Проверка электронной подписи на документе: зачем она нужна 2026

Проверка электронной подписи на документе и зачем она нужна — процедура технической и юридической верификации, при которой программа сверяет целостность файла, статус сертификата, срок его действия, отсутствие отзыва и корректность цепочки доверия до удостоверяющего центра. Без понимания того, что именно проверяет сервис или плагин, невозможно понять, почему подпись иногда «валидная», а иногда вылетает с красным крестом. В статье разберём все параметры, которые сверяет верификатор, покажем разницу в проверке ПЭП, НЭП и УКЭП, объясним роль метки времени и разберём типовые ошибки, из-за которых проверка падает. Это часть большого материала про проверку электронной подписи, где описан общий порядок действий и сервисы.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Параметры, которые проверяет верификатор электронной подписи

Когда вы загружаете документ и файл подписи в сервис проверки, программа за несколько секунд прогоняет набор криптографических и организационных проверок. Их как минимум пять. Целостность документа. Срок действия сертификата на момент подписания. Статус отзыва сертификата. Цепочка доверия до корневого удостоверяющего центра. Принадлежность сертификата конкретному лицу с его ФИО и ИНН. Иногда к этому добавляются дополнительные проверки — наличие метки времени, соответствие формата подписи требованиям 63-ФЗ, поддержка актуальных криптоалгоритмов. Ни одна из этих проверок не является самодостаточной. Если выпадет хотя бы одна, результат будет отрицательным, и юридически такой документ можно оспорить.

Устойчивый миф: «раз в PDF есть штампик с подписью — документ подписан». Это так не работает. Визуальная плашка на документе — просто картинка, её можно скопировать любым редактором и подставить в другой файл. Настоящая верификация идёт на уровне криптографии, а не на уровне визуализации. В кадровом КЭДО это особенно важно: контролирующим органам вы отдаёте не красивый PDF со штампом, а полноценный архив из файла документа, файла подписи, сертификата и отчёта о проверке.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«У нас есть устойчивый стереотип, что подписанный документ — это тот, на котором нарисована «плашка» с подписью. Вот эта «зелёная галочка» в PDF. Нет. Это всего лишь визуализация, её можно нарисовать в любом редакторе. Юридически значима только сама криптография: хеш, «серт», метка времени. Когда приходит проверка из ГИТ или запрос суда — они смотрят на «сиг-файл» и на отчёт верификатора, а не на штампик.»

Проверка целостности документа через хеш-функцию

Это базовая проверка. Самая первая. При подписании криптопровайдер считает хеш документа — однонаправленную математическую функцию, которая превращает любой файл в короткое число фиксированной длины. Изменили в файле хотя бы один пробел — хеш меняется полностью. Этот хеш шифруется закрытым ключом и сохраняется в подписи.

Когда верификатор проверяет подпись, он заново считает хеш исходного документа и сравнивает его с тем хешем, который был зашит в подпись. Совпало — значит, файл после подписания не менялся. Не совпало — сразу красный крест, документ подменили. Как правило, в России используется алгоритм ГОСТ Р 34.11-2012 («Стрибог»), хотя иностранные сервисы работают с SHA-256 и SHA-512.

Из этого вытекает простое правило. Если вам присылают документ, который был подписан, и файл подписи — храните их вместе, не редактируйте, не пересохраняйте через «Сохранить как». Даже редактирование метаданных PDF в ряде случаев ломает хеш, и подпись перестаёт проходить проверку. Мы в Добыто рекомендуем клиентам при передаче подписанных документов всегда выгружать zip-архив целиком из системы, а не собирать файлы вручную — это исключает рассинхронизацию файла и подписи.

Проверка сертификата подписи и цепочки доверия

Подпись без сертификата — просто набор байт. Именно сертификат связывает «криптографическое доказательство» с конкретным человеком. Верификатор проверяет сертификат по цепочке: сертификат подписанта — сертификат удостоверяющего центра, который его выдал — сертификат вышестоящего УЦ — и так до головного удостоверяющего центра Минцифры России. Если хотя бы одно звено цепочки обрывается — проверка падает.

