PDF с прикреплённой ЭЦП не открывается потому, что это уже не PDF: внутри лежит контейнер формата CMS (PKCS#7), куда упакованы и сам документ, и подпись. У такого файла обычно двойное расширение — договор.pdf.sig, приказ.pdf.p7s или .sgn, и просмотрщик PDF его не читает. Документ нужно извлечь из контейнера: онлайн-сервисом, программой КриптоАРМ ГОСТ или Инструментами КриптоПро. Порядок действий определяет одно различие: подпись присоединённая (документ спрятан внутрь файла подписи), открепленная (документ и парный .sig лежат рядом) или встроенная в PDF по стандарту PAdES. В третьем случае файл открывается обычным просмотрщиком, и извлекать ничего не нужно.
Дальше разберём, как за минуту определить тип файла по расширению и размеру, какие способы открыть документ работают без прав администратора и что делать, если отправитель прислал только файл подписи. Отдельно — ошибки, из-за которых секретарь теряет юридически значимый документ: переименование .p7s в .pdf, удаление парного .sig, распечатка штампа вместо выгрузки файлов. Таблица форматов подписи, сценарная таблица, образцы письма контрагенту о переподписании, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Загрузите файл подписи в форму ниже: сервис распакует контейнер и вернёт исходный документ в читаемом виде.
Добыто · Извлечение документа
Достать документ из присоединённой подписи
Загрузите файл .sig, .p7s или .p7m с присоединённой электронной подписью — извлечём оригинальный документ прямо в браузере. Файл никуда не отправляется.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимМы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся.
Что на самом деле лежит в файле, который не открывается
Присоединённая подпись упаковывает документ и подпись в один контейнер CMS. Внутри лежат версия контейнера, алгоритм хэширования по ГОСТ, сам инкапсулированный контент (ваш PDF), сертификат подписанта с цепочкой доверия, список отозванных сертификатов и блок SignerInfo со значением подписи, заявленным временем подписания и штампом времени. Просмотрщик PDF ждёт в начале файла заголовок PDF, а получает структуру ASN.1 и выдаёт ошибку формата. Файл не повреждён, он просто другого типа.
Расширение контейнера выбирает тот, кто подписывал. В Инструментах КриптоПро расширение подписанного файла выбирается из списка p7s, sig, sgn, а в КриптоАРМ ГОСТ вариантов пять: sig, p7s, sgn, sign и bin. Смысл файла от расширения не меняется, меняется только то, какая программа согласится открыть его по двойному клику. Именно поэтому один и тот же по сути документ приходит то как акт.pdf.sig, то как акт.p7s.
Отличить присоединённую подпись от открепленной можно по размеру. Контейнер с присоединённой подписью весит примерно столько же, сколько исходный документ, плюс несколько килобайт на сертификаты и метки. Файл открепленной подписи весит единицы килобайт независимо от того, подписан договор на 2 страницы или на 200. Если рядом с документом лежит крошечный файл с тем же именем и добавленным .sig, у вас открепленная подпись и исходный PDF уже есть.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Что пришло | Что это | Что делать |
|---|---|---|
| договор.pdf | Встроенная подпись PAdES внутри PDF | Открыть обычным просмотрщиком, подпись видна в панели документа |
| договор.pdf.sig | Контейнер CMS, чаще всего присоединённая подпись | Извлечь документ из контейнера, затем открыть |
| договор.pdf.sig весом 3-8 КБ рядом с договор.pdf | Открепленная подпись и парный документ | Открыть PDF как обычно, .sig хранить рядом и не удалять |
| договор.p7s или договор.pdf.p7s | Тот же контейнер CMS с другим расширением | Обрабатывается так же, как .sig |
| договор.pdf.sgn, .sign, .bin | Расширения, которые ставят отдельные средства подписи | Загрузить в сервис проверки или средство подписи, не переименовывать вслепую |
| Вложение S/MIME в письме | Зашифрованный контент письма, а не подпись | Нужен ключ расшифрования и почтовый клиент с поддержкой ГОСТ S/MIME |
Из таблицы следует практический вывод для секретаря: прежде чем звонить в техподдержку, посмотрите на имя и вес файла. В половине случаев исходный документ уже лежит в той же папке, а не открывается вспомогательный файл подписи.
Мария Ж, специалист по цифровой подписи и КЭДО: «Присоединённая подпись удобна тем, что всё едет одним файлом и потерять половину комплекта невозможно. Расплата за это ровно одна: без специальных средств вы не откроете первичный документ, придётся сначала распаковать контейнер. Если вам регулярно шлют такие файлы, договоритесь с отправителем о открепленной подписи: тогда PDF читается сразу, а .sig просто лежит рядом.»
