Ошибка «электронная подпись должна содержаться в отдельном файле» означает, что приёмная система ждёт открепленную подпись: сам документ и рядом отдельный файл подписи с тем же именем и расширением .sig, а вы загрузили присоединённую подпись, где документ упакован внутрь контейнера. Вторая по частоте причина — расширение: система принимает только трёхбуквенное .sig, а программа подписания сохранила .p7s, .sgn, .sign или .bin. Третья — встроенная подпись PDF по стандарту PAdES, в которой отдельного файла нет вовсе. Лечится это двумя действиями: получить исходный документ и переподписать его в открепленном виде. Главное различие, которое определяет исход, — вид подписи, а не программа, которой вы подписывали.
Ниже разберём, как за две минуты определить вид подписи по одному файлу, где в КриптоАРМ и в Инструментах КриптоПро включается открепленный режим, и что делать, когда исходного документа на руках уже нет. Отдельно — случай, когда переподписать невозможно, потому что документ подписан контрагентом. Во второй половине статьи: сценарная таблица по ситуациям, образцы письма о переподписании и акта о невозможности переподписания, тарифы на 2026 год и ответы на частые вопросы.
Пересоздать подпись в открепленном виде можно прямо здесь: загрузите документ, выберите сертификат и режим открепленной подписи — на выходе получите пару из файла и подписи.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Что именно сообщает система этой ошибкой
Формулировка кажется технической, но за ней стоит одно требование: приёмный контур не умеет разбирать контейнер, внутри которого лежит подписанный документ. Ему нужны два объекта — файл документа в исходном виде и файл подписи к нему. Пока вы отдаёте один файл, проверка не запускается, потому что системе нечего сверять с подписью.
Причин, по которым бухгалтер видит это сообщение, четыре, и они различаются по способу исправления:
- Подпись присоединённая. При подписании включён режим, в котором документ помещается внутрь подписи. Файл один, весит больше исходного, открывается только криптографической программой.
- Загружен не тот файл из пары. Открепленная подпись создана правильно, но в форму отправлен сам .sig вместо документа или наоборот, документ без подписи.
- Расширение не то, которого ждёт форма. Файл содержит корректную открепленную подпись, но называется .p7s или .sgn, а валидатор жёстко проверяет .sig.
- Подпись встроена в PDF. Формат PAdES кладёт подпись внутрь самого PDF-документа, отдельного файла не образуется в принципе, поэтому требование системы такой подписью не закрывается.
Определить свою ситуацию можно до того, как вы начнёте что-то переподписывать: по числу файлов, их размеру и расширению. Дальше — разбор каждого вида подписи и порядок действий для каждого из четырёх случаев.
Полезно знать: документ, подписанный открепленной подписью, при обычном открытии не показывает никаких следов подписания. Чтобы подпись была видна человеку, формируют отдельную копию документа со штампом визуализации, а целостность оригинала при этом остаётся неизменной.
Присоединённая, открепленная и встроенная подпись: чем они отличаются
Технически подпись во всех трёх случаях считается одинаково: берётся хеш документа и шифруется на закрытом ключе. Отличается только упаковка результата, и именно упаковка решает, примет форма ваш файл или откажет. Формат контейнера при этом один и тот же — CMS, он же PKCS#7.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Параметр | Присоединённая (совмещённая) | Открепленная (отсоединённая) | Встроенная в PDF (PAdES) |
|---|---|---|---|
| Сколько файлов на выходе | Один: документ внутри контейнера подписи | Два: документ и парный файл подписи с тем же именем | Один: подпись внутри самого PDF |
| Можно ли открыть документ без криптографии | Нет, нужен плагин или программа подписи | Да, документ остаётся обычным файлом | Да, PDF открывается штатной программой просмотра |
| Что загружать на проверку | Только файл контейнера | Оба файла сразу: документ и подпись | Сам PDF |
| Расширения файла подписи | sig, p7s, sgn, sign, bin | sig, p7s, sgn, sign, bin | Отдельного файла нет |
| Риск при пересылке | Пару потерять нельзя, всё в одном файле | Потеря или переименование одного файла из пары ломает проверку | Пару потерять нельзя |
| Подходит под требование «подпись в отдельном файле» | Нет | Да | Нет |
Из таблицы следует практический вывод для загрузки: единственный вид подписи, который закрывает требование приёмной формы, — открепленная. Присоединённую и встроенную придётся пересоздавать, и порядок действий для них разный, потому что во втором случае исходный документ у вас уже есть, а в первом его ещё нужно достать.
