Отсоединённая электронная подпись создаётся без установки программ только в одном случае: когда закрытый ключ лежит не на вашей рабочей станции, а в приложении Госключ, в облаке удостоверяющего центра или на сервере оператора КЭДО. Результат везде одинаковый — отдельный файл контейнера CMS рядом с документом, с расширением sig, p7s, sgn, sign или bin. Содержимое у этих файлов одно и то же, расширение задаёт принимающая сторона. Главное различие, от которого зависит порядок действий: при ключе на токене Рутокен, JaCarta или ESMART криптопровайдер на машине обязателен, потому что встроенная криптография токена не заменяет КриптоПро CSP; при ключе в Госключе или в облаке подписание выполняется на стороне сервиса, и на рабочей станции не ставится ничего.
Разберём четыре рабочих способа получить открепленную подпись без локального криптопровайдера, порядок действий по каждому и границу, за которой способ перестаёт работать. Покажем, что лежит внутри контейнера, как передать документ и файл подписи парой и что проверить до отправки, чтобы принимающая сторона не получила ошибку 0x80091007. Сценарная таблица под конкретные задачи, требования к машиночитаемой доверенности и кодам полномочий, разбор частых ошибок, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Загрузите документ и подпишите его прямо в браузере: сервис отдаст исходный файл и отдельный файл подписи.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Что такое отсоединённая подпись и когда её требуют
Отсоединённая (открепленная, detached) подпись — это контейнер CMS в кодировке DER, который хранится отдельным файлом и содержит не сам документ, а его хеш и данные подписанта. Внутри контейнера лежат версия, идентификатор алгоритма хэширования по ГОСТ, блок сертификатов X.509 с цепочкой доверия, список отозванных сертификатов и структура SignerInfo: значение подписи, заявленное время подписания, штамп времени TSP и профиль усовершенствования. Присоединённая подпись отличается тем, что документ упакован внутрь того же контейнера, и на выходе получается один файл вместо двух.
Требуют открепленную подпись обычно там, где документ должен остаться байт в байт тем же, что и был: приём XML-файлов ведомственными системами, загрузка сканов в личные кабинеты, двусторонние договоры, где каждая сторона добавляет свой файл подписи, а исходный PDF не меняется. Для долгого хранения открепленный вариант удобнее ещё и потому, что подпись можно наращивать по уровням CAdES, не трогая документ.
Уровень усовершенствования влияет на то, проверится ли подпись через несколько лет. CAdES-BES содержит только подпись владельца и хеш, CAdES-T добавляет штамп времени от службы TSA, CAdES-A — ответы OCSP и архивную метку с периодическим переподписанием, что рассчитано на хранение до пятидесяти лет. Если документ уйдёт в архив на длительный срок, уровень подписи нужно выбирать до подписания, а не после.
Мария Ж, специалист по цифровой подписи и КЭДО: «Спор про присоединённую и открепленную подпись почти всегда решается не техническими предпочтениями, а регламентом приёмной стороны. Уточните формат до подписания: если система ждёт документ и подпись отдельными файлами, присоединённый контейнер она просто не примет, и переподписывать придётся заново.»
Где лежит ключ: от этого зависит, обойдётесь ли вы без установки программ
Ключи для ГОСТ-подписи делятся на извлекаемые и неизвлекаемые. Извлекаемые генерируются программным криптопровайдером, а токен работает как защищённое пин-кодом хранилище; при подписании закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемые генерируются криптоядром внутри микроконтроллера токена и память устройства не покидают: на подпись в токен передаётся не только пин-код, но и хеш документа, а обратно возвращается готовая последовательность подписи, которую программное средство упаковывает в нужный формат.
