Прикреплённая электронная подпись — это режим подписания, при котором исходный файл и сама подпись упаковываются в один контейнер формата CMS (PKCS#7): документ помещается внутрь структуры SignedData, а на выходе получается один файл с расширением .sig, .p7s или .sgn. Двойным кликом такой файл не открывается: пока документ не извлечён криптографической программой, операционная система видит не PDF и не XML, а бинарный контейнер. Различие, от которого зависит весь порядок работы, простое: при прикреплённой подписи вы передаёте один файл и получатель извлекает документ из него, при откреплённой — два файла с одинаковым именем, и потеря любого из них делает комплект непроверяемым.
Разберём, что физически лежит внутри контейнера, чем расширения .sig, .p7s и .sgn отличаются друг от друга и кто их задаёт, как подписать файл в прикреплённом режиме через КриптоПро CSP и как принимающая сторона достаёт документ обратно. Покажем сценарии, в которых прикреплённый контейнер не подходит, и во что обходится неверно выбранный вид подписи. Требования к рабочему месту, разбор МЧД и филиалов, ведение журнала ЭЦП, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Подписать файл прикреплённой или откреплённой подписью можно прямо здесь: форма работает из браузера, принимает несколько документов за раз и отдаёт готовый контейнер или архив.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Что означает прикреплённая подпись на уровне файла
Криптопровайдер считает хэш документа по ГОСТ Р 34.11-2012, подписывает его закрытым ключом по ГОСТ Р 34.10-2012 и собирает структуру SignedData. В прикреплённом режиме исходные данные кладутся в поле инкапсулированного контента этой структуры, рядом ложатся сертификат подписанта с цепочкой доверия, идентификатор алгоритма хэширования, блок SignerInfo со значением подписи и заявленным временем подписания. При откреплённом режиме поле контента остаётся пустым, и подпись живёт отдельным файлом.
Отсюда практическое следствие для размера: прикреплённый контейнер весит примерно как исходный документ плюс несколько килобайт служебных данных, а отдельный файл откреплённой подписи занимает единицы килобайт независимо от объёма документа. В проводнике это выглядит как пара «PDF на 74 КБ и .sig на 2 КБ» — при прикреплённом подписании второго файла просто не будет, а первый вырастет и сменит расширение.
Прикреплённая подпись не шифрует документ. Содержимое лежит в контейнере в открытом виде, просто в кодировке DER или BASE64 и в обёртке ASN.1, поэтому текстовый редактор показывает бинарный мусор. Если задача — закрыть содержимое от посторонних, нужен отдельный механизм шифрования на сертификат получателя, и это другая операция.
Мария Ж, специалист по цифровой подписи и КЭДО: «В сервисах проверки разница видна сразу по интерфейсу: для присоединённой подписи вы загружаете один файл, для откреплённой — исходный документ и файл подписи в два разных поля. Если приёмная форма просит два файла, а у вас на руках один контейнер, документ придётся сначала извлечь. Обратная ситуация встречается чаще: форма ждёт один файл, а лежит пара, и тогда проще переподписать документ в нужном режиме, чем спорить с валидатором.»
Прикреплённая и откреплённая подпись: что меняется в работе
Оба режима дают одинаковую юридическую силу: по статье 6 63-ФЗ значение имеет вид подписи и её действительность, а не способ упаковки. Разница проявляется в эксплуатации — в передаче, хранении и приёме файлов.
| Признак | Прикреплённая (присоединённая) | Откреплённая (отсоединённая) |
|---|---|---|
| Файлов на выходе | 1 контейнер | 2 файла: документ и файл подписи |
| Что лежит в файле подписи | документ, значение подписи, сертификат и цепочка | значение подписи, сертификат и цепочка, документа нет |
| Открывается ли документ напрямую | нет, сначала извлечение криптопрограммой | да, обычным приложением |
| Потеря одного файла | невозможна, комплект неделим | без парного файла подпись не проверяется |
| Загрузка в приёмную систему | один файл в одно поле | документ и подпись в разные поля |
| Объём | документ плюс несколько килобайт | файл подписи — единицы килобайт при любом документе |
| Двустороннее подписание | вторая сторона подписывает контейнер, растёт вложенность | каждая сторона отдаёт свой файл подписи к одному документу |
Из таблицы следует рабочее правило отбора: прикреплённый контейнер удобнее там, где файл живёт долго и путешествует между людьми, откреплённый — там, где документ должны читать глазами без криптографии и где приёмная система разводит документ и подпись по разным полям формы.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
В практике Добыто путаница возникает не на этапе подписания, а на этапе передачи: отправитель кладёт в письмо контейнер, а получатель ждёт пару файлов и сообщает, что документ не открывается. Договорённость о виде подписи проще фиксировать в регламенте обмена заранее, вместе с форматом и расширением.
