Подписать PDF электронной подписью можно тремя способами, и они дают три разных результата. Откреплённая подпись создаёт рядом с документом второй файл: dogovor.pdf и dogovor.pdf.sig, .p7s или .sgn. Присоединённая упаковывает сам документ внутрь файла подписи, и просмотрщик PDF такой файл уже не откроет. Встроенная подпись формата PAdES остаётся внутри самого PDF и видна штампом при открытии. Главное различие, от которого зависит порядок действий: получателю нужен отдельный файл подписи или подпись внутри документа. В первом случае вы отправляете пару файлов и больше не пересохраняете PDF, во втором подписываете через плагин КриптоПро PDF в Adobe Acrobat и получаете один файл.
Разберём, что проверить до подписания: версию криптопровайдера, действительность сертификата, лицензию и формат, который ждёт получатель. Покажем семь ошибок, после которых документ приходится переподписывать, и как отличить настоящую подпись от нарисованного штампа «Подписано цифровой подписью». Работникам, которые подписывают кадровые документы, отдельно разберём Госключ и статью 22.3 ТК РФ. Сценарная таблица «куда отправляете и что подписываете», стоимость подключения КЭДО на 2026 год, образцы протокола проверки и памяток, ответы на частые вопросы — во второй половине статьи.
Загрузите PDF в форму ниже, выберите сертификат и тип подписи: сервис вернёт подписанный файл и файл подписи в том формате, который вы указали.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Три результата подписания PDF: что именно окажется у вас в папке
Результат подписания задаёт вид подписи, выбранный в программе. Один и тот же сертификат даёт откреплённый файл .sig, присоединённый контейнер или штамп внутри PDF. Получатель почти всегда ждёт что-то одно, и именно это расхождение чаще всего заставляет подписывать документ второй раз.
| Что получается | Как выглядит | Когда применяется |
|---|---|---|
| Откреплённая подпись CAdES | Два файла: исходный PDF и отдельный файл подписи с расширением .sig, .p7s, .sgn, .sign или .bin | Госпорталы, кадровый ЭДО, обмен с контрагентом, когда документ должен остаться неизменным |
| Присоединённая подпись CAdES | Один файл подписи, внутри которого лежит сам документ; открыть его просмотрщиком PDF нельзя | Передача одним файлом, когда получатель умеет извлекать документ из контейнера |
| Встроенная подпись PAdES | Один PDF, подпись внутри него, при открытии видна панель подписей и штамп | Когда документ читают и проверяют в одном окне: выписки, счета, двусторонние договоры |
| Визуализация подписи (штамп) | Копия документа с надписью «Подписано цифровой подписью»; сама подпись в ней не содержится | Для печати и наглядного просмотра рядом с юридически значимым оригиналом |
Визуализация и подпись живут отдельно друг от друга: штамп добавляется на копию документа, чтобы не нарушать целостность оригинала. Проверку целостности проходит оригинал.
Мария Ж, специалист по цифровой подписи и КЭДО: «Распечатка со штампом об электронной подписи сама по себе юридической значимости не несёт: штамп нарисован, проверить по нему подпись нельзя. Значимость есть у электронного оригинала вместе с подписью, поэтому передавайте контрагенту оба файла. Если вам прислали только PDF со штампом, запросите оригинал и файл подписи: без них проверить подписанта не получится».
Внимание: приложение «Госключ» синие штампы в документ не проставляет. Штамп формирует система КЭДО отдельным файлом в дополнение к подписанному, и проверку целостности проходит только исходный документ без штампа.
Подготовка перед подписанием: шесть пунктов, которые снимают большинство сбоев
Подписание ломается не в момент нажатия кнопки, а раньше: не установлен провайдер, истекла лицензия, выбран один из двух похожих сертификатов, получателю нужен другой формат. Проверка занимает около десяти минут и экономит повторный цикл согласования.
Что проверить до того, как открыть программу подписания
- Формат, который ждёт получатель. Откреплённая подпись, присоединённая или встроенная в PDF. Для кадрового документооборота формат документа установлен как PDF/A-1a.
- Расширение файла подписи. В настройках подписания выбирается одно из пяти: .sig, .p7s, .sgn, .sign, .bin. Содержимое одинаковое, а приёмная сторона нередко принимает только одно расширение.
- Криптопровайдер и его версия. Носители с неизвлекаемыми ключами работают начиная с КриптоПро CSP 5.0. Провайдер версии 4.0 такие ключи не видит.