Диагностика за минуту: как понять, с чем вы имеете дело
Windows по умолчанию прячет расширения, и файл договор.pdf.sig в проводнике выглядит как договор.pdf. Человек видит знакомый значок, дважды кликает и получает ошибку. Первое действие при разборе такого письма — включить отображение расширений: в проводнике меню «Вид», далее «Показать», отметить «Расширения имён файлов». После этого истинное имя файла видно целиком, и половина вопросов снимается.
Полезно знать: штамп с надписью о подписании, который вы видите на странице PDF, юридической силы не несёт. Это визуализация для человека. В спор идут исходный файл и файлы подписи, поэтому хранить нужно оригинальный комплект, а не распечатку со штампом.
Что проверить до того, как просить прислать документ заново
- Полное имя файла. Двойное расширение вида .pdf.sig, .pdf.p7s, .pdf.sgn означает контейнер подписи, а не повреждённый документ.
- Размер. Единицы килобайт — открепленная подпись, ищите парный документ. Размер, сопоставимый с документом, — присоединённая подпись, документ внутри.
- Содержимое папки или архива. Отправители часто кладут документ и подпись в один ZIP, и при распаковке в разные каталоги пара теряется.
- Формат вложения в письме. Вложение с пометкой S/MIME означает зашифрованный контент: без ключа расшифрования его не открыть никаким просмотрщиком.
- Приложена ли машиночитаемая доверенность. XML-файл МЧД в том же комплекте подсказывает, что документ подписал не руководитель, а уполномоченный сотрудник.
Четыре рабочих способа открыть документ из контейнера
Способы отличаются не результатом, а тем, что нужно установить и какие права для этого требуются. Секретарю без прав администратора подходят первый и четвёртый.
Онлайн-сервис извлечения. Файл загружается в браузере, сервис распаковывает контейнер CMS и возвращает исходный документ. Ставить ничего не нужно, права администратора не требуются. Так устроена форма в начале этой статьи: в практике Добыто это самый частый способ, которым секретари и бухгалтеры разбирают входящие пакеты, потому что он не зависит от того, что установлено на конкретном рабочем месте.
КриптоАРМ ГОСТ. Универсальное средство подписи, шифрования и проверки. Важный для секретаря момент: для проверки электронной подписи лицензия не нужна, программу можно поставить и проверять. Для создания подписи лицензия уже потребуется.
Инструменты КриптоПро. Утилита из состава CryptoPro CSP. Подходит там, где криптопровайдер уже развёрнут для сдачи отчётности, и позволяет как проверить подпись, так и извлечь подписанные данные. Требует установленного CryptoPro CSP и, как правило, участия системного администратора.
Портал Госуслуг. Бесплатный сервис подтверждения подлинности электронной подписи на Госуслугах принимает и документы с открепленной подписью, и подписанные файлы: там же видно, кому выдан сертификат и действителен ли он на момент проверки. Задача сервиса — проверка, а не извлечение, поэтому его удобно использовать вторым шагом, после того как документ распакован.
Факт: для проверки электронной подписи КриптоАРМ ГОСТ не требует установки лицензии. Проверять подписи можно сразу после установки, лицензия нужна только для формирования собственной подписи.
Как открыть документ из файла с присоединённой подписью: пошаговая инструкция
- Шаг 1. Включите отображение расширений и запишите полное имя файла. Оно понадобится, если придётся писать отправителю.
- Шаг 2. Скопируйте файл в отдельную папку. Все действия выполняйте с копией: оригинал из письма остаётся нетронутым.
- Шаг 3. Загрузите копию в сервис извлечения или откройте её средством подписи. На выходе получится исходный документ в его родном формате.
- Шаг 4. Откройте извлечённый документ и убедитесь, что это тот файл, который вы ждали: номер, дата, стороны, количество страниц.
- Шаг 5. Проверьте подпись: кому выдан сертификат, кем выдан, действовал ли он на момент подписания, есть ли штамп времени. Результат проверки сохраните.
- Шаг 6. Сложите в папку дела исходный контейнер, извлечённый документ и результат проверки. Дальше в работу идёт извлечённый документ, а в архив — контейнер.