Мария Ж, специалист по цифровой подписи и КЭДО: «Присоединённая подпись удобна тем, что всё лежит в одном файле и пару физически нельзя разделить. Минус в том, что без специальной программы исходный документ из такого контейнера не открыть, а приёмные системы, как правило, ждут именно пару из документа и отдельного файла подписи. Перед подписанием посмотрите требования конкретной площадки и выставьте нужный вид сразу, чтобы не переподписывать пакет повторно.»
Как за две минуты определить вид подписи, который у вас на руках
Ставить эксперименты с переподписанием до диагностики бессмысленно: часть обращений закрывается тем, что человек отправлял не тот файл из уже правильной пары. Проверка занимает пару минут и не требует установки программ.
Чек-лист диагностики перед повторной загрузкой
- Посчитайте файлы. Если в папке лежат договор.pdf и договор.pdf.sig — подпись открепленная, и загружать нужно оба файла. Если файл один и называется договор.pdf.sig — подпись присоединённая.
- Сравните размер. Открепленная подпись весит несколько килобайт независимо от документа. Если файл .sig весит примерно столько же, сколько исходный документ, или больше, внутри лежит сам документ.
- Посмотрите расширение целиком. Проводник по умолчанию скрывает расширения: включите их отображение, иначе .sig и .sgn выглядят одинаково.
- Откройте PDF. Если внутри документа виден штамп подписи и панель со сведениями о сертификате, подпись встроенная, по стандарту PAdES, и отдельного файла к ней нет.
- Проверьте пару в валидаторе. Загрузите документ и файл подписи в сервис проверки и посмотрите, распознаётся ли подпись как отсоединённая и действителен ли сертификат.
Пятый шаг закрывает сразу два вопроса: вид подписи и состояние сертификата. Порядок работы с отсоединённой и присоединённой подписью, а также перечень принимаемых расширений описаны в справке портала Госуслуг о том, как проверить электронную подпись и какие файлы для этого нужно приложить. В сервисе Добыто.Подпись проверка устроена так же: документ и файл .sig загружаются вместе, а на выходе видно подписанта, серийный номер сертификата, издателя и алгоритм.
Важный нюанс из практики: отдельная проверка нужна пакетам документов. Если бухгалтерия подписывает партию актов за один сеанс, программа может собрать один общий пакет вместо отдельной подписи на каждый документ. Приёмная форма в этом случае тоже ответит, что подпись должна быть в отдельном файле, хотя вид подписи выбран верно. Флажок отдельного пакета для каждого документа выставляется в параметрах групповой подписи.
Как переподписать документ в открепленном виде
Порядок одинаков для КриптоАРМ, Инструментов КриптоПро и веб-сервисов подписания: меняется только название флажка. В КриптоАРМ он называется «Сохранить подпись в отдельном файле», в Инструментах КриптоПро — «Создать отсоединённую подпись».
Как пересоздать открепленную подпись: пошаговая инструкция
- Шаг 1. Найдите исходный документ в том виде, в каком он подписывался. Любая правка после подписания, включая пересохранение из другой программы, изменит хеш и сделает старую подпись недействительной.
- Шаг 2. Если исходника нет и на руках только контейнер, извлеките документ из присоединённой подписи. В сервисе Добыто это делается загрузкой файла .sig, без установки программ на рабочее место.
- Шаг 3. Откройте программу подписания и выберите сертификат. Сверьте отпечаток и срок действия: при нескольких сертификатах на одного человека программа показывает их списком, и выбор просроченного даёт ошибку уже на этапе подписания.
- Шаг 4. Включите открепленный вид подписи. В Инструментах КриптоПро это галочка «Создать отсоединённую подпись» на вкладке создания подписи, в КриптоАРМ — параметр вида подписи в блоке настроек CAdES.
- Шаг 5. Задайте расширение .sig и кодировку DER. Кодировка BASE64 даёт текстовый файл, который часть приёмных систем не принимает.
- Шаг 6. Подпишите и проверьте результат в папке: рядом с документом должен появиться файл с тем же именем и расширением .sig. Имена файлов после этого не меняйте.
