Сертификат электронной подписи по электронной почте получить нельзя, если речь о квалифицированном сертификате: письмом передаётся только открытая часть — файл вида .cer или .crt, в котором нет закрытого ключа, и подписать им ничего невозможно. Закрытый ключ создаётся на токене или в защищённом хранилище удостоверяющего центра и по каналам электронной почты не передаётся вовсе. Аккредитованный УЦ обязан идентифицировать заявителя: при личном присутствии либо удалённо по действующей квалифицированной подписи, по биометрическим данным или по сведениям из ЕСИА и единой биометрической системы. Это статья 18 63-ФЗ. Главное различие, которое определяет ответ на вопрос, — какая именно подпись нужна: ПЭП и УНЭП для кадровых документов сотрудник получает у работодателя в системе КЭДО, и поездка в удостоверяющий центр для этого не нужна.
Дальше разберём, что реально приходит на почту от удостоверяющего центра и что из этого нужно сохранить сразу, чем файл сертификата отличается от ключевого контейнера, как отличить письмо с подписью от фишинга и что делать, если PIN-код от токена утерян. Отдельно — состав МЧД, доверенность для сотрудника филиала и порядок передоверия. Тарифы на подписи сотрудникам, порядок учёта выданных ключей и ответы на частые вопросы — во второй половине статьи.
Что из электронной подписи приходит письмом, а что не приходит никогда
Электронная подпись состоит из трёх частей, и путаница между ними и порождает вопрос про почту. Закрытый ключ формирует подпись и хранится либо на токене, либо в защищённом хранилище провайдера. Открытый ключ нужен для проверки. Сертификат связывает открытый ключ с владельцем и выдаётся аккредитованным удостоверяющим центром. Пересылке по почте поддаётся только третья часть — файл сертификата, и она публична по своей природе: этот файл вы и так передаёте контрагенту вместе с каждым подписанным документом.
Ниже сведено, что удостоверяющий центр или работодатель действительно отправляет на адрес электронной почты, а что передаёт другим способом.
| Что запрашивают | Приходит на почту | Как получают на самом деле |
|---|---|---|
| Файл сертификата (открытый ключ) | Да | Вложением в письме, из личного кабинета УЦ или выгрузкой из ключевого контейнера |
| Закрытый ключ, ключевой контейнер | Нет | Генерируется на токене или на рабочем месте при выпуске, у УЦ ФНС — без возможности экспорта |
| Корневые сертификаты Минцифры России и УЦ ФНС России | Не требуется | Скачиваются с сайта УЦ ФНС: guc_22.cert и CA_FNS_Russia_2022_01.cert |
| Дистрибутив КриптоПро CSP и браузерный плагин | Ссылкой | С сайта производителя СКЗИ после регистрации либо по форме программы ФНС |
| Доступ к файлам подписи от УЦ | Да | Логин и пароль от облачного хранилища либо носитель с записанными файлами |
| ПЭП и УНЭП для кадровых документов | Нет | Выпускаются в системе КЭДО работодателя или через подтверждённую учётную запись Госуслуг |
Из таблицы следует практическое правило: письмо от УЦ — это про доступ и про файлы для установки, а не про саму подпись. Если в письме предлагают «установить сертификат» из вложения с исполняемым файлом, это не порядок выдачи, а попытка получить контроль над рабочим местом.
Факт: извлекаемый ключ, полученный в удостоверяющем центре ФНС, выдаётся только в неэкспортируемом контейнере: по регламенту УЦ скопировать такой контейнер нельзя, поэтому переслать его коллеге по почте технически невозможно.
Почему квалифицированный сертификат не выдают письмом: идентификация по 63-ФЗ
Причина запрета не техническая, а правовая. Выдавая квалифицированный сертификат, аккредитованный удостоверяющий центр обязан идентифицировать заявителя — физическое лицо. Закон допускает четыре пути: личное присутствие, удалённая идентификация по действующему квалифицированному сертификату, предоставление биометрических персональных данных, сведения из ЕСИА в связке с единой биометрической системой. Электронная почта в этом перечне отсутствует, и никакое согласие сторон её туда не добавит.
Отсюда вытекает распределение, по которому подписи получают сегодня. Руководитель организации и индивидуальный предприниматель обращаются в удостоверяющий центр ФНС России. Сотрудник получает сертификат на себя как на физическое лицо в коммерческом аккредитованном удостоверяющем центре, а полномочия подтверждает машиночитаемой доверенностью. Порядок выдачи и список документов устанавливает конкретный УЦ, и он же решает, доступна ли удалённая идентификация.