Присоединённая, открепленная и встроенная подпись: чем они отличаются на практике
Три конструкции решают одну задачу разными способами, и от выбора зависит, что именно вы увидите в папке. При присоединённой подписи документ и подпись едут одним файлом. При открепленной формируется отдельный файл подписи рядом с документом. При встроенной подпись помещается внутрь самого PDF по стандарту PAdES, и файл остаётся обычным PDF.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Разница проявляется при втором подписанте. Когда документ подписывают последовательно, каждая следующая присоединённая подпись накладывается уже на результат предыдущего подписания, и цепочка растёт внутри одного контейнера. Открепленные подписи ложатся рядом отдельными файлами: три файла на двусторонний договор — нормальная картина, а не признак ошибки.
Виды ЭЦП по 63-ФЗ и вид контейнера — разные вещи, которые часто путают. ПЭП, УНЭП и УКЭП различаются юридическим статусом и порядком выпуска, а присоединённая или открепленная форма — это способ упаковки файла. УКЭП можно поставить и присоединённой, и открепленной, а ПЭП вообще не порождает отдельного файла подписи. Из-за этой путаницы секретарю иногда сообщают, что документ подписан УКЭП, значит должен открываться в Acrobat. Связи здесь нет.
Мария Ж, юрист со стажем более 20 лет: «В суд идут не картинки со штампом, а исходный файл и файл подписи. Поэтому при выгрузке из любой системы забирайте весь комплект: документ, подпись и подтверждение того, что документ после подписания не менялся. Если у вас на руках только распечатка со штампом, доказательственная база фактически отсутствует.»
Образцы документов для работы с электронной подписью
Комплект для тех случаев, когда файл не открылся или подпись не подтвердилась: начните с чек-листа диагностики, он ведёт по причинам от простых к сложным.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Письмо контрагенту о переподписании (образец) | Скачать |
| Акт о невозможности переподписания (образец) | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
Файл распакован, а вопросы остались: пять типичных сбоев
Распаковка контейнера решает задачу открытия, но не все проблемы с подписью. Ниже — ситуации, которые чаще всего доходят до секретаря уже как «у нас всё сломалось».
Криптопровайдер сообщает, что нет корневого сертификата. Так проявляется разрыв цепочки доверия. У УКЭП цепочка выстраивается через аккредитованный удостоверяющий центр и устанавливается вместе с сертификатом. У неквалифицированной подписи корневые сертификаты по умолчанию не ставятся: система не обязана доверять всему, что на неё установили. Лечится установкой недостающих сертификатов цепочки, и делать это должен администратор, а не секретарь на своё усмотрение.
Подпись не проходит проверку по значению хэша. Это означает, что после подписания файл изменили: пересохранили, сжали, прогнали через конвертер или почтовый шлюз переписал вложение. Исправить локально нельзя, документ переподписывают. Для такого случая и нужны образцы письма контрагенту о переподписании и акта о невозможности переподписания.
Сертификат истёк, и непонятно, был ли документ подписан вовремя. Сам по себе факт подписания момент времени не фиксирует. Его закрепляет штамп времени от доверенной службы и ответы о статусе сертификата на момент подписания. Такие подписи называют усовершенствованными, и именно они нужны для документов с длительным сроком хранения: сертификаты выдаются на ограниченный срок, а кадровые и финансовые документы хранятся кратно дольше.
Пришло письмо с вложением S/MIME. Это не подпись, а зашифрованный контент письма. Без ключа расшифрования и почтового клиента с поддержкой ГОСТ такое письмо не откроется, сколько бы просмотрщиков вы ни перепробовали. Правильное действие — написать отправителю и попросить прислать документ обычным способом либо зашифровать на ваш открытый ключ.
Файлов много, и все с чужим расширением. Когда контрагент присылает пакет из сотен подписей с расширением .sgn, поштучно переименовывать их бессмысленно. Массовое переименование делается одной командой в PowerShell, и партия в 1500 файлов обрабатывается за секунды. Само по себе переименование ничего внутри файла не меняет, оно только помогает нужной программе взять файл в работу.
Внимание: вложение с пометкой S/MIME в письме означает, что контент зашифрован, а не подписан. Открыть его без ключа расшифрования и без почтового клиента с поддержкой ГОСТ невозможно, замена просмотрщика тут не поможет.
Цена ошибки: что нельзя делать с файлом подписи
Неверное действие с контейнером стоит не переоформления файла, а утраты доказательства. Три ошибки встречаются чаще прочих.
Первая — переименовать договор.pdf.p7s в договор.pdf и надеяться, что откроется. Внутри по-прежнему контейнер CMS, просмотрщик снова выдаст ошибку, но теперь никто не поймёт, что перед ним подписанный файл, и его отправят в корзину как битый.
Вторая — удалить «лишний» мелкий файл .sig рядом с документом. При открепленной подписи это и есть подпись: документ без неё превращается в обычный PDF без юридической силы, а восстановить файл подписи можно только у отправителя, если он его сохранил.
