Сертификат электронной подписи для физического лица выдают тремя способами: бесплатно в мобильном приложении Госключ, платно в удостоверяющем центре, аккредитованном Минцифры, либо внутри системы КЭДО работодателя. Выбор определяется не ценой, а тем, что вы собираетесь подписывать: кадровые документы закрывает УНЭП, отчётность в ФНС и электронные торги требуют УКЭП. Для УКЭП в Госключе нужны подтверждённая учётная запись на Госуслугах, биометрический загранпаспорт нового образца и смартфон с NFC, а в удостоверяющем центре — идентификация личности и носитель ключа. Различие, от которого зависит комплект документов: УНЭП, созданная в инфраструктуре электронного правительства, работает без отдельного соглашения сторон, а УНЭП от коммерческого центра — только при подписанном соглашении об использовании подписи.
Разберём, какая подпись закрывает конкретную задачу, что собрать до обращения и почему выпуск задерживается на идентификации заявителя, а не на самом выпуске сертификата. Покажем, как убедиться, что сертификат установился и работает, и что делать при забытом пароле Госключа или увольнении с действующей подписью физлица. Сравнительная таблица подписей по задачам, чек-лист подготовки, стоимость подписей для сотрудников и тарифы КЭДО, а также шаблоны реестра сертификатов — во второй половине статьи.
Какая подпись нужна физическому лицу: выбор по задаче
Виды электронных подписей закреплены в 63-ФЗ «Об электронной подписи»: простая (ПЭП), усиленная неквалифицированная (УНЭП) и усиленная квалифицированная (УКЭП). Сертификат в привычном смысле — файл с данными владельца, открытым ключом, издателем и сроком действия — существует только у усиленных подписей. У ПЭП сертификата нет: это учётные данные, логин и пароль, код из СМС или подтверждённая запись в ЕСИА.
Отдельный случай — портал «Работа в России». Там сотрудник подписывает кадровые документы простой подписью через подтверждённую учётную запись Госуслуг, а сверху документ дополнительно заверяется усиленной подписью Роструда: в штампе видны номер сертификата и срок его действия. Отдельно получать сертификат для этого сценария не нужно.
УНЭП может выпустить и удостоверяющий центр, и сам работодатель. УКЭП выпускает только центр, прошедший аккредитацию Минцифры и ФСБ, и по умолчанию она равнозначна собственноручной подписи без дополнительных соглашений. Технически механизм подписания у УНЭП и УКЭП одинаковый, различается юридический статус и требования к издателю.
| Задача | Подпись | Где получить | Что понадобится |
|---|---|---|---|
| Кадровые документы на портале «Работа в России» | ПЭП через ЕСИА | Отдельный выпуск не нужен | Подтверждённая учётная запись Госуслуг, СНИЛС |
| Трудовой договор, приказы, заявления в системе КЭДО работодателя | УНЭП | Работодатель или удостоверяющий центр | Соглашение об использовании подписи, доступ в систему |
| Подписание кадровых документов со смартфона | УНЭП, выданная в инфраструктуре электронного правительства | Приложение Госключ | Подтверждённая учётная запись Госуслуг, номер телефона |
| Сделки с недвижимостью, регистрация бизнеса, договоры с оператором связи | УКЭП физического лица | Приложение Госключ | Биометрический загранпаспорт нового образца, смартфон с NFC |
| Подписание документов по машиночитаемой доверенности от работодателя | УКЭП физического лица | Аккредитованный удостоверяющий центр | Паспорт, СНИЛС, ИНН, носитель ключа, идентификация личности |
| Подпись руководителя организации или ИП | УКЭП | Удостоверяющий центр ФНС России | Носитель ключа, выпуск бесплатный |
Из таблицы видно, что платить за сертификат приходится в одном сценарии: когда физическому лицу нужна УКЭП на носителе для работы по машиночитаемой доверенности или в системах, куда Госключ не интегрирован. Остальные задачи закрываются бесплатными каналами.
Мария Ж, специалист по цифровой подписи и КЭДО: «Перед тем как оформлять заявку, ответьте себе на один вопрос: в какой системе вы будете подписывать. УНЭП из Госключа не требует соглашения сторон, потому что выдана через инфраструктуру электронного правительства, а вот УНЭП от коммерческого центра без подписанного соглашения об использовании подписи юридически не работает. Сертификат под задачу подбирается один раз, менять его в процессе дороже, чем разобраться заранее.»