- Лицензия. Удостоверяющий центр ФНС вшивает лицензию на КриптоПро CSP внутрь сертификата, и её срок равен сроку сертификата. Если сертификат выпущен другим удостоверяющим центром без такого расширения, нужна отдельная лицензия.
- Действительность сертификата. Сертификат должен быть действителен на момент подписания. Документ, подписанный после отзыва сертификата, проверку не пройдёт.
- Правильный сертификат из нескольких. После продления в хранилище лежат старый и новый сертификаты с одинаковым именем владельца. Сортируйте список по дате и берите свежий: выбор старого даёт ошибку, которую потом долго ищут.
Дальше всё определяет сценарий получателя. Ниже таблица, которой удобно пользоваться перед отправкой.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Кадровый документ через КЭДО работодателя | Вид подписи по статье 22.3 ТК РФ, сохранение файла .sig в системе работодателя | Внешний вид штампа, расширение файла подписи |
| Отправка контрагенту по почте | Оба файла в одном письме, неизменность PDF после подписания | Присоединённая подпись или откреплённая, если стороны договорились |
| Подписание от имени компании представителем | Машиночитаемая доверенность и её отсоединённая подпись рядом с документом | Способ создания МЧД: сервис ФНС или программа подписания |
| Документ на долгое хранение | Метка доверенного времени и статус сертификата на момент подписания | Программа, в которой сформирована подпись |
Строка про долгое хранение чаще всего и выпадает: обычная подпись проверяется, пока действует сертификат, а кадровые и финансовые документы живут дольше.
Факт: все релизы КриптоПро CSP 5.0, включая R1, R2 и R3, сертифицированы по классам КС1, КС2 и КС3, сертификаты действуют до 1 мая 2027 года. Лицензия на линейку 5.0 единая: отдельная лицензия под R2 и R3 не нужна.
Мария Ж, юрист со стажем более 20 лет: «Вопрос про лицензию всплывает почти на каждом внедрении. Если сертификат получен в удостоверяющем центре ФНС, лицензия на криптопровайдер обычно вшита в сам сертификат и действует ровно столько же, сколько он. Для тестов и разовых задач хватает демонстрационного периода в 3 месяца после установки провайдера, для постоянной работы с чужими сертификатами нужна полная лицензия».
Как подписать PDF электронной подписью: порядок действий
Порядок одинаков для настольных программ подписания и для веб-сервисов, различаются только названия кнопок. Разница появляется на шаге выбора вида подписи: именно он определяет, один файл вы получите или два.
Как подписать PDF электронной подписью: пошаговая инструкция
- Шаг 1. Подключите носитель с ключом и убедитесь, что система его видит. Для носителей с неизвлекаемым ключом нужен КриптоПро CSP версии 5.0 или новее.
- Шаг 2. Откройте программу подписания и добавьте PDF. Проверьте имя файла: подписывается тот файл, который выбран, а не тот, что открыт в соседнем окне.
- Шаг 3. Выберите сертификат. Сверьте владельца, издателя и срок действия, а при нескольких похожих сертификатах ориентируйтесь на дату выдачи.
- Шаг 4. Задайте вид подписи. Откреплённая создаётся галочкой «создать отсоединённую подпись», встроенная в PDF — режимом PAdES в мастере подписи и защиты PDF.
- Шаг 5. Если получателю нужен штамп, настройте визуализацию: положение на странице, размер, страницы, при необходимости логотип. Штамп ложится на копию документа.
- Шаг 6. Введите PIN-код контейнера и запустите операцию. Хеш большого документа считается программно, поэтому на объёмных файлах подписание идёт дольше.
- Шаг 7. Проверьте результат в том же окне: статус подписи, данные сертификата и цепочку сертификации. Затем сохраните оба файла в одну папку с одинаковыми именами.
В Добыто.Подпись переключатель между откреплённой и присоединённой подписью стоит на самой форме с пояснением, а после операции файлы выдаются списком с кнопкой скачивания архива. Пользователь видит заранее, сколько файлов получит.
Лайфхак: для проверки чужой подписи лицензия не нужна. КриптоАРМ ГОСТ проверяет подпись без установки лицензии, поэтому программу можно поставить только ради разбора входящих файлов.
Семь ошибок, из-за которых PDF приходится подписывать заново
Ошибки повторяются от компании к компании, и почти все они возникают на этапе подготовки.
1. Инструмент «Заполнить и подписать» вместо криптографической подписи. Он рисует изображение росчерка поверх страницы. Криптографического преобразования не происходит, проверить целостность документа по такой картинке нельзя.
