Отсоединённая электронная подпись — это отдельный файл рядом с документом: исходный файл остаётся байт в байт прежним, а результат подписания складывается в контейнер CMS с расширением .sig, .p7s или .sgn. На компьютере её создают в КриптоАРМ ГОСТ 3, в Инструментах КриптоПро или командой cryptcp, и во всех трёх случаях операции с ключом выполняет криптопровайдер КриптоПро CSP, а сертификат лежит в контейнере на токене или в реестре. Порядок действий определяет один выбор: если получателю нужен PDF с видимым штампом, который откроется в любом просмотрщике, ставится встроенная подпись PAdES; если подписываются XML, ZIP, DOCX, машинные выгрузки и всё, что менять нельзя, ставится отсоединённая подпись CAdES отдельным файлом.
Дальше разберём создание отсоединённой подписи в КриптоАРМ ГОСТ 3 по шагам, включая кодировку DER, вид подписи и выбор расширения файла. Отдельно покажем, что проверить на рабочем месте до первого подписания, как приложить МЧД и собрать единый архив, что именно отдавать получателю и чем он проверит комплект. Пакетное подписание через cryptcp, разбор типовых сбоев, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Если КриптоАРМ на этой машине не установлен, а подписать нужно прямо сейчас, откреплённую подпись на свои файлы можно сформировать в браузере и скачать отдельно или архивом вместе с документами.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Чем отсоединённая подпись отличается от присоединённой и встроенной
Отсоединённая подпись не трогает подписываемый файл. Криптопровайдер считает хэш содержимого, подписывает его закрытым ключом и складывает результат вместе с сертификатом подписанта в отдельный контейнер CMS. Документ после этого открывается тем же Word, Acrobat или текстовым редактором, что и до подписания, а проверять подпись придётся, загружая оба файла сразу. Присоединённая подпись работает иначе: документ упаковывается внутрь контейнера, и без специальной программы исходник оттуда не достать.
Три способа упаковки различаются тем, что получает вторая сторона и чем она сможет с этим работать.
| Способ упаковки | Что получает вторая сторона | Чем открывается документ | Ограничение |
|---|---|---|---|
| Отсоединённая, CAdES | Два файла: исходный документ и файл подписи | Штатной программой, ничего доустанавливать не нужно | Файлы нельзя разлучать и переименовывать: для проверки нужны оба |
| Присоединённая, CAdES | Один файл, внутри которого лежат и документ, и подпись | Только программой работы с подписью, документ сначала извлекают | Получатель без криптографического ПО не откроет содержимое |
| Встроенная в PDF, PAdES | Один PDF, подпись и штамп находятся внутри документа | Любым просмотрщиком PDF, штамп виден сразу | Работает только с PDF, для XML и выгрузок неприменима |
Формат подписи задаёт приёмная сторона и тип файла. Ведомственные системы, порталы закупок и обмен машиночитаемыми выгрузками почти всегда требуют пару «документ плюс файл подписи»: любое изменение байтов исходника ломает проверку хэша.
Мария Ж, специалист по цифровой подписи и КЭДО: «Отсоединённую подпись выбирают там, где документ трогать нельзя: XML-выгрузка, архивный комплект, файл, который дальше пойдёт в чужую информационную систему. Побочный эффект — при открытии самого документа не видно, что он подписан, и получатель регулярно решает, что подписи нет. Если это критично, формируйте отдельную копию документа со штампом визуализации и отправляйте её приложением к оригиналу, а не вместо него.»
Что проверить на рабочем месте до первого подписания
Большая часть ошибок при создании отсоединённой подписи возникает до нажатия кнопки: не тот криптопровайдер, не тот режим ключа, не установленная цепочка доверия. Пять пунктов ниже закрывают почти весь список обращений.
- Версия криптопровайдера. Актуальный релиз — КриптоПро CSP 5.0 R3. Он сертифицирован по классам КС1, КС2 и КС3, причём класс КС3 реализуется уже не только на Windows, но и на Astra Linux Special Edition и Red Hat Enterprise Linux 8. КриптоПро CSP 4.0 не умеет работать с неизвлекаемыми ключами и не поддерживает Windows 11.
