Подписать документ усиленной электронной подписью можно прямо в браузере: файл загружается в веб-форму, подпись формируется на вашем компьютере криптопровайдером, а на выходе вы получаете либо отдельный файл подписи с расширением .sig или .p7s рядом с документом, либо один файл со встроенной подписью. Закрытый ключ при этом никуда не уходит: он остаётся в контейнере на токене или в реестре, а страница обращается к нему через КриптоПро ЭЦП Browser plug-in. Главное различие, от которого зависит порядок действий: при ключе на токене на рабочем месте всё равно нужны драйвер носителя, КриптоПро CSP и расширение браузера; при облачной или мобильной подписи (Госключ, УНЭП работодателя в системе КЭДО) на компьютер не ставится ничего.
Разберём, какой вид подписи подходит вашему документу, что установить до первого подписания и чем присоединённая подпись отличается от открепленной. Покажем, что делать, когда площадка принимает только .p7s, когда к подписи нужна машиночитаемая доверенность и как действовать, если PIN-код токена забыт. Тарифы на 2026 год, чек-лист диагностики, образцы протокола проверки подписи и ответы на частые вопросы — во второй половине статьи.
Загрузите файл в форму ниже, выберите сертификат и вид подписи: подпись сформируется в браузере, а документ и файл подписи можно будет скачать одним архивом.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Что означает подписание в браузере и что всё равно ставится на компьютер
Веб-форма подписания не хранит и не пересылает ваш закрытый ключ. Она передаёт криптопровайдеру хеш документа, получает обратно готовое значение подписи и упаковывает его в контейнер формата CMS. Поэтому вопрос «нужно ли что-то устанавливать» решается не сайтом, а тем, где лежит ключ подписи.
Если ключ записан на токен или в реестр компьютера, работает связка из четырёх элементов: драйвер носителя, КриптоПро CSP, личный сертификат в хранилище и КриптоПро ЭЦП Browser plug-in с расширением браузера. Если подпись облачная или мобильная, криптография выполняется на стороне удостоверяющего центра или в приложении на телефоне, и рабочее место остаётся чистым.
| Сценарий | Что нужно на рабочем месте | Где закрытый ключ | Результат подписания |
|---|---|---|---|
| УКЭП на токене, подписание через веб-форму | Драйвер носителя, КриптоПро CSP, корневые и личный сертификат, плагин и расширение браузера | В контейнере на токене, при ФКН не покидает устройство | Файл .sig, .p7s или .sgn либо документ со встроенной подписью |
| Облачная УКЭП удостоверяющего центра | Ничего, но сервис должен поддерживать интеграцию с конкретным центром | На сервере удостоверяющего центра | Подписанный файл, подтверждение операции в приложении |
| УНЭП или УКЭП в приложении Госключ | Смартфон с подтверждённой учётной записью на Госуслугах | На вашем мобильном устройстве | Подписанный документ возвращается в систему, откуда пришёл |
| ПЭП или УНЭП работодателя в системе КЭДО | Браузер или мобильное приложение сервиса | В инфраструктуре оператора КЭДО | Документ в архиве системы со статусом и записью в журнале |
Установка нужна только в первой строке таблицы. В остальных сценариях требование «поставьте криптопровайдер» означает, что вам предлагают не тот способ подписания, который подходит вашей задаче.
Виды электронной подписи: какая нужна вашему документу
63-ФЗ делит подписи на простую, усиленную неквалифицированную и усиленную квалифицированную. Механика подписания у УНЭП и УКЭП одинаковая, различается юридический статус: УНЭП может выпустить сам работодатель или сервис, УКЭП выдаёт только удостоверяющий центр, аккредитованный Минцифры.
