Как отличить официальный сайт для получения ЭЦП от мошеннического

Официальный сайт для получения ЭЦП у индивидуального предпринимателя один — сайт ФНС России: квалифицированный сертификат руководителю организации и ИП выдаёт удостоверяющий центр ФНС и его доверенные лица, перечень которых опубликован на nalog.gov.ru. Сертификат выдаётся бесплатно и при личном присутствии, деньги вы платите только за защищённый носитель. Сертификаты на сотрудников выпускают коммерческие удостоверяющие центры, но лишь те, что аккредитованы Минцифры, и работает такая подпись вместе с машиночитаемой доверенностью. Главное различие, от которого зависит выбор площадки: кому выпускается подпись — предпринимателю и руководителю или физическому лицу-сотруднику.

Разберём, как за десять минут проверить площадку: сверить центр с реестром аккредитованных, прочитать цепочку сертификата до корневого сертификата Минцифры, отличить настоящий домен ФНС от копии. Покажем семь признаков мошеннического сайта — от обещания выпустить подпись за 15 минут без визита до просьбы прислать скан паспорта и СНИЛС в мессенджер. Во второй половине статьи: таблица признаков, порядок получения КЭП в УЦ ФНС, официальные адреса для загрузки КриптоПро CSP и драйверов токенов, образцы документов, тарифы на 2026 год и ответы на частые вопросы.

Где ИП официально получает ЭЦП: два канала и почему их нельзя путать

Квалифицированный сертификат предпринимателю выдаёт удостоверяющий центр ФНС России. Тот же канал работает для руководителей юридических лиц и руководителей аккредитованных филиалов иностранных организаций, нотариусы получают сертификаты через Фонд при Федеральной нотариальной палате. Получение проходит при личном присутствии в месте выдачи, и ФНС прямо предупреждает: выдача квалифицированной подписи без личного присутствия противоречит федеральному законодательству. Это первая точка отсечения: любой сайт, обещающий предпринимателю выпуск КЭП «полностью онлайн за час», описывает процедуру, которой в законе нет.

Второй законный канал — аккредитованные коммерческие удостоверяющие центры. Они выпускают сертификаты на физических лиц, в том числе на сотрудников компании. С 1 сентября 2023 года сертификаты с указанием должности и наименования организации не выпускаются: сотрудник подписывает документы подписью физического лица, к которой прикладывается машиночитаемая доверенность, подписанная квалифицированной подписью руководителя или предпринимателя. Аккредитацию удостоверяющих центров ведёт Минцифры, требования к ним и порядок работы установлены Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи».

Перечень доверенных лиц удостоверяющего центра ФНС меняется: в него входят крупные банки и отдельные аккредитованные центры, которые принимают заявления на выпуск сертификата. Сверяйте площадку не с рекламой, а со списком доверенных лиц УЦ ФНС России: если организации там нет, она не имеет права принимать у вас заявление на КЭП предпринимателя.

Из таблицы следует практический вывод: предпринимателю почти никогда не нужен коммерческий сайт для получения основной подписи, а сотруднику — наоборот, инспекция сертификат не выпустит. Когда площадка предлагает «единое окно на любую подпись», она либо перепродаёт вам чужую услугу, либо не понимает разграничения каналов.

Мария Ж, юрист со стажем более 20 лет: «Схема разграничения простая: подпись предпринимателя и руководителя выпускает удостоверяющий центр ФНС, подписи сотрудников как физических лиц — аккредитованные коммерческие центры, и к такой подписи обязательно идёт машиночитаемая доверенность. Если сайт предлагает предпринимателю платную «подпись ИП» без визита в инспекцию, это уже не тот канал. Проверяйте, кем выпускается сертификат, до оплаты, а не после.»

