Какие данные содержит сертификат электронной подписи

Данные в сертификате электронной подписи — это набор полей, в которых записана информация о владельце ключа, удостоверяющем центре, сроке действия и криптографических параметрах. Без умения открыть сертификат и прочитать его содержимое невозможно понять, кем и когда был подписан документ, действителен ли сертификат на момент подписания и какая подпись стоит — квалифицированная или неквалифицированная. Разберём, что именно записано внутри сертификата, как его открыть в КриптоПро CSP, на Госуслугах и в онлайн-сервисах, что означает каждое поле. Это часть большого материала про проверку электронной подписи, где описан весь процесс валидации подписанных документов.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое сертификат электронной подписи и зачем читать его данные

Сертификат ключа проверки электронной подписи — это электронный документ, который выдаёт удостоверяющий центр и который подтверждает, что конкретный открытый ключ (та самая «открытка») принадлежит конкретному человеку или организации. Определение закреплено в п. 2 ст. 2 Федерального закона от 06.04.2011 №63-ФЗ «Об электронной подписи». Без сертификата усиленная подпись не работает: даже если алгоритм ГОСТ всё посчитал корректно, доказать принадлежность ключа конкретному Иванову Ивану Ивановичу невозможно.

Данные, записанные внутри сертификата, решают три практические задачи. Первая — идентификация лица, подписавшего документ: ФИО, СНИЛС, ИНН, должность, наименование юрлица. Вторая — проверка действительности на момент подписания: когда сертификат выпустили, до какой даты он действует, не попал ли он в список отозванных. Третья — установление доверия к цепочке: кем выдан, аккредитован ли УЦ, каким средством подписи работал владелец.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Когда эйчар получает от кадровика файл с сиг-файлом и спрашивает — а чья это подпись, я всегда объясняю: открой сертификат и посмотри на поле Субъект. Там написано, кому эта закрытка принадлежит, а в поле Издатель — какой УЦ её выпустил. Без этого разговор о юридической значимости бессмыслен. Тройка требует идентификации подписанта — а идентификация живёт в данных сертификата.»

Статья 14 63-ФЗ прямо перечисляет, что сертификат обязан содержать: уникальный номер, даты начала и окончания срока действия, реквизиты владельца, сам ключ проверки ЭП, наименование средства ЭП и стандартов ГОСТ, наименование УЦ. Для квалифицированного сертификата действует дополнительная статья 17 и приказ ФСБ России от 27.12.2011 №795. С сентября 2024 года приказ ФСБ от 02.02.2024 №50 добавил в сертификат ещё одно поле — срок действия ключа ЭП. Этот нюанс часто пропускают при поверхностной проверке.

Состав сертификата: обязательные поля по 63-ФЗ

Сертификат ключа проверки ЭП — не произвольный текстовый файл. Его структура задана международным стандартом X.509 v3 и уточнена российским регулятором. Ниже — полный перечень того, что обязан содержать сертификат.

• Уникальный серийный номер сертификата — присваивается УЦ при выпуске, используется для поиска в реестре и в списке отозванных.
• Даты начала и окончания срока действия — «Действителен с… по…». Срок обычно 12-15 месяцев для УКЭП от УЦ ФНС, до 3 лет для неизвлекаемых ключей в связке КриптоПро CSP 5.0 R3 + Рутокен ЭЦП 2.0.
• Владелец сертификата (Subject, Субъект) — ФИО физлица, наименование юрлица, должность, подразделение, адрес, e-mail. Для юрлица внутри поля отдельно указывается физлицо, действующее без доверенности (ст. 14 ч. 3 63-ФЗ).
• Уникальный ключ проверки ЭП (открытый ключ) — длинная последовательность символов, математически связанная с закрытым ключом владельца.
• Наименование средства ЭП и стандартов — например, «КриптоПро CSP версия 5.0» или «Рутокен ЭЦП 2.0», плюс ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012.
• Наименование удостоверяющего центра (Issuer, Издатель) — кто выпустил сертификат. Для УКЭП — аккредитованный УЦ или УЦ ФНС.
• Идентификатор способа идентификации заявителя — очное присутствие, загранпаспорт с биометрией, ЕСИА + ЕБС (значение 3 по OID 1.2.643.100.114).
• Сведения о владельце для квалифицированного сертификата — СНИЛС физлица, ИНН, для юрлица ОГРН, КПП, для ИП — ОГРНИП.
• Область использования ключа (Key Usage, Extended Key Usage) — подпись, шифрование, аутентификация клиента, проверка кода.
• Точки распространения списка отозванных сертификатов (CDP) — URL-адреса, откуда скачивается актуальный СОС (CRL).
• Реквизиты заключения ФСБ (поля cATool, signToolCert) — для квалифицированного сертификата обязательны.
• Срок действия ключа ЭП — новое поле с сентября 2024 года по приказу ФСБ №50 от 02.02.2024. Отдельно от срока действия сертификата.