- Шаг 7. Прогоните пару через валидатор до отправки. Проверка занимает меньше минуты и снимает риск повторного отказа формы.
Отдельно про сертификат. Ошибка формата и ошибка доверия выглядят для пользователя одинаково — «не получается подписать», но лечатся по-разному, поэтому цепочку стоит проверить до того, как менять настройки вида подписи.
Мария Ж, юрист со стажем более 20 лет: «Если криптопровайдер при подписании сообщает, что не найден корневой сертификат, дело не в формате подписи, а в цепочке доверия. У квалифицированной подписи цепочка устанавливается по умолчанию при выпуске сертификата, а у неквалифицированной корневые сертификаты приходится ставить вручную. Откройте сертификат и посмотрите, все ли звенья цепочки установлены, прежде чем перенастраивать вид подписи.»
Расширение файла подписи: sig, p7s, sgn, sign и bin
Внутри всех пяти вариантов лежит один и тот же контейнер CMS, различается только имя расширения. Программы подписания дают его выбрать: в Инструментах КриптоПро список короче, в КриптоАРМ ГОСТ доступны пять вариантов. Приёмные системы при этом часто проверяют расширение буквально и ждут трёхбуквенное .sig.
Отсюда правило, которое экономит время: переименование помогает только тогда, когда подпись уже открепленная. Смена .p7s на .sig в открепленной подписи ничего не портит, потому что содержимое файла не меняется. А вот переименование присоединённого контейнера в .sig ошибку не снимет: система откроет файл, увидит внутри документ и откажет повторно, только с другой формулировкой.
Массовое переименование расширений в партии файлов
Когда речь идёт о десятке файлов, расширение меняют вручную. На пакете в несколько сотен документов это уже отдельная операция, и делать её мышью нерационально: в PowerShell та же задача решается одной командой Rename-Item с фильтром по маске.
Важный нюанс из практики: перед массовым переименованием сделайте копию папки. Имя файла подписи должно совпадать с именем документа, и ошибка в маске рвёт пару по всему пакету сразу, а восстанавливать соответствие вручную дороже, чем повторить операцию с копии.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: сертификат соответствия на КриптоПро CSP 4.0 действует до 15 января 2026 года, а на все релизы линейки 5.0 — до 1 мая 2027 года. Ключевые носители с неизвлекаемым ключом работают начиная с версии 5.0, на четвёртой версии они не поддерживаются.
Когда переподписать нельзя и что делать вместо этого
Сценарий, который не решается настройками: документ уже подписан второй стороной, и переподписание с вашей стороны обнуляет её подпись. Ситуация типична для двустороннего обмена, когда контрагент прислал договор, подписанный присоединённой подписью, а ваш приёмный контур требует открепленный формат.
Здесь работают три варианта, по возрастанию трудозатрат. Первый: извлечь исходный документ из контейнера контрагента и переподписать его открепленной подписью со своей стороны, а подпись контрагента приложить отдельным файлом из того же контейнера. Второй: попросить контрагента переподписать документ в нужном формате, отправив письмо с указанием требуемого вида подписи и расширения. Третий: зафиксировать невозможность переподписания актом, если ключ контрагента отозван, а сам он ликвидирован или недоступен.
Факт: для проверки чужой электронной подписи лицензия на КриптоАРМ ГОСТ не нужна. Программу можно установить и использовать в режиме проверки, не оплачивая лицензию на подписание.
Когда менять формат подписи не нужно
Требование отдельного файла касается конкретной приёмной системы, а не документооборота вообще. Если вы обмениваетесь документами через оператора ЭДО или систему КЭДО, вид подписи определяется настройками маршрута, и вручную его никто не переключает. Внутренний кадровый документооборот тоже не требует открепленного формата: там важно, чтобы система хранила документ, подпись и данные о проверке, а не то, в скольких файлах это лежит на диске. В практике Добыто вид подписи и состав выгрузки задаются один раз при настройке маршрута, поэтому вопрос «в скольких файлах отдавать» у пользователя не возникает.
Не нужно менять формат и тогда, когда система приняла ваш пакет, но подпись показана как недействительная. Это уже другая ошибка: истёкший или отозванный сертификат, изменённый после подписания документ, неустановленная цепочка доверия. Переподписание в открепленном виде такую проблему не лечит.