Дальше начинается место, где ломаются ожидания. Аппаратная криптография на токене не равна установленному КриптоПро CSP: если информационная система работает через этот криптопровайдер, его придётся поставить на компьютер и ввести лицензию, независимо от модели носителя. Поэтому фраза «подписать без программ» применима к токену только условно — подписать не выйдет, пока на машине нет провайдера и, как правило, браузерного плагина.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: встроенное криптоядро токена не заменяет КриптоПро CSP. Для работы в системе, которая использует этот провайдер, его нужно установить на рабочее место и активировать лицензию, даже если ключ неизвлекаемый и все криптооперации идут на борту устройства.
Сценарии читателя различаются не по типу документа, а по тому, чем он располагает в момент задачи. Таблица ниже сводит четыре типовые ситуации к решению.
| Ситуация | Что критично | Что вторично |
|---|---|---|
| Ключ на токене, машина чужая или без прав администратора | Подписать с другого носителя ключа: Госключ или облачный сертификат | Модель токена и версия провайдера |
| Нужно подписать один документ и отправить контрагенту | Формат подписи и расширение, которые примет вторая сторона | Уровень CAdES |
| Документ уходит в архив на годы | Штамп времени и уровень CAdES-T или CAdES-A | Расширение файла подписи |
| Сотрудник подписывает от лица компании | Сертификат физлица плюс МЧД с корректным кодом полномочия | Способ доставки файлов |
| Массовое подписание кадровых документов | Серверное подписание и маршрут в системе КЭДО | Наличие токенов у сотрудников |
Из таблицы следует практический критерий отбора: способ подписания выбирается по носителю ключа и по требованиям приёмной стороны, а не по привычному инструменту. В практике Добыто именно на этом шаге чаще всего экономится время: если ключ сотрудника в Госключе, ставить ему криптопровайдер не нужно вовсе.
Четыре способа сделать открепленную подпись без локального криптопровайдера
Способов, при которых на рабочую станцию не ставится ничего, четыре. Различаются они местом хранения ключа, видом подписи и границами применения.
| Способ | Где ключ | Вид подписи | Ограничение |
|---|---|---|---|
| Госключ | Мобильное приложение на смартфоне | УНЭП, а также УКЭП | Подписание идёт в сервисах, интегрированных с Госключом, и на портале Госуслуг |
| Облачная подпись удостоверяющего центра | Сервер удостоверяющего центра | УКЭП | Работает только в сервисах с интеграцией программного обеспечения этого центра |
| Серверное подписание в системе КЭДО | Инфраструктура оператора | УКЭП работодателя, УНЭП работника | Только документы, заведённые в систему |
| Мобильная подпись, встроенная в SIM-карту и приложение | SIM-карта и приложение на телефоне | Зависит от выпустившего центра | Надёжность ниже: телефон легко потерять |
Строка про облачную подпись — самая недооценённая. Закрытый ключ хранится на сервере удостоверяющего центра, значит, вы доверяете инфраструктуре центра, а подписать облачным сертификатом получится только там, где программное обеспечение этого центра уже встроено. Универсальным инструментом облачная подпись не является.
Госключ: подписание с телефона, когда на компьютере ничего ставить нельзя
Госключ — мобильное приложение, опубликованное в четырёх маркетах для iOS, Android, Huawei и на отечественной платформе. Сертификат выпускается дистанционно, ехать в удостоверяющий центр не нужно: достаточно подтверждённой учётной записи на Госуслугах и номера телефона, а клиентский путь занимает несколько минут. Правила формирования и использования усиленной неквалифицированной подписи в этой инфраструктуре установлены постановлением Правительства от 1 декабря 2021 года № 2152.
Факт: выпуск сертификата в Госключе для граждан России и для юридических лиц безвозмездный, а идентификация проходит дистанционно через подтверждённую учётную запись Госуслуг.
Полезная деталь, о которой редко пишут: через портал Госуслуг документ можно отправить самому себе и подписать — это удобный способ проверить весь маршрут до того, как встраивать подписание в рабочий процесс. Описание сервиса и ссылки на приложение собраны в разделе Госключа на портале Госуслуг, там же указано, где проверить подпись и сертификат.
