Программы для работы с электронной цифровой подписью на компьютере ставятся связкой, а не поодиночке: драйвер ключевого носителя, криптопровайдер КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, расширение плагина для браузера, корневые сертификаты Минцифры России и удостоверяющего центра, личный сертификат с токена. Приложение для подписания файлов ставится сверху: сам криптопровайдер документы не подписывает, он только выполняет криптографические операции. Комплект зависит от того, какой у вас ключ. Для извлекаемого (пассивного) ключа хватит КриптоПро CSP 4.0, для неизвлекаемого ключа и формата PKCS#11 нужен CSP 5.0 R2 и выше плюс лицензия именно на версию 5.0.
Разберём, какая программа за что отвечает, чем подписывают файлы, PDF, документы Word и электронные письма, чем создают и проверяют МЧД. Покажем, по каким признакам выбирать версию криптопровайдера под конкретную модель токена и в каких сценариях на компьютер вообще ничего ставить не надо. Сравнительная таблица программ, порядок диагностики при отказе подписи, шаблоны реестра токенов и протокола проверки, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Базовый комплект: что должно стоять на рабочем месте
Рабочее место с квалифицированной подписью собирается из семи элементов. Ни один из них не заменяет другой:
- драйверы используемого ключевого носителя (Рутокен, JaCarta, eSmart и другие);
- СКЗИ КриптоПро CSP версии 5.0 R2, сборка 12000 или выше;
- плагин КриптоПро ЭЦП Browser Plug-in;
- корневые сертификаты Минцифры России и УЦ ФНС России;
- личный сертификат ключа электронной подписи, выданный удостоверяющим центром;
- расширение крипто-плагина для конкретного интернет-браузера;
- иные плагины для тех информационных систем, в которых вы работаете.
Криптопровайдер отвечает за алгоритмы по ГОСТ, контейнеры и сертификаты, но интерфейса подписания файлов у него нет. Подписание живёт в отдельном приложении: в поиске Windows после установки видны CSP, Инструменты КриптоПро, КриптоАРМ и Управление лицензиями PKI, и подписывают файлы именно Инструменты КриптоПро, а не окно CSP.
Как настроить рабочее место для работы с ЭЦП: пошаговая инструкция
- Шаг 1. Определите тип носителя визуально или по сопроводительным документам и скачайте установочный пакет драйвера с сайта производителя: Рутокен, Рутокен ЭЦП 2.0, JaCarta или eSmart. Установите драйвер в режиме по умолчанию.
- Шаг 2. Установите КриптоПро CSP. Пользователи УЦ ФНС России получают дистрибутив в рамках эксперимента по безвозмездному предоставлению программного обеспечения: форма заполняется на сайте разработчика, загруженный пакет включает и сам CSP, и КриптоПро ЭЦП Browser Plug-in.
- Шаг 3. Установите корневые сертификаты. Сертификат Минцифры России помещается в хранилище «Доверенные корневые центры сертификации», сертификат УЦ ФНС России — в «Промежуточные центры сертификации». Порядок хранилищ перепутывать нельзя: цепочка не построится.
- Шаг 4. Установите личный сертификат с носителя: КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выбор контейнера через «Обзор».
- Шаг 5. Установите плагин и включите расширение в браузере, когда система предложит. Проверьте результат на странице проверки работы плагина у разработчика.
- Шаг 6. Получите код абонента, если планируете сдавать отчётность напрямую через сервисы ФНС: сертификат регистрируется в личном кабинете сервиса самостоятельно.
- Шаг 7. Установите прикладные программы под свои задачи. Для сдачи отчётности напрямую в налоговую понадобится «Налогоплательщик ЮЛ»: программа собирает документы в транспортный контейнер, который выгружается архивом и подписывается сертификатом КЭП.
Мария Ж, специалист по цифровой подписи и КЭДО: «Половина обращений «не работает подпись» закрывается сверкой комплекта. Проверьте по списку: драйвер носителя, CSP нужной версии, плагин, расширение в браузере, оба корневых сертификата в правильных хранилищах, личный сертификат из контейнера. Если хотя бы один пункт пропущен, диагностировать дальше бессмысленно.»
