Подписать документ в электронном виде впервые проще всего там, где вам его прислали: в сервисе КЭДО работодателя, в мобильном приложении Госключ или на компьютере через КриптоПро CSP с токеном. Вид подписи задаёт сам документ: ознакомление с ЛНА закрывается простой подписью, трудовой договор и дополнительное соглашение требуют усиленной, УНЭП или УКЭП. Главное различие, от которого зависит порядок действий: если ключ подписи лежит в телефоне, устанавливать на компьютер ничего не нужно и первое подписание занимает около минуты; если подпись выдана на токене, сначала ставят драйвер носителя, КриптоПро CSP и корневые сертификаты, и только после этого появляется рабочая кнопка подписания.
Разберём, как понять, какая подпись у вас уже есть, и что делать с каждой из трёх ситуаций. Покажем, что за файл с расширением p7s или sig появляется рядом с документом и почему без него подпись не проверяется. Отдельно рассмотрим, что происходит, если забыли пароль от приложения или ПИН-код токена. Сценарная таблица сбоев, разбор данных МЧД для сотрудника филиала, образцы кадровых документов, стоимость подключения на 2026 год и ответы на частые вопросы — во второй половине статьи.
Если документ уже лежит на диске и подпись у вас есть, подпишите его прямо здесь: форма создаёт присоединённую или открепленную подпись и отдаёт готовый файл.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Три канала первого подписания: где именно вы будете подписывать
Канал подписания выбирает не работник, а отправитель документа. Кадровик присылает приказ через систему КЭДО — подписывать нужно в ней. Контрагент прислал договор на почту — подписывать придётся своей программой на компьютере. Работодатель ведёт кадровый документооборот через государственный портал — подписание идёт там, отдельной программы не нужно. От канала зависит, что вы устанавливаете, сколько это занимает и какой файл окажется на выходе.
Сравнение трёх каналов по параметрам, которые реально влияют на первый раз:
| Канал | Что нужно установить | Вид подписи | Что получится на выходе |
|---|---|---|---|
| Сервис КЭДО работодателя | Ничего, вход в личный кабинет по ссылке из письма или SMS | ПЭП, УНЭП или УКЭП по Положению о КЭДО компании | Документ со статусом «подписан» в архиве кабинета |
| Мобильное приложение Госключ | Приложение из магазина, подтверждённая учётная запись Госуслуг | УНЭП; УКЭП при наличии биометрического загранпаспорта и телефона с NFC | Подписанный документ возвращается в систему отправителя |
| Портал «Работа России» | Ничего, вход через учётную запись Госуслуг | ПЭП ЕСИА со стороны работника | Документ с отметкой Федеральной службы по труду и занятости |
| Компьютер с токеном | Драйвер носителя, КриптоПро CSP, корневые и личный сертификаты, браузерный плагин | УКЭП или УНЭП, выпущенная на токен | Файл подписи p7s, sig или sgn либо документ с присоединённой подписью |
Три верхних канала не требуют установки программ, четвёртый требует. Если вы читаете эту статью после письма от отдела кадров, с высокой вероятностью ваш случай — первый или второй, и до конца дня документ будет подписан.
Какая подпись у вас уже есть: ПЭП, УНЭП и УКЭП глазами работника
Простой электронной подписью человек пользуется каждый день, не называя это подписью: код из SMS при подтверждении операции в банковском приложении работает по той же логике. В кадровом контуре ПЭП закрывает ознакомление с локальными нормативными актами и часть заявлений. Усиленная подпись отличается от простой не механикой нажатия кнопки, а тем, что она позволяет доказать неизменность документа после подписания.
УНЭП может выпустить сам работодатель или его оператор КЭДО, УКЭП выпускает только удостоверяющий центр, аккредитованный Минцифры. Для работника это означает разный порядок первого шага: неквалифицированную подпись вам выдадут внутри системы после подтверждения данных, за квалифицированной придётся идти в удостоверяющий центр либо выпускать её в Госключе.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Если ваш работодатель ведёт кадровый документооборот через государственный портал, полезно заранее прочитать информацию об электронном кадровом документообороте на портале «Работа России»: там описано, как работник получает доступ и какие документы приходят на подпись первыми.
Мария Ж, специалист по цифровой подписи и КЭДО: «Работник почти всегда спрашивает, где ему получить подпись, хотя по факту она у него уже есть. Подписанный на портале документ дополнительно закрывается усиленной подписью Федеральной службы по труду и занятости, и в выгруженном архиве вы увидите не только сам файл, но и подтверждение того, что после подписания он не менялся. Прежде чем оформлять что-то новое, откройте личный кабинет и посмотрите, какая подпись там уже привязана к вашему профилю».
