Приложение для подписания документов электронной подписью выбирается не по названию продукта, а по трём параметрам: вид подписи, носитель ключа и формат файла, который примет получатель. Для кадровых документов внутри компании хватает платформы КЭДО с ПЭП и УНЭП, отдельная программа на рабочем месте не нужна. Для отчётности, закупок и обмена оригиналами с контрагентами нужна УКЭП, а вместе с ней криптопровайдер и утилита подписания. Главное различие, которое определяет всю схему: ключ лежит на аппаратном носителе или вне рабочего места. Токен требует драйверов, установленного КриптоПро CSP и корневых сертификатов на каждом компьютере. Облачная подпись и Госключ работают со смартфона, криптография на рабочее место не ставится вообще.
Разберём четыре класса приложений и покажем, какую задачу каждый закрывает, а какую не закрывает никогда. Вы сможете сопоставить свой сценарий с версией криптопровайдера и моделью носителя, понять, почему приёмная сторона отклоняет файл с расширением p7s, и заранее решить, чем подписывать машиночитаемые доверенности на сотрудников филиалов. Отдельно разберём порядок действий, когда работник забыл пароль контейнера или удалил Госключ. Сценарная таблица выбора, стоимость подключения на 2026 год, образцы регламентов и ответы на частые вопросы — во второй половине статьи.
Подпишите документ электронной подписью прямо здесь: форма работает из браузера и выдаёт файл подписи в нужном вам формате.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Четыре класса приложений для подписания и задачи, которые они закрывают
Средства подписания делятся на четыре класса, и между ними нет отношения «лучше — хуже»: они закрывают разные задачи. Криптопровайдер с утилитой подписания работает с ключом на токене и живёт на конкретном рабочем месте. Отдельная программа подписания добавляет к этому пакетную обработку, встроенную подпись PDF, работу с МЧД и почтой. Мобильный Госключ выпускает подпись дистанционно и не требует ни токена, ни криптографии на компьютере. Платформа КЭДО или ЭДО закрывает маршрут документа целиком: создание, согласование, подписание обеими сторонами и хранение.
Ниже сведены различия, из-за которых компании чаще всего меняют одно решение на другое уже после запуска.
| Класс приложения | Где хранится ключ | Что ставится на рабочее место | Типовая задача |
|---|---|---|---|
| Криптопровайдер с утилитой подписания (КриптоПро CSP, Инструменты КриптоПро) | Токен или контейнер в системе | Драйвер носителя, КриптоПро CSP, корневые сертификаты, личный сертификат | Подписать отдельный файл, проверить чужую подпись, войти в госсервис |
| Отдельная программа подписания (КриптоАРМ ГОСТ 3, КриптоЭксперт, Litoria Desktop, Jinn-Client) | Токен или контейнер в системе | Само приложение плюс криптопровайдер | Подпись и проверка PDF, работа с МЧД, почтовый обмен, трансграничный документооборот |
| Мобильное приложение Госключ | Смартфон работника | Приложение и подтверждённая учётная запись на Госуслугах | Подписание кадровых документов и договоров без токена и без визита в офис |
| Платформа КЭДО или ЭДО с подписанием в браузере | Сервер оператора, а при УКЭП — токен пользователя | Браузер, для УКЭП дополнительно КриптоПро ЭЦП Browser Plug-in | Массовое подписание, маршруты согласования, электронный архив |
| Серверный сервис подписания и проверки (КриптоАРМ Server) | Токен на сервере организации | Контейнер приложения и серверная лицензия криптопровайдера | Автоматическая подпись потока документов обезличенным сертификатом, отчёты о проверке |
Из таблицы следует практический вывод: первые два класса привязаны к рабочему месту и к человеку с токеном, третий и четвёртый снимают эту привязку. Компания, где документы подписывают 5 человек, живёт на первом классе. Компания, где документы подписывают все сотрудники, на нём не живёт: обслуживание парка токенов и криптопровайдеров становится отдельной работой.
Факт: в рамках эксперимента удостоверяющего центра ФНС России лицензия на КриптоПро CSP вшивается внутрь сертификата и по сроку действия равна сроку действия сертификата электронной подписи. Отдельно покупать лицензию для этого ключа не нужно, но она работает только для него: чтобы использовать на той же машине другие ключи, потребуется полная лицензия.