- Лицензия. Единая лицензия на линейку 5.0 подходит и для 5.0 R2, и для 5.0 R3. При переходе с четвёртой версии покупается лицензия на обновление, она дешевле новой. Если сертификат выпущен в удостоверяющем центре ФНС, лицензия на криптопровайдер вшита внутрь сертификата и действует ровно столько, сколько действует сам сертификат.
- Режим ключа на носителе. Ключи делятся на извлекаемые, которые криптопровайдер на время операции поднимает в оперативную память, и неизвлекаемые, которые никогда не покидают микроконтроллер токена. Функциональный ключевой носитель с защитой канала по протоколу SESPAKE работает только с КриптоПро CSP 5.0 и выше. Удостоверяющий центр ФНС выдаёт неэкспортируемый контейнер: скопировать такой ключ на вторую машину нельзя.
- Цепочка доверия. Для квалифицированного сертификата корневые сертификаты обычно приезжают вместе с ключом. Для усиленной неквалифицированной подписи их приходится ставить руками, и при разрыве цепочки подписание просто не запускается.
- Программа подписания. КриптоАРМ ГОСТ 3 сертифицирован в составе КриптоПро CSP 5.0 R3 по классам КС1 и КС2. При работе через графический интерфейс никаких дополнительных исследований по оценке влияния среды функционирования проводить не нужно; они потребуются только при интеграции через API продукта.
Факт: сертификаты соответствия на все релизы линейки КриптоПро CSP 5.0 — R1, R2 и R3 — действуют до 1 мая 2027 года. Сертификат на КриптоПро CSP 4.0 продлён до 15 января 2026 года.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
В практике Добыто инвентаризация парка рабочих мест перед массовым подписанием начинается именно с версии криптопровайдера и режима ключа на токенах: расхождение здесь означает, что часть сотрудников физически не сможет использовать свой ключ на чужой машине.
Полезно знать: ESMART Token ГОСТ построен на отечественной микросхеме MIK51 производства «Микрон» и сертифицирован ФСБ России по классам КС1, КС2 и КС3. Прошивка позволяет работать без установки дополнительных драйверов в Windows, Linux и macOS, а сертификаты совместимости с КриптоПро CSP и ViPNet CSP означают, что связка заводится из коробки.
Как создать отсоединённую подпись в КриптоАРМ ГОСТ 3
КриптоАРМ ГОСТ 3 работает как универсальное средство подписи и шифрования: подписывает файлы любых форматов, проверяет чужие подписи, шифрует данные по ГОСТ 2015 (магма и кузнечик) и содержит встроенный почтовый клиент с поддержкой S/MIME. Отсоединённый вид подписи задаётся не в момент нажатия кнопки, а в профиле подписи, поэтому настройку делают один раз и дальше переиспользуют.
Как подписать документ отсоединённой подписью: пошаговая инструкция
- Шаг 1. Подключите носитель с ключом и убедитесь, что сертификат виден в системе. Если сертификата в списке нет, установите его из контейнера через панель управления криптопровайдера.
- Шаг 2. Откройте КриптоАРМ ГОСТ 3, перейдите на вкладку «Документы» и добавьте файлы, которые нужно подписать. Ограничений по форматам нет: PDF, DOCX, XML, ZIP и произвольные бинарные файлы обрабатываются одинаково.
- Шаг 3. Откройте профиль подписи и в блоке параметров CAdES выставьте кодировку DER, вид подписи — откреплённая, и нужное расширение файла подписи. Именно этот переключатель превращает подпись из присоединённой в отсоединённую.
- Шаг 4. Если подписываете пачку файлов, включите групповую подпись и отметьте создание отдельного пакета для каждого документа. Флажок встроенной подписи PDF по стандарту PAdES при откреплённой схеме оставьте выключенным: иначе получите подпись внутри PDF вместо отдельного файла.