Отдельно стоит УНЭП, выданная с использованием инфраструктуры электронного правительства: такую подпись из приложения Госключ признают без отдельного соглашения сторон, потому что личность подтверждена подтверждённой учётной записью на Госуслугах. Обычная УНЭП работодателя работает только там, где стороны заранее договорились о её применении, и в кадровом контуре это соглашение оформляется отдельным документом. Для трудовых отношений виды подписи закреплены статьями 22.1-22.3 ТК РФ, введёнными 377-ФЗ: часть документов работник вправе подписывать ПЭП, часть требует усиленной подписи.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Выпуск УКЭП в мобильном приложении требует биометрического загранпаспорта нового образца и телефона с NFC, а УНЭП выпускается по подтверждённой учётной записи и доступна в том числе иностранным гражданам, подтвердившим запись очно. Условия выпуска и порядок отправки документов на подпись описаны на странице приложения Госключ на портале Госуслуг.
Мария Ж, специалист по цифровой подписи и КЭДО: «Сотрудники часто считают, что подпись в телефоне и подпись на токене — одно и то же, просто в разных корпусах. Разница в том, где живёт закрытая часть ключа: в Госключе она хранится на вашем устройстве, и ни у оператора, ни у ведомства доступа к ней нет. Перед тем как подписывать, посмотрите в сертификате, кем он выдан: если в цепочке нет аккредитованного удостоверяющего центра, это не квалифицированная подпись, чем бы её ни называли в интерфейсе.»
Что подготовить до первого подписания
Порядок установки имеет значение: если поставить плагин раньше криптопровайдера или пропустить корневые сертификаты, форма подписания покажет пустой список сертификатов, а причина будет не в сайте.
Чек-лист готовности рабочего места
- Драйвер ключевого носителя. Ставится под конкретную модель: Рутокен, JaCarta, eSmart. Определите тип носителя визуально или по документам удостоверяющего центра и скачайте пакет с сайта производителя.
- КриптоПро CSP. Для работы с сертификатом УЦ ФНС нужна версия 5.0 R2 сборки 12000 или выше. Дистрибутив вместе с плагином выдаётся по форме на сайте производителя в рамках эксперимента УЦ ФНС.
- Корневые сертификаты. Сертификат Минцифры устанавливается в хранилище «Доверенные корневые центры сертификации», сертификат удостоверяющего центра — в «Промежуточные центры сертификации». Разрыв цепочки даёт ошибку о недоверенном корневом сертификате.
- Личный сертификат. Устанавливается из контейнера через КриптоПро CSP: вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выбор носителя.
- Плагин и расширение браузера. КриптоПро ЭЦП Browser plug-in ставится отдельным установщиком, расширение включается в самом браузере. Работоспособность проверяется на тестовой странице производителя: индикаторы расширения, плагина и криптопровайдера должны быть активны.
Проверять этот список удобнее не в момент, когда документ уже ждёт подписи, а заранее. В практике Добыто перед раскаткой КЭДО на всю компанию мы прогоняем через подписание пилотную группу: именно на ней вылезают рабочие места без расширения браузера и токены, драйвер к которым никто не ставил.
Факт: в рамках пилотного проекта удостоверяющего центра ФНС лицензия на КриптоПро CSP вшивается внутрь сертификата и действует ровно столько, сколько действует сам сертификат электронной подписи. Отдельно вводить серийный номер на рабочем месте в этом случае не нужно.
Как подписать документ усиленной подписью в браузере: пошаговая инструкция
Как подписать файл через веб-форму: 7 шагов
- Шаг 1. Подключите носитель в USB-порт и убедитесь, что КриптоПро CSP видит контейнер: вкладка «Сервис», «Просмотреть сертификаты в контейнере», «Обзор».
- Шаг 2. Откройте тестовую страницу проверки плагина. Если индикатор расширения или криптопровайдера не активен, подписание не начнётся, а форма покажет пустой список сертификатов.
- Шаг 3. Загрузите документ в форму подписания. Формат исходного файла значения не имеет: подписывается его хеш, а не содержимое конкретного редактора.
- Шаг 4. Выберите вид подписи. Присоединённая упаковывает документ и подпись в один файл, открепленная создаёт отдельный файл подписи рядом с исходным документом.