Три канала выдачи сертификата физлицу в 2026 году
Госключ: сертификат за несколько минут без визита
Госключ — мобильное приложение, опубликованное во всех четырёх магазинах приложений: для iOS, Android, Huawei и на платформе RuStore. Приложение выдаёт два типа сертификата. УНЭП доступна каждому, у кого есть подтверждённая учётная запись на Госуслугах и номер телефона: возрастной порог — 14 лет. УКЭП требует биометрического загранпаспорта нового образца и смартфона с модулем NFC либо подтверждения через Единую биометрическую систему. Идентификация проходит дистанционно, ехать в офис не нужно, клиентский путь занимает несколько минут. Сервис безвозмездный и для граждан России, и для организаций, которые к нему подключились.
Загранпаспорт старого образца для выпуска УКЭП не подойдёт: чип нужен именно биометрический. Детали процедуры и требования к устройству описаны на странице приложения Госключ на портале Госуслуг, там же публикуются изменения в порядке идентификации.
Факт: закрытая часть ключа в Госключе хранится на вашем смартфоне, доступа к ней нет ни у Минцифры, ни у госслужб. Обратная сторона: удалили приложение или забыли пароль — доступа к сертификату больше нет, восстановление не предусмотрено, придётся выпускать новую подпись с новым сроком действия.
Аккредитованный удостоверяющий центр: сертификат на носителе
Порядок выпуска устанавливает сам центр, он же выдаёт список документов. С 1 сентября 2023 года сертификаты на сотрудника с указанием организации не выпускаются: сотрудник получает сертификат как физическое лицо, а полномочия подтверждает машиночитаемой доверенностью от работодателя. Аккредитацию центра стоит проверить до оплаты: центры, не прошедшие её, деятельность прекратили, а выданные ими ключи не действуют.
Сертификат выдаётся на ограниченный срок, обычно 12 или 15 месяцев; вариант на 15 месяцев доступен, только если он есть в прайсе центра. Ключ хранится либо на токене, либо в облаке центра, либо в мобильном приложении. Облачный вариант дешевле и мобильнее, но закрытый ключ лежит на сервере центра, и ответственность за компрометацию несёт центр. Токен надёжнее, зато требует установленного СКЗИ и драйверов на каждом рабочем месте.
Работодатель: УНЭП внутри системы КЭДО
Если подписывать нужно только кадровые документы, отдельно обращаться никуда не требуется. Статьи 22.1-22.3 ТК РФ и 377-ФЗ разрешают работодателю вести кадровый документооборот в электронном виде, а виды подписей для каждого типа документа он фиксирует в положении о переходе на КЭДО. Реестр документов и допустимые подписи перечисляются там же, поэтому положение стоит прочитать до того, как соглашаться на выпуск.
В практике Добыто заявка на выпуск подписи сотруднику создаётся автоматически: система отправляет приглашение в личный кабинет вместе с первым документом на подпись, отдельного визита в кадровую службу не требуется.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: УНЭП, выданная удостоверяющим центром работодателя, признаётся сторонами только при подписанном соглашении об использовании простой и неквалифицированной подписи. Без такого соглашения документ, подписанный УНЭП, в споре придётся доказывать отдельно.
Что подготовить до обращения и как проходит выпуск
Задержки на выпуске сертификата почти всегда возникают на идентификации заявителя, а не на технической стороне. Проверьте шесть позиций до того, как подавать заявку:
- Статус учётной записи на Госуслугах. Нужна именно подтверждённая запись. Если её удаляли, восстановление занимает отдельное время.
- Документы. Паспорт, СНИЛС, ИНН. Для дистанционного выпуска УКЭП — биометрический загранпаспорт нового образца.
- Устройство. Смартфон с NFC для Госключа либо носитель ключа для удостоверяющего центра: Рутокен, JaCarta, eSmart.
- Задача и площадка. Конкретная система, где вы будете подписывать, определяет требования к виду подписи и формату файла.
- Соглашение с работодателем. Если подпись выдаёт он, соглашение об использовании ПЭП и НЭП должно быть подписано до выпуска.
- Кто оплачивает. Госключ и УЦ ФНС бесплатны, коммерческий сертификат оплачивается по прайсу центра.
Как физическому лицу получить сертификат электронной подписи: пошаговая инструкция
- Шаг 1. Определите вид подписи по задаче: ПЭП для портала «Работа в России», УНЭП для кадровых документов, УКЭП для отчётности, торгов и работы по машиночитаемой доверенности.
- Шаг 2. Проверьте статус учётной записи на Госуслугах и при необходимости подтвердите её. Нерезиденты подтверждают запись только через МФЦ.
- Шаг 3. Для бесплатного варианта установите Госключ, войдите по учётной записи Госуслуг и выпустите УНЭП. Для УКЭП приложите биометрический загранпаспорт к NFC-модулю смартфона и пройдите сканирование.