2. Не тот вид подписи для документа. Простая электронная подпись фиксирует факт подписания, но не позволяет проверить неизменность документа: криптографического преобразования текста при её использовании не происходит. Для кадровых документов из статьи 22.3 ТК РФ работник применяет УКЭП, УНЭП с порядком проверки по соглашению сторон или УНЭП, выданную в инфраструктуре электронного правительства.
3. Отправка одного файла из пары. При откреплённой подписи документ и файл подписи составляют комплект. Если получателю ушёл только PDF, проверить подпись он не сможет физически.
4. Переименование файлов после подписания. Программа проверки ищет пару по имени. Переименовали dogovor.pdf, а файл подписи остался dogovor.pdf.sig, и проверка ломается на связке файлов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
5. Пересохранение PDF после подписания. Любое изменение файла, включая пересохранение в просмотрщике, меняет хеш. Подпись после этого не сходится.
6. Подписание сертификатом, который уже отозван или истёк. Сертификат отзывается по заявлению владельца и попадает в список отозванных. Все документы, подписанные после включения сертификата в этот список, проверку не проходят.
7. Подписание за компанию без машиночитаемой доверенности. Сотрудник подписывает документ своей подписью физического лица, а полномочия подтверждает МЧД. Без неё документ приходит без подтверждения права подписи.
Сколько стоит ошибка при подписании
Цена ошибки редко измеряется стоимостью повторного подписания. Документ, отправленный без файла подписи, возвращается на следующий рабочий день, а если это заявление или согласие в кадровом процессе, сдвигается вся цепочка: оформление, приказ, выплата. Подпись, поставленная отозванным сертификатом, не проходит проверку и в споре не работает как доказательство. При долгом хранении проблема другая: обычная подпись без метки доверенного времени перестаёт проверяться после истечения срока действия сертификата, а кадровые документы хранятся десятилетиями.
Кадровые документы: чем подписывает работник и что делать, если подпись истекла
Статья 22.3 ТК РФ прямо перечисляет случаи, когда со стороны работника нужна усиленная подпись: заключение трудового договора, договора о материальной ответственности, ученического договора, договора на получение образования, внесение в них изменений, согласие на перевод, заявление об увольнении и его отзыв, а также ознакомление с уведомлением об изменении определённых сторонами условий трудового договора и с приказом о дисциплинарном взыскании. Допустимы три варианта: УКЭП, УНЭП с порядком проверки по соглашению сторон трудового договора и УНЭП, выданная с использованием инфраструктуры электронного правительства.
Логин и пароль от Госуслуг усиленной подписью не являются: это простая электронная подпись ЕСИА. УНЭП в инфраструктуре электронного правительства создаётся через технологию «Госключ» и формируется сертифицированными средствами электронной подписи.
Практическая механика Госключа отличается от настольных программ. Документ приходит из информационной системы работодателя, приложение возвращает отдельный файл подписи .sig на каждый направленный файл и не вносит изменений в сам документ. В одном пакете направляется до 50 файлов, в том числе PDF и XML. Подписать документ нужно не позднее 24 часов после направления, дальше система работодателя получает статус об истечении срока и либо направляет пакет повторно, либо кадровая служба связывается с работником.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Работники регулярно спрашивают, почему на подписание даётся сутки и что будет, если не успеть. Ничего необратимого: документ уходит на повторное направление. Гораздо важнее сохранить файл подписи: Госключ возвращает по одному .sig на каждый документ, и доказательством служит именно этот файл вместе с оригиналом, а пришедшее уведомление доказательством не является».
Сертификат УНЭП и УКЭП в Госключе действует 12 месяцев. Напоминания приходят заранее: за 30 календарных дней пуш-уведомлением, за 14 календарных дней на Госуслугах, за 7 календарных дней в самом приложении. Если срок всё-таки истёк, выпуск нового сертификата УНЭП занимает несколько минут. Отдельно контролировать сроки работодателю не требуется: при направлении документа приложение само покажет, что сертификат нужно перевыпустить. Вспоминать пароль тоже не обязательно: вход по отпечатку пальца или изображению лица доступен в Госключе с февраля 2026 года.
Если вы работодатель и читаете этот раздел с мыслью, что у ваших сотрудников подписи выпущены вразнобой, собственный удостоверяющий центр для этого не нужен: ПЭП и УНЭП для сотрудников выпускаются внутри сервиса, а маршрут подписания и хранение файлов подписи закрывает система КЭДО.