Третья — распечатать документ со штампом визуализации и подшить распечатку вместо электронного комплекта. Штамп наносится на копию документа, целостность оригинала при этом не меняется, но и доказательством штамп не является. Если оригинальные файлы к этому моменту удалены, подтвердить подписание нечем.
Кейс из практики: в производственной компании на 800 сотрудников секретариат полгода складывал в дело только распечатки со штампом, а исходные контейнеры удалял из почты как обработанные. При первом же споре с контрагентом выяснилось, что подтвердить подписание нечем: восстанавливать пришлось через контрагента, на переписку и повторное подписание ушло 3 недели. После этого в компании ввели правило: контейнер и извлечённый документ хранятся вместе, распечатка идёт только для внутреннего согласования.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Перед подписанием мы всегда уточняем, в каком виде документ пойдёт дальше. Если его будут читать люди без криптографического ПО, присоединённая подпись создаст им проблему на каждом шаге. В таких маршрутах мы закладываем открепленную подпись плюс копию со штампом визуализации для наглядности, а оригинальный комплект уходит в архив.»
Когда извлекать документ не нужно
Распаковка контейнера — не универсальное решение, и в трёх ситуациях она лишняя или бесполезна.
Если подпись встроена в PDF по стандарту PAdES, документ открывается штатным просмотрщиком, а сведения о подписи отображаются в самом файле. Извлекать нечего: попытка «распаковать» такой PDF ничего не даст, потому что контейнера CMS вокруг него нет.
Если у вас открепленная подпись, исходный документ уже лежит рядом. Здесь нужна не распаковка, а проверка: загрузить в сервис проверки пару из документа и файла .sig.
Если файл зашифрован, распаковка не поможет по определению: сначала требуется расшифрование ключом получателя, и только потом проверка подписи. Порядок обратный тому, к которому привыкают на обычных подписанных документах.
| Ситуация секретаря | Что критично | Что вторично |
|---|---|---|
| Нужно быстро прочитать содержание документа | Извлечь документ из контейнера | Вид сертификата и наличие штампа времени |
| Документ пойдёт в дело и может попасть в спор | Сохранить оригинальный контейнер и результат проверки | Наличие визуального штампа на странице |
| Документ подписал сотрудник контрагента, а не руководитель | Данные МЧД: кому выдана, какие полномочия, срок | Расширение файла подписи |
| Документ подписан давно, сертификат уже истёк | Штамп времени и статус сертификата на момент подписания | Текущий статус сертификата подписанта |
| Пришёл пакет из сотен файлов подписи | Сохранить соответствие документ — подпись | Единообразие расширений внутри пакета |
Таблица показывает, что срочность и доказательственная ценность требуют разных действий: для чтения достаточно извлечь документ, для дела нужно сохранить весь комплект целиком.
Если к документу приложена машиночитаемая доверенность
Когда документ от имени организации подписывает не руководитель, а уполномоченный сотрудник, к комплекту прикладывается XML-файл машиночитаемой доверенности. Средства подписи умеют прикреплять МЧД к подписи и отдавать единый архив, где вместе лежат подписанные файлы и файл доверенности. Отдельно открывать XML не нужно: он не для чтения глазами, а для машинной проверки.
Секретарю в такой ситуации важны три вещи: на кого выдана доверенность, какие полномочия в ней перечислены и действовала ли она на дату подписания. Если документ подписал сотрудник филиала, проверяйте не адрес подразделения, а совпадение данных подписанта в сертификате и в доверенности: юридически доверенность выдаётся организацией конкретному физическому лицу, а не филиалу. Расхождение фамилии или полномочий — основание вернуть документ на переподписание, и тут снова пригодится образец письма контрагенту.
Лайфхак: визуализация подписи наносится не на оригинал, а на его копию, поэтому целостность подписанного документа не нарушается. Копию со штампом удобно пускать во внутреннее согласование и на печать, а оригинальный комплект не трогать.
Важный нюанс из практики: входящие подписанные документы стоит вести в журнале так же, как обычную корреспонденцию. В журнале ЭЦП фиксируются дата получения, имя контейнера, подписант, результат проверки и место хранения комплекта. Такой журнал занимает у секретаря минуты в день, но снимает вопрос «где оригинал» через год, когда сертификат подписанта давно истёк.
Как убрать эту задачу с секретаря
Разбор контейнеров вручную оправдан, пока подписанных документов немного. Когда их десятки в день, задача решается на уровне процесса: система сама принимает файл, проверяет подпись, формирует протокол проверки и складывает комплект в архив. Проверка при этом идёт фоном, а человек видит уже результат и статус.