- Шаг 4. Для платного варианта выберите аккредитованный удостоверяющий центр, подайте заявку, оплатите тариф и пройдите идентификацию: очно либо дистанционно по биометрии.
- Шаг 5. Получите ключ на носитель или в облако. Запишите серийный номер сертификата, издателя и дату окончания срока: эти данные понадобятся при любом обращении в поддержку.
- Шаг 6. Установите на рабочее место драйверы носителя, СКЗИ и корневые сертификаты издателя, затем установите личный сертификат из контейнера.
- Шаг 7. Подпишите тестовый файл и проверьте результат до того, как подписывать реальный документ.
Полезно знать: нерезиденту РФ банк подтверждённую учётную запись на Госуслугах не оформит, известны случаи отказа. Подтверждение проходит через МФЦ, после чего иностранный работник выпускает УНЭП в Госключе на общих основаниях и подписывает кадровые документы наравне с остальными.
Мария Ж, юрист со стажем более 20 лет: «Сертификат на сотрудника с названием компании внутри больше не выпускают. Сотрудник получает сертификат на себя как на физическое лицо, а право подписывать документы за организацию подтверждается машиночитаемой доверенностью, которую руководитель подписывает своей квалифицированной подписью. Если вам обещают сертификат «на компанию» без МЧД, уточните, что именно вы получите на выходе.»
Если вы читаете этот раздел как работодатель и думаете, что для выдачи подписей всему штату нужен отдельный проект, штатный специалист по криптографии для этого не требуется: в Добыто выпуск ПЭП и УНЭП сотрудникам идёт пакетом из личного кабинета, а пилотную группу мы закладываем до раскатки на всю компанию.
Шаблоны и инструкции для работы с сертификатом подписи
Начните с инструкции по установке: она закрывает большую часть проблем, из-за которых подпись не срабатывает на первом же документе.
| Документ | Скачать |
|---|---|
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Реестр сертификатов сотрудников (журнал учёта ЭЦП) | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
Рабочее место: КриптоПро CSP, драйверы носителя и формат файла подписи
Сертификат, лежащий на токене, сам по себе не подписывает. Для работы с квалифицированной подписью на компьютере нужны драйверы носителя, СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in с расширением для браузера, корневые сертификаты издателя и личный сертификат, установленный из контейнера. Драйверы скачиваются с сайта производителя носителя: для Рутокен, JaCarta и eSmart это разные пакеты, универсального установщика нет.
Лайфхак: корневые сертификаты ставятся в разные хранилища. Сертификат Минцифры России — в «Доверенные корневые центры сертификации», сертификат УЦ ФНС России — в «Промежуточные центры сертификации». Установка обоих в одно хранилище рвёт цепочку доверия, и подпись покажет ошибку при проверке.
Ключи на носителе бывают извлекаемыми и неизвлекаемыми. Извлекаемый ключ на короткое время попадает в оперативную память компьютера, такой носитель работает как защищённое пин-кодом хранилище: подойдёт Рутокен Лайт и любая модель, совместимая с КриптоПро CSP версии 4.0 и выше. Неизвлекаемый ключ генерируется внутри криптоядра токена и наружу не выходит; для него нужны КриптоПро CSP версии 5.0 R2 и выше и модель из линейки Рутокен ЭЦП 3.0. Для получения подписи в УЦ ФНС извлекаемый ключ выдаётся только в неэкспортируемом контейнере: скопировать его по регламенту центра нельзя.
Лицензия на КриптоПро CSP — отдельная история, о которой редко предупреждают. Встроенная криптография на токене не заменяет установленный на компьютере программный криптопровайдер. В рамках проекта удостоверяющего центра ФНС лицензия зашивается внутрь сертификата и действует ровно столько, сколько действует сам сертификат. Если вы планируете использовать на этой же машине другие ключи или сами формировать запрос на сертификат, понадобится полная лицензия.
После подписания вы получите либо один файл, либо два. Присоединённая подпись упаковывает документ внутрь себя: потерять части комплекта невозможно, но открыть исходный файл без специальной программы не получится. Отсоединённая подпись создаёт отдельный файл рядом с документом, и для проверки в сервис загружаются оба файла. Расширение такого файла зависит от настроек программы: p7s, sig или sgn.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Проверьте свой сертификат на подписанном документе
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Первый документ подписывайте тестовым файлом, а не трудовым договором. Проверка покажет владельца сертификата, издателя, алгоритм по ГОСТ и статус цепочки доверия. Если на этом шаге вылезает ошибка про недоверенный корневой сертификат, дело почти всегда в незавершённой установке корневых, а не в самой подписи.»