Внимание: сертификаты с указанием организации и должности сотрудника не выпускают с 1 сентября 2023 года. Сотрудник получает сертификат как физическое лицо, а право подписывать документы за компанию подтверждает машиночитаемой доверенностью.
Единственный законный сценарий, при котором сертификат обновляется полностью удалённо, — перевыпуск по действующей подписи. В личном кабинете налогоплательщика заявление на перевыпуск подписывается текущей квалифицированной подписью, то есть токен с действующим сертификатом должен быть подключён к компьютеру. Если срок действия уже истёк, дистанционный путь закрыт и остаётся визит в пункт выдачи. Именно поэтому продление лучше запускать заранее, а не в день окончания срока.
Мария Ж, юрист со стажем более 20 лет: «Просьба «пришлите мне подпись на почту» почти всегда означает, что человеку нужен не сертификат, а возможность подписать конкретный документ. Уточните задачу: если это кадровый документ, подпись выпускается внутри системы работодателя, а если отчётность или торги — потребуется идентификация в удостоверяющем центре, и обойти её нельзя ни договорённостью, ни доверенностью.»
Какие подписи сотрудник получает без визита в удостоверяющий центр
Для кадровых документов действует отдельный режим. По статье 22.3 ТК РФ работник подписывает трудовой договор, договор о материальной ответственности, ученический договор, заявление об увольнении и его отзыв усиленной квалифицированной или усиленной неквалифицированной подписью, а остальные документы — простой электронной подписью, полученной в порядке, установленном для получения государственных услуг, либо ПЭП в информационной системе работодателя. Ни один из этих вариантов не требует поездки в офис УЦ.
Отдельная ветка — облачные и мобильные подписи. Облачная подпись хранится на сервере удостоверяющего центра: материальных затрат на носитель нет, подписание идёт из браузера, но закрытый ключ находится у стороннего оператора, и работать такая подпись будет только в сервисах, где интегрировано программное обеспечение этого центра. Мобильная подпись встроена в приложение и SIM-карту телефона, поэтому её главный риск — утеря устройства.
Сценарная таблица ниже показывает, что критично для конкретной задачи сотрудника, а что вторично.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Задача сотрудника | Что критично | Что вторично |
|---|---|---|
| Подписать заявление на отпуск, ознакомиться с ЛНА | ПЭП в системе работодателя или через Госуслуги, согласие на КЭДО | Токен, КриптоПро CSP, тип носителя |
| Подписать трудовой договор или заявление об увольнении | УКЭП или УНЭП работника, УКЭП работодателя | Наличие собственного токена у работника |
| Сдать отчётность за компанию | КЭП физлица, МЧД с нужным кодом полномочия, КриптоПро CSP и плагин | Формат подписи: присоединённая или откреплённая |
| Работать с ЕГАИС по алкоголю | Только неизвлекаемый ключ формата PKCS#11 и токен с криптоядром | Облачные и мобильные варианты подписи |
| Проверить чужую подпись на присланном файле | Наличие исходного документа и файла подписи, статус сертификата на дату подписания | Собственная подпись, установленный криптопровайдер |
Работник, которому нужны только кадровые документы, в удостоверяющий центр не идёт вообще: подпись ему выпускает работодатель. В сервисе Добыто ПЭП и УНЭП для сотрудников выпускаются внутри платформы и входят в тариф, отдельная покупка подписей не требуется.
Проверьте файл подписи, который прислали вам письмом
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Мария Ж, специалист по цифровой подписи и КЭДО: «Облачная подпись действительно ощущается как отправка письма: загрузили документ, подтвердили, получили результат. Но привязка к инфраструктуре конкретного удостоверяющего центра никуда не исчезает, и в сторонней информационной системе такая подпись может просто не приняться. Перед выпуском уточните у площадки, поддерживает ли она облачный вариант, иначе придётся выпускать вторую подпись на токене.»
Письмо с подписью пришло: что делать дальше
Комплект, который приходит от удостоверяющего центра, отличается от компании к компании: диск с программным обеспечением, ссылка на облако с логином и паролем либо носитель с записанными файлами. Драйверы и менеджер сертификатов ставятся на рабочее место один раз, дальше в них добавляются сертификаты новых организаций и новых сроков. Самая частая ошибка на этом шаге — выбрать не тот сертификат из списка, когда подпись уже продлевали: старый и новый выглядят одинаково, и отличить их можно только по дате.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Лайфхак: сразу после получения ключей и диска скопируйте все файлы сертификатов в отдельную папку на компьютере. Тогда повторная установка на другом рабочем месте занимает минуты, а не восстановление доступа к облаку УЦ.