Как получить КЭП для ИП в УЦ ФНС: пошаговая инструкция

1. Шаг 1. Купите защищённый носитель ключа — токен формата USB или смарт-карту с действующим сертификатом соответствия ФСТЭК или ФСБ. Подходят модели линеек Рутокен, JaCarta, eSmart; носители с поддержкой российских криптоалгоритмов ГОСТ выпускаются всеми тремя производителями.
2. Шаг 2. Подайте заявление на выпуск сертификата: через личный кабинет налогоплательщика, в инспекции по предварительной записи или у доверенного лица УЦ ФНС из официального перечня.
3. Шаг 3. Придите в место выдачи лично с паспортом, СНИЛС и носителем. Идентификация проводится очно, доверенность на получение подписи руководителя или ИП другим человеком не работает.
4. Шаг 4. Получите сертификат на носитель. По регламенту удостоверяющего центра ФНС контейнер выдаётся неэкспортируемым: скопировать ключ на второй носитель нельзя, и это защита, а не ограничение сервиса.
5. Шаг 5. Установите на рабочем месте драйвер носителя, СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше и плагин КриптоПро ЭЦП Browser Plug-in.
6. Шаг 6. Установите корневой сертификат Минцифры России в хранилище доверенных корневых центров сертификации, а корневой сертификат УЦ ФНС — в хранилище промежуточных центров. Оба файла размещены в разделе сертификатов на uc.nalog.ru.
7. Шаг 7. Проверьте работу подписи: откройте сертификат в КриптоПро CSP, убедитесь, что цепочка выстроена и срок действия корректен, затем подпишите тестовый документ.

Как проверить сайт удостоверяющего центра за 10 минут

Проверка площадки укладывается в пять действий и не требует специальных знаний. Выполняйте их до того, как оставите на сайте паспортные данные, а не после оплаты.

1. Сверьте организацию с реестром аккредитованных удостоверяющих центров. Перечень аккредитованных УЦ ведёт Минцифры России и публикует на своём сайте. Ищите не бренд из рекламы, а точное наименование юридического лица и ИНН из реквизитов площадки.
2. Найдите реквизиты владельца сайта. Наименование, ИНН, ОГРН, юридический адрес должны быть на самом сайте. Их отсутствие или несовпадение с реестром закрывает вопрос.
3. Прочитайте домен по буквам. Официальные ресурсы налоговой службы работают в зонах nalog.gov.ru и nalog.ru. Домены с добавленными словами, дефисами и цифрами к ним отношения не имеют.
4. Проверьте описание процедуры. На законной площадке предпринимателю сообщают о личном присутствии и о необходимости носителя. Обещание выпуска «без визита» противоречит требованиям ФНС.
5. Посмотрите, за что берут деньги. Сам сертификат в УЦ ФНС предпринимателю выдаётся бесплатно, оплачиваются носитель и, при желании, сервисные услуги. Счёт «за выпуск подписи ИП» на карту физического лица — однозначный отказ от сделки.

Ни один признак не работает в одиночку: аккуратный сайт с реквизитами тоже может оказаться посредником, а неудобная государственная страница — законным местом выдачи. Решение принимается по совпадению наименования юрлица с реестром и по описанию процедуры, остальные признаки уточняют картину.

Важный нюанс из практики: когда предприниматель несколько лет подряд продлевает подпись, на носителе и в хранилище компьютера накапливается несколько сертификатов с одинаковым названием. При входе в личный кабинет выбирается самый свежий по дате: старый выдаёт ошибку, которую легко принять за неисправность подписи или за проблему на стороне сервиса. Отсортируйте список по дате и посмотрите срок действия, прежде чем звонить в поддержку.

Как проверить сертификат и файл подписи, которые вам уже выдали

Сайт можно оформить убедительно, а сертификат подделать нельзя: он либо выстраивается в цепочку доверия, либо нет. У квалифицированной подписи в вершине цепочки стоит корневой сертификат Минцифры России, ниже — аккредитованный удостоверяющий центр, и только потом ваш личный сертификат. У неквалифицированной подписи корень другой: Госуслуги или сам центр, который её выпустил. Откройте свойства сертификата, посмотрите поля «Кому выдан», «Кем выдан» и «Действителен с — по», затем разверните путь сертификации до самого верха.