- Шаг 5. Нажмите «Подпись и шифрование». В окне подтверждения проверьте, каким сертификатом идёт подписание, и введите ПИН-код токена или пароль контейнера.
- Шаг 6. В окне результатов операции откройте свойства подписи и сразу проверьте цепочку сертификации. Это дешевле, чем узнать о разорванной цепочке от получателя через сутки.
- Шаг 7. Заберите из папки пару файлов: исходный документ и созданный рядом файл подписи. Дальше документ не переименовывайте и не пересохраняйте.
Какое расширение выбрать: sig, p7s, sgn, sign или bin
Внутри всех этих файлов лежит один и тот же контейнер CMS. Расширение работает как ярлык для приёмной стороны, и КриптоАРМ ГОСТ даёт на выбор пять вариантов: sig, p7s, sgn, sign и bin. Инструменты КриптоПро предлагают более короткий список из p7s, sig и sgn. Ни один из вариантов не делает подпись сильнее другого.
Практическая логика простая. Если регламент площадки или ведомственной системы называет конкретное расширение, ставьте его. Если требований нет, ставьте .sig: его понимают почти все сервисы проверки. Файл .sgn чаще прилетает от контрагентов, работающих в отраслевых системах, и получатели регулярно принимают его за зашифрованный. Содержимое от переименования не меняется, и .sgn спокойно переименовывается в .sig, если проверяющий сервис не принимает исходное расширение.
Лайфхак: для проверки чужой подписи лицензия на КриптоАРМ не нужна. Программа устанавливается и проверяет подписи без ввода лицензионного ключа, поэтому её ставят бухгалтерии и секретариату как приёмный инструмент, не покупая на них полные лицензии.
Мария Ж, юрист со стажем более 20 лет: «Расширение файла подписи — вопрос регламента приёмной стороны. Прежде чем подписывать пачку из тысячи документов, откройте требования площадки и выясните, что она принимает: sig, p7s или sgn. Переподписать тысячу файлов из-за неверного расширения дороже, чем потратить десять минут на чтение регламента.»
Пакетное подписание, cryptcp и автоматизация
Графический интерфейс перестаёт справляться, когда подписывать нужно сотни и тысячи файлов по расписанию. Для таких задач у КриптоПро есть консольная утилита cryptcp, а у КриптоАРМ — серверное исполнение с REST API, которое поставляется докер-образами и разворачивается внутри контура организации.
Ниже собраны сценарии, с которыми чаще всего приходит системный администратор, и то, что в каждом из них критично.
| Сценарий | Чем подписывать | Что критично |
|---|---|---|
| Один договор контрагенту | КриптоАРМ ГОСТ 3 или Инструменты КриптоПро | Вид подписи и расширение, согласованные с получателем |
| Пачка однотипных актов и деклараций | Групповая подпись в КриптоАРМ с отдельным пакетом на документ | Профиль подписи настраивается один раз до запуска пакета |
| Подписание по расписанию из скрипта | cryptcp или серверное исполнение КриптоАРМ через REST | Обезличенный сертификат информационной системы вместо ключа сотрудника |
| Приёмка чужих подписей потоком | Серверное исполнение КриптоАРМ с автоматической проверкой | Результат проверки сохраняется в базу и в PDF-протокол |
| Подписание сотрудниками без установки ПО | Система КЭДО с подписанием в браузере или мобильном приложении | Криптопровайдер и токен на рабочем месте не нужны |
Строки таблицы различаются владельцем ключа. Как только подписание уходит в автоматический режим, ключ конкретного сотрудника перестаёт быть подходящим инструментом, и его место занимает обезличенный сертификат.