Какую версию КриптоПро CSP ставить под ваш токен
Версия провайдера определяется не годом выпуска, а тем, какой ключ лежит на носителе. Программные ключи генерируются криптопровайдером, и токен работает как защищённое PIN-кодом хранилище: при подписании закрытый ключ ненадолго попадает в оперативную память компьютера, поэтому такие ключи называют извлекаемыми, а носители пассивными. Аппаратные ключи генерируются криптоядром внутри микроконтроллера токена и память устройства не покидают, скопировать их невозможно.
КриптоПро CSP 4.0 умеет работать только с пассивными носителями. Провайдер 5.0 первой версии поддержал активные токены и формат ФКН с защитой канала по протоколу SESPAKE. В 5.0 R2 добавлена работа через библиотеку PKCS#11 от производителя носителя, за счёт чего поддержка новых моделей токенов подтягивается вместе с обновлением драйверов. В сборке 5.0 R3 режим PKCS#11 интегрирован в общий список считывателей, и снята прежняя проблема с использованием таких ключей в Windows Logon и RDP.
Факт: ключи формата PKCS#11 обязательны для участников алкогольного рынка, которые отчитываются через ЕГАИС. Другой формат ключа для этой задачи не подойдёт, а значит, версия CSP ниже 5.0 R2 закрывает вопрос сразу.
Выбор между режимами делается один раз, в момент генерации контейнера, и потом определяет мобильность ключа. Токен — вещь переносная, и вероятность, что он всю жизнь проработает на одной машине, невелика. Если сотрудник будет вставлять носитель в разные рабочие места, часть которых сидит на CSP 4.0, ему нужен пассивный извлекаемый ключ. Если все машины на 5.0 и выше, разумнее выбрать более защищённый вариант.
Важный нюанс из практики: в рамках эксперимента УЦ ФНС лицензия на КриптоПро CSP вшивается в сертификат и действует ровно столько, сколько действует сам сертификат. Отдельно вводить лицензию на машине для этого ключа не нужно, но как только на том же компьютере понадобится работать другим ключом или генерировать запрос на сертификат самостоятельно, потребуется полная лицензия.
| Сценарий | Что критично | Минимальная версия CSP |
|---|---|---|
| Ключ ходит между машинами с разными версиями провайдера | Обратная совместимость, режим ЦСП при создании контейнера | 4.0 |
| Подпись руководителя из УЦ ФНС | Контейнер выдаётся неэкспортируемым, копирование запрещено регламентом УЦ | 5.0 R2 |
| Отчётность в ЕГАИС по алкоголю | Ключ только формата PKCS#11, генерация на активном токене | 5.0 R2 |
| Максимальная защита канала между провайдером и токеном | Формат ФКН, шифрование канала по протоколу SESPAKE | 5.0 R2 |
| Вход по сертификату в Windows Logon и RDP с ключом PKCS#11 | Интеграция режима PKCS#11 в единый считыватель | 5.0 R3 |
Из таблицы следует практический вывод для парка рабочих мест: разнобой версий провайдера ограничивает вас снизу, а требования площадки — сверху. Инвентаризацию версий CSP проще сделать до выпуска новых сертификатов, чем после.
Внимание: лицензия от КриптоПро CSP 4.0 подходила к версии 5.0 только до сборки R2. Начиная с R2 нужна лицензия именно на 5.0, зато она действует на всё семейство 5.0. Обновление провайдера без проверки лицензии останавливает подписание на середине рабочего дня.
Драйверы носителей: Рутокен, JaCarta и eSmart Token ГОСТ
Драйвер ставится первым, до криптопровайдера, и берётся с сайта производителя носителя: у Рутокена отдельные пакеты для линейки и для ЕГАИС, у JaCarta и eSmart — свои разделы загрузки. Библиотека PKCS#11, через которую CSP 5.0 R2 работает с активными токенами, входит в состав драйверов Рутокен. Альтернатива — сборка провайдера с уже включённой библиотекой, которая выкладывается отдельным дистрибутивом: ставить драйверы дополнительно в этом случае не нужно.