- Шаг 5. Выберите сертификат из списка и сверьте три поля: владельца, издателя и срок действия. Сертификат с истёкшим сроком в список попадёт, а подпись им уже не примут.
- Шаг 6. Введите PIN-код контейнера в окне криптопровайдера. Это единственный момент, когда происходит обращение к закрытому ключу.
- Шаг 7. Скачайте результат: файл подписи, подписанный документ или архив с парой файлов. Сразу проверьте подпись и сохраните протокол проверки, он пригодится, если получатель усомнится в подлинности.
Подписывать пакетом быстрее, чем повторять цикл для каждого файла. В форме Добыто загружается сразу несколько документов, результат отдаётся архивом, а обращение к закрытому ключу происходит в рамках одной сессии подписания.
Присоединённая и открепленная подпись: sig, p7s и sgn
Открепленная подпись создаёт второй файл: документ на 74 КБ и подпись на 2-4 КБ рядом с ним. Присоединённая складывает исходные данные и подпись в один контейнер, который без специальной программы уже не открыть как обычный документ. Юридической разницы между ними нет, разница в передаче: открепленную нужно отправлять только парой с документом, иначе проверить её не получится.
Расширение файла подписи не меняет её содержимого. И .sig, и .p7s, и .sgn — это один и тот же контейнер CMS с профилем CAdES-BES, просто в настройках подписания выбрано разное имя. В Инструментах КриптоПро на выбор доступны p7s, sig и sgn, в КриптоАРМ ГОСТ список шире: sig, p7s, sgn, sign и bin. Требование площадки принимать только .p7s относится к расширению, а не к криптографии.
| Куда отправляете | Что критично | Что вторично |
|---|---|---|
| Государственная информационная система или площадка | Вид подписи (чаще открепленная) и расширение файла, заданные регламентом площадки | Каким приложением создана подпись |
| Контрагент по электронной почте | Отправить документ и файл подписи вместе, не переименовывая исходный файл | Расширение подписи, если получатель проверяет её онлайн-сервисом |
| PDF на подпись нескольким сторонам | Договорённость о формате: встроенная подпись PAdES или отдельные файлы CAdES | Наличие визуального штампа на странице документа |
| Кадровые документы внутри компании | Вид подписи по статьям 22.1-22.3 ТК РФ и запись в журнале системы КЭДО | Способ хранения файлов на рабочем компьютере сотрудника |
Визуальный штамп на странице документа предназначен для человека. В спор идут исходный документ и файл подписи, а не распечатка со штампом.
Лайфхак: если площадка ждёт .sig, а программа отдала .sgn, содержимое файла менять не нужно — достаточно сменить расширение. Для партии файлов это делается одной командой переименования, обработка 1500 файлов занимает секунды. Перед этим включите отображение расширений имён файлов в Проводнике, иначе правка уйдёт в имя, а не в тип файла.
Документы для проверки подписи и оформления полномочий
Комплект для тех, кто принимает подписанные файлы: начните с протокола проверки, он фиксирует результат на дату получения документа.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Скачать |
|---|---|
| Протокол проверки электронной подписи (образец) | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Разбор ошибок площадок при подписании | Скачать |
Токен, КриптоПро CSP и eSmart: когда без установки не обойтись
Ключи на носителе делятся на извлекаемые и неизвлекаемые. Извлекаемый ключ на время операции подгружается в память компьютера, и токен работает как защищённое PIN-кодом хранилище. Неизвлекаемый генерируется криптоядром самого устройства и наружу не выходит: подпись формируется на борту токена, а в криптопровайдер возвращается только готовое значение.
Формат ФКН добавляет к этому шифрование канала между криптопровайдером и токеном по протоколу SESPAKE, чтобы PIN-код не передавался в открытом виде. Работать с ФКН и с интерфейсом PKCS#11 умеет КриптоПро CSP версии 5.0 R2 и выше; провайдер 4.0 поддерживает только пассивные носители с извлекаемыми ключами. Участникам алкогольного рынка, которые отчитываются в ЕГАИС, подходит только формат PKCS#11.