Полезно знать: УНЭП, выданная с использованием инфраструктуры электронного правительства, не требует отдельного соглашения сторон о признании подписи. Обычная УНЭП по соглашению сторон такого соглашения требует, и без него документ спорный.
Что проверить до первого подписания
Половина обращений в поддержку в первый день закрывается пятью проверками, которые занимают меньше десяти минут. Пройдите их до того, как открывать документ.
- Учётная запись Госуслуг подтверждена. Без подтверждённой записи не выпускается ни УНЭП в Госключе, ни ПЭП ЕСИА на государственном портале. Нерезиденту подтвердить запись в банке не удастся, подтверждение проходит очно в центре обслуживания.
- Согласие на КЭДО подписано. Работодатель не вправе переводить вас на электронные кадровые документы без письменного согласия, а без него документы в кабинет не придут.
- Актуальны телефон и почта в кадровой системе. Приглашение и ссылка на подписание уходят именно туда, и чаще всего «документ не пришёл» означает старый номер в карточке сотрудника.
- Известно, какой подписью вы подписываете. Виды подписи для каждого типа документа перечислены в Положении о ведении КЭДО, которое компания обязана утвердить до запуска.
- Носитель под рукой, если подпись на токене. Токен должен быть подключён в USB-порт до запуска программы подписания, иначе сертификат в списке не появится.
В практике Добыто мы закладываем пилотную группу до раскатки на всю компанию именно из-за этих пяти пунктов: они снимают основную часть обращений ещё до массового запуска.
Подписание в мобильном приложении: первый документ за минуту
Мобильное подписание устроено так, что закрытый ключ создаётся, хранится и применяется внутри приложения на вашем телефоне. Ни работодатель, ни оператор системы к нему доступа не имеют. Сертификат выпускается дистанционно, ехать в удостоверяющий центр не нужно: клиентский путь занимает несколько минут и проходит через подтверждённую учётную запись Госуслуг.
Как подписать первый документ в мобильном приложении: пошаговая инструкция
- Шаг 1. Откройте уведомление о документе из письма или SMS и нажмите кнопку подписания. Если приложение ещё не установлено, система покажет QR-код со ссылкой на магазин под вашу операционную систему.
- Шаг 2. Установите приложение и войдите по подтверждённой учётной записи Госуслуг. Задайте пароль приложения и запишите его отдельно от телефона: другого способа восстановить доступ к ключу нет.
- Шаг 3. Выпустите сертификат. Для УНЭП достаточно подтверждённой учётной записи и номера телефона. Для УКЭП понадобится биометрический загранпаспорт нового образца и телефон с модулем NFC.
- Шаг 4. Дождитесь, пока документ подгрузится в раздел документов приложения, и откройте его. На экране видно сам файл, а не только его название: читайте, что подписываете, до нажатия кнопки.
- Шаг 5. Подтвердите ознакомление и нажмите подписание. Отказ от подписи — это отдельная кнопка в том же окне, она предусмотрена штатно.
- Шаг 6. Вернитесь в кабинет отправителя и проверьте статус. На кадровом документе должно стоять две подписи: ваша и работодателя.
Демонстрация полного цикла с уже установленным приложением занимает 52 секунды. Реальное первое подписание дольше за счёт установки и выпуска сертификата, дальше каждый документ закрывается примерно за минуту.
Внимание: закрытая часть ключа хранится только на вашем телефоне. Если вы удалили приложение или забыли пароль от него, доступ к прежней подписи не восстанавливается: придётся выпускать новую подпись со своим сроком действия. Ранее подписанные документы при этом остаются действительными.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Сопротивление сотрудников на старте КЭДО снимается не уговорами, а тем, через какое приложение идёт подписание. Вход и выпуск сертификата проходят через учётную запись Госуслуг, и это для многих аргумент весомее, чем облачная подпись от коммерческого удостоверяющего центра, хотя обе выпущены по 63-ФЗ и обе законны. Если вам предлагают выбор, начинайте с того варианта, которому вы доверяете больше: юридической разницы для кадровых документов здесь нет».
Если вы работодатель и читаете этот раздел с мыслью, что половина сотрудников до сих пор ездит в офис за подписью, отдельная ИТ-служба для перехода не нужна: в сервисе Добыто ПЭП и УНЭП выпускаются сотруднику из личного кабинета и входят в тариф.