Как подписать документ отсоединённой подписью через Госключ: пошаговая инструкция
- Шаг 1. Проверьте учётную запись на Госуслугах: она должна быть подтверждённой, к ней должен быть привязан актуальный номер телефона.
- Шаг 2. Установите приложение из маркета своей платформы и выпустите сертификат. Идентификация проходит дистанционно, визит в удостоверяющий центр не требуется.
- Шаг 3. Загрузите документ в сервис, который интегрирован с Госключом, или отправьте файл себе через портал Госуслуг.
- Шаг 4. Откройте пришедшее уведомление, прочитайте документ на экране телефона, подтвердите ознакомление и нажмите подписание. Отказ от подписи в приложении тоже предусмотрен.
- Шаг 5. Скачайте результат: исходный документ и отдельный файл подписи. Дальше они передаются только парой.
- Шаг 6. Проверьте подпись в любом сервисе проверки до отправки контрагенту и сохраните протокол проверки.
Важный нюанс из практики: когда приложение уже установлено, подписание кадрового документа занимает около минуты. Записанный клиентский путь от нажатия кнопки в системе до статуса «подписан обеими сторонами» укладывается в 52 секунды. Разговоры о том, что мобильная подпись медленнее токена, практикой не подтверждаются: время съедает не подписание, а установка приложения и первый выпуск сертификата.
Когда способ без установки программ не подходит
Отказаться от идеи стоит в трёх случаях. Первый: информационная система требует конкретный криптопровайдер и работу через браузерный плагин — тогда установка неизбежна, и обходных путей нет. Второй: у вас ключ формата PKCS#11 для отраслевой системы вроде государственной системы алкогольного регулирования, где другой формат не подойдёт. Третий: организация уже выдала сотрудникам токены и ведёт учёт носителей — переводить одного человека на облачную схему ради разовой задачи дороже, чем поставить провайдер.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Перед тем как разворачивать облачную схему на всю компанию, мы закладываем пилотную группу. На пилоте видно главное ограничение: облачный сертификат работает только в сервисах, где интегрировано программное обеспечение выпустившего центра. Проверьте список таких сервисов до закупки, а не после.»
Расширения sig, p7s, sgn: чем они отличаются и кто их выбирает
Различий в содержимом между этими файлами нет. Это один и тот же контейнер CMS, а расширение — способ обозначить его в файловой системе. В настройках инструментов КриптоПро на выбор предлагаются p7s, sig и sgn при формате CAdES-BES; в КриптоАРМ ГОСТ список шире — sig, p7s, sgn, sign и bin, там же задаются кодировка и вид подписи, откреплённый или встроенный.
| Расширение | Что внутри | Где предлагается на выбор |
|---|---|---|
| sig | Контейнер CMS, кодировка DER | Инструменты КриптоПро, КриптоАРМ ГОСТ |
| p7s | Контейнер CMS, кодировка DER | Инструменты КриптоПро, КриптоАРМ ГОСТ |
| sgn | Контейнер CMS, кодировка DER | Инструменты КриптоПро, КриптоАРМ ГОСТ |
| sign | Контейнер CMS, кодировка DER | КриптоАРМ ГОСТ |
| bin | Контейнер CMS, кодировка DER | КриптоАРМ ГОСТ |
Практический вывод из таблицы: если приёмная сторона ждёт p7s, а сервис отдал sig, переименование файла содержимое не портит — меняется только имя. Но делать это стоит только тогда, когда требование к расширению явно записано в регламенте площадки: массовое переименование вслепую создаёт больше проблем, чем решает.
Что проверить до подписания
Подготовка занимает пять минут и снимает большую часть ошибок приёма.
- Формат подписи. Уточните у приёмной стороны: откреплённая или встроенная, какое расширение, какой уровень CAdES.
- Итоговая версия документа. После подписания файл нельзя пересохранять, конвертировать и открывать с автосохранением: изменится хеш, подпись перестанет сходиться.
- Сертификат. Проверьте владельца, издателя и срок действия. Подпись, сделанная после окончания срока действия сертификата, проверку не пройдёт.
