Подписать документ онлайн или программой: что выбрать

Подписать документ онлайн или через программу — выбор между веб-сервисом, который работает в браузере без установки, и десктопным средством подписи вроде КриптоАРМ ГОСТ 3 или Крипто Эксперт. Разница не в удобстве, а в том, какие форматы подписи вы получите на выходе, сможете ли поставить метку времени и что будет с документом через десять лет хранения. Если тема шире одного документа и вам нужен весь порядок работы с сертификатами, начните с большого материала про электронную подпись и виды ЭЦП. Здесь разберём восемь параметров сравнения, четыре десктопные программы и три сценария, в которых онлайн-подписание не подходит вообще.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Чем отличается онлайн-подписание от подписания через программу

Юридически — ничем. 63-ФЗ, та самая «тройка», не делит подпись на онлайновую и десктопную: закон описывает три вида ЭП (простая, усиленная неквалифицированная, усиленная квалифицированная) и требования к средствам подписи по приказу ФСБ № 796. Где именно крутится криптография, в вашем ноутбуке или на сервере провайдера, закону безразлично, лишь бы средство прошло оценку соответствия.

Технически разница есть, и она про то, где живёт закрытый ключ. При работе через программу связка выглядит так: крипто-провайдер (в подавляющем большинстве случаев КриптоПро CSP 5.0) плюс «флешка» с сертификатом плюс прикладное приложение поверх. Ключ либо лежит в контейнере на токене и на момент подписания ненадолго вытаскивается в оперативку рабочей станции, либо не покидает токен вообще — это неизвлекаемые ключи формата ФКН или PKCS#11, они генерируются внутри крипто-ядра микроконтроллера. При онлайн-подписании через веб-сервис ключ чаще хранится централизованно, в HSM на стороне удостоверяющего центра, или в мобильном устройстве, как в Госключе.

Отсюда практическое следствие, которое почему-то теряется в большинстве обзоров. Онлайн-сервис снимает с вас установку и обслуживание, но забирает часть контроля над форматом подписи. Десктоп даёт полный контроль над форматом, но требует, чтобы на каждой машине стоял лицензированный крипто-провайдер и работали браузерные расширения.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Первый вопрос, который я задаю клиенту, звучит не ‘вам удобнее онлайн или программу’. Он звучит ‘сколько лет вы будете хранить этот документ’. Если ответ больше трёх лет, разговор про онлайн-сервисы с базовым CMS сразу заканчивается, нужна усовершенствованная подпись и то самое ‘ухаживание за подписью’. Люди про это узнают только когда ‘серт’ протух, а документ надо предъявить.»

Сравнение онлайн-сервиса и десктопной программы по 8 параметрам

Ниже параметры, по которым выбор реально расходится. Данные собраны по документации и вебинарам разработчиков средств подписи и по практике внедрений.

Из таблицы видно главное расхождение: онлайн выигрывает по стоимости входа и скорости старта, десктоп выигрывает по контролю над форматом и по работе с неизвлекаемым ключом. Всё остальное — производные от этих двух пунктов.

Когда онлайн-подписание не подходит

Три сценария, в которых веб-сервис ломается, и об этом почти никто не пишет заранее.

Долговременное архивное хранение. Сертификат подписи действует ограниченный срок, чаще год, у некоторых УЦ дольше. После истечения срока подпись под документом технически проверить нельзя, если в момент подписания не были собраны доказательства: метка времени от доверенной службы TSP и OCSP-ответ о том, что сертификат не был отозван. Комбинация службы TSP и продления даёт срок проверки порядка 18 лет: три года срок действия закрытого ключа плюс 15 лет действия сертификата службы. Дальше подпись надо переподписывать поверх, тот самый «архивариус». Кадровые документы хранятся 50 лет. Базовый онлайн-сервис, который просто отдаёт вам «сиг-файл», эту задачу не решает.

Работа с неизвлекаемым ключом на токене. Если политика информационной безопасности требует, чтобы «закрытка» никогда не покидала микроконтроллер, вам нужен активный токен и локальный крипто-провайдер. В браузерном сценарии без плагина это не работает. И отдельная засада: протокол RDP конструктивно не умеет работать с удалённой смарт-картой, токен придётся пробрасывать в терминальную сессию, а канал закрывать VPN.

Подписание обезличенным сертификатом. Автоматическое подписание счетов, квитанций и запросов в госорганы делается сертификатом на юрлицо, привязанным к информационной системе. Такой сертификат выдаётся организации, сотрудник им пользоваться не может. Обслуживают его серверные решения, а не веб-форма для разового файла.

