Открепленная подпись лежит в отдельном файле .sig и физически не встраивается в документ: она рассчитана по хэшу исходного файла, поэтому любая правка документа делает ее невалидной. «Прикрепить» ее можно тремя способами: передать документ и файл подписи парой, переподписать документ присоединенной подписью и получить один файл, либо сформировать копию документа со штампом визуализации для наглядности и печати. Выбор зависит от получателя: ведомственные порталы и операторы ЭДО принимают пару файлов, контрагент по почте чаще ждет один файл. Переподписать может только владелец ключа — чужую открепленную подпись превратить в присоединенную нельзя.
Разберем, чем отличаются расширения .sig, .p7s и .sgn и почему переименование файла подписи не ломает саму подпись, как назвать файлы, чтобы получатель не потерял комплект, и что делать, если в PDF не видно ни штампа, ни отметки о подписании. Покажем, как проверить собранный комплект и получить протокол проверки. Порядок отправки письмом, разбор ошибок первого раза, образцы документов для скачивания и тарифы на 2026 год — во второй половине статьи.
Подпишите документ прямо в браузере и выберите, что получить на выходе: отдельный файл подписи или один файл с документом внутри.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Почему открепленную подпись нельзя вклеить в документ
Файл подписи содержит не картинку и не текст, а криптографический контейнер CMS: значение подписи, сертификат подписанта с цепочкой доверия, алгоритмы по ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012, заявленное время подписания, иногда штамп времени TSP. Самого документа внутри нет — есть только результат вычисления по его содержимому. Добавьте в PDF хотя бы пробел, пересохраните его в другой программе или дайте мессенджеру пережать файл, и проверка выдаст расхождение хэша.
Отсюда следует практическое правило: исходный документ после подписания не редактируется вообще, включая «безобидное» пересохранение. Переименовать сам документ можно, на хэш это не влияет, но тогда придется переименовать и файл подписи, иначе получатель не поймет, какая подпись к какому файлу относится.
Дальше все зависит от того, зачем вам «один файл». Ниже — три сценария и результат по каждому.
| Ваша задача | Что делать | Что получится |
|---|---|---|
| Отправить в ведомство, на портал, оператору ЭДО | Загрузить документ и файл подписи в две отдельные формы | Комплект принят, подпись проверяется системой автоматически |
| Отправить контрагенту письмом одним вложением | Упаковать документ и подпись в один архив | Одно вложение, подпись остается открепленной и проверяемой |
| Получить физически один файл с подписью внутри | Подписать документ заново, выбрав присоединенную подпись | Один файл, но открыть документ можно только через средство проверки |
| Показать подпись внутри PDF при обычном открытии | Подписать PDF встроенной подписью по стандарту PAdES | Подпись видна в самом PDF, отдельный .sig не нужен |
| Распечатать или показать документ с отметкой о подписании | Сформировать копию документа со штампом визуализации | Наглядная копия, юридически значим по-прежнему исходный комплект |
Первые два сценария не требуют ключа и доступны получателю документа. Два следующих выполняет только владелец сертификата: подпись формируется закрытым ключом, который лежит на токене.
Мария Ж, специалист по цифровой подписи и КЭДО: «Новички почти всегда приходят с одним вопросом: как засунуть .sig внутрь PDF. Так не работает — вид подписи выбирается в момент подписания, галочкой «создать отсоединенную подпись», а не после. Если вам нужен один файл, документ подписывают заново присоединенной подписью, и делает это тот, у кого на руках токен.»
Что проверить в комплекте до того, как что-то отправлять
Расширение файла подписи ни на что не влияет технически: внутри один и тот же контейнер CMS. В настройках Инструментов КриптоПро расширение подписанного файла выбирается из списка p7s, sig, sgn, формат подписи — CAdES-BES. В КриптоАРМ ГОСТ доступны пять вариантов: sig, p7s, sgn, sign и bin. Переименование .sgn в .sig содержимое файла не меняет, поэтому если приемная сторона требует строго .sig, переименовать безопасно.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
В практике Добыто первый комплект чаще всего пересобирают из-за имени файла: документ переименовали «под себя», а подпись оставили со старым именем, и принимающая система перестала видеть пару. Перед отправкой пройдите короткую диагностику комплекта:
- Два файла, а не один. Документ и файл подписи лежат в одной папке. Типичная пара: dogovor.pdf на 74 КБ и dogovor.pdf.sig на 2-4 КБ.