- Полномочия. Если подписывает не руководитель, приготовьте машиночитаемую доверенность с нужным кодом полномочия.
- Штамп времени. Для документов длительного хранения выбирайте уровень со штампом времени сразу: добавить его задним числом к готовой подписи нельзя.
Мария Ж, юрист со стажем более 20 лет: «Мы закладываем отдельный шаг на сверку итоговой версии документа перед подписанием. Один пересохранённый PDF после подписи — это переподписание всей цепочки, а если сторон две, то ещё и переписка с контрагентом. Дешевле потратить пару минут на проверку, чем неделю на повторный круг согласований.»
Как передать документ и подпись, чтобы проверка прошла
Открепленная подпись передаётся только парой: исходный файл и файл подписи. Отправка одного файла подписи бессмысленна — без документа проверять нечего, поскольку в контейнере лежит хеш, а не содержимое. Ведомственные системы это правило закрепляют прямо в интерфейсе: две отдельные зоны загрузки, одна для документа, вторая для подписи.
При отправке письмом почтовые системы иногда режут вложения с незнакомым расширением. Рабочий приём — упаковать пару в архив без пароля и указать в теле письма, каким именно файлом подписан документ. Если получатель работает через веб-интерфейс ведомственной системы, приложите ещё и протокол проверки: это снимает половину вопросов на первом круге.
Важный нюанс из практики: при двустороннем подписании открепленный формат даёт три файла — договор и по одному файлу подписи от каждой стороны. Встроенная подпись даёт один PDF с двумя подписями внутри. Смешивать подходы в одной сделке не стоит: вторая сторона получит файл, который её проверяющий инструмент прочитает не так, как ожидалось.
Как проверить открепленную подпись и зафиксировать результат
Проверка тоже выполняется без установки программ. В браузерный сервис проверки загружаются два файла: документ и файл подписи, вид подписи указывается переключателем. На выходе сервис показывает подписанта, издателя сертификата, срок действия, использование ключа и алгоритм по ГОСТ.
Отдельно смотрите на статус сертификата, а не только на статус подписи. Подпись может быть математически верной, но сертификат при этом отозван или выпущен тестовым центром — тогда результат проверки будет отрицательным, хотя с криптографией всё в порядке. В сервисе проверки Добыто оба параметра выводятся в одной карточке, а результат можно выгрузить протоколом и приложить к делу.
Образцы документов для работы с электронной подписью
Комплект закрывает три задачи: зафиксировать результат проверки, разобрать неудачную проверку по шагам и навести порядок в учёте выданных ключей. Начните с чек-листа диагностики.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Реестр выданных токенов | Скачать |
| Письмо контрагенту о переподписании | Скачать |
МЧД: когда подписи сотрудника недостаточно
Сертификаты, выданные на сотрудника с указанием организации, ушли в прошлое. Сейчас сертификат выпускается на физическое лицо, а полномочия подтверждаются машиночитаемой доверенностью. Руководитель и индивидуальный предприниматель получают квалифицированный сертификат в удостоверяющем центре ФНС, остальные сотрудники — в аккредитованных коммерческих центрах, после чего руководитель подписывает МЧД своей квалифицированной подписью.
МЧД — это XML-файл, а не PDF: он рассчитан на чтение алгоритмами, которые автоматически сверяют полномочия подписанта с требованиями системы. Каждое полномочие имеет код, дату и уникальный идентификационный номер и берётся из классификатора, размещённого в Единой системе нормативной и справочной информации. Если нужного полномочия в классификаторе нет, участник электронного взаимодействия направляет свой перечень в Минцифры: на рассмотрение отводится 10 дней, а при положительном решении ещё три рабочих дня на присвоение кодов и включение в классификатор. Пока наполнение продолжается, полномочие допускается вписывать вручную.