Ключи, полученные в удостоверяющем центре ФНС, выдаются неэкспортируемыми: скопировать такой контейнер регламент не позволяет. На носителе со 128 КБ защищённой памяти помещается до 31 контейнера в формате CSP, но реальное число зависит от того, что удостоверяющий центр записал в сертификат: один контейнер с полной цепочкой доходил до 12 КБ.
Мария Ж, юрист со стажем более 20 лет: «Перед выпуском ключа стоит честно ответить себе на один вопрос: вы будете подписывать с одного компьютера или с нескольких. Если рабочих мест несколько и на части из них стоит КриптоПро CSP 4.0, вам нужен извлекаемый пассивный контейнер, иначе на старой версии провайдера ключ не заработает. Если подписание идёт с одной машины, выбирайте ФКН: закрытый ключ не покидает токен, и это безопаснее.»
Когда подписание через браузер не подойдёт
Веб-форма не закрывает три сценария. Первый: системы, которые требуют встроенную подпись PDF по стандарту PAdES с визуализацией штампа внутри страницы, там нужен профильный модуль для просмотрщика. Второй: отраслевые системы вроде ЕГАИС, где регламент задаёт конкретный формат ключа. Третий: массовое подписание кадровых документов, где сотруднику не нужно разбираться в контейнерах, а нужны маршрут и кнопка «Подписать» в личном кабинете.
Если вы работодатель и читаете этот раздел с мыслью, что выдавать каждому сотруднику токен дорого и хлопотно, для кадрового контура это и не требуется: ПЭП и УНЭП сотрудников выпускаются внутри системы КЭДО, а токены остаются у тех, кто подписывает документы от имени организации вовне.
МЧД: когда одной подписи сотрудника мало
Сертификат сотрудника выпускается на физическое лицо, без указания организации. Полномочия подтверждает машиночитаемая доверенность, XML-файл, который руководитель подписывает своей квалифицированной подписью. Переходный период закончился 1 сентября 2023 года: с этой даты документы от имени компании подписывает либо руководитель своей УКЭП, либо сотрудник подписью физлица с приложением МЧД.
Данные МЧД задаются не свободным текстом. Полномочия описываются кодом из классификатора, у каждого полномочия есть код, дата и уникальный идентификационный номер, и проверяющая система читает именно их. Компания вправе направить свой перечень полномочий в Минцифры: заявление рассматривают 10 дней, при положительном решении коды присваивают и включают в классификатор в течение трёх рабочих дней. Пока классификатор наполняется, полномочия допускается вписывать вручную.
Отдельной доверенности от филиала не бывает: филиал не является юридическим лицом, поэтому доверителем выступает головная организация в лице руководителя, а сотрудник филиала указывается представителем. Передоверить МЧД внутри компании своими силами тоже нельзя: передоверие оформляет нотариус, который проверяет паспортные данные нового представителя и актуальную выписку из ЕГРЮЛ, подписывает доверенность своей УКЭП и выгружает её в информационную систему.
Практическая деталь при подписании: доверенность подписывается открепленной подписью, и к документу прикладывается пара файлов, сам XML и файл подписи. Проверить связку сертификата представителя и доверенности можно на портале проверки, куда загружаются три файла: сертификат представителя, XML доверенности и файл её отсоединённой подписи.
Мария Ж, судебный эксперт по трудовому праву: «Самая частая проблема с МЧД возникает не при выпуске, а при увольнении. Сертификат остаётся у бывшего сотрудника, и удаление контейнера из реестра рабочего компьютера ничего не отзывает: подпись действует до конца срока, пока владелец не подаст в удостоверяющий центр заявление на отзыв. Проверьте, чтобы в чек-листе увольнения стояли два пункта: отзыв сертификата и прекращение доверенности.»