Вид подписи и носитель ключа: что решается до выбора приложения
63-ФЗ выделяет простую электронную подпись и два вида усиленной: неквалифицированную и квалифицированную. УНЭП может выпустить сам работодатель или информационная система, УКЭП — только удостоверяющий центр, прошедший аккредитацию. Технически механизм подписания у УНЭП и УКЭП одинаковый, различается юридический статус: УКЭП признаётся аналогом собственноручной подписи по умолчанию, для обычной УНЭП нужно соглашение сторон о её признании.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отдельная сущность — УНЭП, выданная с использованием инфраструктуры электронного правительства. Такую подпись выпускает Госключ, и соглашение о признании для неё не требуется: доверие следует из самой инфраструктуры выпуска. Для кадрового документооборота по 377-ФЗ это самый короткий путь к легитимной подписи работника.
Второй параметр — где физически лежит закрытый ключ. Он определяет не удобство, а состав работ по обслуживанию.
Облачное хранение означает, что закрытый ключ находится на сервере удостоверяющего центра, и ответственность за компрометацию несёт центр. Такую подпись можно применять только в тех сервисах, где интегрировано программное обеспечение конкретного удостоверяющего центра. Госключ устроен иначе: закрытая часть ключа хранится в приложении на телефоне владельца, доступа к ней нет ни у оператора, ни у госорганов.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы разводим подписи по ролям с самого начала проекта. Работодатель подписывает документ УКЭП на стороне сервиса, работник — УНЭП в Госключе, и обе подписи ложатся на один файл. Такая схема снимает необходимость выдавать токены рядовым сотрудникам и обслуживать их. Проверьте до старта, какие документы у вас по перечню требуют квалифицированной подписи с обеих сторон: именно на них схема ломается.»
Подписание документов через Госключ работает в связке с подтверждённой учётной записью на Госуслугах, и информацию о том, как выпустить сертификат и что именно приложение умеет подписывать, ФНС собрала на отдельной странице Госключ — электронная подпись в смартфоне. Для выпуска УКЭП дополнительно понадобятся биометрический загранпаспорт нового образца и телефон с NFC.
Совместимость с КриптоПро CSP и токенами: где схема ломается чаще всего
Ключи на токене делятся на извлекаемые и неизвлекаемые. Извлекаемые генерируются программным криптопровайдером, и токен работает как защищённое ПИН-кодом хранилище: при подписании закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемые генерируются криптоядром внутри самого носителя и никогда его не покидают. Формат ФКН добавляет к этому шифрование канала между криптопровайдером и токеном.
Отсюда следует жёсткое ограничение по версиям. Классические провайдеры семейства КриптоПро CSP 3.6-4.0 умеют работать только с извлекаемыми ключами. Поддержка неизвлекаемых ключей и защиты канала появилась в версии 5.0, работа через библиотеку PKCS#11 — в 5.0 R2, а в 5.0 R3 режим PKCS#11 стал выбираться в том же списке, что и остальные, и перестал ломать вход в систему по сертификату и удалённый рабочий стол.
Важный нюанс из практики: токен — вещь мобильная, и один и тот же ключ сотрудник рано или поздно вставит в другой компьютер. Если в парке рабочих мест остались машины с КриптоПро CSP 4.0, ключ нужно создавать извлекаемым, иначе он там просто не заработает. Мы начинаем внедрение с инвентаризации версий криптопровайдера и моделей носителей, а не с выбора программы подписания: обратный порядок даёт переделку.
Лицензия тоже привязана к семейству версий. Бессрочная лицензия на КриптоПро CSP 5.0 покрывает всё семейство 5.0, включая R2 и R3. До версии 5.0 R2 подходили лицензии от 4.0, начиная с R2 нужна лицензия именно на 5.0.
Полезно знать: носитель со 128 килобайтами защищённой памяти вмещает до 31 контейнера в формате извлекаемых программных ключей. Если удостоверяющий центр дописывает в сертификат расширения, один контейнер занимает до 12 килобайт, и реально на токен помещается порядка 10 подписей.