Модели различаются возможностями, а не только ценой. Рутокен Лайт — пассивный токен, он работает только с программным криптопровайдером и служит защищённым хранилищем ключей и сертификатов, сгенерировать формат PKCS#11 на нём нельзя: криптоядра внутри нет. Устройства линейки Рутокен ЭЦП 3.0 генерируют неизвлекаемые ключи внутри себя, имеют 128 КБ защищённой памяти, сертифицированы во ФСТЭК и ФСБ, поддерживают алгоритмы Магма и Кузнечик, а часть моделей работает по двойному интерфейсу: по USB или контактному считывателю и по NFC, в том числе с мобильными устройствами.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Распространённое заблуждение: встроенная криптография на токене приравнивается к установленному КриптоПро CSP. Если информационной системе нужен именно CSP, провайдер придётся установить на компьютер и ввести лицензию, никакой токен этого не заменит.
Полезно знать: на 128 КБ памяти помещается до 31 контейнера в формате ЦСП. Реальное число меньше: контейнер с длинной цепочкой сертификатов и дополнительными расширениями занимает до 12 КБ. Бухгалтеру на аутсорсе, который обслуживает десяток организаций, одного токена может не хватить.
Чем подписывать файлы: сравнение программ
Приложения для подписи различаются не набором кнопок, а тем, какие задачи закрывают: пакетная обработка, PDF, почта, МЧД, трансграничный обмен. Сравнение по функциям, операционным системам и ограничениям:
| Программа | Основная задача | Особенность и ограничение |
|---|---|---|
| КриптоПро CSP | Криптопровайдер: контейнеры, сертификаты, алгоритмы ГОСТ | Есть версии под Windows, Linux, macOS, Android, iOS, Аврору, AIX и Solaris. Файлы подписывает не сам провайдер, а Инструменты КриптоПро |
| Инструменты КриптоПро (cptools) | Подпись и проверка файлов, шифрование, списки отзыва | Формат CAdES-BES, расширение файла подписи выбирается из p7s, sig и sgn |
| КриптоПро PDF | Подпись PDF внутри Adobe Acrobat и Reader | Подключается как плагин Adobe, метод подписания выбирается в диалоге подписи |
| КриптоАРМ ГОСТ 3 | Подпись, шифрование, обмен письмами через встроенный почтовый клиент | Подпись с МЧД и единым архивом из данных и файла доверенности, генерация ключей и запроса на сертификат. Сертифицирована ФСБ в составе КриптоПро CSP КС1 и КС2, сертификат до мая 2027 года |
| КриптоАРМ 6 | То же плюс мастер подписи и защиты PDF | Встроенный просмотрщик PDF, встроенная подпись в документе |
| КриптоАРМ Server | Автоматическая пакетная подпись, проверка и усовершенствование подписи | Поставляется докер-образом, работает в контуре организации. Дополнительно нужна серверная лицензия КриптоПро CSP |
| КриптоЭксперт (CrypteX) | Подпись и проверка PDF, работа с МЧД | Сертификация PDF после подписания, формат CAdES-X Long Type 1, создание МЧД с выбором полномочий и проверка статуса доверенности. Сертификата ФСБ нет |
| Litoria Desktop | Трансграничный документооборот | Функции клиента доверенной третьей стороны, совместимость с Astra Linux, подписи CMS и CAdES |
| Jinn-Client | Подпись с доверенной визуализацией документа | Защита от подмены данных при просмотре, подпись на изолированных ресурсах компьютера, чтение контейнеров КриптоПро. Windows и Linux |
Для типового рабочего места хватает связки CSP и Инструментов КриптоПро. Отдельная программа нужна, когда появляется задача, которой в этой связке нет: визуальный штамп в PDF, шифрованная переписка, поток документов на автоматическую подпись.
К этому набору добавляются прикладные программы конкретных ведомств. Для налоговой отчётности такой программой остаётся «Налогоплательщик ЮЛ» на сайте ФНС: она формирует транспортный контейнер из введённых деклараций, а подпись накладывается уже на готовый архив выбранным сертификатом с указанием кода абонента.