Подписание на компьютере: драйвер, КриптоПро CSP и сертификаты
Подписание на рабочем месте разваливается на пять слоёв, и первый раз ломается почти всегда на одном из них. Порядок такой: драйвер ключевого носителя под вашу модель, средство криптографической защиты КриптоПро CSP, корневые сертификаты Минцифры и удостоверяющего центра, личный сертификат из контейнера и браузерный плагин, если подписывать нужно на сайте.
Драйвер ставится под конкретный носитель: Рутокен, JaCarta, eSmart. Универсального драйвера нет, и определять модель нужно визуально или по документам, которые выдали вместе с ключом. Корневые сертификаты устанавливаются в разные хранилища: сертификат Минцифры России идёт в доверенные корневые центры сертификации, сертификат удостоверяющего центра — в промежуточные. Перепутанное хранилище — типовая причина того, что подпись создаётся, но не проходит проверку.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Факт: у актуальных моделей токенов 128 килобайт защищённой памяти. В формате обычного извлекаемого контейнера на носитель помещается до 31 контейнера, но при больших сертификатах с длинными цепочками их число падает примерно до десяти.
Лицензия на криптопровайдер — отдельный вопрос, о который спотыкаются на второй день. Если сертификат выпущен с вшитой лицензией, она действует ровно столько, сколько действует сам сертификат, и отдельно вводить ключ не нужно. Как только вы захотите использовать на этой же машине другой ключ, потребуется полная лицензия.
Файл подписи p7s, sig и sgn: присоединённая и открепленная подпись
Присоединённая подпись упаковывает документ и подпись в один файл. Потерять половину комплекта невозможно, но открыть исходный документ без специальной программы тоже не получится. Открепленная подпись оставляет документ как был и кладёт рядом второй файл. Документ открывается обычным способом, а для проверки в программу нужно загрузить оба файла: и документ, и подпись.
Расширение задаёт программа, а не закон. Принимающая сторона иногда требует конкретное: площадка ждёт p7s, ведомственная система — sig. Формат подписи по умолчанию CAdES-BES, и это тоже настройка, а не свойство вашего сертификата.
Мария Ж, юрист со стажем более 20 лет: «Самая частая претензия от контрагента звучит как «ваша подпись не открывается». В девяти случаях из десяти отправлен только файл подписи, без исходного документа, либо наоборот. При открепленной подписи комплект всегда состоит из двух файлов, и проверяющая программа требует оба. Прежде чем спорить, откройте папку отправленного и посчитайте вложения».
Как отправить подписанный документ письмом
Письмо с подписанным документом — это не скан и не PDF со штампом. Штамп на распечатке служит визуализацией для человека и юридической силы не несёт: контрагенту и суду нужны исходный файл и файл подписи. При присоединённой подписи вкладывается один контейнер, при открепленной — два файла, документ и подпись, желательно с одинаковыми именами.
Отдельная история — подписание самого письма, а не вложения. Для этого нужен почтовый клиент с поддержкой российских криптоалгоритмов: такие встроены в отдельные программы работы с электронной подписью, которые позволяют обмениваться и файлами, и письмами. Обычная веб-почта такой возможности не даёт.
Образцы документов для первого подписания и проверки подписи
Комплект под первый раз: начните с соглашения об использовании ПЭП и НЭП, оно объясняет, какой подписью что закрывается в вашей компании.
| Документ | Скачать |
|---|---|
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
Машиночитаемая доверенность: когда она нужна работнику и что меняет филиал
Сертификаты на сотрудника с указанием организации больше не выпускаются. Работник получает сертификат на себя как на физическое лицо, а полномочия действовать от имени компании подтверждает машиночитаемая доверенность. Подписывать документы от лица организации можно двумя способами: руководитель подписывает своей квалифицированной подписью либо сотрудник подписывает подписью физлица с приложением МЧД.
МЧД выглядит как обычная доверенность, если выгрузить её в PDF, но по существу это XML-файл. Данные в нём машина читает сама: сведения о доверителе, о представителе, срок и коды полномочий из классификатора, размещённого в единой системе нормативной и справочной информации. Каждое полномочие имеет код, дату и уникальный номер, и именно код проверяет принимающая система, а не текст.
Для сотрудника филиала важно, что доверителем выступает юридическое лицо целиком: обособленное подразделение самостоятельным лицом не является и своей доверенности не выдаёт. Доверенность подписывает руководитель организации либо руководитель филиала, если такое право у него есть по доверенности от организации. Передоверие оформляется только через нотариуса: он проверяет паспортные данные нового уполномоченного лица и актуальную выписку из ЕГРЮЛ, подписывает документ своей квалифицированной подписью и выгружает его в информационную систему.