- Имена совпадают. Правильное имя подписи — имя документа целиком плюс расширение подписи. Если документ переименовали после подписания, переименуйте и подпись.
- Размер подписи в пределах нескольких килобайт. Файл в сотни килобайт означает присоединенную подпись: документ уже внутри, отдельный файл не нужен.
- Расширения имен видны в Проводнике. Без включенного отображения расширений вы не отличите .sig от .sgn и не поймете, что переименовали.
- Установлены криптопровайдер и драйвер носителя. Для работы с КЭП удостоверяющего центра ФНС нужны КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, драйвер вашего токена — Рутокен, JaCarta или eSmart, корневые сертификаты Минцифры России и УЦ ФНС, личный сертификат и плагин для браузера.
Лайфхак: когда приемная сторона принимает только .sig, а у вас пачка .sgn, переименование делается одной командой Rename-Item в PowerShell: партия из 1500 файлов обрабатывается за секунды, содержимое подписи не затрагивается.
Способ 1: отправить документ и подпись парой
Для ведомственных систем и порталов это единственный правильный вариант: в форме два поля, отдельно для документа и отдельно для файла подписи. Сервис проверки на mos.ru принимает файлы до 15 МБ на каждое поле, форма проверки в Добыто.Подпись работает с файлами до 100 МБ и без регистрации. Если пропустить поле подписи, система примет неподписанный файл и вернет отказ уже на этапе рассмотрения.
Для отправки письмом действуют свои правила. Почтовые сервисы и мессенджеры пережимают вложения и меняют содержимое файла, после чего хэш не совпадает и подпись не проходит проверку. Упакуйте документ и подпись в один архив: тогда содержимое доходит байт в байт, а получатель видит одно вложение. В теле письма укажите, каким сертификатом подписан документ и что во вложении лежит пара файлов.
Если подписант действует по машиночитаемой доверенности, файл МЧД добавляется в тот же комплект отдельным файлом. Программы подписания умеют собирать единый архив, где вместе лежат подписанные документы и файл доверенности, чтобы получатель проверил и подпись, и полномочия.
Факт: проверка подписи в КриптоАРМ ГОСТ не требует установки лицензии: программу можно поставить и использовать только для проверки присланных комплектов.
Способ 2: получить один файл вместо двух
Присоединенная подпись помещает документ внутрь контейнера: на выходе один файл, который открывается не двойным щелчком, а средством проверки подписи или сервисом извлечения документа. Такой формат удобен для пересылки и неудобен для чтения — получателю придется сначала извлечь исходный файл.
Встроенная подпись PDF по стандарту PAdES решает вопрос иначе: подпись живет внутри самого PDF, документ открывается обычной программой просмотра, а отметка о подписании видна в панели подписей. Так подписывают выписки и уведомления, которые человек должен просто открыть и прочитать.
Как получить один файл с подписью: пошаговая инструкция
- Шаг 1. Подключите носитель с сертификатом и убедитесь, что криптопровайдер видит контейнер: КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере».
- Шаг 2. Возьмите исходный документ, а не тот, который уже подписан открепленной подписью. Подписывается сам файл, а не пара файлов.
- Шаг 3. Откройте средство подписания: Инструменты КриптоПро, раздел «Создать подпись», либо форму подписания в браузере.
- Шаг 4. Снимите галочку «Создать отсоединенную подпись» или выберите в списке вид подписи «присоединенная». Для PDF со встроенной подписью включите режим PAdES.
- Шаг 5. Выберите сертификат, введите пароль контейнера и подпишите. На выходе появится один файл вместо пары.
- Шаг 6. Проверьте результат средством проверки подписи: статус, подписант, издатель сертификата и время подписания должны отображаться корректно.
Важный нюанс из практики: старую открепленную подпись после переподписания не удаляют, если документ уже ушел контрагенту или в ведомство. У получателя на руках остается прежний комплект, и при разбирательстве сверять будут именно его.
Мария Ж, юрист со стажем более 20 лет: «Переподписание меняет дату и время подписи, а иногда и сертификат, если старый уже истек. Для кадровых и договорных документов это значимая деталь: если контрагент проверяет комплект по первоначальной дате, новый файл вызовет вопросы. Мы сначала уточняем у получателя, какой формат он принимает, и только потом подписываем.»