Отдельный сервис для создания доверенности разработала ФНС — «Создание и проверка доверенности в электронной форме». Он формирует МЧД в виде XML-файла, который вы скачиваете и прикладываете к подписанным документам. Ограничение прямое: доверенности из этого сервиса рассчитаны на налоговые действия.
Мария Ж, судебный эксперт по трудовому праву: «Когда полномочия нужно передать дальше, например руководителю филиала, передоверие оформляется через нотариуса: нужны паспорт нового уполномоченного лица и актуальная выписка из ЕГРЮЛ. Нотариус создаёт новую доверенность, подписывает своей квалифицированной подписью и выгружает в информационную систему. Заложите на это отдельный срок, техническая оснащённость нотариусов различается.»
Частые ошибки и во что они обходятся
Ошибка первая: документ пересохранили после подписания. Проверка выдаёт 0x80091007 — неправильное значение хеша, сообщение содержит неверную подпись. Причина не в криптографии, а в том, что файл изменился хотя бы на байт. Цена: полный круг переподписания, а при двустороннем документе ещё и письмо контрагенту с просьбой переподписать.
Ошибка вторая: отправили только файл подписи или только документ. Приёмная система вернёт отказ, потому что открепленная подпись без исходного файла непроверяема. Цена: потерянный день на переписку, а если речь о подаче в срок — пропущенный срок.
Ошибка третья: переименовали документ после подписания. Формально подпись остаётся валидной, содержимое не изменилось, но у получателя ломается сопоставление пары, и половина автоматических приёмников файл не подхватывает. Цена: ручной разбор на стороне получателя.
Ошибка четвёртая: выбрали уровень CAdES-BES для документа, который хранится годами. Через несколько лет сертификат истечёт, а без штампа времени доказать, что подпись поставлена в период его действия, будет нечем. Цена измеряется не деньгами за услугу, а утратой доказательства в споре.
Если вы работодатель и читаете этот раздел с мыслью, что у ваших сотрудников такие ошибки происходят регулярно, отдельный администратор для этого не нужен: в сервисе Добыто маршрут подписания и хранение файлов подписи ведутся системой, а протокол проверки выгружается по кнопке.
Журнал учёта подписей и сценарий «ключ недоступен»
Учёт ведётся в двух реестрах: реестр выданных токенов и реестр сертификатов сотрудников. В них фиксируются владелец, серийный номер сертификата, издатель, срок действия и факт выдачи носителя. Без такого журнала невозможно ответить на два вопроса, которые возникают всегда: у кого заканчивается сертификат на следующей неделе и кто физически держит конкретный токен.
Сценарий «ключ остался на рабочей машине» решается не поиском обходных путей, а заранее выбранной второй схемой подписания. Если у сотрудника есть сертификат в Госключе, документ подписывается с телефона независимо от того, где находится токен. Если второй схемы нет, срочная задача упирается в физический доступ к носителю.
Лайфхак: если удостоверяющий центр вшил лицензию КриптоПро CSP в сертификат, ключом можно пользоваться и на машине с истёкшей лицензией провайдера. Срок такой лицензии равен сроку действия сертификата, для других ключей на той же машине понадобится полная лицензия.
Важный нюанс из практики: на токене объёмом 128 килобайт помещается до 31 контейнера в формате КриптоПро CSP, но реальное число зависит от того, что удостоверяющий центр записал в расширения сертификата. Верхняя оценка на один контейнер с полной цепочкой — порядка 12 килобайт. Планируя выдачу нескольких сертификатов на один носитель, считайте по верхней границе.
Стоимость подключения и тарифы на подписание документов
Стоимость зависит от численности сотрудников и от набора функций: виды подписей, интеграция с 1С, электронный архив и уровень поддержки различаются по тарифам.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение от 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника в месяц | подключение от 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | период 1 год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | рассчитывается индивидуально |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности, выбранного тарифа и потребности в интеграции с учётной системой. Состав каждого тарифа, условия перехода между тарифами и пересчёт при повышении разобраны на странице тарифов Добыто КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных, а тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Возможность подписать документ без установки программ определяется местом хранения ключа. Госключ, облачный сертификат удостоверяющего центра и серверное подписание в системе КЭДО дают открепленную подпись без криптопровайдера на рабочей станции, а токен с ГОСТ-контейнером такую возможность закрывает. Файл подписи с любым из расширений sig, p7s, sgn, sign и bin содержит один и тот же контейнер CMS, и передавать его нужно только вместе с исходным документом, не меняя ни имя, ни содержимое файла.