Проверьте подпись на документе, не устанавливая программу
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Расширения p7s, sig и sgn: что означает файл подписи
Расширение файла подписи не меняет её содержимое. В настройках Инструментов КриптоПро расширение подписанного файла выбирается из списка p7s, sig и sgn, а формат подписи при этом остаётся CAdES-BES. Читать имя файла нужно по хвосту: договор.pdf.sig — это отдельный файл подписи к договору, а договор.sig может оказаться контейнером, внутри которого лежит и сам документ.
Подпись бывает присоединённой, когда документ упакован внутрь файла подписи, и отсоединённой, когда подпись лежит отдельным файлом. Отсоединённая подпись проверяется только вместе с исходным документом: на проверку и в информационные системы такая пара грузится вдвоём, документ отдельно, файл .sig отдельно. Ещё одно частое заблуждение касается файлов SGN: такой файл подписан, а не зашифрован, и содержимое документа из него читается без всяких ключей.
Отдельная тема — усовершенствованные форматы. Обычную подпись можно улучшить, добавив доказательства подлинности: штамп времени, ответ OCSP о статусе сертификата на момент создания подписи, архивную метку, которая заверяет две предыдущие. Смысл в сроке жизни: сертификаты сейчас выдаются не только на 15 месяцев, срок может доходить до 12 лет, а кадровые и финансовые документы хранятся 50 лет и дольше. Без доказательств подлинности проверить подпись после истечения сертификата не получится.
Мария Ж, судебный эксперт по трудовому праву: «Вопрос долговременного хранения решается не форматом файла, а метками времени на подписи. Документ подписали сегодня, сертификат истёк послезавтра, и через пять лет валидность обычной подписи вы не подтвердите. Если документ хранится десятилетиями, подпись переводят в усовершенствованный формат сразу, а не в момент спора.»
Браузер, плагин и вход на площадки
Веб-подписание работает через связку из двух частей: установленного в системе КриптоПро ЭЦП Browser Plug-in и включённого расширения в самом браузере. Первое ставится инсталлятором, второе включается в списке расширений, и после установки корректность связки проверяется на странице проверки работы плагина у разработчика. Диагностическая страница показывает состояние расширения, плагина и криптопровайдера отдельными индикаторами, поэтому по ней сразу видно, какое звено отвалилось.
Вторая частая причина отказа на площадке — неполная цепочка доверия. Корневые сертификаты Минцифры России и удостоверяющего центра публикуются в открытом доступе, у налоговой службы они лежат в разделе сертификатов удостоверяющего центра ФНС: сертификат Минцифры устанавливается в доверенные корневые центры сертификации, сертификат УЦ — в промежуточные.
Кейс из практики: подрядчик по кадровому учёту жаловался, что на портале ведомства не появляется сертификат для входа. Комплект был установлен полностью, но в личном хранилище лежали два сертификата на одну организацию, старый и перевыпущенный, а пользователь по привычке выбирал первый в списке. После сортировки по дате и выбора свежего контейнера вход прошёл с первой попытки. Правило простое: при нескольких сертификатах смотрите срок действия, а не порядок в таблице.
PDF, Word и электронные письма
Для PDF есть два разных инструмента с похожими названиями. Штатное средство Adobe «Заполнить и подписать» рисует изображение подписи и квалифицированной подписью не является. КриптоПро PDF подключается к Acrobat и Reader как плагин и ставит подпись по ГОСТ: после установки он появляется в меню плагинов, а метод подписания выбирается в диалоге. КриптоАРМ 6 решает ту же задачу со своим просмотрщиком PDF, КриптоАРМ Server добавляет подпись в PDF пакетно, а рядом с ней может проставлять произвольные штампы и изображения, которые саму подпись не содержат.
В Word подпись ставится через надстройку «Строка подписи (КРИПТО-ПРО)». Если пункта нет в меню, надстройку смотрят в параметрах Word: она отключается при обновлениях офисного пакета. При выборе сертификата в окне безопасности Windows проверяйте три поля: владельца, издателя и срок действия.