Способ 3: штамп визуализации, когда подпись нужно увидеть
При открепленной подписи в самом документе нет никаких следов подписания: человек открывает PDF и не понимает, подписан он или нет. Практика для таких ситуаций — формирование точной копии документа, на которую добавляется штамп с информацией о подписи. Оригинал остается неизменным, целостность не нарушается, а копия годится для печати и наглядного просмотра.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Штамп настраивается: расположение на странице, размер, ориентация, страницы, внешний вид, произвольный логотип или дополнительная область с текстом. Юридически значимой остается связка «исходный документ плюс файл подписи», копия со штампом — вспомогательный документ.
Внимание: штамп визуализации ставится на копию документа, а не на оригинал. Если добавить штамп в подписанный файл, изменится его содержимое и подпись перестанет проходить проверку.
Образцы документов для работы с электронной подписью
Комплект для тех, кто впервые собирает и проверяет подписанные документы: начните с чек-листа диагностики, он закрывает большинство ситуаций с непроходящей проверкой.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Письмо контрагенту о переподписании | Скачать |
| Акт о невозможности переподписания | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Реестр сертификатов сотрудников | Скачать |
Как убедиться, что комплект собран правильно
Проверка занимает минуту и выполняется до отправки, а не после отказа. В Инструментах КриптоПро откройте раздел «Проверка подписи», укажите файл подписи, при открепленном варианте программа попросит и исходный документ. Результат «Подпись была успешно проверена» с отпечатком сертификата, именем субъекта и временем подписания означает, что пара сходится. Онлайн то же самое делает сервис проверки электронной подписи на Госуслугах, где загружаются документ и файл подписи и выдается заключение о статусе сертификата.
Для внутренних процедур результат проверки фиксируют протоколом: статус подписи, пара проверенных файлов, данные сертификата, алгоритмы ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012. Протокол скачивается из сервиса проверки и прикладывается к делу вместе с комплектом.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Сотруднику проще один раз проверить комплект в браузере, чем разбираться в настройках криптопровайдера. Мы советуем сохранять протокол проверки сразу: через полгода, когда сертификат подписанта истечет, восстановить картину по памяти уже не получится, а протокол показывает статус на момент проверки.»
Если вы работодатель и читаете этот раздел с мыслью, что подписанные документы у вас разбросаны по почте и папкам, отдельного администратора для этого не нужно: в Добыто.КЭДО документ проходит маршрут согласования и подписания, а после исполнения уходит во вкладку «Архив», откуда его скачивают вместе с подписью.
Ошибки первого раза и во что они обходятся
Самая частая ошибка — отправить только документ, забыв файл подписи. Формально это отправка неподписанного документа: ведомство возвращает пакет, срок подачи при этом не приостанавливается, и заявитель теряет от нескольких дней до полного срока рассмотрения.
Вторая по частоте — правка подписанного файла. Открыли PDF, поставили галочку, пересохранили — подпись мертва, документ нужно подписывать заново. Если сертификат подписанта к этому моменту отозван или истек, переподписать прежней датой невозможно, и вместо технической правки начинается переписка с контрагентом.
Третья — пересылка комплекта через мессенджер без архива. Файл сжимается, хэш не совпадает, получатель видит статус «подпись недействительна» и делает вывод о подделке. Разбор такой ситуации занимает больше времени, чем повторная отправка архивом.
Кейс из практики: в производственной компании на 900 сотрудников кадровая служба два месяца рассылала приказы почтой, вкладывая только PDF без файлов подписи. Проблему нашли на сверке: 340 документов остались без подтверждения подписи. После перевода рассылки в маршруты КЭДО и настройки автоматической выгрузки комплекта повторная отправка заняла один рабочий день.
Отдельная статья расходов — хранение. Открепленная подпись формата CAdES-BES проверяется, пока действует сертификат подписанта. Для длительного хранения подпись усовершенствуют: добавляют штамп времени, ответ службы OCSP о статусе сертификата на момент подписания, затем архивную метку, которая заверяет обе предыдущие. Кадровые документы хранятся десятилетиями, поэтому вопрос усовершенствования встает раньше, чем кажется на первом подписании.
Мария Ж, судебный эксперт по трудовому праву: «В споре смотрят не на красивый штамп в PDF, а на то, проверяется ли подпись по исходному файлу. Храните оригинал документа, файл подписи и протокол проверки в одной папке — и не редактируйте оригинал даже ради исправления опечатки в фамилии. Опечатка правится новым документом и новой подписью.»