Для УКЭП дополнительно проверяется, что сертификат выпущен аккредитованным УЦ. Список аккредитованных центров публикует Минцифры, и верификаторы вроде портала Госуслуг автоматически сверяются с ним. Актуальный реестр аккредитованных УЦ доступен на сайте портала УФО Госуслуг. Если УЦ потерял аккредитацию после выпуска сертификата — это ещё более запутанная история, но в большинстве случаев выпущенные им «серты» продолжают действовать до конца своего срока.

Сам сертификат тоже проверяется на целостность — как отдельный электронный документ. У него есть своя подпись УЦ, и она тоже должна сойтись. И так рекурсивно до корня. Именно поэтому отсутствие корневых сертификатов Минцифры на компьютере — одна из самых частых причин, почему локальный плагин не может проверить «чужую» подпись.

Проверка срока действия и статуса отзыва сертификата

Сертификаты не живут вечно. У каждого есть срок действия — от «даты выдачи» до «даты окончания». У УКЭП для физического лица это обычно 12-15 месяцев, у обезличенных сертификатов для информационных систем — до 12 лет. У связки КриптоПро CSP 5.0 с Рутокеном ЭЦП 2.0 срок может быть продлён до 3 лет при неизвлекаемом ключе.

Верификатор делает две ключевые проверки. Первая — действовал ли сертификат на момент подписания документа. Вторая — не был ли он отозван к моменту подписания. Сертификат можно отозвать досрочно: при компрометации закрытого ключа, при увольнении сотрудника, по решению УЦ. Информация об отзыве попадает в CRL (Certificate Revocation List) — список отозванных сертификатов, который аккредитованные УЦ обязаны публиковать. Ссылка на CRL зашита в каждый сертификат. Для онлайн-проверки используется ещё один протокол — OCSP, который отдаёт статус сертификата мгновенно.

Но вот нюанс. Если документ был подписан год назад действующим сертификатом, а сертификат потом истёк — без метки времени верификатор не сможет достоверно сказать, в какой момент вообще произошло подписание. Документ может стать юридически уязвимым. Именно здесь начинается история «усовершенствованной» подписи.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Честно говоря, самая частая причина отказа в проверке — не какой-то хитрый взлом, а банально «просрочка». Подписали документ, «серт» уже протух, а заметили только когда ГИТ запросила материалы. Лечится одним — следите за сроками сертификатов «эйчаров» и руководителей. У нас в Добыто по каждой подписи виден дедлайн, и за 30 дней до конца «серта» летит «пушиведомление» — и сотруднику, и кадровику.»

Метка времени и усовершенствованная подпись

Когда подпись получает метку времени от доверенной службы штампов (TSP), в неё «зашивается» точный момент подписания, подтверждённый независимой стороной. Плюс — актуальный на тот момент ответ OCSP о статусе сертификата. Эта связка превращает обычную подпись в усовершенствованную (форматы CAdES-T, CAdES-XL, CAdES-A по классификации ETSI).

Что это даёт при проверке? Верификатор уже не обязан требовать, чтобы сертификат был действителен «сейчас». Достаточно, что на момент проставления метки времени сертификат был жив и не отозван. А служба штампов времени по законодательству имеет срок действия 3 года, плюс 15 лет действия сертификата ТСП после этого. Итого — до 18 лет гарантированного срока проверки для документов, подписанных усовершенствованной подписью. Для кадровых документов, которые хранятся 50 лет, это критически важно: в Добыто мы периодически «ухаживаем» за подписями клиентов — обновляем метки, добавляем архивные штампы. Без этого через 10 лет архив превратится в тыкву.

На самой низкой ступени — CAdES-BES, базовая подпись без метки. Её достаточно для оперативного документооборота, но не для долгосрочного хранения. Для внутренних кадровых приказов, которые живут год-два, хватает. Для трудовых договоров, которые лежат 75 лет — уже нет.

Принадлежность сертификата конкретному лицу

Верификатор не просто сверяет байты. Он ещё извлекает из сертификата атрибуты владельца и показывает их в отчёте. Для физического лица это ФИО и СНИЛС. Для сотрудника организации — плюс ИНН работодателя, должность, ОГРН. Для юридического лица с УКЭП руководителя — полное наименование, ИНН, ОГРН, должность подписанта.