Расширения .sig, .p7s и .sgn: что они значат и кто их задаёт
Расширение файла подписи не определяет ни её вид, ни формат. В настройках КриптоПро выбор расширения подписанного файла сделан выпадающим списком из p7s, sig и sgn, а рядом отдельно указывается формат CAdES-BES. В КриптоАРМ ГОСТ список шире: sig, p7s, sgn, sign и bin, и там же задаются кодировка (DER или BASE64), вид подписи (присоединённая или откреплённая) и отдельный флаг встроенной подписи PDF по стандарту PAdES.
Практический смысл в том, что p7s чаще встречается там, где систему писали с оглядкой на международную нотацию PKCS#7 и S/MIME, sig — в отечественных ведомственных сервисах, sgn — в отдельных решениях и в старых выгрузках. Приёмная сторона обычно проверяет расширение строкой, поэтому корректный контейнер с непривычным расширением форма может отклонить. Массовое переименование решается одной командой Rename-Item в PowerShell и на партии в 1500 файлов занимает секунды, но переименование не превращает откреплённую подпись в прикреплённую.
Полезно знать: прежде чем менять расширение в Проводнике Windows, включите отображение расширений имён файлов через контекстное меню «Показать». Иначе вы переименуете prikaz.pdf.sgn в prikaz.pdf.sig.sgn и получите файл, который не примет ни одна форма.
Как подписать файл прикреплённой подписью
Для подписания в прикреплённом режиме на рабочем месте нужен криптопровайдер, драйвер ключевого носителя и установленная доверенная цепочка. Без цепочки подпись сформируется, но при проверке получит статус недействительной.
Факт: для работы с сертификатом УЦ ФНС России на рабочем месте требуется КриптоПро CSP версии 5.0 R2, сборка 12000 или выше, драйвер носителя (Рутокен, JaCarta, eSmart), КриптоПро ЭЦП Browser Plug-in и два корневых сертификата: Минцифры России и УЦ ФНС России.
Что проверить на рабочем месте до подписания
- Тип носителя. Определите визуально или по документам, на чём записан ключ: Рутокен, JaCarta, eSmart. Драйвер ставится под конкретную линейку, универсального нет.
- Версию криптопровайдера. Классические провайдеры семейства 4.0 работают только с извлекаемыми ключами и не видят неизвлекаемые. Поддержка ключей ФКН и режима PKCS#11 появилась начиная с КриптоПро CSP 5.0 R2.
- Лицензию. В рамках пилотного проекта УЦ ФНС России лицензия на КриптоПро CSP зашивается внутрь сертификата и действует столько же, сколько сам сертификат. Если вы генерируете запросы на сертификат на своём рабочем месте или используете ключи других удостоверяющих центров, нужна полная лицензия.
- Корневые сертификаты. Корневой сертификат Минцифры России ставится в доверенные корневые центры сертификации, сертификат УЦ ФНС России — в промежуточные. Перепутанные хранилища дают ту же ошибку, что и отсутствие сертификата.
- Режим создания контейнера. В окне выбора ключевого носителя решается, будет ключ извлекаемым (режим совместимости CSP), ФКН с защитой канала или PKCS#11. Для отчётности в ЕГАИС по алкогольному регулированию подходит только формат PKCS#11.
Как подписать файл прикреплённой подписью: пошаговая инструкция
- Шаг 1. Подключите носитель в USB-порт и убедитесь, что личный сертификат виден в контейнере: КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере».
- Шаг 2. Откройте программу подписания и загрузите файлы. Пакетная обработка допустима, каждый документ получит собственный контейнер.
- Шаг 3. Выберите вид подписи «присоединённая». В интерфейсах это отдельный переключатель или выпадающий список, по умолчанию часто стоит откреплённая.