Кейс из практики: бухгалтер небольшой организации, обслуживающей два юридических лица, три дня не мог войти в личный кабинет налоговой службы: подпись определялась, а вход не проходил. В менеджер сертификатов не были помещены файлы, выданные вместе с ключом, и не обновлялся список отзыва. После импорта обоих сертификатов и обновления списка отзыва с подключённого носителя вход в кабинеты обеих организаций заработал в тот же день.
Важный нюанс из практики: корневые сертификаты приходится переустанавливать при смене ключей удостоверяющего центра, и по симптомам это выглядит как «подпись сломалась». Актуальные файлы всегда лежат на сайте УЦ ФНС: там опубликованы корневые сертификаты Минцифры России и удостоверяющего центра ФНС России, которые устанавливаются в хранилища доверенных корневых и промежуточных центров сертификации.
Как установить сертификат, полученный от удостоверяющего центра: пошаговая инструкция
- Шаг 1. Определите тип ключевого носителя визуально или по документам и установите драйверы: Rutoken, JaCarta или eSmart. Для Рутокен ЭЦП 2.0 используется отдельный установочный пакет.
- Шаг 2. Установите СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше. Дистрибутив берётся с сайта производителя после регистрации либо по форме программы безвозмездного предоставления ПО пользователям УЦ ФНС России.
- Шаг 3. Установите два корневых сертификата: guc_22.cert в хранилище «Доверенные корневые центры сертификации» и CA_FNS_Russia_2022_01.cert в «Промежуточные центры сертификации».
- Шаг 4. Запустите КриптоПро CSP, откройте вкладку «Сервис», нажмите «Просмотреть сертификаты в контейнере», выберите через «Обзор» нужный контейнер и установите личный сертификат.
- Шаг 5. Установите КриптоПро ЭЦП Browser Plug-in, включите расширение в браузере и проверьте его работу на странице загрузки плагина.
- Шаг 6. Подключите носитель с подписью к USB-порту и войдите в нужную информационную систему, выбрав сертификат по дате выдачи, если их несколько.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Установку разумно делить на два шага: сначала корневые сертификаты Минцифры и УЦ ФНС, потом личный сертификат из контейнера. Если начать с личного, он встанет с ошибкой цепочки доверия, и человек полдня будет искать проблему в токене. Проверить порядок просто: откройте свойства сертификата и посмотрите, распознан ли издатель.»
Забыли PIN-код или пароль от контейнера
Пароль ключевого контейнера и PIN-код токена не восстанавливаются: их не знает ни удостоверяющий центр, ни производитель носителя. При исчерпании попыток ввода устройство блокируется, и остаётся один путь — аннулировать действующий сертификат и выпустить новый по обычной процедуре с идентификацией. У современных моделей линейки Рутокен ЭЦП 3.0 политики PIN-кодов хранятся внутри токена, а не на конкретном рабочем месте, поэтому смена компьютера ситуацию не изменит.
Полезно знать: на носителе с 128 КБ защищённой памяти помещается до 31 контейнера в формате CSP. Один контейнер с полным набором расширений сертификата занимает порядка 12 КБ, поэтому реальное число подписей на токене бывает заметно меньше.
Файлы p7s и sig: что именно пересылают вместе с документом
Подписанный документ уходит по почте в одном из двух видов. Присоединённая подпись — это единый файл, внутри которого лежат и документ, и подпись; открыть его обычной программой не получится, нужен криптопровайдер или онлайн-сервис. Откреплённая подпись — отдельный файл рядом с исходным документом, и передавать их нужно строго парой: без исходника проверить подпись невозможно.
Расширение файла подписи задаётся настройками программы: в Инструментах КриптоПро выбирается p7s, sig или sgn. Формат при этом один и тот же — контейнер CMS по стандарту PKCS#7, в котором хранятся версия, алгоритм хэширования, сертификаты подписантов, списки отзыва и блок SignerInfo. Получатель, у которого стоит другое расширение по умолчанию, часто решает, что ему прислали неподходящий файл, хотя достаточно переименовать его или загрузить в сервис проверки.
Если вы работодатель и читаете этот раздел с мыслью, что сотрудники пересылают кадровые документы почтой вручную, эта задача закрывается системой КЭДО: в Добыто маршрут согласования и подписанные файлы хранятся внутри платформы, а выгрузка комплекта формируется по запросу.