Письма с подписью и шифрованием — отдельная задача. Собственный почтовый клиент есть у КриптоАРМ ГОСТ 3, он позволяет обмениваться не только файлами, но и письмами. Сервер подписи умеет забирать документы из каталога, подписывать заданным сертификатом и отправлять получателям по правилам, но для конфиденциальной отправки нужен сертификат получателя. Ограничение здесь жёсткое: если у второй стороны нет ГОСТ-поддержки в почтовом клиенте или специализированной программы, зашифрованное вложение она не откроет, а увидит только служебный файл контейнера. В сервисе Добыто мы поэтому не строим кадровые процессы вокруг почты: маршрут согласования и подписание идут в системе, а почта остаётся каналом уведомлений.
Шаблоны и чек-листы для работы с электронной подписью
Комплект для администратора, который разворачивает подписи на парк рабочих мест: начните с чек-листа диагностики, он закрывает большую часть обращений.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Реестр выданных токенов | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Разбор ошибок площадок при подписании | Скачать |
МЧД: чем создать, чем подписать и какие данные внутри
Машиночитаемая доверенность — это XML-файл, который подписывается квалифицированной подписью руководителя организации. Состав сведений закреплён приказом 857, формат XML — приказом 858, порядок формирования классификатора полномочий — приказом 856. С 1 сентября 2023 года сертификаты на сотрудника с привязкой к юрлицу закончились: рядовой работник подписывает документы сертификатом физического лица и прикладывает МЧД, а сертификат на руководителя выдаёт УЦ ФНС, лично и без права копирования ключа.
Создать доверенность можно тремя способами: в сервисе ФНС «Создание и проверка доверенности в электронной форме», в сервисах операторов ЭДО или в собственной информационной системе по утверждённой схеме. Дальше файл подписывается отсоединённой подписью руководителя: в Инструментах КриптоПро для этого ставится галочка «Создать отсоединённую подпись». Зарегистрированная доверенность попадает в распределённый реестр ФНС, и загруженной один раз доверенностью можно пользоваться в системах разных операторов.
Данные МЧД: сведения о доверителе, о доверенном лице, перечень полномочий, срок действия и 36-символьный номер GUID. Посмотреть полные сведения по чужой доверенности на сайте ФНС можно, зная три параметра: номер доверенности, ИНН доверителя и СНИЛС представителя. Полномочия указываются кодом из классификатора либо текстом, и по текстовым формулировкам автоматическая проверка полномочий не работает: ни одна система не возьмётся за лингвистический разбор фразы.
Про филиалы и передоверие правила остались гражданско-правовыми. Без нотариуса оформляется доверенность от юрлица к юрлицу и цепочка с руководителем обособленного подразделения. Передоверие внутри одной организации или внутри одного филиала, когда главный бухгалтер передаёт полномочия бухгалтеру, требует нотариального удостоверения, и МЧД тут не исключение.
Мария Ж, юрист со стажем более 20 лет: «Две вещи, на которых спотыкаются чаще всего. Первое: срок действия сертификата и срок действия МЧД между собой не связаны, при смене сертификата доверенность перевыпускать не нужно. Второе: расширить полномочия в уже выпущенной доверенности нельзя, любое изменение XML ломает подпись, и на выходе получается новая МЧД.»
Когда программы на компьютер ставить не нужно
Установка криптопровайдера оправдана не всегда. Госключ выпускает квалифицированную подпись в мобильном приложении, подтверждение идёт биометрией, и работнику не нужны ни токен, ни драйверы, ни лицензия. Облачная подпись хранится на сервере удостоверяющего центра: она дешевле, потому что нет материальных затрат на носитель, и подписать документ можно с телефона. Ограничение у неё жёсткое — закрытый ключ находится у удостоверяющего центра, и работает такая подпись только в сервисах, куда интегрировано программное обеспечение этого центра. Мобильная подпись встраивается в SIM-карту и приложение, но телефон легко потерять.