- Шаг 4. Задайте расширение и кодировку. Если приёмная система названа в регламенте, ставьте то расширение, которое требует она; если получатель — контрагент, согласуйте формат до отправки.
- Шаг 5. Подпишите и введите пароль контейнера или PIN токена. При работе с неизвлекаемым ключом закрытый ключ не покидает память носителя: в токен уходит хэш, обратно возвращается готовое значение подписи.
- Шаг 6. Проверьте результат сразу после подписания и сохраните протокол проверки. Ошибку в виде подписи дешевле поймать на своей стороне, чем через неделю от приёмной стороны.
Как принять прикреплённый контейнер: извлечь документ и проверить подпись
Получателю нужны две операции: достать исходный документ и убедиться, что подпись действительна. Извлечение делают КриптоПро, КриптоАРМ, любой сервис проверки или скрипт на стороне сервера, потому что структура CMS одинакова у всех. Подтвердить подлинность подписи и посмотреть данные сертификата можно через сервис подтверждения подлинности электронной подписи на Госуслугах, где отдельно указывается, присоединённая подпись загружается или отсоединённая.
Результат проверки читается по трём блокам: статус подписи, данные подписанта и состояние сертификата. Отдельно смотрите цепочку сертификации и адреса списков отзыва и службы OCSP — по ним валидатор понимает, не был ли сертификат отозван на момент подписания.
Статус «подпись математически верна, но недействительна» означает не подделку, а отсутствие сертификата в списке доверенных: так ведёт себя подпись тестового удостоверяющего центра или сертификат, чьи корневые не установлены. Лечится это на стороне проверяющего, переподписывать документ не нужно.
Мария Ж, юрист со стажем более 20 лет: «Кадровые документы хранятся десятилетиями, а сертификат подписанта живёт несоизмеримо меньше. Чтобы подпись проверялась после истечения срока сертификата, её усовершенствуют: к CAdES-BES добавляют штамп времени, ответ службы OCSP о статусе сертификата на момент подписания, а поверх — архивную метку. Если вы кладёте контейнер в электронный архив, решайте вопрос об уровне CAdES на входе, а не тогда, когда документ понадобится в суде.»
Шаблоны и учётные формы для работы с подписанными файлами
Комплект закрывает приём, проверку и учёт подписанных документов; начинать имеет смысл с чек-листа диагностики — он экономит больше всего времени при разборе спорного файла.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Регламент двустороннего обмена документами | Скачать |
Когда прикреплённая подпись не подходит
Прикреплённый контейнер проигрывает в четырёх сценариях. Первый — приёмная форма с двумя полями: ведомственные личные кабинеты и площадки нередко ждут отдельно электронный образ документа и отдельно файл подписи, и один контейнер туда не встанет. Второй — документы, которые люди должны читать глазами: получатель без криптографического программного обеспечения не откроет контейнер вовсе. Третий — двустороннее подписание: при откреплённой схеме каждая сторона отдаёт свой файл подписи к одному неизменному документу, при прикреплённой второй подписант оборачивает контейнер первого, и структура усложняется. Четвёртый — большие файлы: класть стомегабайтный документ в контейнер, который потом ещё раз пойдёт по почте, дороже, чем передать документ отдельно, а подпись отправить парой килобайт.
Отдельная ветка — встроенная подпись PDF по стандарту PAdES. Формально это тоже прикреплённый режим, но упаковка идёт средствами самого PDF: файл остаётся PDF, открывается просмотрщиком, а подпись живёт внутри его структуры. Для документов, которые смотрят и печатают, этот вариант закрывает задачу лучше контейнера CMS.