Мария Ж, судебный эксперт по трудовому праву: «Штамп о подписании на печатной форме — это визуализация для человека, юридической силы у него нет. В спорной ситуации значение имеют исходный документ и файлы подписи, поэтому из системы выгружают весь комплект, а не красивую копию со штампом. Проверьте заранее, что ваш архив отдаёт именно документ и подпись, а не только печатную форму.»
Образцы документов для случаев, когда переподписание невозможно
Комплект закрывает цепочку от диагностики до фиксации отказа; начинать стоит с чек-листа диагностики, он же помогает отделить проблему формата от проблемы сертификата.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Письмо контрагенту о переподписании (образец) | Скачать |
| Акт о невозможности переподписания (образец) | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
Во что обходится ошибка формата подписи
Прямых денежных потерь ошибка формата не создаёт: файл просто не принимается. Стоимость складывается из повторных операций и потерянного времени в тот момент, когда его меньше всего, — в дни сдачи отчётности и закрытия периода.
Одиночный документ переподписывается за несколько минут. Пакет из ста актов, подписанный не в том виде, требует повторного сеанса подписания с вводом пароля к контейнеру, повторной выгрузки и повторной загрузки в приёмную систему. Если документ двусторонний, к этому добавляется переписка с контрагентом и его собственный цикл согласования, а он занимает дни. Самый дорогой вариант — когда исходный документ утрачен, а на руках остался только контейнер: сначала извлекают документ, затем сверяют, что извлечённая версия совпадает с той, которую подписывали, и только потом подписывают заново.
Если вы отвечаете в компании не только за бухгалтерию, но и за кадровые документы, отдельная процедура подписания под каждую площадку не нужна: в КЭДО вид подписи и формат хранения задаются настройками маршрута один раз, и сотрудники этот выбор вручную не делают.
Что критично в разных сценариях
Таблица собирает ситуации, в которых бухгалтеры чаще всего видят эту ошибку, и показывает, какое действие закрывает каждую из них.
| Ситуация | Что критично | Что делать |
|---|---|---|
| Исходный документ на месте, подпись присоединённая | Документ не изменялся после подписания | Подписать заново с включённым открепленным видом |
| На руках только контейнер .sig | Совпадение извлечённого файла с подписанным | Извлечь документ из контейнера, затем подписать открепленно |
| Подпись открепленная, но расширение .p7s или .sgn | Совпадение имени подписи с именем документа | Переименовать расширение в .sig, содержимое не трогать |
| Подпись встроена в PDF по стандарту PAdES | Наличие исходного PDF до встраивания подписи | Подписать исходный PDF заново открепленной подписью |
| Документ подписан контрагентом | Сохранение подписи второй стороны | Запросить переподписание письмом или зафиксировать невозможность актом |
| Пакет документов подписан одной общей подписью | Отдельный пакет подписи на каждый документ | Переподписать партию с флажком отдельной подписи для каждого файла |
Пять строк из шести закрываются на вашей стороне и не требуют участия контрагента. Единственный сценарий с внешней зависимостью — двусторонний документ, и проверять его стоит первым, потому что он самый долгий по срокам.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Для документов с длительным сроком хранения обычной подписи мало: когда сертификат закончится, подтвердить момент подписания будет нечем. Мы добавляем к подписи штамп времени и ответ службы проверки статуса сертификата, а для архива используем усовершенствованные форматы CAdES-X Long Type 1 и CAdES-A. Посмотрите, какой формат отдаёт ваша программа: усовершенствовать подпись можно и после подписания, отдельным проходом по архиву.»
Важный нюанс из практики: сервисы проверки подписи обычно принимают и zip-архив с комплектом файлов, а не только пару документ плюс подпись. Это удобно, когда нужно проверить партию: система сама разбирает архив и выдаёт результат по каждому документу, а отчёт о проверке сохраняется в PDF и подшивается к делу.
Стоимость перевода документооборота в КЭДО Добыто: тарифы 2026
Стоимость зависит от численности сотрудников и от того, нужны ли интеграция с 1С, электронный архив и УКЭП. Электронные подписи ПЭП и УНЭП для сотрудников входят в тариф и отдельно не оплачиваются.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | по запросу |
| Выпуск УКЭП | через партнёров-удостоверяющих центров | по запросу |
| Интеграция с 1С:ЗУП, готовый модуль | входит в тариф «Бизнес» | 1 день |
Итоговая сумма зависит от численности и набора функций: кастомные шаблоны, электронный архив и приоритетная поддержка входят в тариф «Бизнес», а выделенный сервер и SLA относятся к «Корпорации». Условия по каждому тарифу и состав функций перечислены на странице тарифов ДОБЫТО КЭДО.