Если вы работодатель и читаете этот раздел с мыслью, что у вас той же болезнью болеет весь кадровый документооборот, отдельный штатный криптограф для этого не нужен: в КЭДО документ подписывается и хранится внутри системы, а вопрос «чем открыть присоединённую подпись» у кадровика просто не возникает. В практике Добыто мы закладываем пилотную группу перед раскаткой на всю компанию, и большая часть вопросов по подписи снимается именно на пилоте.
Стоимость подключения КЭДО и работы с электронной подписью
Стоимость зависит от численности сотрудников и от того, нужна ли интеграция с учётной системой. Электронные подписи для сотрудников входят в тариф и отдельно не оплачиваются.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного набора функций, а переход между тарифами возможен в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия и состав каждого пакета собраны на странице тарифов ДОБЫТО КЭДО.
УКЭП в тариф не входит: её получают через партнёров-удостоверяющих центров, и стоимость определяет удостоверяющий центр.
Выводы
Файл, который не открывается, почти всегда оказывается контейнером подписи, а не испорченным документом. Порядок действий короткий: посмотреть полное имя и размер файла, определить тип подписи, извлечь документ, проверить подпись и сохранить весь комплект целиком. Ошибки, которые стоят дороже всего, связаны не с техникой, а с обращением с файлами: переименование контейнера, удаление парной подписи и хранение распечатки вместо оригинала.
Мы в Добыто ежедневно разбираем такие пакеты на стороне клиентов и строим кадровый документооборот так, чтобы у секретаря и кадровика вопрос выбора программы для открытия подписи вообще не возникал: подписание, проверка и хранение идут внутри одной системы.
Частые вопросы
Можно ли открыть файл с присоединённой подписью на телефоне?
Штатные просмотрщики PDF на смартфоне контейнер CMS не читают, поэтому файл придётся либо распаковать в браузере через онлайн-сервис, либо использовать мобильное средство подписи. Средства подписи с поддержкой ГОСТ выпускаются для Android, iOS и отечественной Авроры, но в мобильных версиях функциональность урезана: там есть подпись и шифрование и нет почтового клиента.
Что делать, если подписант забыл токен дома, а документ нужно переподписать сегодня?
Переподписать чужой подписью нельзя: закрытый ключ на аппаратном носителе (Рутокен, ESMART Token ГОСТ) физически привязан к токену и защищён пин-кодом. Варианты два: дождаться носителя либо использовать подпись, ключ которой хранится не на токене, а в приложении на смартфоне или в облаке удостоверяющего центра. Если срок горит, зафиксируйте невозможность переподписания актом и согласуйте с контрагентом новую дату.
Сколько сертификатов помещается на один токен?
Для извлекаемых программных ключей формата CSP на токене с 128 килобайтами защищённой памяти помещается до 31 контейнера. Реальное число меньше, если удостоверяющий центр записывает в контейнер дополнительные расширения и цепочки: один тяжёлый контейнер занимает порядка 12 килобайт.
Почему один и тот же файл открывается у коллеги и не открывается у меня?
Чаще всего дело в наборе установленного ПО: у коллеги стоит средство подписи, которое зарегистрировало расширение .sig или .p7s на себя, и файл открывается по двойному клику. Вторая причина — разные версии криптопровайдера: ключи, созданные в режиме защиты канала, работают только с CryptoPro CSP версии 5.0 и новее, а созданные в режиме обратной совместимости открываются и в более старых версиях.
Нужно ли хранить файл подписи, если документ уже распечатан и подшит?
Да. Распечатка со штампом визуализации доказательством подписания не является: она подтверждает только то, что кто-то нанёс штамп на копию. Юридически значимы исходный файл и файл подписи, поэтому электронный комплект хранится столько же, сколько само дело.
Как проверить, что документ не изменили после подписания?
Это делает любой сервис проверки подписи: он пересчитывает хэш документа и сравнивает со значением внутри контейнера. Расхождение даёт ошибку проверки хэша и означает, что файл после подписания правили, пересохраняли или конвертировали. Ошибка не лечится настройками, документ переподписывают.
Что означает предупреждение о недоверенном корневом сертификате?
Цепочка доверия неполная: не установлены промежуточные или корневые сертификаты удостоверяющего центра. У квалифицированной подписи цепочка ставится вместе с сертификатом, у неквалифицированной корневые сертификаты по умолчанию не устанавливаются. Устанавливать сертификат как доверенный вручную стоит только после того, как вы убедились, кем он выдан: после установки система будет доверять ему постоянно.