Свою МЧД сотрудник может создать в официальном сервисе ФНС для налоговых полномочий: сервис заполняет форму по шагам и отдаёт готовый XML-файл, который вы сохраняете и прикладываете к подписываемым документам.
Мария Ж, судебный эксперт по трудовому праву: «Работник увольняется и забывает, что на него выпущен сертификат, а в системе на этот сертификат до сих пор висит действующая доверенность. Отзыв сертификата происходит не в компании: заявление подаётся в тот удостоверяющий центр или в налоговую, где подпись выпускали. Перед последним рабочим днём проверьте, отозваны ли ваш сертификат и ваша МЧД, и получите подтверждение письменно».
Что делать, если не получилось
Первый раз редко проходит без единой заминки. В практике Добыто на старте КЭДО повторяются два типовых обращения: не пришло уведомление о документе и не открывается файл подписи. Ниже сценарии, которые закрывают большую часть таких ситуаций, с указанием того, кто решает вопрос.
| Что произошло | Что это значит | Что делать |
|---|---|---|
| Забыли пароль от приложения подписи | Доступа к закрытому ключу нет, восстановления пароля не предусмотрено | Выпустить новый сертификат в приложении, он будет с новым сроком действия |
| Забыли ПИН-код токена | Носитель блокируется после серии неверных попыток | Разблокировать ПИН-код пользователя в панели управления носителем через ПИН администратора; при утрате обоих ключ теряется |
| Программа не видит сертификат | Токен не подключён, не установлен драйвер модели или личный сертификат не перенесён из контейнера | Проверить цепочку установки снизу вверх: драйвер, криптопровайдер, сертификат |
| Сообщение о недоверенном корневом сертификате | Разорвана цепочка сертификации, чаще всего у неквалифицированной подписи | Открыть сертификат, проверить цепочку и установить недостающий корневой в нужное хранилище |
| Подпись не проходит проверку у получателя | Отправлен неполный комплект либо документ изменён после подписания | Отправить исходный файл и файл подписи заново, не пересохраняя документ |
| Срок действия сертификата истёк | Сертификат обычно выдаётся на год | Выпустить новый; ранее подписанные документы остаются действительными, если при подписании ставился штамп времени |
Сертификат живёт год, а спор по документу может возникнуть через три. Доказать момент подписания помогает усовершенствованная подпись: к ней добавляются штамп доверенной службы времени и ответы службы проверки статуса сертификата. Без них подтвердить, что на момент подписания сертификат действовал и не был отозван, гораздо сложнее.
Цена ошибки: два разбора из судебной практики
Кейс из практики: работник крупного банка оспорил увольнение по соглашению сторон, заявив, что документ подписывал не он. Подпись была неквалифицированной, выпущенной на токен, а токены хранились в сейфе работодателя. Суд изучил локальные акты о КЭДО и порядок применения подписи, признал увольнение незаконным и взыскал с работодателя компенсацию.
Кейс из практики: разнорабочий розничной сети подписал в системе документ, будучи уверенным, что подписывает заявление об оплате больничного. Фактически это было заявление об увольнении по собственному желанию. Суд признал увольнение незаконным, восстановил работника в должности и взыскал средний заработок и компенсацию морального вреда.
Оба спора выросли не из технологии: документ подписывали, не открывая его на экране. Открывайте файл целиком и читайте до нажатия кнопки, особенно когда документов в пакете несколько.
Журнал учёта подписей: чем подтверждается, что ключ ваш
Работодатель ведёт учёт выданных ключей: реестр выданных токенов и реестр сертификатов сотрудников с датами выдачи и окончания срока. Работнику это нужно в двух ситуациях: при споре об авторстве подписи и при увольнении, когда нужно вернуть носитель и отозвать сертификат. Попросите отметку о сдаче токена: без неё формально ключ числится за вами.
Когда электронная подпись вам не нужна
Часть кадровых документов по закону остаётся на бумаге, и подпись здесь не поможет. Не нужна отдельная подпись и в том случае, если работодатель не перешёл на КЭДО: без утверждённого Положения и вашего письменного согласия электронные кадровые документы юридической силы не имеют. Если вы отказались от перехода письменным заявлением, работодатель обязан продолжать оформлять ваши документы на бумаге, а сам отказ не может быть причиной увольнения или отказа в приёме на работу.