Мария Ж, судебный эксперт по трудовому праву:
«В спорах суд смотрит не на ‘плашку’ с ФИО внизу PDF. Штампик — это визуализация для человека, юридической силы у него ноль. Суд запросит первичный файл и файл подписи, и вот там будет видно, был ли сертификат действителен на момент подписания. Мы в Добыто из-за этого всегда выгружаем архив с подписями целиком, а не красивую распечатку.»

Проверка электронной подписи онлайн — сервис Добыто

Проверка электронной подписи

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.

1 Выберите вид подписи:

Присоединенная подписьОдин файл: документ и подпись внутри него.

Открепленная подписьДва файла: сам документ и отдельный файл подписи (.sig).

2 Загрузите документ и файл подписи:

Документ

Перетащите или выберите файл Максимальный размер файла 100 МБ

Файл подписи (.sig)

Перетащите или выберите файл Максимальный размер файла 100 МБ

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

Сбросить Проверить подпись

Нужно подписать документ?

Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.

Подписать документ

Четыре программы для подписи документов: чем отличаются

Если решили в сторону десктопа, выбирать придётся не между «какой-нибудь программой» и КриптоПро. КриптоПро CSP — это крипто-провайдер, ядро; поверх него ставится прикладное средство подписи с интерфейсом. Вот что представлено на рынке.

Вывод из таблицы простой: если вам нужен документ, который будет лежать в архиве десятилетиями, смотрите на поддержку CAdES-A. Если нужна МЧД с проверкой статуса доверенности — на Крипто Эксперт, но учитывайте отсутствие у него сертификата ФСБ, а значит непригодность для квалифицированной подписи в чистом виде.

Образцы документов для работы с электронной подписью

Установка программы: сколько времени это реально занимает

Обещания «настроить за 5 минут» я бы не давала. Чтобы КЭП от УЦ ФНС заработала на рабочем месте, нужно поставить драйверы носителя, СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, корневые сертификаты Минцифры и УЦ ФНС, личный сертификат с носителя и расширение крипто-плагина в браузере. Корневые сертификаты лежат на uc.nalog.ru/crt, причём сертификат Минцифры ставится в доверенные корневые центры сертификации, а сертификат УЦ ФНС — в промежуточные. Перепутаете хранилище, цепочка не построится и подпись будет «недействительной».

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Компьютер в процессе установки перезагружается пару раз, это нормально. Если ставите на машину, где уже жили другие СКЗИ, готовьтесь к ошибке инсталляции крипто-драйвера: чистая система собирается быстрее, чем разбирается конфликт двух провайдеров.

Как подписать документ через программу: пошаговая инструкция

1. Шаг 1. Установите драйвер ключевого носителя под вашу модель токена, затем КриптоПро CSP 5.0 R2 или выше и плагин ЭЦП Browser Plug-in.
2. Шаг 2. Скачайте корневой сертификат Минцифры и корневой сертификат вашего удостоверяющего центра, установите их в соответствующие хранилища и убедитесь, что цепочка сертификатов строится без разрывов.
3. Шаг 3. Откройте КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выберите контейнер на носителе и установите личный сертификат. Если сертификатов несколько, ориентируйтесь по дате: старый выдаст ошибку при подписании.
4. Шаг 4. Запустите средство подписи, добавьте файл, выберите тип подписи: присоединённая складывает документ и подпись в один контейнер, отсоединённая создаёт отдельный файл подписи рядом с исходным.
5. Шаг 5. Включите обращение к службе штампов времени и службе проверки статусов сертификатов, если документ идёт на длительное хранение, и выберите формат CAdES-A.
6. Шаг 6. Подпишите документ, введите пин-код носителя и сохраните результат. Передавайте контрагенту оба файла: исходный документ и файл подписи, иначе проверить подпись он не сможет.

Как проверить подпись, чем бы вы её ни поставили

Проверка не зависит от способа подписания. Если подпись присоединённая, загружаете один «сиг-файл». Если отсоединённая — исходный документ плюс файл подписи, либо zip-архив с обоими файлами. На выходе получаете статус подписи, данные владельца сертификата и срок действия.

Для разового контроля контрагента удобен официальный сервис проверки подписи на Госуслугах: он отдельно проверяет КЭП, НЭП и машиночитаемые доверенности, что полезно, когда документ подписан представителем по МЧД. Для потока документов проверку автоматизируют серверными решениями, которые фоном разбирают пачки файлов и складывают протоколы проверки в базу.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Классика: кадровик распечатывает документ со ‘штампиком’ и несёт в ГИТ. Инспектор смотрит и просит выгрузку. Мы в Добыто в каждом проекте отдельно проговариваем этот момент с кадровой службой: выгружается архив с файлами подписей, а не PDF с картинкой. Бумажка со штампиком — это удобство для чтения, не доказательство.»