Как подготовить рабочее место для подписания УКЭП: пошаговая инструкция
- Шаг 1. Определите тип носителя визуально или по документам на выдачу и скачайте драйвер с сайта производителя: Rutoken, JaCarta или eSmart. Драйвер ставится в режиме по умолчанию, до кнопки «Готово».
- Шаг 2. Установите КриптоПро CSP версии 5.0 R2 сборки 12000 или выше. Пользователи удостоверяющего центра ФНС получают дистрибутив вместе с плагином в рамках эксперимента по безвозмездному предоставлению программного обеспечения.
- Шаг 3. Установите корневой сертификат Минцифры России в хранилище доверенных корневых центров сертификации, а корневой сертификат удостоверяющего центра ФНС — в промежуточные центры сертификации. Разрыв этой цепочки даёт отказ при подписании.
- Шаг 4. Запустите КриптоПро CSP, откройте вкладку «Сервис», нажмите «Просмотреть сертификаты в контейнере», выберите контейнер и установите личный сертификат.
- Шаг 5. Установите КриптоПро ЭЦП Browser Plug-in и включите расширение в браузере, затем проверьте его работу на странице производителя. Без плагина подписание из браузера не запустится.
Порядок шагов менять нельзя: личный сертификат не встанет, пока не установлены корневые, а плагин не увидит ключ, пока не работает провайдер.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Что делать, если работник забыл пароль контейнера или потерял доступ к подписи
Сценарии различаются по носителю, и универсального ответа здесь нет. Если ключ выпущен в Госключе, доступа к нему, кроме пароля приложения, не существует. Удалили приложение или забыли пароль — подпись выпускается заново, и это уже другой сертификат со своим сроком действия. Документы, подписанные прежним сертификатом, остаются действительными.
Если ключ на токене, удаление контейнера из системного хранилища ничего не отзывает: сертификат продолжает действовать. Чтобы прекратить его действие, владелец подаёт заявление на отзыв в тот удостоверяющий центр, который его выдал, либо в удостоверяющий центр ФНС для сертификата руководителя. При увольнении инициатива здесь на стороне работника: отозвать чужой сертификат работодатель не может.
Внимание: машиночитаемая доверенность, оформленная на физическое лицо без указания должности, после увольнения сотрудника сама по себе не прекращается. Закон это допускает, поэтому срок и основания отзыва доверенности закрываются регламентом компании, а не расчётом на автоматику.
Формат подписи и расширение файла: p7s, sig, sgn и встроенная подпись PDF
Подпись бывает присоединённой и открепленной. В присоединённой документ и подпись лежат в одном контейнере: терять нечего, но открыть исходный файл без специальной программы не получится. Открепленная создаёт второй файл рядом с документом, и для проверки в программу нужно загрузить оба. Расширение этого второго файла — p7s, sig или sgn — выбирается в настройках приложения подписания и на криптографию не влияет.
Второе различие важнее расширения. Базовый формат CAdES-BES фиксирует только сам факт подписи. Момент подписания он не доказывает, и после истечения срока действия сертификата подтвердить, что подпись создана в период его действия, будет нечем. Штамп доверенной службы времени и ответ службы проверки статуса сертификата закрывают этот пробел: первый фиксирует точное время и хеш документа, второй подтверждает, что сертификат на момент подписания не был отозван. Архивная метка заверяет обе предыдущие и позволяет проверять подпись через годы.
Мария Ж, специалист по цифровой подписи и КЭДО: «На метки времени при внедрении почти никто не смотрит, а потом выясняется, что доказать момент подписания нечем. Сертификаты сейчас выпускают на разные сроки, а кадровые и финансовые документы хранятся десятилетиями, поэтому базового формата на архив не хватает. Проверьте в настройках своего приложения, какая служба штампов времени указана, и есть ли она вообще.»
Отдельная история — встроенная подпись PDF. Её поддерживают КриптоПро PDF в связке с Adobe, КриптоЭксперт и КриптоАРМ версии 6. В КриптоАРМ ГОСТ 3 встроенной подписи PDF нет: он подписывает PDF как обычный файл, открепленной или присоединённой подписью. Если контрагент требует видимый штамп внутри документа, класс приложения придётся менять.