Для физлица в поле Subject обычно стоят атрибуты SN (Surname — фамилия), G (GivenName — имя и отчество), CN (CommonName — полное ФИО), C=RU, ST (регион), L (город), E (email). Для юрлица добавляются O (организация), OU (подразделение), T (должность). Есть нюанс, про который помнят не все: если в поле Subject стоит OID 1.2.643.100.4, сертификат выдан на юрлицо. Если указан ОГРНИП — это сертификат ИП. Если тега O нет вовсе — перед вами сертификат физлица.

Мария Ж, юрист со стажем более 20 лет:
«В практике Добыто мы каждую неделю сталкиваемся с ситуацией, когда эйчар смотрит на сертификат и не понимает, что перед ним — подпись физлица или юрика. А от этого зависит, можно ли таким сертификатом подписывать кадровые документы от имени компании. С 2023 года сотрудник подписывает документы только своей личной подписью, а от имени юрлица — только гендир по сертификату ФНС. Смотреть нужно именно на поля Subject и ОГРН/ОГРНИП.»

Как открыть сертификат через КриптоПро CSP: пошаговая инструкция

КриптоПро CSP — самый распространённый крипто-провайдер в России. Если закрытка лежит на флешке-токене (Рутокен, JaCarta), просмотр сертификата выполняется через этот инструмент. Процедура одинакова для Windows 7, 8, 10 и 11.

Как посмотреть данные сертификата в КриптоПро CSP: пошаговая инструкция

Если вместо списка сертификатов вылетает ошибка «Носитель не найден» — проверьте, плотно ли сидит токен в порту и установлены ли драйверы. Рутокен требует отдельного пакета драйверов с сайта rutoken.ru, JaCarta — с сайта Аладдин Р.Д. Без этих драйверов персональный менеджер сертификатов просто не увидит флешку.

Другие способы прочитать данные сертификата

КриптоПро CSP — не единственный инструмент. Если сертификат установлен в систему, открыть его свойства можно быстрее другими способами. Выбор зависит от того, где лежит серт — на токене, в реестре Windows, в связке ключей macOS или в виде отдельного .cer/.crt файла.

Через диспетчер сертификатов Windows (certmgr.msc). Нажмите Win+R, введите certmgr.msc, раскройте папку «Личное» → «Сертификаты». Двойной клик по нужному сертификату открывает то же окно с тремя вкладками. Удобно, когда закрытку скопировали с токена в реестр и она работает без флешки (пассивный носитель).

Через браузер. В Яндекс Браузере: Настройки → Системные → Управление сертификатами. В Chrome: chrome://settings/security → Управление сертификатами устройства. В Firefox: about:preferences#privacy → Сертификаты. Импортированные личные сертификаты видны в разделе «Ваши сертификаты» или «Личное».

Через отдельный файл сертификата. Если у вас есть .cer, .crt или .pem файл (открытая часть, экспортированная из токена), просто дважды кликните по нему. Windows откроет окно свойств без запуска криптопровайдера — открытый ключ не защищён паролем и читается любой системой.

Через КриптоАРМ ГОСТ. Программа от компании Цифровые технологии даёт удобный графический интерфейс для работы с сертификатами, включая чтение расширений, проверку цепочки доверия, выгрузку отчёта в PDF. В сертифицированной версии есть функция визуализации подписи — штампик с ФИО и сроком действия поверх документа.

Через онлайн-сервисы. Самый быстрый способ, если под рукой нет КриптоПро. На Госуслугах есть раздел проверки электронной подписи, который показывает все ключевые поля сертификата прямо в браузере. Плюс онлайн-сервисы от Контура, СКБ Контур, Диадок, Добыто.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«На Добыто Подпись мы сделали проверку так, чтобы эйчар без спецподготовки за два клика увидел ФИО владельца, ИНН, СНИЛС, срок действия и статус сертификата. Документ при этом не загружается на наш сервер — вся криптография считается локально в браузере. Для кадровика это важно, потому что загружать трудовые договоры в чужие облака нельзя по 152-ФЗ.»

Расшифровка ключевых полей сертификата

Открыть сертификат мало — нужно понимать, что означает каждое поле. В окне «Состав» десятки строк, разберу основные в порядке их практической ценности.

Субъект (Subject). Самое главное поле — кто владелец. Ниже примеры содержимого для разных видов сертификата.

Издатель (Issuer). Кто выпустил сертификат. Для УКЭП директора — УЦ ФНС России, для сотрудника — коммерческий УЦ (Контур, Калуга Астрал, Такском, Тензор), для физлица через Госключ — Минцифры России.