Второй слой проверки — статус сертификата на момент подписания. Сертификат чаще всего выдаётся на год, но может быть отозван досрочно, и тогда подпись, поставленная после отзыва, юридической силы не имеет. Именно поэтому в серьёзном документообороте используют штамп времени и ответы службы проверки статуса: они фиксируют, что в момент подписания сертификат действовал и отозван не был. Службы штампа времени есть у удостоверяющих центров и у налоговой службы.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Проверьте файл подписи и её издателя онлайн

Открепленная подпись хранится отдельным файлом рядом с документом: чаще всего это расширение .sig, реже .p7s или .sgn — выбор формата задаётся в настройках программы подписания, и на юридическую силу он не влияет. Для проверки нужны оба файла: сам документ и файл подписи. Присоединённая подпись упакована в один файл вместе с документом, и без специальной программы исходный документ из неё не достать. В практике Добыто чаще всего обращаются с ситуацией «подпись не открывается»: в половине случаев человек пытается проверить только файл .sig, забыв приложить исходный документ.

Мария Ж, специалист по цифровой подписи и КЭДО: «У квалифицированной подписи всегда выстраивается цепочка: в вершине корневой сертификат Минцифры, ниже аккредитованный удостоверяющий центр, и только потом ваш сертификат. Если на вершине стоит незнакомая организация, перед вами не УКЭП, а в лучшем случае неквалифицированная подпись. Откройте сертификат, посмотрите поле издателя и пройдите цепочку до конца, это занимает минуту.»

Важный нюанс из практики: при работе с неквалифицированной подписью корневые сертификаты в систему автоматически не попадают, поэтому программа подписания сообщает о недоверенном корневом сертификате. Это не признак подделки сам по себе: цепочку нужно достроить вручную, установив сертификат издателя. Но устанавливать его вслепую нельзя — после установки система будет доверять всему, что выпущено этим центром, поэтому сначала прочитайте, кто издатель.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Семь признаков мошеннического сайта и рассылки

ФНС фиксирует устойчивый набор схем вокруг электронной подписи: регистрация компаний на фиктивных руководителей, подача деклараций неуполномоченными лицами, выпуск подписей по поддельным документам, неправомерная смена руководителя организации. Сайт-приманка — это первый шаг такой схемы, и распознаётся он по конкретным маркерам.

• Выпуск «за 15 минут онлайн» без личного присутствия. Для КЭП предпринимателя такой порядок законом не предусмотрен.
• Требование прислать сканы паспорта и СНИЛС в мессенджер или на личную почту. Комплект документов, достаточный для попытки выпустить подпись на ваше имя.
• Домен-двойник государственного ресурса. Внешне это копия сервиса налоговой службы, задача которой — собрать персональные данные и декларации.
• Письмо с требованием срочно «обновить сертификат» или «подписать документ» по ссылке. Классическая рассылка, по ссылке загружается вредоносная программа удалённого доступа.
• Предложение дубликата подписи или подписания «от вашего имени» сотрудником сервиса. Передача ключа третьим лицам противоречит рекомендациям ФНС по защите подписи.
• Оплата на карту физического лица и отсутствие договора. Ни возврата денег, ни адресата претензии.
• Организации нет в реестре аккредитованных удостоверяющих центров. Сертификат такой площадки не будет квалифицированным, даже если внешне он выглядит как обычный.

Проверять подозрительные предложения удобно через раздел «Осторожно — мошенники» на сайте ФНС России: там ведомство публикует описания актуальных схем и поддельных рассылок от своего имени. Если пришедшее письмо совпадает с описанием, вложение не открывают, а по ссылке не переходят.

Сколько стоит ошибка: что бывает после подписи, полученной не там

Прямые потери от неудачной покупки — это не стоимость самого сертификата. Подпись, выпущенная центром без аккредитации, не является квалифицированной: налоговая отчётность ей не подписывается, торговые площадки её не принимают, а в споре такой документ не работает как доказательство. Деньги за услугу вернуть не у кого, а процедуру приходится проходить заново, уже в законном канале.

Второй уровень последствий тяжелее. Если ваши сканы и данные ушли к посреднику, они пригодны для попытки выпуска подписи на ваше имя, а дальше идут те самые схемы, которые описывает ФНС: регистрация организации на подставное лицо, подача деклараций от вашего имени, смена руководителя. Ущерб здесь измеряется не стоимостью подписи, а суммами доначислений и временем на оспаривание.

Отдельная статья потерь — утрата контроля над действующей подписью. Удаление сертификата из хранилища на компьютере ничего не отзывает: ключ продолжает работать до конца срока. При компрометации подпись отзывают заявлением в тот центр или в налоговую, где её выпустили, и уведомляют оператора электронного документооборота. ФНС рекомендует не передавать подпись третьим лицам, не использовать один носитель на нескольких человек, хранить носитель в защищённом месте и своевременно отзывать подпись уволенного сотрудника.