Цена ошибки в формате измеряется переподписанием всей партии. Документ, подписанный присоединённой подписью, при массовой выгрузке в систему, которая ждёт пару «файл плюс открепленная подпись», не примут ни одним элементом. Если ошибка обнаружилась после истечения срока действия сертификата подписанта, простым перевыпуском её уже не закрыть: нужен новый сертификат, повторный сбор подписей всех сторон и объяснение расхождения дат. Отдельно считайте риск в трудовом споре: суд проверяет не картинку штампа, а исходный файл и файл подписи, и визуализация юридической силы не несёт.
Лайфхак: при открепленной подписи в самом документе ничего не видно, и сотрудники считают его неподписанным. Рабочий приём — формировать текстовую копию со штампом визуализации, а исходный файл и файл подписи хранить неизменными: целостность оригинала не нарушается, а глазами подпись видно.
Письма, МЧД и филиалы: что приложение должно уметь при обмене вовне
Передача подписанного документа по почте — это передача комплекта, а не одного файла. В минимальный комплект входят сам документ, файл подписи, а если подписант действует по доверенности — ещё XML-файл машиночитаемой доверенности и файл подписи этой доверенности. Получатель, у которого нет средства проверки, увидит вложение и не сможет его открыть, и это не сбой, а следствие того, что у него не установлено соответствующее программное обеспечение.
Само письмо тоже можно подписать и зашифровать по ГОСТ: почтовый клиент получателя должен поддерживать соответствующий формат, иначе он увидит зашифрованный контейнер во вложении и прочитать его не сможет. Серверные сервисы подписания умеют забирать документы из указанного каталога, подписывать заданным сертификатом и отправлять адресатам автоматически, но для конфиденциальной отправки им нужен сертификат получателя.
Машиночитаемая доверенность — это XML-файл, и работать с ним без компьютера и специальной программы невозможно. Полномочия в ней указываются кодами из классификатора, размещённого в Единой системе нормативной и справочной информации: алгоритм приёмной стороны читает код и решает, вправе ли подписант подписывать этот документ. Компания может направить перечень собственных полномочий в Минцифры: срок рассмотрения — 10 дней, при положительном решении на присвоение кодов и включение в классификатор отводится три рабочих дня.
Мария Ж, юрист со стажем более 20 лет: «Классификатор полномочий наполнен неравномерно, и в переходном периоде полномочия допускается вписывать вручную. Для филиальной сети это означает, что единый шаблон доверенности не всегда проходит: у разных приёмных сторон разные требования к кодам. Мы сначала собираем матрицу «кто что подписывает по каждому филиалу» и только потом выпускаем доверенности, иначе переделывать придётся весь массив.»
Важный нюанс из практики: подписывать МЧД нужно открепленной подписью — в приложении подписания для этого включается отдельная галочка. Передоверие доверенности оформляется только у нотариуса: с паспортом нового уполномоченного лица и актуальной выпиской из ЕГРЮЛ, нотариус подписывает новую доверенность своей квалифицированной подписью и выгружает её в информационную систему. Для филиалов в небольших городах это узкое место: техническое оснащение нотариусов различается.
Шаблоны и регламенты для организации подписания в компании
Комплект закрывает две задачи: зафиксировать правила подписания и вести учёт того, у кого какая подпись на руках. Начните с регламента двустороннего обмена — он задаёт форматы и порядок передачи комплекта.
| Документ | Скачать |
|---|---|
| Регламент двустороннего обмена документами | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Реестр выданных токенов | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
Журнал подписания и доказательства: что показывать проверяющему и суду
Штампы и картинки в печатной форме юридической силы не имеют. При споре в дело идут исходный файл, файл подписи и данные о моменте подписания. Суд проверяет не только саму подпись, но и весь контур её применения: локальные акты, вводящие электронный документооборот, соглашение об использовании подписи, действительность сертификата на момент подписания и подтверждение, что на подпись передавался именно тот документ, который потом оказался подписанным.
В известных трудовых спорах работников восстанавливали именно на этом: работодатель не смог доказать, что подписан был тот документ, который работник видел, и что подпись применил сам работник. В одном деле подписи хранились на токенах в сейфе, доступ к которому не был должным образом ограничен, в другом работник подписал заявление об увольнении по собственному желанию, полагая, что подписывает заявление по больничному листу. Оба спора завершились в пользу работников.