Когда сертификат физическому лицу не нужен
Покупка УКЭП на токене избыточна в четырёх ситуациях, и это стоит проверить до оплаты.
- Вы подписываете только кадровые документы своего работодателя. Работодатель выдаёт УНЭП сам либо принимает подпись из Госключа, оба варианта для работника бесплатны.
- Взаимодействие идёт через портал «Работа в России». Там достаточно простой подписи через подтверждённую учётную запись Госуслуг.
- Вы руководитель организации или индивидуальный предприниматель. Квалифицированный сертификат выдаёт удостоверяющий центр ФНС России бесплатно, коммерческий сертификат физлица эту задачу не закрывает.
- Разовая сделка через Госуслуги. Регистрация бизнеса, договор с оператором связи, подписание документов с портала закрываются подписью из Госключа без покупки носителя.
Проверить, к какому сценарию вы относитесь, можно за минуту: откройте систему, где предстоит подписывать, и посмотрите требования к подписи в её справке. Если система принимает подпись из Госключа, платить за токен незачем.
Ошибки, которые стоят времени и денег
Стоимость ошибки с электронной подписью редко сводится к цене нового сертификата. Гораздо дороже обходятся сорванный срок сделки, недействительный документ и трудовой спор, в котором работодатель не может доказать, что подписал именно работник.
Кейс из практики: в крупном банке УНЭП сотрудников выпускали на токенах и хранили в сейфе, доступ к которому не был закрыт постоянно. Работник оспорил увольнение по соглашению сторон, заявив, что документ подписывал не он. Суд изучил положение о кадровом электронном документообороте и порядок применения подписи, признал увольнение незаконным и взыскал с работодателя компенсацию в пользу работника.
Важный нюанс из практики: в федеральной розничной сети грузчик-разнорабочий подписал документ, считая, что оформляет заявление на оплату больничного, а фактически подписал заявление об увольнении по собственному желанию. Суд признал увольнение незаконным, восстановил работника в должности и взыскал средний заработок за время вынужденного прогула и компенсацию морального вреда. Читайте название документа в приложении до нажатия кнопки подписания: отменить подпись после отправки нельзя.
Второй частый провал — забытая подпись после увольнения. Удаление сертификата из хранилища на компьютере его не отзывает. Отзыв квалифицированного сертификата оформляется заявлением в тот удостоверяющий центр или в ФНС, где подпись выпускали, и инициатором выступает владелец, то есть физическое лицо.
Важный нюанс из практики: машиночитаемая доверенность, оформленная на физическое лицо без указания должности, после увольнения автоматически не прекращается. Если в МЧД указана должность, полномочия отпадают вместе с ней; если указаны только ФИО, ИНН и СНИЛС, доверенность продолжает действовать до окончания срока. При увольнении отзывайте сертификат и требуйте письменного подтверждения отзыва доверенности.
Мария Ж, судебный эксперт по трудовому праву: «В спорах по электронной подписи суд смотрит не на визуальный штамп в PDF, а на исходный файл документа и файл подписи. Штамп — это визуализация для человека, юридической силы у него нет. Поэтому храните комплект целиком: документ, файл подписи и протокол проверки, а не распечатку с картинкой.»
Третья ошибка касается доказывания момента подписания. Сертификат действует год или чуть больше, а спор может возникнуть позже. Штамп времени от доверенной службы фиксирует точное время и хэш документа, а ответ службы OCSP подтверждает, что на момент подписания сертификат не был отозван. У Госключа штампа времени в базовой поставке нет, у коммерческих удостоверяющих центров и у ФНС такая служба есть. Если документ длительного хранения, уточняйте наличие штампа времени до подписания.
Четвёртая ошибка — отсутствие учёта. Когда в компании десятки сертификатов, без реестра невозможно ответить, у кого какая подпись, на каком носителе и когда истекает срок. В практике Добыто реестр сертификатов ведётся в системе: кадровая служба видит, у кого подпись заканчивается, и перевыпускает её до того, как сотрудник не сможет подписать документ.
Стоимость подписей для сотрудников и тарифы КЭДО
Для физического лица стоимость складывается из двух частей: сертификат и, если он на токене, носитель с лицензией на криптопровайдер. Когда подпись выдаёт работодатель через систему КЭДО, отдельной платы с работника не берут: выпуск входит в тариф компании.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | по запросу |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | по запросу |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | по запросу |
| УКЭП через партнёров-удостоверяющие центры | рассчитывается индивидуально | по запросу |
| Установка и настройка модуля для 1С:ЗУП | входит в тариф «Бизнес» | один день |
Итоговая сумма зависит от численности и набора функций: интеграция с 1С, кастомные шаблоны и электронный архив входят в тариф «Бизнес», выделенный сервер и API — в «Корпорацию». Актуальные условия и состав каждого пакета опубликованы на странице тарифов ДОБЫТО КЭДО, там же указаны ограничения по числу сотрудников.