Это важно по двум причинам. Первое — вы должны своими глазами увидеть, что документ подписал именно тот человек, который должен был его подписать. Гендиректор или уполномоченный кадровик, а не произвольная физическая персона. Второе — с введением МЧД (машиночитаемой доверенности) обычный сотрудник подписывает документы как физическое лицо, и верификатор должен дополнительно проверить наличие действующей доверенности от организации. В 2026 году «эмчедэшка» — это уже стандарт проверки для внешних документов, хотя во внутреннем КЭДО применяется редко.

Особенности проверки для ПЭП, НЭП и УКЭП

Три вида подписи — три разных сценария верификации. Путать их нельзя: у каждого свой набор требований.

ПЭП (простая электронная подпись). Технически это логин с паролем или код из СМС. Криптографии нет. Проверить ПЭП сторонним сервисом невозможно — она существует только внутри информационной системы, которая её применяет. Верификация сводится к проверке логов: кто, когда, с какого IP ввёл пароль. Юридическая сила ПЭП — только при наличии соглашения между сторонами по 63-ФЗ («тройке») и правил применения, утверждённых в организации. В кадровом КЭДО ПЭП применяется на внутренних документах при условии письменного согласия работника.

НЭП (неквалифицированная электронная подпись). Здесь уже есть криптография — хеш, сертификат, закрытый и открытый ключи. Проверка по всем пяти параметрам. Но сертификат НЭП выпускается не обязательно аккредитованным УЦ — это может быть корпоративный УЦ или УЦ оператора КЭДО. В Добыто НЭП для сотрудников выпускается бесплатно через внутренний УЦ. Проверить НЭП можно на портале Госуслуг или через КриптоПро DSS при условии установленного корневого сертификата УЦ-эмитента.

УКЭП (усиленная квалифицированная электронная подпись). Максимальный уровень проверки. Сертификат обязательно из аккредитованного УЦ, сертифицированное ФСБ средство подписи, соответствие приказу ФСБ № 795. УКЭП проверяется где угодно — Госуслуги, КриптоАРМ, Saby Crypto, КриптоПро CSP. Результат везде сходится.

Полезные документы для настройки проверки электронной подписи

Инструменты и сервисы для верификации подписи

На рынке 2026 года работают пять-семь основных способов проверить подпись.

Портал Госуслуг (e-trust.gosuslugi.ru/check/sign). Бесплатный государственный сервис, работает без регистрации. Проверяет УКЭП, НЭП, присоединённую и откреплённую подпись. Для конфиденциальных документов есть альтернативный режим проверки по хешу — на сервер отправляется только цифровой отпечаток файла, без самого содержимого.

КриптоПро DSS. Онлайн-сервис от КриптоПро. Проверяет все основные форматы, включая режим «аккредитованный УЦ» для УКЭП. Выдаёт подробный отчёт.

КриптоАРМ ГОСТ 3 и КриптоАРМ Старт. Локальные программы. Работают офлайн, документы не уходят в интернет. КриптоАРМ Старт бесплатный, функционала для проверки достаточно.

Контур.Крипто. До 30 проверок в месяц бесплатно. Работает через браузер без установки плагинов.

Встроенные проверки в PDF-редакторах. Adobe Acrobat Reader с плагином КриптоПро Office Signature показывает статус встроенной подписи. Аналогично — Microsoft Office.

Сервис Добыто Подпись. Собственный верификатор Добыто. Проверяет откреплённые и присоединённые подписи, показывает статус сертификата и владельца. Документы не сохраняются на сервере. В практике Добыто мы рекомендуем встроенный верификатор для внутренних кадровых документов, а Госуслуги — для внешних. Подробнее о программах, которые ставят на рабочее место кадровика, — в материале про программы для подписания документов ЭЦП.

Как проверить электронную подпись: пошаговая инструкция

Типичные ошибки при проверке электронной подписи

Шесть сценариев, в которых проверка падает. Почти все — бытовые, а не технические.

1. Пересохранили документ через «Сохранить как». Документ изменён, хеш не сходится, подпись невалидна. Лечится только одним — храните файл и подпись вместе и не трогайте их.

2. Использован просроченный сертификат. «Серт» протух до момента подписания — подпись юридически ничтожна. Без метки времени даже спорить бесполезно. Следите за сроками «сертов» сотрудников.