Мария Ж, судебный эксперт по трудовому праву: «Спор о подписи почти никогда не сводится к криптографии. Разваливается обвязка: нет положения о КЭДО, нет соглашения о признании подписи, нет данных о том, какой файл ушёл на подпись. Соберите заранее выгрузку по каждому типу документа — исходный файл, файл подписи и запись о том, кто и когда его открывал: без этой связки одна подпись мало что доказывает.»
Отсюда требование к приложению: оно должно уметь выгружать не картинку, а комплект. Серверные сервисы проверки формируют протоколы в виде отдельных документов и складывают результаты в базу, платформы КЭДО выгружают юридически значимый архив с файлами подписи и данными об ознакомлении. В сервисе Добыто выгрузка по конкретному локальному акту с перечнем ознакомленных сотрудников и реквизитами их подписей собирается из интерфейса, без обращения к разработчику.
Сценарии выбора: какое приложение под какую задачу
Универсального решения нет, поэтому таблица построена не по продуктам, а по сценариям. Критично то, без чего задача не решается вовсе. Вторично то, чем можно пренебречь на старте.
| Сценарий | Что критично | Что вторично | Чем закрывается |
|---|---|---|---|
| Кадровые документы, штат до 25 человек | Положение о КЭДО, согласия работников, допустимый вид подписи по документу | Расширение файла подписи, версия криптопровайдера | Платформа КЭДО с ПЭП и УНЭП |
| Распределённая сеть, удалённые сотрудники, приём без визита в офис | Клиентский путь работника, подпись без токена, дистанционная идентификация | Локальные установки на рабочих местах | Госключ в связке с платформой КЭДО |
| Отчётность через сайт ФНС | Корневые сертификаты, код абонента, транспортный контейнер | Пакетная обработка, визуализация | КриптоПро CSP плюс программа подготовки отчётности |
| Обмен оригиналами с контрагентами по почте | Состав вложения, расширение и формат подписи, наличие МЧД | Мобильность подписанта | Отдельная программа подписания или оператор ЭДО |
| Подписание сотрудником от лица компании | Сертификат физлица, коды полномочий, открепленная подпись доверенности | Модель носителя | Приложение с поддержкой МЧД и проверки её статуса |
| Поток однотипных документов от информационной системы | Обезличенный сертификат юрлица, работа без графического интерфейса | Удобство ручного подписания | Серверный сервис подписания |
| Отчётность участника алкогольного рынка | Ключ формата PKCS#11, модель носителя из актуальной линейки | Совместимость со старыми версиями провайдера | КриптоПро CSP 5.0 R2 и выше плюс токен с криптоядром |
Строки со второй по шестую пересекаются реже, чем кажется: компания обычно живёт сразу в двух-трёх сценариях, и решения складываются, а не заменяют друг друга. Токен руководителя для госсистем остаётся в любом случае.
Когда отдельное приложение для подписания не нужно
Первый случай — все документы компании подписывает один человек и только в кабинетах госорганов. Криптопровайдер с плагином закрывает эту задачу целиком, отдельная программа подписания добавит лицензию и не добавит функции.
Второй случай — вы подписываете только кадровые документы и работаете внутри платформы КЭДО. Подписание там уже встроено в маршрут, а установка программы на рабочие места создаст второй, неконтролируемый контур подписания. Мы сознательно не выдаём сотрудникам отдельные средства подписания на пилоте: расхождение форматов между теми, кто подписал в системе, и теми, кто подписал локально, всплывает уже на выгрузке.
Третий случай — разовая задача: подписать один-два файла или проверить чужую подпись. Здесь достаточно веб-сервиса подписания, установка программы избыточна.
Стоимость подключения КЭДО и подписания документов в Добыто
Стоимость зависит от численности сотрудников, набора видов подписи и того, нужна ли интеграция с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП сотрудникам | входит в тариф | рассчитывается индивидуально |
| Получение УКЭП | через партнёров-удостоверяющих центров | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности, выбранного тарифа и потребности в интеграции и выделенном сервере, поэтому проверяйте условия по своей численности на странице тарифов ДОБЫТО КЭДО. Переход между тарифами возможен в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Отдельная статья расходов, которая в тариф не входит, — лицензии на криптопровайдер и токены для тех сотрудников, кому по задачам нужна УКЭП с аппаратным носителем. Их считают отдельно, исходя из числа рабочих мест и модели носителя.