Переход между тарифами возможен в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Физическому лицу сертификат нужен не всегда, а платный — тем более. Кадровые документы закрываются УНЭП от работодателя или из Госключа, портал «Работа в России» работает на простой подписи через ЕСИА, руководителю и ИП подпись выдаёт ФНС бесплатно. Покупать квалифицированный сертификат на носителе имеет смысл, когда нужны работа по машиночитаемой доверенности, отчётность или площадки, куда Госключ не интегрирован. Основные сложности возникают не на выпуске, а на идентификации заявителя, установке корневых сертификатов и учёте сроков действия.
Мы в Добыто выпускаем ПЭП и УНЭП сотрудникам внутри системы, ведём реестр сертификатов со сроками и напоминаем о перевыпуске до того, как подпись перестанет работать. Это снимает с кадровой службы ручной контроль, а с работника — необходимость разбираться с криптопровайдером самостоятельно.
Частые вопросы
Можно ли иметь две действующие электронные подписи одновременно
Да, это не запрещено. Сотрудник может одновременно владеть подписью, полученной в удостоверяющем центре ФНС, и сертификатом физического лица от коммерческого центра, записанным в реестр компьютера. Конфликта между ними не возникает: подписи существуют независимо, каждая со своим сроком действия. Единственное правило: документ по машиночитаемой доверенности подписывается тем сертификатом, чьи ФИО, ИНН и СНИЛС указаны в самой доверенности.
Что делать, если сертификат нужен работнику филиала
Сертификат в любом случае выпускается на физическое лицо, а не на подразделение. Доверителем в машиночитаемой доверенности выступает юридическое лицо целиком, подписывает её руководитель организации своей квалифицированной подписью. Полномочия указываются кодами из классификатора, размещённого в Единой системе нормативной и справочной информации. Если нужного полномочия в классификаторе нет, компания вправе направить свой перечень в Минцифры: рассмотрение занимает 10 дней, ещё три рабочих дня отводится на присвоение кодов.
Как передать право подписи другому человеку, если МЧД уже оформлена
Передоверие машиночитаемой доверенности оформляется у нотариуса. Понадобятся паспортные данные нового уполномоченного лица и актуальная выписка из ЕГРЮЛ. Нотариус проверяет сведения, формирует новую доверенность, подписывает её своей квалифицированной подписью и выгружает в информационную систему. Ограничение на практике — техническая оснащённость конкретной нотариальной конторы: часть операций требует планшета и стилуса.
Действительны ли документы, подписанные сертификатом, срок которого уже истёк
Да. Окончание срока действия сертификата не аннулирует ранее подписанные документы. Проблема возникает при доказывании: без штампа времени сложно подтвердить, что подпись поставлена в период действия сертификата. Поэтому для документов длительного хранения используют усовершенствованный формат подписи со штампом времени от доверенной службы и ответами OCSP, подтверждающими, что сертификат не был отозван на момент подписания.
Сколько сертификатов помещается на один токен
Носители линейки Рутокен ЭЦП 3.0 имеют 128 килобайт защищённой памяти. При использовании извлекаемых программных ключей формата CSP на токене размещается до 31 контейнера. Реальное число меньше, если удостоверяющий центр записывает в сертификат дополнительные расширения и цепочки: один такой контейнер может занимать порядка 12 килобайт, и тогда на носитель поместится около десяти сертификатов.
Куда обращаться, если подпись скомпрометирована
Заявление на отзыв подаётся в тот удостоверяющий центр, который выпускал сертификат, или в ФНС, если подпись получена там. Отзыв инициирует владелец, то есть само физическое лицо, а не работодатель. После отзыва сертификат попадает в список отзыва, и любая проверка покажет статус «сертификат отозван». Удаление сертификата с компьютера или из панели управления токеном отзывом не является.
Что делать, если после установки подпись выдаёт ошибку недоверенного сертификата
Откройте сертификат и проверьте всю цепочку. Для квалифицированной подписи корневые сертификаты обычно устанавливаются автоматически при выпуске, для неквалифицированной их нужно ставить вручную: система по умолчанию не доверяет произвольным издателям. Скачайте корневые сертификаты с сайта издателя, установите сертификат Минцифры в «Доверенные корневые центры сертификации», а сертификат удостоверяющего центра — в «Промежуточные центры сертификации», после чего повторите проверку.