Срок действия. Две даты: «Действителен с» и «Действителен по». Для УКЭП от УЦ ФНС срок 15 месяцев, для неизвлекаемых ключей КриптоПро CSP 5.0 R3 — до 3 лет. С 2024 года срок действия ключа ЭП указывается отдельным полем и может быть меньше срока действия сертификата.

Серийный номер. Уникальная последовательность символов в шестнадцатеричном виде. По нему в реестре Минцифры находят сертификат и обращаются в техподдержку УЦ.

Алгоритмы. Для российских сертификатов — ГОСТ Р 34.10-2012 (256 или 512 бит) и ГОСТ Р 34.11-2012 (Стрибог). Если в полях стоит RSA и SHA-256 — это не российская квалифицированная подпись.

Точки распространения CRL (CDP). URL-ссылки, откуда крипто-провайдер автоматически скачивает список отозванных сертификатов при проверке подписи.

Улучшенный ключ. Назначения сертификата: «Подписание», «Проверка подлинности клиента», «Защита электронной почты». Сертификат для торгов, ФНС и кадрового ЭДО обычно имеет несколько назначений сразу.

Отпечаток (Thumbprint). Хеш-сумма сертификата. Одинаковый отпечаток = один и тот же сертификат, удобно для сравнения копий.

Образцы документов для кадрового документооборота с ЭП

Что проверять в сертификате при получении подписанного документа

Когда вам прилетает файл с сиг-файлом от контрагента, подрядчика, сотрудника — смотреть нужно не только на «зелёную галочку» об успешной проверке подписи. За пять минут можно проверить то, что реально важно для юридической значимости.

Во-первых, дата подписания против срока действия сертификата. Если документ подписан 15 апреля, а сертификат действовал с 10 мая — это не подпись, это кто-то балуется с системным временем.

Во-вторых, соответствие владельца документу. Если трудовой договор от имени ООО «Ромашка» подписан сертификатом Иванова как физлица (без поля O=ООО «Ромашка»), юридически этот документ ничтожен. С 2023 года сотрудник подписывает от имени юрлица только по МЧД, и её тоже нужно проверять отдельно.

В-третьих, статус отзыва. Сертификат мог быть отозван — например, при увольнении сотрудника или компрометации закрытки. Проверка идёт через СОС (список отозванных сертификатов) или службу OCSP. Если программа говорит «Сертификат отозван», документ подписан недействительной подписью.

В-четвёртых, цепочка доверия. Ваш сертификат подписан сертификатом УЦ, тот — сертификатом вышестоящего УЦ, и так до корневого Головного УЦ Минцифры. Сведения об аккредитации УЦ публикует Минцифры на сайте digital.gov.ru.

Мария Ж, судебный эксперт по трудовому праву:
«В суде ГИТ первым делом смотрит три вещи: кто подписал (ФИО из сертификата), когда подписал (дата против срока действия) и чем подписал (тип подписи, аккредитация УЦ). Если хоть один пункт проваливается, документ не будет принят как доказательство. Был у нас кейс — работодатель представил трудовой договор, подписанный УНЭП, а по его же положению о КЭДО требовался УКЭП. Суд договор не зачёл.»

Стоимость подключения КЭДО с полной валидацией подписей

Итоговая цена зависит от численности штата, набора подключаемых видов подписи и глубины интеграции с 1С или SAP. Ниже — базовые тарифы сервиса Добыто КЭДО, в которые уже включён выпуск подписей для сотрудников и проверка сертификатов при подписании.

Итоговая сумма зависит от численности штата, выбранного вида подписи и объёма интеграций. Электронные подписи для сотрудников ПЭП и УНЭП выпускаются бесплатно во всех тарифах. Для точного расчёта — актуальные тарифы Добыто КЭДО с описанием функционала каждого плана.

Выводы: что важно помнить о данных сертификата ЭП

Сертификат электронной подписи — это электронный документ, содержащий обязательные поля по ст. 14 и ст. 17 Федерального закона №63-ФЗ: уникальный номер, срок действия, данные владельца (ФИО, СНИЛС, ИНН, для юрлица — ОГРН), ключ проверки, наименование средства ЭП и УЦ. С сентября 2024 года приказ ФСБ №50 добавил отдельное поле срока действия ключа ЭП.

Открыть сертификат можно через КриптоПро CSP («Сервис» → «Просмотреть сертификаты в контейнере» → «Свойства» → «Состав»), через certmgr.msc, браузер, КриптоАРМ или онлайн-сервисы. При анализе смотрите на Subject (кто владелец), Issuer (какой УЦ), срок действия против даты подписания и статус отзыва через СОС. Различать сертификаты физлица и юрлица по наличию поля O и OID 1.2.643.100.4 — обязательный навык для эйчара.

Часто задаваемые вопросы