Выводы
Класс приложения определяется не удобством интерфейса, а тремя вещами: какой вид подписи требует конкретный документ, где лежит закрытый ключ и какой комплект файлов ждёт приёмная сторона. Токен и криптопровайдер незаменимы там, где нужна квалифицированная подпись на аппаратном носителе, но плохо масштабируются на весь штат. Мобильная и облачная подпись снимают обслуживание рабочих мест, но требуют, чтобы система умела с ними работать. Формат подписи и наличие метки времени решают судьбу документа не в момент подписания, а через несколько лет, когда сертификат уже истёк.
Мы в Добыто обычно начинаем не с продукта, а с разбора того, какие документы компания подписывает и кто именно их подписывает, и уже под эту картину собираем схему: платформа для массового потока, Госключ для сотрудников без токенов, аппаратные подписи для тех, кто работает с госсистемами. Такой порядок дешевле, чем переделка после запуска.
Частые вопросы
Можно ли иметь две действующие электронные подписи на одного человека?
Да, это не запрещено. Сотрудник может получить подпись в удостоверяющем центре ФНС и одновременно иметь сертификат физического лица в коммерческом аккредитованном центре. Подписи не конфликтуют. Ограничение практическое: если документ подписывается с приложением машиночитаемой доверенности, использовать нужно тот сертификат, реквизиты которого указаны в самой доверенности, иначе связку подписанта и полномочий не подтвердить.
Почему подпись, созданная в одном приложении, не проверяется в другом?
Чаще всего дело в режиме создания ключа. Ключ формата ФКН с защитой канала работает только с продуктами КриптоПро версии 5.0 и выше, совместимость с решениями других производителей для него не гарантируется. Ключ, созданный в режиме обратной совместимости, читается всеми версиями провайдера, включая 3.6 и 4.0. Второй по частоте случай — разрыв цепочки доверия: корневой сертификат не установлен на конкретном рабочем месте, и программа сообщает, что не найден корневой сертификат.
Обязательно ли ставить КриптоПро CSP, если подпись уже встроена в токен?
Да. Встроенная криптография токена и установленный на компьютере криптопровайдер — разные вещи. Если информационная система требует КриптоПро CSP, программу нужно установить на рабочее место и активировать лицензию, даже когда ключ неизвлекаемый и криптографические операции идут на борту носителя.
Кто может использовать обезличенный сертификат организации?
Такой сертификат выдаётся на юридическое лицо или индивидуального предпринимателя и привязывается к информационной системе. Им подписывают документы, которые формируются автоматически и в большом количестве: запросы в госорганы, счета, квитанции. Сотрудники личными действиями пользоваться им не могут, и подписать таким сертификатом можно не любой документ.
Что делать, если сертификат истёк, а нужно доказать, что документ подписан в период его действия?
Помогает только заранее добавленное доказательство: штамп доверенной службы времени и ответ службы проверки статуса сертификата, зафиксированные в момент подписания. Если их нет, подпись базового формата после истечения сертификата подтвердить момент подписания не позволяет. Существующий архив можно улучшить: сервисы усовершенствования переводят подпись из базового формата в расширенный с архивной меткой, но только пока цепочка проверяемости не разорвана.
Нужно ли отдельное приложение для проверки подписи контрагента?
Не всегда. Открепленную подпись проверяют утилитой криптопровайдера: загружаются исходный файл и файл подписи, программа выдаёт статус, отпечаток сертификата, имя владельца и время подписания. Веб-сервисы проверки принимают тот же комплект, включая архив со всеми файлами, и формируют отчёт в виде отдельного документа. Отдельная программа нужна, когда проверок много и их нужно ставить на поток с сохранением протоколов.
Как передать подписанный документ получателю, у которого ничего не установлено?
Отправьте комплект целиком: документ, файл подписи, а при подписании по доверенности — XML-файл доверенности и файл её подписи. Для наглядности приложите отдельную копию документа со штампом визуализации, пометив, что она информационная, а оригиналом является исходный файл с подписью. Юридическую силу несёт комплект, а не изображение штампа.