Если вы работодатель и читаете этот раздел с мыслью, что подписи сотрудников в компании никто не учитывает, отдельный специалист для этого не нужен: реестр выданных сертификатов и сроков их действия ведётся в системе КЭДО, а в сервисе Добыто ПЭП и УНЭП для работников выпускаются внутри платформы, без похода в сторонние центры.

Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Удаление сертификата из хранилища на компьютере ничего не отзывает, подпись продолжает действовать до конца срока. Отзыв — это заявление в тот удостоверяющий центр или в налоговую, где сертификат выпускали. Если ключ мог попасть в чужие руки, подавайте заявление на отзыв в тот же день и предупредите контрагентов и оператора документооборота.»

Образцы документов для работы с электронной подписью

Комплект закрывает три задачи: зафиксировать результат проверки подписи, вести учёт выданных сертификатов и оформить полномочия сотрудника; начните с протокола проверки.

Официальные сайты для программ: КриптоПро CSP, драйверы токенов, корневые сертификаты

Половина заражений начинается не на сайте удостоверяющего центра, а на странице загрузки программ. Правило одно: криптографическое программное обеспечение скачивается только с ресурса производителя или с государственного ресурса, а не из поисковой выдачи по запросу «cryptopro csp скачать бесплатно».

• КриптоПро CSP и КриптоПро ЭЦП Browser Plug-in — сайт производителя cryptopro.ru. Для получателей сертификатов УЦ ФНС на нём же работает страница эксперимента по безвозмездному предоставлению программного обеспечения, где дистрибутив выдаётся после заполнения формы.
• Драйверы Рутокен — rutoken.ru, раздел загрузки; для Рутокен ЭЦП 2.0 предусмотрен отдельный установочный пакет.
• Драйверы JaCarta — aladdin-rd.ru, раздел загрузок.
• Драйверы eSmart — esmart.ru, раздел загрузки. Токены eSmart, как и Рутокен с JaCarta, поддерживают российские криптоалгоритмы ГОСТ и подходят для хранения квалифицированного сертификата.
• Корневые сертификаты Минцифры России и УЦ ФНС — раздел сертификатов на uc.nalog.ru. Сертификат Минцифры устанавливается в доверенные корневые центры сертификации, сертификат УЦ ФНС — в промежуточные.

В практике Добыто самая частая техническая причина того, что подпись «не работает», к самой подписи отношения не имеет: не установлен корневой сертификат издателя или стоит версия криптопровайдера старше требуемой. Прежде чем менять сертификат и подозревать площадку, проверьте состав программного обеспечения на рабочем месте.

Носитель тоже выбирается по документу, а не по внешнему виду: для квалифицированной подписи нужен токен с действующим сертификатом соответствия. Если ключи хранятся как извлекаемые и токен работает просто как защищённое пин-кодом хранилище, достаточно сертификации ФСТЭК; если токен сам вырабатывает подпись внутри и закрытый ключ не покидает устройство, нужна сертификация ФСБ.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Облачная подпись удобна, но закрытый ключ лежит на сервере удостоверяющего центра, и за его сохранность отвечает центр, а не вы. Вопрос доверия к площадке здесь острее, чем при работе с токеном: у токена ключ не покидает устройство, а контейнер УЦ ФНС ещё и неэкспортируемый. Решите заранее, где будет храниться ключ, и только потом выбирайте, куда идти за сертификатом.»

Когда предпринимателю коммерческий удостоверяющий центр не нужен

Если вы ИП и подписываете документы сами, второй сертификат в платном центре не решает никакой задачи: подписи УЦ ФНС хватает и для отчётности, и для площадок, и для документооборота с контрагентами. Коммерческий центр нужен в трёх случаях: сертификат оформляется на сотрудника как на физическое лицо, требуется облачная подпись под конкретную информационную систему или нужны дополнительные сервисы вроде штампа времени и усовершенствованного формата подписи. Если ни один пункт не про вас, платить не за что.

Стоимость подключения КЭДО и подписей для сотрудников

Стоимость зависит от численности сотрудников, набора видов подписи и того, нужна ли интеграция с 1С. Тарифы указаны за сотрудника в месяц, электронные подписи для сотрудников входят в тариф.