Важный нюанс из практики: для автоматического подписания оператор информационной системы может получить в удостоверяющем центре ФНС обезличенный сертификат. Он выдаётся на юридическое лицо или индивидуального предпринимателя и привязывается к информационной системе. Сотрудники таким сертификатом пользоваться не могут, и подписать им можно не любой документ: типовое применение — счета, квитанции и запросы, которые система формирует сама в большом количестве.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Когда подписание настраивается для сотрудников компании, ставить КриптоПро CSP и КриптоАРМ на каждое рабочее место не обязательно. В сервисе Добыто подписание кадровых документов уходит в браузер и мобильное приложение, ПЭП и УНЭП для сотрудников выпускаются внутри платформы, а откреплённая подпись формируется на файл без криптопровайдера на клиентской машине.
Как приложить МЧД к отсоединённой подписи
Когда документ подписывает не руководитель, а сотрудник по машиночитаемой доверенности, одного файла подписи получателю мало: ему нужно проверить и подпись, и полномочия. КриптоАРМ ГОСТ прикрепляет к сертификату файл МЧД и по итогам подписания формирует единый архив, в котором лежат подписанные данные, файл доверенности и подпись доверенности. Получатель распаковывает один пакет и проверяет всё сразу.
Статус самой доверенности программа проверяет через официальный сервис проверки машиночитаемых доверенностей ФНС: по конкретной доверенности видны текущий статус и перечень полномочий. Данные МЧД в формате XML КриптоАРМ дополнительно преобразует в читаемый PDF, где показаны сведения о доверителе и представителе, полномочия и срок действия. Такой файл удобно распечатать и приложить к делу.
Отдельный случай — передоверие. Цепочка доверенностей допускается, когда её выдаёт руководитель обособленного филиала. Передоверие внутри одной организации от одного работника другому, например от главного бухгалтера рядовому бухгалтеру, заверяется нотариально.
Мария Ж, судебный эксперт по трудовому праву: «Про отзыв доверенности вспоминают позже всего. При увольнении сотрудника проверяйте не только сертификат, но и все выданные на него МЧД. Сертификат отзывается заявлением в тот удостоверяющий центр, который его выдал: удаление контейнера из реестра рабочей машины подпись не аннулирует. Доверенность, где должность представителя не указана, продолжает действовать и после увольнения.»
Что отдать получателю и как он проверит комплект
Получателю уходят ровно два объекта: исходный документ и файл подписи. Файл подписи наследует имя документа и получает своё расширение, поэтому пара «dogovor.pdf» и «dogovor.pdf.sig» читается однозначно. Разница в размерах нормальна: документ на 74 КБ и подпись на 2-4 КБ — ожидаемая картина, потому что в контейнере лежат подпись хэша и сертификат, а не сам документ.
Передавать пару лучше одним архивом или одним письмом. Как только файлы разъезжаются по разным письмам, у получателя появляется шанс проверить подпись от старой версии документа и получить ошибку неверного хэша. Если содержимое конфиденциально, файлы перед отправкой шифруются открытым ключом получателя: сертифицированный КриптоАРМ ГОСТ 3 умеет подписывать письма по стандарту S/MIME и шифровать вложения по ГОСТ 2015, что закрывает требование передавать персональные данные по электронной почте только в защищённом виде.
Проверить комплект получатель может тремя способами: локально в КриптоАРМ или Инструментах КриптоПро, в корпоративном сервисе проверки, если он развёрнут, либо на портале Госуслуг. Государственный сервис проверки электронной подписи на Госуслугах принимает отдельно документ и отдельно файл отсоединённой подписи и показывает владельца сертификата, издателя и статус подписи. Этого достаточно, чтобы закрыть спор о том, чья подпись стоит на файле.
Мы отдаём контрагенту комплект одним архивом и прикладываем протокол проверки подписи: он фиксирует, что на момент приёмки подпись была математически верна, сертификат действовал, а цепочка сертификации строилась до корневого центра.
Внимание: штамп визуализации подписи на копии документа юридической силы не несёт. Это картинка для удобства человека. В суд идут исходный файл и файл подписи, поэтому храните оригинальный комплект, а не распечатку со штампом.
