удостоверяющего центра и позволяет войти с любого устройства, Госключ держит ключ на смартфоне и требует нового выпуска после смены аппарата, токен привязывает подпись к компьютеру с криптопровайдером. Для кадровых документов работнику достаточно подтверждённой учётной записи на Госуслугах и мобильного приложения, а компьютер с КриптоПро CSP нужен при работе с УКЭП на носителе. Начинать проверку стоит со статуса учётной записи и статуса сертификата.
Мы в Добыто подключаем компании к кадровому документообороту так, чтобы работник видел один кабинет и одну кнопку подписания, а вопросы вида подписи, маршрутов и хранения решались на стороне сервиса. Практика показывает, что основная работа при переходе приходится на объяснение сотрудникам, что именно они подписывают.
Частые вопросы
Что делать, если нужна УКЭП, а у телефона нет NFC?
Сканирование чипа загранпаспорта нового образца в этом случае недоступно, но остаются три пути: подтверждённая биометрия через Единую биометрическую систему, идентификация по действующему сертификату УКЭП, полученному ранее, и очная идентификация. Очно процедуру проводят в МФЦ в 87 регионах и в банках в 89 регионах: с собой нужны паспорт и СНИЛС, а сотрудника отделения просят провести процедуру идентификации.
Нужна ли работнику машиночитаемая доверенность для подписания кадровых документов?
Для своих трудовых документов не нужна: работник подписывает их от собственного имени. МЧД требуется, когда сотрудник действует от имени организации, например сдаёт отчётность или подписывает документы контрагентам. В МЧД указываются данные сотрудника, включая СНИЛС, и перечень полномочий, а подписывать документ нужно той же подписью, которой подписана сама доверенность, иначе связь между доверенностью и подписантом не подтверждается.
Что происходит с подписью при увольнении?
Сертификат не аннулируется автоматически. Отзывает его удостоверяющий центр, который его выдал, по заявлению владельца подписи. Если на сотрудника была оформлена МЧД без указания должности, при увольнении она может формально продолжать действовать, поэтому владельцу подписи выгодно отозвать сертификат самому.
Можно ли подписать документ, если дома пропал интернет?
Полностью офлайн подписание кадрового документа не работает: файл должен уйти в систему работодателя. При этом Госключ включён в «Белый список», то есть остаётся доступным при ограничениях доступа в интернет, когда часть сторонних сервисов не открывается.
Чем файл .sig отличается от .p7s и почему он не открывается?
Это одна и та же открепленная подпись, различаются только расширения: в настройках инструментов криптопровайдера расширение выбирается из вариантов p7s, sig и sgn, формат при этом остаётся CAdES-BES. Такой файл содержит контейнер подписи, поэтому двойным кликом он не открывается. Его загружают в программу проверки вместе с исходным документом и получают протокол с данными о владельце сертификата, времени подписания и статусе сертификата.
Можно ли отказаться от электронной подписи и остаться на бумаге?
Да. Переход на кадровый электронный документооборот на дату публикации остаётся добровольным: нормативных актов, делающих его обязательным, не принято. Работник даёт письменное согласие на переход, и это же согласие можно не давать, оформив заявление об отказе. Отказ не лишает права перейти на электронный формат позже.
Кто отвечает, если ключ облачной подписи скомпрометирован?
В облачной схеме закрытая часть ключа хранится на стороне удостоверяющего центра, поэтому ответственность за доступ к ключам и расследование утечки лежит на нём. В схеме, где ключ хранится на телефоне или на токене, ответственность за сохранность несёт владелец подписи. По этой причине хранение носителей сотрудников в общем сейфе создаёт для работодателя дополнительный риск в трудовом споре.