Когда прикреплять подпись вообще не нужно
Есть ситуации, где вся описанная возня с файлами избыточна. Первая: документ подписывается в информационной системе, где подпись хранится вместе с документом и проверяется на стороне системы. В сервисе КЭДО сотрудник нажимает «Подписать», а файл подписи никуда не выгружается, пока это не понадобится.
Вторая: получатель прямо просит присоединенную подпись или встроенную подпись PDF. Тогда собирать пару файлов бессмысленно, документ подписывается сразу в нужном формате.
Третья: внутренний документ, который не покидает контур компании. Комплект лежит в архиве системы, и отдельная упаковка нужна только при выгрузке для проверки или для суда.
Четвертая: у вас на руках чужой подписанный документ и нет ключа. Ничего «прикрепить» вы не сможете и не должны — запросите у отправителя тот формат, который принимает ваша система.
Стоимость подписания и перехода на КЭДО
Стоимость зависит от численности сотрудников, набора видов подписи и необходимости интеграции с 1С. Данные приведены на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | на всех тарифах |
| Интеграция с 1С:ЗУП готовым модулем | в тарифе «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности, выбранного тарифа и требований к видам подписи: УКЭП выпускается через партнеров-удостоверяющих центров, а ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах. Условия по каждому тарифу и состав функций — на странице тарифов Добыто КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных, а переход между тарифами возможен в любое время с пропорциональным пересчетом разницы.
Выводы
Открепленная подпись не встраивается в документ и не должна: она подтверждает содержимое конкретного файла и ломается от любой его правки. Практических выходов три — отправлять комплект парой файлов или архивом, подписать документ заново присоединенной подписью или встроенной подписью PDF, сформировать копию со штампом для наглядности. Перед отправкой сверьте имена и размеры файлов, а после сборки проверьте комплект и сохраните протокол.
Мы каждый день разбираем такие комплекты в кадровых процессах: сбор подписей по маршруту, хранение подписанных документов в архиве и выгрузку пары «документ плюс подпись» по запросу проверяющих. Если подписанных документов становится больше, чем помещается в почтовую папку, эти операции проще передать системе, чем держать их на ручном контроле.
Частые вопросы
Можно ли открыть файл .sig и прочитать документ внутри?
У открепленной подписи внутри нет документа: там значение подписи, сертификат подписанта, алгоритмы и время подписания. Прочитать содержимое можно только средством проверки подписи, и оно покажет реквизиты, а не текст договора. У присоединенной подписи документ действительно лежит внутри контейнера и извлекается сервисом извлечения или программой подписания.
Контрагент прислал только файл подписи без документа. Что делать?
Сначала посмотрите на размер: файл в несколько килобайт — это открепленная подпись, документа в ней нет, нужно запрашивать исходный файл. Если файл сопоставим по размеру с обычным документом, это присоединенная подпись, и документ извлекается штатными средствами. Подобрать или восстановить исходный файл по подписи невозможно.
Почему подпись перестала проверяться после пересылки в мессенджере?
Мессенджеры и почтовые сервисы пережимают вложения, особенно изображения и PDF. Содержимое файла меняется, хэш перестает совпадать со значением в подписи, и проверка выдает ошибку несовпадения. Передавайте комплект архивом или через файлообменник, который отдает файл байт в байт.
Нужно ли прикладывать машиночитаемую доверенность и как ее передать?
Если подписант действует не как руководитель организации, а по доверенности, файл МЧД передается вместе с документом и подписью. Программы подписания собирают единый архив, в котором лежат подписанные файлы и файл доверенности, чтобы принимающая сторона проверила и подпись, и объем полномочий.
Можно ли подписать документ с телефона и получить файл .sig?
Мобильные средства подписи работают на iOS, Android и ОС «Аврора», ключ считывается с токена или смарт-карты по NFC. Файл подписи при этом сохраняется в память телефона рядом с документом и штатными приложениями не открывается — у него нет собственного просмотрщика, это нормальное поведение, а не признак повреждения.
Обязательно ли ставить КриптоПро CSP, если подпись выдал удостоверяющий центр ФНС?
Для работы с квалифицированной подписью УЦ ФНС на рабочем месте нужны драйвер носителя (Рутокен, JaCarta, eSmart), КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, корневые сертификаты Минцифры России и УЦ ФНС, личный сертификат и браузерный плагин. Без криптопровайдера подписать документ ГОСТ-подписью на компьютере не получится, проверка чужой подписи при этом доступна и через онлайн-сервисы.