Шаблоны и памятки для обмена подписанными файлами
Комплект собран под передачу и приёмку откреплённых подписей; начните со шпаргалки по cryptcp, если подписание нужно поставить на поток.
| Документ | Скачать |
|---|---|
| Шпаргалка по командам cryptcp | Скачать |
| Памятка получателю: почему пришло два файла | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
Типичные ошибки и во что они обходятся
Ошибки при работе с отсоединённой подписью почти всегда стоят не переподписания одного файла, а повторного прохода по всей пачке или срыва срока приёмки.
- Документ пересохранён после подписания. Открыли PDF, нажали «сохранить», байты изменились, подпись перестала сходиться. Цена: повторное подписание всей партии, а если сертификат уже истёк, ещё и перевыпуск.
- Файлы разъехались. Документ ушёл в одном письме, подпись в другом, получатель проверил не ту версию. Цена: разбирательство на два-три рабочих дня и повторная отправка.
- Не то расширение. Площадка ждёт .sgn, программа отдала .sig. Цена: отказ в приёме комплекта, иногда с потерей срока подачи.
- Разорванная цепочка доверия. Корневые сертификаты не установлены, подпись формально создана, но у получателя показывается как недоверенная. Цена: повторный цикл согласования.
- Забытый пароль контейнера или заблокированный ПИН токена. ПИН пользователя разблокируется административным ПИНом в панели управления носителя. Если утрачены оба, остаётся форматирование, а вместе с ним теряется ключ, и сертификат приходится перевыпускать в удостоверяющем центре.
- Подписание без учёта срока сертификата. Через год-полтора сертификат истечёт, и подтвердить момент подписания станет нечем. Цена: подпись, которую нельзя проверить, и документ, который тяжело защищать в споре.
Важный нюанс из практики: последний пункт закрывается усовершенствованной подписью. К базовому формату CAdES-BES добавляются штамп времени от службы TSP и ответ службы проверки статусов сертификатов OCSP, а затем архивная метка. Срок действия закрытого ключа службы штампов времени — 3 года, срок действия её сертификата — ещё 15 лет после этого, то есть проверяемость документа обеспечивается максимум на 18 лет. Дальше подпись накрывают новой архивной меткой, и отсчёт начинается заново.
Когда отсоединённая подпись не подходит
Отсоединённая схема проигрывает в трёх ситуациях. Первая: документ читает человек, который ничего проверять не будет и которому нужен видимый штамп на странице. Здесь работает встроенная подпись PDF по стандарту PAdES с настраиваемым графическим штампом и возможностью сертификации документа, запрещающей последующие изменения. Вторая: файлы уходят по каналам, где вложения теряются или пересжимаются, и пара разрывается. Третья: подписантов много и они меняются, а комплект из документа и десятка отдельных файлов подписи становится неуправляемым.
Для кадровых документов у отсоединённой подписи на локальной машине есть отдельное ограничение: она требует токена и криптопровайдера у каждого сотрудника. Массовое подписание приказов, дополнительных соглашений и ознакомлений с ЛНА обычно переводят в систему КЭДО, где подпись выпускается внутри платформы, а маршрут и статусы фиксируются автоматически.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Перед тем как раскатывать локальное подписание на всю компанию, посчитайте стоимость сопровождения: каждый токен нужно выдать, учесть, забрать при увольнении и перевыпустить при блокировке ПИН-кода. При большом числе пользователей централизованная или мобильная подпись обслуживается заметно дешевле, потому что не нужно обновлять каждое рабочее место и держать парк носителей.»
Стоимость перевода подписания на КЭДО: тарифы 2026 года
Стоимость зависит от численности сотрудников и набора функций: видов подписи, шаблонов, интеграции с учётной системой и электронного архива.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Готовый модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговый счёт складывается из численности подключённых сотрудников и выбранного тарифа, а на тарифе «Бизнес» действует минимальный порог оплаты, поэтому компаниям до 50 человек имеет смысл сравнить оба варианта. Полный состав функций по каждому пакету и условия перехода между тарифами перечислены на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных. Тариф можно повысить или понизить в любое время: разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Отсоединённая подпись решает одну задачу: заверить файл, не изменив в нём ни байта. Технически всё сводится к трём настройкам в профиле подписи — кодировка, вид подписи и расширение выходного файла, а результат зависит от того, что сделано до подписания: какая версия криптопровайдера стоит, в каком режиме создан ключ, установлена ли цепочка доверия и согласован ли формат с приёмной стороной. Получателю всегда уходит пара файлов, а долговечность подписи обеспечивают штамп времени и архивные метки.