Подпись не ставится или доступ потерян: что делать
Сообщение «сертификаты не найдены» почти всегда означает обрыв в одном из звеньев цепочки, а не поломку самой подписи. Проверять их нужно снизу вверх: видит ли система носитель, видит ли КриптоПро CSP контейнер, установлен ли личный сертификат, установлены ли корневые сертификаты, включено ли расширение браузера. Тестовая страница плагина показывает три индикатора и сразу отсекает половину сценариев.
Ошибка о недоверенном корневом сертификате означает разрыв цепочки. У квалифицированной подписи цепочка устанавливается вместе с сертификатом, а у неквалифицированной корневые сертификаты по умолчанию не ставятся: их устанавливают вручную, понимая, что после этого система будет доверять всем сертификатам этого центра.
Забытый PIN-код токена решается в панели управления носителя: пользовательский PIN разблокируется PIN-кодом администратора. Если неизвестен и он, остаётся форматирование, а это удаление ключа и перевыпуск сертификата в удостоверяющем центре. Доступ к подписи в мобильном приложении устроен строже: пароль от приложения остаётся единственным способом входа, и восстановить прежнюю подпись нельзя.
Внимание: если вы удалили приложение Госключ или забыли пароль от него, доступа к выпущенной подписи не остаётся ни у вас, ни у ведомства. После переустановки выпускается новая подпись со своим сроком действия, а документы, подписанные прежней, остаются действительными.
Во что обходится ошибка с подписью
Цена ошибки считается не стоимостью перевыпуска сертификата. В двух известных трудовых спорах работники заявили, что документы об увольнении подписывали не они, и суды встали на сторону работников: увольнение признали незаконным, сотрудников восстановили в должности, взыскали средний заработок и компенсацию морального вреда. Суд смотрел не на визуальный штамп, а на комплект: локальные акты о применении электронного документооборота, действительность сертификата на момент подписания и подтверждение того, что подписан был именно тот документ, который передавался на подпись.
Второй источник расходов — истёкший сертификат. Срок действия обычно составляет год, и после его окончания момент подписания без метки доверенного времени подтвердить нечем. Штамп времени от доверенной службы фиксирует точное время и хеш документа, а OCSP-ответ подтверждает, что сертификат на тот момент не был отозван. Такие подписи называют усовершенствованными, и для долгоживущих документов их запрашивают сразу.
Мария Ж, соучредитель сервиса КЭДО Добыто: «На метку времени обращают внимание в последнюю очередь, а вспоминают о ней в суде. Если ваши документы живут дольше года, договаривайтесь о штампе времени на этапе настройки обмена: добавить его задним числом к уже созданной подписи не получится. Проверить, есть ли метка, можно в любом сервисе проверки подписи, она отображается отдельной строкой рядом с заявленным временем подписания.»
Журнал подписания: что фиксировать и что выгружать при споре
Файл подписи отвечает на вопрос «кто и что подписал», но не отвечает на вопрос «как этот человек попал в систему». Для ПЭП и УНЭП внутри корпоративной системы ответ даёт журнал: время события, идентификатор пользователя, способ входа, статус документа и маршрут согласования. В спорной ситуации выгружают три вещи: электронный оригинал документа, файл подписи и запись журнала по этому документу.
Отдельно ведут два реестра: сертификатов сотрудников (владелец, издатель, серийный номер, срок) и выданных носителей. Первый нужен, чтобы заранее видеть истекающие сертификаты, второй — чтобы при увольнении токен вернулся, а не остался в тумбочке. В Добыто маршрут документа, статусы участников и архив подписанных файлов хранятся в одном модуле, поэтому выгрузка по конкретному документу собирается без обращения к администратору.
Полезно знать: на портале «Работа в России» документ, подписанный работником простой электронной подписью через Госуслуги, дополнительно заверяется усиленной подписью Роструда. В выгрузке к документу приложен отдельный файл, где указаны номер сертификата и срок его действия.