Мы в Добыто выстраиваем подписание так, чтобы вопрос о криптопровайдере у сотрудника не возникал вовсе: маршрут документа, выпуск подписи, хранение файлов подписи и выгрузка протоколов проверки живут внутри системы, а работник подписывает с телефона или из браузера.
Частые вопросы
Можно ли конвертировать присоединённую подпись в отсоединённую
Нет. Вид подписи задаётся в момент её создания и записывается в структуру контейнера: в присоединённом варианте документ упакован внутрь, в отсоединённом контейнер хранит только хеш и данные подписанта. Пересобрать один вид в другой без нового подписания невозможно, потому что значение подписи привязано к конкретной структуре. Если приёмная сторона ждёт открепленный файл, документ подписывается заново с нужной настройкой.
Подойдёт ли подпись из Госключа для подписания договора с контрагентом
Зависит от того, какая подпись выпущена и что согласовано сторонами. Госключ формирует усиленную неквалифицированную подпись по правилам постановления Правительства от 1 декабря 2021 года № 2152, а также квалифицированную. УНЭП признаётся равнозначной собственноручной подписи в отношениях, где стороны договорились об этом соглашением, а подписание идёт в сервисах, интегрированных с Госключом. Для внешнего договора с произвольным контрагентом заранее уточните, принимает ли он такой формат.
Что делать, если сертификат уже истёк, а документ подписан давно
Проверять подпись по штампу времени. Если при подписании выбирался уровень CAdES-T, в контейнере есть штамп от службы TSA, который подтверждает момент подписания; CAdES-A добавляет ответы OCSP и архивную метку с периодическим переподписанием и рассчитан на хранение до пятидесяти лет. Если подпись была уровня CAdES-BES, доказать, что она поставлена в период действия сертификата, штатными средствами не получится.
Сколько сертификатов помещается на один токен
На носителе объёмом 128 килобайт умещается до 31 контейнера в формате КриптоПро CSP. Точное число зависит от того, что удостоверяющий центр записал в расширения сертификата: верхняя оценка одного контейнера с дополнительной информацией и цепочкой — порядка 12 килобайт, а контейнер без установленных цепочек может занимать около 200 байт.
Можно ли работать с одним ключом на разных компьютерах
Да, но формат ключа выбирается заранее. Извлекаемый пассивный ключ работает и со старыми, и с новыми версиями провайдера, поэтому подходит, когда носитель переносится между разными рабочими станциями. Неизвлекаемые ключи с защитой канала требуют провайдера версии не ниже 5.0 на каждой машине, где вы собираетесь подписывать. Решение принимается при создании контейнера: переделать выбранный режим потом нельзя.
Нужна ли МЧД, если документ подписывает генеральный директор
Нет. Руководитель юридического лица и индивидуальный предприниматель подписывают документы своей квалифицированной подписью, полученной в удостоверяющем центре ФНС, доверенность им не требуется. МЧД нужна сотруднику, который подписывает от лица компании сертификатом физического лица: бухгалтеру, отправляющему отчётность, или специалисту, работающему с электронным документооборотом.
Обязательно ли ставить расширение sig, если система просит p7s
Содержимое файла от расширения не зависит: и sig, и p7s — это один контейнер CMS в кодировке DER. Если регламент площадки прямо требует конкретное расширение, файл можно переименовать. Проверять после этого нужно обязательно: если площадка отвергает файл не из-за имени, а из-за формата или уровня подписи, переименование ситуацию не изменит.