Локальное подписание хорошо работает, пока подписантов единицы. Когда счёт идёт на сотни сотрудников, обслуживание токенов и криптопровайдеров начинает съедать больше ресурсов, чем сама подпись. В Добыто мы переводим кадровое подписание в платформу: подписи для сотрудников выпускаются внутри сервиса, документы подписываются из браузера и мобильного приложения, а маршруты и статусы фиксируются без ручного сбора файлов по папкам.
Частые вопросы об отсоединённой подписи
Чем открыть файл .sig, если криптографического ПО на компьютере нет?
Сам файл подписи открывать не нужно: документа он не содержит и в текстовом редакторе выглядит как набор символов. Чтобы убедиться в подлинности, загрузите документ и файл подписи в сервис проверки на портале Госуслуг: он работает в браузере и ничего устанавливать не требует. Если проверять подписи приходится регулярно, поставьте КриптоАРМ ГОСТ, режим проверки работает без ввода лицензии.
Можно ли просто переименовать .sgn в .sig?
Да, содержимое файла от переименования не меняется: внутри лежит тот же контейнер CMS. Переименование помогает, когда проверяющий сервис не принимает исходное расширение. Для пакетов в тысячи файлов операция делается одной командой PowerShell. Имя самого документа при этом трогать нельзя: файл подписи должен оставаться парным к нему.
Что делать, если заблокирован ПИН токена или забыт пароль контейнера?
ПИН пользователя разблокируется административным ПИНом через панель управления носителя. Если утрачены оба, остаётся форматирование токена, при котором ключевая информация уничтожается, и последующий перевыпуск сертификата в выдавшем его удостоверяющем центре. Скопировать ключ заранее получится не всегда: контейнеры, выданные удостоверяющим центром ФНС, помечаются как неэкспортируемые.
Можно ли подписать отсоединённой подписью папку или ZIP-архив?
Подпись ставится на файл, поэтому папку подписать нельзя. ZIP подписывается как обычный файл, и подпись подтверждает целостность именно архива: если получатель распакует его, изменит вложенный файл и соберёт архив заново, проверка не пройдёт. Когда важна подпись каждого документа по отдельности, включайте групповую подпись с созданием отдельного пакета на каждый файл.
Сколько подписей помещается в один файл откреплённой подписи?
В контейнере CMS может лежать несколько подписей: программы проверки показывают их списком с отдельным статусом, отпечатком, временем подписания и цепочкой сертификации по каждой. На двусторонних договорах это рабочая схема: вторая сторона добавляет свою подпись в тот же контейнер либо присылает отдельный файл, о чём стороны договариваются заранее в регламенте обмена.
Нужна ли лицензия КриптоПро CSP, если она вшита в сертификат?
Если лицензия встроена в сертификат, ключ, которому этот сертификат соответствует, работает и на машине с истёкшей лицензией криптопровайдера, ставить лицензию отдельно не требуется. Как только на той же машине понадобится работать с другими ключами или самостоятельно формировать запросы на сертификат, потребуется полноценная лицензия на КриптоПро CSP.
Что произойдёт с подписью, когда сертификат подписанта истечёт?
Базовый формат CAdES-BES после истечения сертификата проверить не удастся: подтвердить момент подписания будет нечем. Поэтому документы длительного хранения подписывают усовершенствованными форматами со штампом времени TSP и ответом службы OCSP, а затем накрывают архивной меткой. Такая связка даёт максимум 18 лет проверяемости, после чего подпись накрывают новой меткой, продлевая срок.