Стоимость подключения КЭДО и подписей для сотрудников в 2026 году
Стоимость зависит от численности и набора функций: сколько сотрудников подключается, нужна ли интеграция с 1С и электронный архив, требуется ли выделенный сервер.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП сотрудникам | входит в тариф | по мере подключения сотрудников |
| Получение УКЭП | через партнёров-удостоверяющих центров | по запросу |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за 1 день |
Итоговая сумма складывается из численности, выбранного тарифа и необходимости интеграции с учётной системой; актуальный состав функций по каждому тарифу собран на странице тарифов ДОБЫТО КЭДО. Электронные подписи для сотрудников в цену уже включены, отдельно покупать их не нужно.
Переход между тарифами возможен в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Первое подписание проходит быстро, если сначала определить канал, а потом искать кнопку. В телефоне и в кабинете работодателя устанавливать ничего не нужно, документ закрывается за минуту. На компьютере с токеном придётся собрать цепочку из драйвера, криптопровайдера и сертификатов, и рвётся чаще всего именно она. Открепленная подпись всегда живёт в двух файлах, а расширение p7s, sig или sgn на юридическую силу не влияет. Полномочия подписывать от имени компании подтверждает не должность в сертификате, а машиночитаемая доверенность.
Мы в Добыто ежедневно проводим сотрудников через первое подписание и видим, что сбои первого дня повторяются от компании к компании: неподтверждённая учётная запись, устаревший номер телефона в карточке и непрочитанный документ. Настройку сервиса и порядок выдачи подписей мы строим так, чтобы эти три причины были закрыты до того, как первый приказ уйдёт сотруднику.
Частые вопросы о первом подписании документа
Можно ли подписать документ, если у меня Linux или macOS, а не Windows?
Да. Криптопровайдер выпускается под Windows, Linux, macOS и российские операционные системы, отдельные программы подписания работают на Astra Linux и других отечественных сборках. Дистрибутивы под Linux выкладываются готовыми пакетами, конвертировать установщик сторонними утилитами не требуется. Мобильное подписание от операционной системы компьютера не зависит вовсе.
У меня две подписи: одна на токене от налоговой, вторая в реестре компьютера. Это нарушение?
Нет, иметь несколько действующих сертификатов на одно физическое лицо не запрещено. Практическое правило одно: документ подписывают тем сертификатом, который указан в машиночитаемой доверенности. Иначе доказать, что подписал именно уполномоченный сотрудник, будет нечем: сверка идёт по данным МЧД и сертификата.
Что делать, если работодатель прислал документ, а я не согласен с его содержанием?
В интерфейсе подписания предусмотрена кнопка отказа, и он фиксируется в системе так же, как подписание. Отказ от подписи оформляется актом, а при двустороннем обмене вторая сторона уведомляется отдельно. Молча не нажимать кнопку хуже всего: система может автоматически закрыть этап по истечении срока и вернуть документ кадровику.
Сколько подписей помещается на один токен?
Объём защищённой памяти у актуальных моделей — 128 килобайт. В формате обычного извлекаемого контейнера туда помещается до 31 контейнера. Реальное число меньше, если удостоверяющий центр записал в сертификат много дополнительных расширений: один такой контейнер занимает до 12 килобайт, и тогда на носитель войдёт около десяти ключей.
Чем неизвлекаемый ключ отличается от обычного и зачем это работнику?
Извлекаемый ключ на время подписания попадает в оперативную память компьютера, неизвлекаемый формируется внутри микроконтроллера токена и наружу не выходит: скопировать его нельзя. Работнику это важно при споре об авторстве, потому что снимается версия о скопированном контейнере. Для такого ключа нужны модель токена с криптоядром и криптопровайдер версии 5.0 R2 или выше.
Как проверить, что пришедший мне документ действительно подписан работодателем?
Откройте раздел проверки подписи в программе подписания и загрузите документ вместе с файлом подписи, если она открепленная. В отчёте будут отпечаток сертификата, имя владельца, время подписания и алгоритмы по ГОСТ. Для документа с двумя подписями отчёт покажет обе. Результат проверки оформляется протоколом и прикладывается к переписке.
Кто отвечает, если моей подписью подписали документ без меня?
Ответственность за хранение ключа несёт его владелец, поэтому передавать токен и пароль коллегам нельзя даже на один день. Если доступ к ключу утрачен или вы подозреваете компрометацию, сертификат нужно отзывать заявлением в тот удостоверяющий центр, который его выпускал. До отзыва подпись считается действующей, и все подписанные ею документы тоже.