3. Не установлены корневые сертификаты Минцифры. Локальный плагин не может построить цепочку доверия и выдаёт ошибку, хотя с подписью всё в порядке. Скачайте корневые сертификаты с сайта УЦ Минцифры и установите вручную — это минут пять работы.

4. Перепутан тип подписи. Загрузили откреплённую в режиме присоединённой — получили ошибку. Всегда проверяйте, какой именно сценарий выбрали.

5. Отозван сертификат сотрудника. Уволенный сотрудник — первый кандидат на отзыв. Если документ подписан до отзыва, а метки времени нет, верификатор может отказать. С меткой — всё в порядке.

6. Устаревшая версия криптопровайдера. С 1 апреля 2026 года ФНС требует поддержку новых криптоалгоритмов. КриптоПро CSP ниже версии 5.0.12000 перестал корректно взаимодействовать с серверами ФНС. Обновление бесплатно для владельцев лицензионной версии.

Мария Ж, судебный эксперт по трудовому праву:
«Больше всего «грабель» собирают при первом споре. Работник подаёт в суд, работодатель приносит архив: PDF, «сиг-файл», сертификат. А верификатор в суде показывает «подпись недействительна». Разбираемся — оказалось, кадровик скачал документ, открыл его в Word и пересохранил в PDF «для красоты». Всё, хеш порван. Юридически документ можно оспорить. Поэтому «электронная ручка» — это не просто «запулить» документ и забыть. Это дисциплина хранения.»

Стоимость сервиса КЭДО и тарифы Добыто

Верификация подписи как отдельная услуга на большинстве порталов бесплатная. Но для работодателя вопрос не в стоимости одной проверки — вопрос в том, во сколько обходится весь кадровый электронный документооборот вместе с выпуском подписей, верификацией и хранением архива. Ниже — актуальные тарифы сервиса Добыто КЭДО. Электронные подписи ПЭП и УНЭП для сотрудников включены во все тарифы бесплатно.

Итоговая стоимость для конкретной компании зависит от численности персонала, выбранного тарифа, набора модулей (интеграция с 1С, электронный архив, API) и количества выпускаемых УКЭП через партнёров-удостоверяющих центров. Подобрать подходящий пакет под задачи кадровой службы удобнее всего через актуальные тарифы сервиса Добыто КЭДО — там видна структура цен и можно оставить заявку на расчёт.

Мария Ж, HR-эксперт с 13-летним стажем:
«Когда считаешь «денюжки» на КЭДО, важно не смотреть на цену «в моменте». Считай стоимость всего жизненного цикла: выпуск «сертов», хранение, верификация, «ухаживание» за архивными подписями через 5-10 лет. Копеечная экономия на базовом тарифе сегодня превращается в головняк через пять лет, когда «крипта» обновится, а ваши документы останутся на старых алгоритмах.»

Выводы: что запомнить о верификации электронной подписи

Проверка подписи — это набор из пяти ключевых сверок: целостность документа через хеш, действительность сертификата на момент подписания, отсутствие отзыва, цепочка доверия до головного УЦ, принадлежность сертификата конкретному лицу. Ни одна проверка не самодостаточна. Визуальный штамп «подписано» в PDF не имеет юридической силы — все решения принимаются на уровне криптографии. Для УКЭП требования максимальные: аккредитованный УЦ, сертифицированное ФСБ средство подписи, соответствие приказу ФСБ № 795.

Для долгосрочного хранения (трудовые договоры, приказы, ЛНА) применяйте усовершенствованную подпись с меткой времени. Без неё через 3-5 лет после истечения сертификата проверка выдаст ошибку, и документ станет юридически уязвимым. Следите за версией криптопровайдера — КриптоПро CSP ниже 5.0.12000 с 1 апреля 2026 года работает с новыми алгоритмами ФНС некорректно. Архив кадровых документов храните как связку файла документа, файла подписи и сертификата, а не просто как PDF со штампом. Массовое внедрение МЧД и миграция на новые криптоалгоритмы по линии ФСБ продолжатся в ближайшие годы — готовьте инфраструктуру заранее.

Часто задаваемые вопросы