Отдельный сценарий — кадровые документы. Работник подписывает их простой или усиленной неквалифицированной подписью прямо в системе КЭДО, из браузера, без установки чего-либо на личный компьютер. Если вы разворачиваете подписи на компанию и половина заявок в поддержку — это установка КриптоПро сотрудникам, ради ознакомления с приказами городить криптографию на каждом рабочем месте не требуется: ПЭП и УНЭП для работников выпускаются внутри платформы.
Учёт носителей и сертификатов: журнал, который спасает при увольнении
Токены расходятся по сотрудникам быстро, а возвращаются плохо. Журнал выданных носителей и реестр сертификатов закрывают три вопроса: у кого физически лежит устройство, когда истекает сертификат и что отзывать при увольнении. Минимальный набор полей: модель и серийный номер носителя, ФИО владельца, удостоверяющий центр, даты начала и окончания действия сертификата, отпечаток, дата выдачи и дата возврата.
Сроки в реестре важнее, чем кажется. Перевыпуск сертификата в конце срока накладывается на очереди в удостоверяющих центрах, а сотруднику нужно время, чтобы освоить новый порядок работы. В практике Добыто мы ведём такой реестр вместе с кадровыми данными: увольнение сотрудника сразу поднимает задачу на отзыв доступа и сдачу носителя, а не всплывает через полгода при инвентаризации.
Если подпись не работает: порядок диагностики
Диагностика идёт от простого к сложному, и в этом порядке закрывается большинство обращений.
- Проверьте статус сертификата. Формулировка «Сертификат недействителен. Сертификат отозван» означает, что дело не в программах: нужен перевыпуск в удостоверяющем центре.
- Проверьте лицензию криптопровайдера. Окно с предложением ввести серийный номер или купить лицензию появляется при истечении срока и блокирует операции.
- Проверьте пару файлов при отсоединённой подписи. Ошибка 0x80091007 с текстом про неправильное значение хеша означает, что документ изменился после подписания или на проверку подали не тот файл.
- Проверьте выбранный сертификат, если их несколько. Старый и перевыпущенный сертификаты выглядят одинаково, различаются датой.
- Проверьте цепочку и плагин для веб-подписания: оба корневых сертификата в своих хранилищах, расширение включено в браузере.
Цена ошибки считается не в часах поддержки. Документ, подписанный отозванным или не тем сертификатом, придётся переподписывать, а если вторая сторона уже недоступна или сертификат прекратил действие, оформляется акт о невозможности переподписания и письмо контрагенту. Для кадровых документов пересборка комплекта означает повторный сбор подписей работников, а для отчётности — срыв срока сдачи со всеми вытекающими санкциями. Результат проверки поэтому имеет смысл сохранять протоколом, а не скриншотом: программа проверки формирует отчёт в PDF со статусом подписи, отпечатком, временем подписания и цепочкой сертификации.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы закладываем пилотную группу до раскатки подписи на всю компанию: 10-15 человек с разными рабочими местами и браузерами. За неделю всплывают все ошибки настройки, которые потом умножились бы на численность. Дешевле потратить неделю на пилот, чем сутки на разбор массовых обращений в день запуска.»
Стоимость подключения КЭДО и тарифы Добыто
Стоимость зависит от численности сотрудников, набора видов подписи и того, нужна ли интеграция с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | выпуск внутри платформы |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
| УКЭП для сотрудников | по запросу, через партнёров-УЦ | по регламенту УЦ |
Итоговая сумма складывается из численности, выбранного набора видов подписи и потребности в кастомных шаблонах, электронном архиве и приоритетной поддержке. Актуальные условия по каждому пакету и состав функций собраны на странице тарифов ДОБЫТО КЭДО.
Переход между тарифами возможен в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Работоспособное рабочее место с подписью собирается из драйвера носителя, криптопровайдера подходящей версии, плагина с расширением в браузере, корневых и личного сертификатов, а сверху ставится приложение под задачу: подпись файлов, PDF, почта, МЧД или автоматическая пакетная обработка. Версия КриптоПро CSP выбирается по типу ключа и требованиям площадки, а не по дате релиза. Форматы p7s, sig и sgn различаются расширением, а не содержимым, и для долгого хранения подпись переводят в усовершенствованный формат с меткой времени. Часть сценариев вообще обходится без установки программ: Госключ, облачная подпись и подписание кадровых документов в браузере.