Полезно знать: на токене со 128 КБ защищённой памяти помещается до 31 контейнера в программном формате. Один контейнер с длинными расширениями сертификата занимает до 12 КБ, поэтому реальное число ключей на носителе бывает заметно меньше.
Образцы и памятки для работы с подписанными файлами
Комплект собран под разбор входящих и исходящих подписей; начните с памятки получателю, если контрагент не понимает, зачем ему пришло два файла.
| Документ | Скачать |
|---|---|
| Памятка получателю: почему пришло два файла и что с ними делать | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Чек-лист проверки файла SGN | Скачать |
| Реестр выданных токенов и подписей | Скачать |
| Шаблон машиночитаемой доверенности: структура XML | Скачать |
| Адреса служб штампов времени TSP | Скачать |
Подписание за компанию: машиночитаемая доверенность и филиалы
Сотрудник подписывает документы своим сертификатом физического лица, а полномочия подтверждает машиночитаемая доверенность. Руководитель-доверитель подписывает МЧД своей УКЭП и указывает в ней, кому, какие полномочия и на какой срок передаются. Доверенность создаётся в форме на сайте ФНС или в программе подписания и загружается в распределённый реестр ФНС XML-файлом.
Подпись под МЧД делается отсоединённой: в окне подписания включается галочка «создать отсоединённую подпись», и рядом с XML появляется отдельный файл подписи. Дальше комплект передаётся вместе с документом. Часть программ подписания собирает единый архив, куда попадают подписанные файлы и файлы доверенности.
Для филиала действует та же схема, что для головной организации: доверенность выдаёт лицо, имеющее право действовать от имени юридического лица, а руководитель филиала подписывает документы как представитель в объёме переданных полномочий. Обособленное подразделение своим доверителем в МЧД не указывается, доверителем остаётся юридическое лицо.
Проверка результата: как убедиться, что подпись встала
Проверка занимает минуту и снимает необходимость выяснять отношения с получателем. Загрузить документ и файл подписи можно в сервис проверки электронной подписи на Госуслугах: там же проверяются машиночитаемая доверенность и сертификат представителя, для чего понадобятся три файла — сертификат представителя, XML доверенности и файл её отсоединённой подписи.
При проверке смотрите на три вещи: статус подписи, данные сертификата подписанта и результат проверки цепочки сертификации. Отдельная строка — алгоритмы: для российской подписи это ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012. Результат имеет смысл сохранять: протокол проверки скачивается файлом и прикладывается к документу в архиве.
Красная плашка в просмотрщике PDF не всегда означает проблему с документом. Типичная причина — в системе не установлены сертификаты удостоверяющего центра, поэтому цепочка доверия не строится. Проверка через сторонний сервис в такой ситуации даёт корректный результат.
Отдельная задача — подписи, которые должны проверяться через годы. Госключ возвращает подпись в формате CAdES-T с меткой доверенного времени, и такую подпись информационная система работодателя может расширить до архивного формата CAdES-A. Для настольных программ метка времени добавляется обращением к службе штампов времени: операция выполняется программно, на самом носителе метка не формируется.
Мария Ж, судебный эксперт по трудовому праву: «Обязанность обеспечивать архивное хранение кадровых документов лежит на работодателе по части 8 статьи 22.1 ТК РФ, а сроки хранения измеряются десятилетиями. Обычная подпись перестаёт проверяться вместе с сертификатом, поэтому в архив документы должны уходить с меткой доверенного времени и подтверждением статуса сертификата на момент подписания. Проверьте, умеет ли ваша система усовершенствовать подпись до архивного формата».
В практике Добыто протокол проверки формируется вместе с подписанным комплектом и хранится рядом с документом, а сведения о выданных сертификатах ведутся отдельным реестром. При проверке трудовой инспекцией это избавляет от поиска, кто и чем подписал конкретный приказ.
Когда подписывать PDF самостоятельно не нужно
Отдельная программа подписания и токен нужны не всем. Работнику, который подписывает только кадровые документы, устанавливать криптопровайдер и покупать носитель не требуется: подпись формируется в приложении на смартфоне, а документы приходят из системы работодателя. Расходы на получение и использование электронной подписи для кадрового документооборота несёт работодатель.
Не нужна отдельная программа и тогда, когда документ подписывается внутри информационной системы: КЭДО, портал ведомства, электронная площадка. Система сама задаёт формат подписи и сохраняет файлы, а попытка подписать тот же документ ещё раз локально приводит к двум разным комплектам файлов.
При разовой задаче покупать настольную программу тоже необязательно: веб-сервис подписания закрывает ту же операцию, а проверка чужой подписи в ряде программ работает без лицензии.