Образцы заявлений и доверенностей для выпуска сертификата
Комплект закрывает весь цикл работы с сертификатом сотрудника: начните с заявления на выпуск, дальше по ситуации.
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Ответы на вопросы об установке ЭЦП | Скачать |
МЧД: какие данные в неё входят и как быть с филиалом
Машиночитаемая доверенность выглядит как обычная, если выгрузить её в PDF, но по сути это XML-файл, который читает не человек, а алгоритм информационной системы. В неё вносятся данные доверителя, данные уполномоченного лица и перечень полномочий. Каждое полномочие имеет код, дату и уникальный идентификационный номер из классификатора, размещённого в Единой системе нормативной и справочной информации. Именно код позволяет системе автоматически проверить, вправе ли конкретный человек подписать конкретный документ.
Классификатор пока наполняется, и в нём преобладают полномочия государственных органов. Компания может направить перечень собственных полномочий в Минцифры: на рассмотрение отводится 10 дней, при положительном решении на присвоение кодов и включение в классификатор — три рабочих дня. До завершения переходного периода полномочия допускается вписывать текстом.
С филиалом сложность в том, что он не является юридическим лицом. Доверенность на сотрудника филиала исходит от организации, и подписывает её руководитель юридического лица своей квалифицированной подписью. Если МЧД выдаёт руководитель филиала, действующий по доверенности от компании, это уже передоверие: потребуется нотариус, паспортные данные нового уполномоченного лица и актуальная выписка из ЕГРЮЛ. Нотариус проверяет сведения, подписывает доверенность своей подписью и выгружает её в информационную систему. В небольших городах на этом шаге бывают задержки из-за технической оснащённости нотариальных контор.
Мария Ж, судебный эксперт по трудовому праву: «Передоверие МЧД планируйте заранее и закладывайте на него отдельный срок: нотариусу нужны актуальная выписка из ЕГРЮЛ и техническая возможность выгрузить доверенность в систему. Проверьте это до того, как у сотрудника филиала появится срочный документ на подпись, иначе придётся возвращать подписание руководителю организации.»
Ошибки, из-за которых подпись перестаёт работать, и цена этих ошибок
Первая ошибка — пересылка ключевого контейнера коллеге. Мотив понятен: сотрудник в отпуске, документ нужен сегодня. Но подпись равнозначна собственноручной, и передача ключа означает, что подписывать от вашего имени сможет другой человек. Технически это чаще всего и не выйдет: контейнеры УЦ ФНС неэкспортируемы, а неизвлекаемый ключ вообще не покидает память токена.
Вторая ошибка — выпуск одной подписи на отдел. Стоимость такой экономии считается не ценой сертификата: при разбирательстве работодатель не сможет доказать, кто именно подписал документ, а для кадровых документов это прямое нарушение порядка электронного взаимодействия. По части 1 статьи 5.27 КоАП РФ нарушение трудового законодательства влечёт для юридического лица штраф от 30 000 до 50 000 рублей, и это без учёта переоформления документов и судебных расходов.
Третья ошибка — установка «сертификата» из письма неизвестного отправителя. Настоящий комплект от УЦ содержит файлы сертификатов и ссылки на дистрибутивы производителей, а не исполняемый файл, который просит расширенные права при запуске.
Журнал учёта выданных подписей: что фиксировать
Учёт сертификатов — самая недооценённая часть работы с подписями. Минимальный набор полей журнала, который закрывает вопросы проверяющих и внутренние споры:
- ФИО владельца, вид подписи (ПЭП, УНЭП, УКЭП) и основание выпуска.
- Серийный номер сертификата и наименование издателя.
- Даты начала и окончания срока действия.
- Тип носителя и его идентификатор, если ключ выдан на токене.
- Реквизиты МЧД и код полномочия, если сотрудник действует за организацию.
- Отметка об аннулировании и дата подачи заявления.
Серийный номер и данные издателя видны в свойствах сертификата, а срок действия — в панели управления носителем и в разделе «Сертификаты» криптопровайдера. Заполнять журнал по этим полям можно без обращения в удостоверяющий центр.