Мы в Добыто ежедневно разбираем такие конфигурации у клиентов: где нужен токен и криптопровайдер, а где кадровый документ достаточно подписать ПЭП или УНЭП внутри платформы, без нагрузки на службу поддержки и без установки СКЗИ каждому сотруднику.
Частые вопросы
Что делать, если забыл пароль от контейнера электронной подписи?
Пароль на ключевой контейнер и PIN-код носителя не восстанавливаются: механизма сброса без потери ключа не предусмотрено. Если пароль не сохранён в системе и не записан, остаётся перевыпуск сертификата в удостоверяющем центре. Заводской PIN-код носителя указан в документации производителя и подходит только в случае, когда его после выдачи ни разу не меняли. Перед перевыпуском проверьте, не сохранён ли пароль в кэше на другом рабочем месте, где ключ уже использовали.
Сколько подписей помещается на один токен?
На устройстве с 128 КБ защищённой памяти помещается до 31 контейнера в формате ЦСП. Реальное число меньше, потому что размер контейнера не фиксирован: он зависит от того, какие расширения и цепочки сертификатов записал удостоверяющий центр. Верхняя оценка для одного объёмного контейнера — около 12 КБ, то есть таких на токене поместится примерно десяток. Бухгалтеру, работающему на несколько организаций, стоит считать место заранее.
Нужно ли перевыпускать МЧД при смене сертификата сотрудника?
Нет. Сертификат и машиночитаемая доверенность между собой не связаны реквизитами: в сертификате не прописан номер доверенности, а в доверенности нет данных сертификата. Доверенность выдаётся на срок до нескольких лет, и за это время сотрудник может сменить несколько сертификатов. Проверяется другое — соответствие персональных данных представителя в МЧД тому лицу, чьей подписью подписан документ.
Чем КриптоАРМ Server отличается от серверной лицензии КриптоАРМ?
Серверная лицензия обычного КриптоАРМ — это то же графическое приложение для подписания и шифрования, только для серверных операционных систем, назначение у него остаётся клиентским. КриптоАРМ Server решает задачи автоматизации: пакетная проверка подписи, формирование и усовершенствование подписи, работа с PDF и почтой, обращение по REST-запросам. Поставляется докер-образом и требует отдельной серверной лицензии КриптоПро CSP.
Что нужно, чтобы прочитать зашифрованное письмо от контрагента?
Получателю потребуется почтовый клиент с поддержкой S/MIME по ГОСТ либо специализированная программа для обработки криптографических контейнеров. Без этого во входящем письме будет видно только служебное вложение, открыть которое штатными средствами не получится. Расшифровать письмо можно, если оно зашифровано в адрес сертификата получателя, поэтому перед отправкой стороны обмениваются сертификатами.
Работает ли КриптоПро на Linux и macOS?
Да. У провайдера есть сборки под Windows, Linux, macOS, Android, iOS, Аврору, AIX и Solaris. Для дистрибутивов на базе Debian, включая Astra Linux, готовые пакеты выкладываются в собранном виде, конвертировать установщик утилитой alien больше не требуется. КриптоАРМ ГОСТ 3 тоже мультиплатформенный и работает на российских операционных системах, а функциональность управления носителями в графических утилитах под Astra Linux доступна начиная с КриптоПро CSP 5.0 R2.
Можно ли подписывать документы автоматически, без участия сотрудника?
Да, для этого операторы информационных систем в рамках 63-ФЗ получают в УЦ ФНС обезличенный сертификат: он выдаётся на юридическое лицо или индивидуального предпринимателя и привязывается к информационной системе. Таким сертификатом подписывают автоматически формируемые документы и запросы в госорганы, например счета и квитанции. Ограничения тоже есть: подписывать им любые документы нельзя, и сотрудникам такой сертификат не выдаётся.