Стоимость подключения КЭДО и подписей для сотрудников
Стоимость зависит от численности сотрудников и набора функций: тарифная линейка построена по количеству подключённых работников, электронные подписи для них входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудника | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющие центры | рассчитывается индивидуально | по регламенту УЦ |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | один день |
Итоговая сумма складывается из численности и выбранного тарифа: на «Бизнесе» действует минимальная оплата за 50 сотрудников, а кастомные шаблоны, электронный архив и приоритетная поддержка входят в тариф без доплат. Текущие условия и состав каждого пакета опубликованы на странице тарифов ДОБЫТО КЭДО.
Переход между тарифами возможен в любой момент, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Результат подписания PDF определяет выбранный вид подписи: откреплённая даёт пару файлов, присоединённая прячет документ внутрь контейнера, PAdES остаётся внутри PDF. Штамп «Подписано цифровой подписью» подписью не является и проверку не заменяет. Большинство переподписаний вызвано подготовкой: неподходящий формат для получателя, устаревший сертификат, потерянный или переименованный файл подписи, пересохранённый после подписания документ. Для кадровых документов вид подписи работника задан статьёй 22.3 ТК РФ, а подписи с длительным сроком хранения требуют метки доверенного времени.
Мы в Добыто подключаем КЭДО так, чтобы работник не выбирал формат подписи вручную: маршрут задаёт система, файлы подписи сохраняются вместе с документами, протокол проверки формируется автоматически. Разовое подписание отдельного PDF при этом закрывается веб-формой, без установки программ на рабочем месте.
Частые вопросы
Можно ли подписать PDF электронной подписью на телефоне
Да, если речь о кадровых документах через Госключ или о мобильной версии программы подписания. В Госключе документ приходит из системы работодателя, подписывается в приложении, а в ответ формируется отдельный файл .sig. Учтите, что файл подписи на смартфоне не открывается как документ: система показывает его значком с вопросительным знаком, потому что это криптографический контейнер размером обычно меньше килобайта.
Чем отличаются расширения .sig, .p7s и .sgn
Содержимым не отличаются: во всех случаях это файл подписи формата CAdES или CMS, а расширение задаётся в настройках программы подписания и выбирается из пяти вариантов — .sig, .p7s, .sgn, .sign, .bin. Различие практическое: приёмная сторона нередко принимает только одно расширение. Если получатель ждёт .sig, а вы отправили .sgn, файл можно переименовать, подпись от этого не меняется.
Что делать, если документ подписали, а PDF открывается без отметки о подписи
Проверьте, какой вид подписи был выбран. При откреплённой подписи отметки внутри PDF не будет никогда: подпись лежит отдельным файлом рядом. При встроенной подписи PAdES отметка появляется в панели подписей просмотрщика. Третий вариант: подпись поставлена, но просмотрщик её не отображает, и тогда документ проверяется через сервис проверки.
Сколько документов можно подписать за один раз
В настольных программах доступна пакетная подпись: одна операция на набор файлов, при этом можно указать создание отдельного пакета для каждого документа. Через Госключ в одном пакете направляется до 50 файлов, включая PDF и XML, и на каждый возвращается свой файл подписи.
Нужна ли метка времени, если документ подписан УКЭП
Закон отдельного требования о метке времени не устанавливает. Практическая необходимость появляется при длительном хранении: без метки подпись перестаёт проверяться после истечения срока действия сертификата. Метка времени и подтверждение статуса сертификата на момент подписания позволяют проверить подпись и через годы, а архивная метка заверяет обе предыдущие.
Можно ли передать токен с подписью коллеге, чтобы он подписал документы
Владелец обязан обеспечивать конфиденциальность ключа электронной подписи и не допускать его использования без своего согласия. Ответственность за содержание документа остаётся на владельце сертификата, кто бы фактически ни нажимал кнопку. Если ключ утрачен или есть подозрение на компрометацию, нужно уведомить удостоверяющий центр и отозвать сертификат, а сохранёнными копиями ключа не пользоваться: под новые документы выпускаются новые ключи и новый сертификат.
Что делать, если сертификат в Госключе истёк перед подписанием документа
Выпустить новый сертификат УНЭП в приложении: операция занимает несколько минут. Напоминания приходят заранее — за 30 календарных дней пуш-уведомлением, за 14 календарных дней на Госуслугах и за 7 календарных дней в самом приложении. Документ при этом не теряется: работодатель направляет его повторно после перевыпуска.