Перейти с тарифа на тариф можно в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Сообщение о том, что подпись должна лежать в отдельном файле, говорит об упаковке результата подписания, а не о качестве самой подписи. Приёмной системе нужна пара: документ в исходном виде и файл подписи с тем же именем. Диагностика занимает две минуты и делается по количеству файлов, их размеру и расширению, а исправление сводится к повторному подписанию с включённым открепленным режимом. Отдельно стоят два случая: встроенная в PDF подпись, которую нельзя разложить на пару, и документ, уже подписанный контрагентом, где переподписание обнуляет чужую подпись.
В Добыто мы закрываем эту задачу на уровне настроек: вид подписи, расширение файла и формат хранения задаются в маршруте один раз, а не выбираются сотрудником при каждой отправке. Для разовых операций работают отдельные инструменты подписания, проверки и извлечения документа из контейнера, которыми можно пользоваться из браузера, не устанавливая криптографическое программное обеспечение на каждое рабочее место.
Частые вопросы
Можно ли просто переименовать файл .sig в .p7s или обратно, чтобы форма приняла подпись
Можно, если подпись уже открепленная: внутри лежит один и тот же контейнер CMS, и от смены расширения содержимое не меняется. Переименование не поможет, если подпись присоединённая: система откроет файл, обнаружит внутри документ и снова откажет. И ещё одно ограничение: имя файла подписи должно совпадать с именем документа, менять его нельзя, иначе пара перестанет проверяться.
Что делать, если исходный документ потерян, а остался только файл подписи
Из присоединённой подписи документ извлекается: он физически лежит внутри контейнера в блоке инкапсулированного контента. После извлечения сверьте полученный файл с тем, который подписывали, по содержанию и по дате. Из открепленной подписи документ достать нельзя: там хранятся только значение подписи и сведения о подписанте с сертификатом, поэтому утраченный документ восстанавливают из системы или запрашивают у второй стороны.
Влияет ли вид подписи на её юридическую силу
Нет. Открепленная и присоединённая подпись различаются упаковкой, а юридическое значение определяется видом электронной подписи по 63-ФЗ: ПЭП, УНЭП или УКЭП. Приёмная система, которая требует отдельный файл, предъявляет техническое требование к формату, а не к статусу подписи.
Почему в PDF виден штамп с подписью, а система всё равно требует отдельный файл
Штамп на странице PDF бывает двух видов. Первый — визуализация, картинка со сведениями о подписании, добавленная на копию документа; юридического значения она не имеет. Второй — встроенная подпись по стандарту PAdES: она настоящая, но лежит внутри PDF, и отдельного файла к ней не образуется. В обоих случаях требование приёмной формы закрывается только повторным подписанием исходного документа в открепленном виде.
Нужен ли штамп времени, если документ уходит в архив на несколько лет
Да. Обычная подпись подтверждается сертификатом, а срок действия сертификата конечен, и после его окончания момент подписания доказать нечем. Штамп времени фиксирует момент подписания, ответ службы проверки статуса подтверждает, что сертификат не был отозван на этот момент, а архивная метка заверяет обе предыдущие. Для долгого хранения подпись усовершенствуют до форматов CAdES-X Long Type 1 или CAdES-A, и сделать это можно уже после подписания.
Что проверять в первую очередь, если подпись не проходит проверку после переподписания
Сначала статус сертификата: не истёк ли срок и не отозван ли он. Затем цепочку доверия: у неквалифицированной подписи корневые сертификаты устанавливаются вручную, и без них проверка не пройдёт. Затем совпадение документа с подписью, потому что любое пересохранение файла после подписания меняет хеш. Формат и расширение в этом списке проверяются последними, они дают другую формулировку ошибки.
Можно ли подписать документ открепленной подписью с телефона
Мобильные версии программ подписания работают на iOS, Android и российской ОС Аврора, но почтовый модуль в них не входит: доступны только подписание и шифрование. Ключ хранится либо в приложении, либо на аппаратном носителе, который прикладывают к телефону по NFC. Вид подписи задаётся так же, как на компьютере, параметром в настройках подписания.