Стоимость подключения и тарифы Добыто КЭДО
Стоимость зависит от численности сотрудников и от набора функций: интеграции, электронный архив, кастомные шаблоны и уровень поддержки.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес»: 50 сотрудников | 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | на всех тарифах |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного тарифа: УКЭП доступна на тарифе «Бизнес» и выпускается через партнёров-удостоверяющих центров, а ПЭП и УНЭП сотрудникам выпускаются бесплатно на всех тарифах. Полный состав функций и условия перехода между тарифами опубликованы на странице тарифов Добыто КЭДО.
Тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Усиленная подпись в браузере работает по одному принципу: страница передаёт хеш документа криптопровайдеру и получает готовую подпись, а закрытый ключ остаётся там, где был выпущен. Установка нужна только при ключе на токене, и порядок в ней важнее скорости: драйвер, КриптоПро CSP, корневые сертификаты, личный сертификат, плагин и расширение. Расширение файла подписи содержимого не меняет, а юридическую силу документу дают файл подписи, действующий сертификат и, для долгих документов, метка доверенного времени.
Мы в Добыто выстраиваем кадровый документооборот так, чтобы сотруднику не приходилось разбираться в контейнерах и форматах: подписание идёт из браузера по заданному маршруту, а сертификаты, статусы и архив собраны в одном месте.
Частые вопросы
Можно ли подписать усиленной подписью письмо, а не файл?
Подписывается всегда файл, а не текст в окне почтового клиента. Есть приложения со встроенным почтовым клиентом, которые подписывают и отправляют письмо вместе с вложениями. Универсальный вариант проще: подпишите вложение открепленной подписью и отправьте документ и файл подписи одним письмом, не переименовывая исходный файл. Переписка остаётся подтверждением деловой коммуникации, но содержание подтверждает именно подписанное вложение.
Площадка приняла файл, но написала, что подпись неверна. Что проверять первым?
Сначала проверьте, тот ли файл вы отправили: подпись считается по хешу конкретной версии документа, и любая правка после подписания, включая пересохранение в другом редакторе, делает её недействительной. Затем сверьте вид подписи: если отправлена открепленная, документ и файл подписи должны загружаться парой. Ошибка о неправильном значении хеша почти всегда означает несовпадение файла, а не проблему сертификата.
Действительна ли подпись после окончания срока сертификата?
Документ, подписанный в период действия сертификата, остаётся подписанным. Сложность в доказывании: без метки доверенного времени момент подписания подтвердить нечем. Штамп времени фиксирует точное время и хеш документа, а OCSP-ответ подтверждает, что сертификат не был отозван на момент подписания. Службы штампов времени есть у налоговой и у удостоверяющих центров.
Почему файл .sig не открывается на телефоне?
Это не документ, а контейнер с подписью размером от нескольких сотен байт до нескольких килобайт. Мобильная система не знает, чем его открыть, и показывает значок с вопросительным знаком. Файл нужен не для чтения, а для проверки: загрузите документ и файл подписи в сервис проверки и увидите владельца сертификата, издателя, алгоритмы и время подписания.
Нужна ли машиночитаемая доверенность, если я подписываю документы за себя?
Нет. МЧД подтверждает полномочия действовать от имени организации. Когда работник подписывает своё заявление, трудовой договор или согласие, он выступает от себя, и доверенность не требуется. МЧД нужна, когда сотрудник подписывает документы компании: отчётность, договоры с контрагентами, документы для государственных систем.
Можно ли одной подписью пользоваться на двух компьютерах?
Технически да, если контейнер извлекаемый и его разрешено копировать. Ключи удостоверяющего центра ФНС выпускаются неэкспортируемыми, скопировать их регламент не позволяет, но сам токен можно переносить между рабочими местами. Ограничение в другом: ключи в формате ФКН и PKCS#11 требуют КриптоПро CSP версии 5.0 R2 и выше, на рабочем месте с версией 4.0 они не заработают.