Что критично, а что вторично, зависит от сценария передачи.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Загрузка в ведомственную форму | вид подписи и расширение по регламенту системы | кодировка контейнера |
| Отправка контрагенту письмом | полнота комплекта во вложении и совпадение имён файлов | уровень CAdES |
| Долгое хранение в архиве | штамп времени, ответ OCSP, архивная метка | расширение файла |
| Двусторонний договор | неизменность документа между подписями | кто подписал первым |
| Массовое автоматическое подписание | тип сертификата и привязка к информационной системе | интерфейс подписания |
Во что обходится неверно выбранный вид подписи
Прямых потерь три. Первая — повторный цикл подписания: документ нужно вернуть подписанту, дождаться доступа к токену, переподписать и заново отправить, и на распределённой команде это дни, а не минуты. Вторая — срыв срока подачи: форма отклоняет комплект в момент загрузки, а не заранее, поэтому ошибка всплывает в последний день. Третья — разрыв связи документа и подписи при откреплённой схеме: файл .sig, оторванный от документа при пересохранении или переименовании, превращается в набор байтов, по которому уже не восстановить, что именно им подписано.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Ручной разбор накопленных файлов подписи — самая дорогая часть истории. Пока подписание идёт локально, на общих дисках копятся контейнеры без привязки к документу и без сведений о том, чей сертификат внутри. Заведите правило с первого дня: файл подписи хранится рядом с документом и с тем же именем, а результат проверки сохраняется протоколом. Это дешевле, чем через год восстанавливать связи вручную.»
Если вы настраиваете подписание не для себя, а для всей компании, вопрос вида подписи уходит из зоны решения пользователя. В Добыто режим упаковки, формат и маршрут согласования задаются настройкой процесса, и сотрудник не выбирает между присоединённой и откреплённой подписью в диалоговом окне.
МЧД, филиалы и подпись сотрудника: что кладётся в контейнер, а что идёт рядом
Машиночитаемая доверенность — это XML-файл, а не картинка и не PDF. В контейнер подписи документа она не попадает: МЧД передаётся отдельным файлом вместе со своей подписью, а приёмная система читает её алгоритмом и сверяет полномочия. В доверенности используются коды полномочий из классификатора, размещённого в Единой системе нормативной и справочной информации: каждое полномочие имеет код, дату и уникальный идентификационный номер, и по этому коду машина определяет, вправе ли подписант подписывать конкретный документ.
Сотрудник подписывает документ сертификатом физического лица и прикладывает МЧД, выданную руководителем организации. Руководитель или индивидуальный предприниматель подписывает своей квалифицированной подписью без доверенности. Для налоговых действий МЧД формируется в сервисе ФНС «Создание и проверка доверенности в электронной форме»: заполняются данные доверителя, доверяемого и полномочий, на выходе получается XML-файл, который сохраняется и прикладывается к подписываемым документам.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «С филиалами разбираются через доверенность юридического лица: филиал не является самостоятельным лицом и своих доверенностей не выдаёт. Если руководителю филиала нужно передоверить полномочия дальше, простым выпуском новой МЧД это не закрывается — потребуется нотариус с паспортными данными нового уполномоченного лица и актуальной выпиской из ЕГРЮЛ. Планируйте этот шаг заранее: техническая оснащённость нотариусов в небольших городах ограничена.»
Если нужного перечня полномочий в классификаторе нет, организация вправе направить свой перечень в Минцифры России. На рассмотрение отводится 10 дней, при положительном решении — ещё три рабочих дня на присвоение кодов и включение в классификатор.
Журнал ЭЦП: учёт контейнеров, сертификатов и носителей
Журнал нужен для ответа на три вопроса: чьим сертификатом подписан документ, действовал ли этот сертификат в момент подписания и где физически находится носитель. Минимальный набор учётных форм — реестр сертификатов сотрудников (владелец, серийный номер, издатель, срок действия, привязанный носитель), реестр выданных токенов и протокол проверки подписи по каждому спорному документу.
Внимание: по регламенту УЦ ФНС России извлекаемый ключ выдаётся только в неэкспортируемом контейнере — скопировать его на второй носитель нельзя. Резервной копии у такого ключа не будет, и при утрате токена вопрос решается перевыпуском сертификата, а не восстановлением.
Ёмкость носителя тоже стоит учитывать при планировании: 128 КБ защищённой памяти Рутокен ЭЦП 3.0 вмещают до 31 контейнера в формате CSP, а один контейнер с длинной цепочкой сертификатов и дополнительными расширениями доходит до 12 КБ. Если у вас на одном токене живут ключи для нескольких информационных систем, место кончится раньше срока действия сертификатов.
Мы закладываем сверку журнала с фактическим составом носителей перед каждой волной перевыпуска: расхождение между реестром и тем, что реально лежит у сотрудников на руках, обнаруживается именно в этот момент. В системе КЭДО журнал ведётся автоматически — каждое подписание фиксируется с отметкой времени, видом подписи и сертификатом подписанта, и выгружается по запросу проверяющего.