Подписать документ электронной подписью онлайн

1 Загрузите файлы:

Перетащите или выберите файлы Максимальный размер файла 100 МБПринимаем файлы любого формата.

2 Выберите электронную подпись:

Выбрать подпись

Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ

3 Выберите вид подписи:

Присоединенная подписьОдин файл: документ и подпись внутри него.

Открепленная подписьДва файла: сам документ и отдельный файл подписи (.sig).

Добавить существующую подпись

Если не знаете, какая нужна, уточните у того, кто запросил подпись.

Нажимая кнопку «Подписать», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных. Подписать

Пришёл документ с подписью?

Проверьте, чья она и действует ли сертификат. Без регистрации.

Проверить подпись

Ошибки при выборе способа подписания и цена каждой

Ошибка 1. Выбрать онлайн-сервис без меток времени под документы длительного хранения. Делают ради экономии: базовый сервис дешевле, а разница в форматах подписи на этапе выбора не видна. Цена ошибки — переподписание всего массива задним числом невозможно, документы придётся собирать заново или доказывать факт подписания косвенными данными: логами входов, логами действий пользователя. Для трудового спора это шаткая позиция, а для кадровых документов со сроком хранения 50 лет проблема системная.

Ошибка 2. Купить лицензию КриптоПро CSP 4.0 вместо 5.0. Мотив понятный: цена одинаковая, привычка старая. Но неизвлекаемые ключи и функциональные ключевые носители работают начиная с пятой версии, а Windows 11 четвёртой версией не поддерживается. Цена ошибки — покупка лицензии на обновление сверху и повторный обход всех рабочих мест.

Ошибка 3. Считать, что все виды подписи взаимозаменяемы. Простая электронная подпись не позволяет проверить целостность документа: никаких криптографических преобразований с текстом не происходит, фиксируется только факт подписания. Для внутренних заявлений это терпимо, для документов, которые пойдут в суд, — нет. Цена ошибки видна по практике: в известных спорах работников со Сбером и Винлабом суды вставали на сторону работников, проверяя в том числе, был ли документ передан в удостоверяющий центр неизменённым. Компенсации, восстановление в должности, средний заработок за вынужденный прогул.

Мария Ж, юрист со стажем более 20 лет:
«Работник теряет телефон, сносит приложение с подписью и приходит к кадровику с вопросом ‘а где мои документы’. Подпись в мобильном приложении хранится на устройстве, снесли — выпускайте заново, это будет уже другая подпись со своим сроком. Никто ключ вам не восстановит, ни Минцифры, ни провайдер. Закладывайте этот сценарий в регламент заранее, а не когда он случился.»

Стоимость подписания документов: тарифы сервиса КЭДО Добыто

Итоговый бюджет складывается из двух частей: инфраструктура подписи (лицензии крипто-провайдера, токены, сертификаты в УЦ) и сама система, в которой документы ходят по маршрутам и подписываются. Стоимость системы считается по численности штата и набору подключаемых модулей.

На итоговую сумму влияют численность персонала, выбранный вид подписи и глубина интеграции с учётной системой: коннектор к 1С меняет расклад сильнее, чем количество шаблонов. Точнее сориентироваться помогут актуальные тарифы сервиса Добыто КЭДО, где расписан состав каждого пакета.

Как выбрать под свою задачу

Онлайн-подписание берут, когда подписантов много, документы типовые, а срок хранения короткий: заявления, согласования, внутренние заявки. Отдельный плюс при большом штате — не нужно закупать и обслуживать сотни токенов и обновлять крипто-провайдер на каждом рабочем месте, инженерный ресурс на это уходит немаленький.

Программу на компьютере берут, когда важен формат подписи, когда работаете с крупными файлами, когда политика ИБ требует неизвлекаемый ключ или когда нужен трансграничный обмен и доверенная третья сторона. Сюда же попадают все сценарии с шифрованием: защищённая почта по S/MIME с ГОСТ, зашифрованная передача документов контрагенту.

Гибрид встречается чаще, чем чистые варианты, и это нормально. Сотрудники подписывают кадровые документы через мобильное приложение, кадровая служба со стороны работодателя подписывает УКЭП с токена, а архив хранится с усовершенствованной подписью. В Добыто мы собираем именно такую схему: разные виды подписи на разных этапах одного маршрута, с выбором типа подписи для каждого шага согласования.