Когда сотруднику не нужен собственный квалифицированный сертификат
Выпуск КЭП на каждого работника избыточен, если сотрудник подписывает только кадровые документы: заявления, ознакомления с ЛНА, графики, приказы по личному составу. Для этого достаточно ПЭП или УНЭП в системе работодателя. Не нужен собственный сертификат и тем, кто не подписывает документы за компанию во внешних системах: доступ к корпоративным сервисам решается учётной записью, а не подписью. Отдельный случай — сотрудники, работающие с ЕГАИС по алкоголю: им, наоборот, подойдёт только неизвлекаемый ключ формата PKCS#11 на токене с криптоядром, и облачные варианты его не заменят.
Стоимость подписей сотрудникам и подключения КЭДО
Итоговая сумма складывается из численности сотрудников и выбранного тарифа: подписи ПЭП и УНЭП отдельно не покупаются, они входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника в месяц | подключение от 5 минут |
| Тариф «Бизнес», без ограничения численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц | подключение от 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Выпуск ПЭП и УНЭП сотрудникам | входит в тариф | по мере подключения |
| УКЭП через партнёров-удостоверяющих центров | рассчитывается индивидуально | по регламенту УЦ |
| Интеграция с 1С:ЗУП, модуль обмена документами | входит в тариф «Бизнес» | 1 день |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
Итоговая сумма зависит от численности и от того, нужны ли кастомные шаблоны, электронный архив и интеграция с учётной системой. Действующие условия и состав каждого пакета опубликованы на странице тарифов Добыто КЭДО, там же указана минимальная оплата по тарифу «Бизнес».
Для компаний с численностью около 50 человек разница между тарифами считается не по ставке за сотрудника, а по минимальному годовому платежу, поэтому расчёт стоит делать на годовом горизонте.
Выводы
Письмом передаётся только открытая часть подписи — файл сертификата, по которому проверяют, кто подписал документ. Закрытый ключ создаётся на носителе или в защищённом хранилище и не пересылается, а выдача квалифицированного сертификата требует идентификации заявителя одним из четырёх способов, предусмотренных 63-ФЗ. Полностью удалённо обновляется только действующий сертификат: заявление на перевыпуск подписывается текущей подписью. Для кадровых документов вопрос закрывается иначе: ПЭП и УНЭП сотрудник получает у работодателя, и удостоверяющий центр здесь не участвует.
Мы подключаем компании к КЭДО вместе с выпуском подписей сотрудникам, разграничением видов подписи по типам документов и учётом выданных сертификатов, поэтому вопрос «пришлите подпись на почту» у работников просто не возникает.
Частые вопросы
Можно ли отправить контрагенту только файл сертификата, чтобы он проверил мою подпись
Отдельно файл сертификата контрагенту не нужен: при подписании сертификат подписанта помещается внутрь контейнера CMS вместе с подписью, списками отзыва и блоком SignerInfo. Достаточно передать подписанный файл, а при откреплённой подписи — пару из исходного документа и файла с расширением p7s, sig или sgn.
Сертификат пришёл в облако удостоверяющего центра, а логин и пароль записаны на бумаге. Это нормально
Это один из штатных способов передачи комплекта: часть центров записывает файлы на диск или носитель, часть выкладывает в облако и выдаёт реквизиты доступа отдельно. Скачайте файлы сразу и сохраните их в отдельную папку, потому что доступ к облаку со временем закрывается, а сертификат понадобится при переустановке системы.
Действует ли подпись, выданная до 31 августа 2023 года
Подписи, выданные до 31 августа 2023 года, действовали до конца своего срока, но не позднее 31 августа 2024 года, и только если выданы удостоверяющим центром, аккредитованным Минцифры. Центры без аккредитации прекратили деятельность 31 августа 2023 года, а выданные ими ключи перестали действовать.
Нужна ли отдельная лицензия КриптоПро CSP, если она встроена в сертификат
Если лицензия включена в сертификат, ключ можно использовать в том числе на машине с истёкшей лицензией криптопровайдера: отдельно устанавливать её не требуется. Полная лицензия понадобится, когда на том же рабочем месте используются другие ключи или когда запросы на сертификат формируются самостоятельно.
Сколько подписей помещается на один токен
На носителе с 128 КБ защищённой памяти помещается до 31 контейнера в формате CSP. Реальное количество зависит от того, что удостоверяющий центр записал в расширения сертификата: один объёмный контейнер занимает около 12 КБ, а контейнер без дополнительных цепочек — существенно меньше.
Что делать, если МЧД нужна для действий, которых нет в классификаторе полномочий
До завершения переходного периода полномочие допускается вписывать текстом. Параллельно организация может направить свой перечень полномочий в Минцифры: решение принимается в течение 10 дней, а на присвоение кодов и включение в классификатор отводится три рабочих дня.