Стоимость подключения КЭДО и подписания документов
Стоимость зависит от численности сотрудников, набора видов подписи и потребности в интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| Получение УКЭП | через партнёров-удостоверяющих центров | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговый счёт складывается из численности и выбранного тарифа, а электронные подписи ПЭП и УНЭП для сотрудников входят в тариф и отдельно не покупаются. Полный состав функций по каждому тарифу и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Тариф меняется в любой момент: при повышении разница пересчитывается пропорционально оставшемуся оплаченному периоду.
Выводы
Прикреплённая подпись упаковывает документ и подпись в единый контейнер CMS: файлов на выходе один, потерять половину комплекта невозможно, но и прочитать документ без криптографической программы не получится. Откреплённая схема оставляет документ читаемым и добавляет отдельный файл подписи, который нужно беречь и передавать вместе с документом. Расширения .sig, .p7s и .sgn на содержимое контейнера не влияют: вид подписи и уровень CAdES задаются при подписании и диктуются требованиями приёмной стороны. Ошибка в режиме упаковки не портит документ, но стоит повторного цикла подписания, а иногда и срока подачи.
В сервисе КЭДО Добыто вид подписи, формат контейнера и маршрут согласования настраиваются на уровне процесса, а не оставляются на выбор пользователю в диалоговом окне: подписание, проверка и журнал подписанных документов работают в одном контуре, и выгрузка для проверяющего собирается без ручного разбора файлов на общих дисках.
Частые вопросы
Можно ли превратить прикреплённый контейнер в откреплённую подпись, не переподписывая документ?
Штатные интерфейсы КриптоПро и КриптоАРМ такой конвертации не дают: они умеют извлечь документ из контейнера, но не пересобрать упаковку в другой вид. На практике вопрос решается переподписанием документа в нужном режиме, поэтому вид подписи согласовывается с приёмной стороной до подписания, а не после.
Что делать, если забыл пароль от контейнера или PIN-код токена?
Пароль на ключевой контейнер не восстанавливается: он закрывает доступ к закрытому ключу, и обходного пути нет. PIN-код пользователя разблокируется PIN-кодом администратора носителя, если он известен и попытки не исчерпаны. В моделях Рутокен ЭЦП 3.0 политики PIN-кодов хранятся внутри токена, а не на конкретном рабочем месте. Если нет доступа ни к паролю, ни к PIN администратора, остаётся перевыпуск сертификата в удостоверяющем центре.
Сколько электронных подписей помещается на один токен?
На носителях со 128 КБ защищённой памяти в формате CSP помещается до 31 контейнера. Точное число зависит от того, что удостоверяющий центр записал в сертификат: контейнер без дополнительных цепочек занимает сотни байт, а контейнер с длинными расширениями доходит до 12 КБ.
Можно ли подписывать документы автоматически, без участия сотрудника?
Да, для этого оператор информационной системы обращается в УЦ ФНС России за обезличенным сертификатом. Такой сертификат выдаётся на юридическое лицо или индивидуального предпринимателя и привязывается к конкретной информационной системе, сотрудники им пользоваться не могут. Типовое применение — автоматическое подписание запросов в государственные органы и массовых машинных документов вроде счетов и квитанций.
Почему подпись проверяется как математически верная, но недействительная?
Значение подписи сходится с хэшем документа, но сертификат подписанта не входит в список доверенных на стороне проверяющего. Причины две: подпись сделана сертификатом тестового удостоверяющего центра либо не установлены корневые сертификаты Минцифры России и выдавшего центра. Проверьте, что корневой сертификат лежит в доверенных корневых центрах сертификации, а промежуточный — в промежуточных.
Нужна ли МЧД, если документ подписывает генеральный директор?
Нет. Руководитель юридического лица и индивидуальный предприниматель подписывают документы своей квалифицированной подписью без доверенности. МЧД требуется, когда подписывает сотрудник сертификатом физического лица.
Встроенная подпись в PDF — это прикреплённая подпись?
По способу упаковки да: подпись хранится внутри файла, отдельного файла подписи не появляется. Отличие в том, что используется стандарт PAdES и структура самого PDF, поэтому документ остаётся PDF, открывается обычным просмотрщиком и показывает отметку о подписи без криптографической программы.