Выводы: что важно запомнить о выборе способа подписания

Юридическая сила подписи не зависит от того, поставлена она в браузере или в десктопной программе. Значение имеют вид подписи по 63-ФЗ, сертифицированность средства и наличие доказательств момента подписания. Для документов длительного хранения обязательны метка времени от службы TSP и OCSP-ответ о статусе сертификата: связка даёт срок проверки порядка 18 лет, дальше подпись переподписывается поверх. Кадровые документы хранятся до 50 лет, поэтому вопрос архивных форматов подписи решается на старте, а не когда сертификат уже истёк.

Практически выбор сводится к трём проверкам. Первая: какой срок хранения у документа, и поддерживает ли выбранный инструмент CAdES-A. Вторая: требует ли ваша политика безопасности, чтобы закрытый ключ не покидал токен, если да, нужен КриптоПро CSP 5.0 R2 и активный носитель, браузерный сценарий отпадает. Третья: сколько подписантов и какие у них устройства, потому что обслуживание парка токенов на сотни рабочих мест стоит дороже, чем кажется в смете. Отдельно проверьте цепочку сертификатов: корневой сертификат Минцифры ставится в доверенные корневые, сертификат УЦ — в промежуточные, ошибка на этом шаге даёт неработающую подпись при технически исправном токене.

Направление рынка видно уже сейчас: мобильная и дистанционная подпись отъедают массовые сценарии, потому что снимают расходы на токены и локальные лицензии, а десктопные средства уходят в нишу задач с высокими требованиями к формату, шифрованию и трансграничному обмену. Появление серверных решений для пакетной проверки и автоматического улучшения подписи означает, что ручной разбор архива подписанных документов перестаёт быть нормой.

Часто задаваемые вопросы

Можно ли использовать две подписи на одного человека одновременно?

Да, законом это не запрещено. Сотрудник может иметь подпись, полученную в УЦ ФНС на руководителя, и отдельную подпись на физлицо для работы с машиночитаемой доверенностью. Обе будут действующими параллельно. Нюанс в другом: подписывать документ нужно той подписью, которой подписана сама МЧД, иначе связь между доверенностью и подписантом не подтверждается.

Что делать с подписью сотрудника при увольнении?

Удаление контейнера из реестра компьютера подпись не отзывает. Сертификат нужно аннулировать через тот удостоверяющий центр, который его выдал, по заявлению владельца. До момента включения сертификата в список отозванных подпись остаётся технически рабочей. Отдельно проверьте машиночитаемые доверенности: если в МЧД не указана должность, а только ФИО и ИНН физлица, доверенность продолжает действовать после увольнения и её нужно отзывать отдельно.

Почему подпись не работает после переустановки Windows?

Чаще всего из-за разрыва цепочки сертификатов. При работе с неквалифицированной подписью корневые сертификаты в систему автоматически не ставятся, операционная система не доверяет им по умолчанию. Откройте сертификат, проверьте вкладку с путём сертификации и установите недостающие звенья вручную. Вторая частая причина — выбран старый сертификат из нескольких на носителе, ориентируйтесь по дате выдачи.

Можно ли подписать документ через удалённый рабочий стол?

Протокол RDP конструктивно не работает с удалённой смарт-картой: токен должен быть физически подключён к вашей машине и проброшен в терминальную сессию. Канал при этом закрывается VPN, иначе открытые порты создают риск компрометации всей терминальной станции. Полностью удалённо задача решается только облачной или мобильной подписью, где ключ хранится централизованно.

Сколько сертификатов помещается на один токен?

Зависит от формата ключей и того, что удостоверяющий центр записал в расширения сертификата. Для извлекаемых программных ключей на носителе с 128 КБ защищённой памяти помещается до 31 контейнера. Верхняя оценка на один объёмный контейнер со всеми цепочками — порядка 12 КБ, то есть в тяжёлом случае получится около 10 контейнеров. Точных фиксированных значений нет, размер плавает.

Нужно ли соглашение с контрагентом, чтобы обмениваться подписанными документами?

При использовании усиленной квалифицированной подписи соглашение не требуется: по 63-ФЗ такой документ равнозначен бумажному с собственноручной подписью в силу закона. Для простой и неквалифицированной подписи соглашение обязательно, в нём прописываются порядок создания и проверки подписи и порядок разбора конфликтных ситуаций. Исключение — УНЭП, выданная с использованием инфраструктуры электронного правительства через Госключ: по ч. 2 ст. 22.3 ТК РФ соглашение об использовании такой подписи с работником подписывать не нужно.