Итоговая сумма складывается из численности сотрудников, выбранного набора видов подписи и потребности в интеграции с учётной системой; условия по каждому тарифу и состав функций описаны на странице тарифов ДОБЫТО КЭДО. Квалифицированная подпись предпринимателя в эту стоимость не входит и не может входить: её выдаёт только удостоверяющий центр ФНС.

Выводы

Предпринимателю не нужно искать удачный сайт: канал получения квалифицированной подписи задан законом, и он один — удостоверяющий центр ФНС с его доверенными лицами, а для сотрудников — центры, аккредитованные Минцифры. Площадка проверяется по совпадению наименования юрлица с реестром, по описанию процедуры с личным присутствием и по тому, за что именно просят деньги. Полученный сертификат проверяется по цепочке до корневого сертификата Минцифры и по сроку действия, а программное обеспечение скачивается только с сайтов производителей и государственных ресурсов.

Задачи, которые остаются после получения подписи, — учёт сертификатов, маршруты подписания, хранение подписанных файлов и подписи для сотрудников, — решаются на стороне системы документооборота. В Добыто ПЭП и УНЭП выпускаются внутри сервиса, а подписанные документы и сведения о сертификатах хранятся в электронном архиве, откуда их можно выгрузить для проверки.

Частые вопросы

Можно ли получить подпись ИП полностью онлайн, без визита в инспекцию

Первичное получение квалифицированного сертификата проходит при личном присутствии в месте выдачи УЦ ФНС или у доверенного лица из официального перечня. ФНС отдельно предупреждает, что выпуск квалифицированной подписи без личного присутствия противоречит федеральному законодательству, поэтому предложение «оформим удалённо за час» — повод закрыть страницу. Порядок повторного выпуска по действующему сертификату уточняйте на странице удостоверяющего центра ФНС: он определяется регламентом центра.

Что делать, если подпись выпущена центром, который лишился аккредитации

Такой сертификат перестаёт быть квалифицированным, и подписанные им документы не принимаются как подписанные УКЭП. Действий два: получить новый сертификат в законном канале и переподписать документы, отношения по которым продолжаются. Для контрагентов оформляется письмо о переподписании, а результат проверки старой подписи фиксируется протоколом — оба образца есть в комплекте выше.

Как понять, что подпись выпустили на моё имя без моего ведома

Признаки видны по внешним событиям: в ЕГРЮЛ появляется организация, к которой вы не имеете отношения, или в личном кабинете отражается отчётность, которую вы не подавали. При таких признаках подпись отзывают заявлением в тот центр, где она выпущена, и обращаются в налоговый орган. Персональные данные, отданные посреднику, отозвать нельзя, поэтому проверка площадки до передачи сканов важнее любых действий после.

Нужна ли машиночитаемая доверенность, если у ИП нет сотрудников

Нет: предприниматель подписывает документы своей квалифицированной подписью, доверенность не требуется. МЧД нужна, когда документы за компанию подписывает сотрудник подписью физического лица. Филиал юридическим лицом не является, поэтому доверенность на сотрудника филиала подписывает руководитель головной организации своей квалифицированной подписью. Для налоговых полномочий доверенность формируется как XML-файл на сервисе ФНС, полномочия указываются кодами из классификатора.

Что делать, если забыл пароль от Госключа или потерял токен

В Госключе закрытый ключ хранится на телефоне, других способов доступа, кроме пароля, нет: при утрате пароля или удалении приложения подпись выпускается заново, уже как новая, со своим сроком действия. При потере токена сертификат отзывают заявлением в выдавший центр, не дожидаясь конца срока действия, и только затем оформляют новый: до отзыва ключ формально работоспособен.

Чем отличаются файлы .sig и .p7s рядом с документом

Это открепленная подпись, сохранённая в разных расширениях: программы подписания позволяют выбрать .sig, .p7s или .sgn, содержимое при этом остаётся контейнером подписи. Для проверки нужны оба файла, документ и файл подписи; по одному только файлу подписи проверка не выполняется. Расширение на юридическую силу не влияет, но принимающая сторона может требовать конкретный формат — это условие лучше зафиксировать в регламенте обмена документами.