Средства проверки ЭП: как определить автора подписи в 2026

Средства определения автора подписи и достоверности электронного документа — это набор онлайн-сервисов, программ для рабочего места и корпоративных систем, которые проверяют, кто именно подписал файл и не менялся ли документ после подписания. Без такой проверки электронная подпись остаётся набором байт, юридическая значимость документа не подтверждается, а в суде или у налогового инспектора подпись приравнять к собственноручной не получится. В материале разберём, какие средства проверки работают в 2026 году, что они проверяют по факту и в каких сценариях какое выбрать. Это часть большого материала про проверку электронной подписи, где описан весь процесс от первой загрузки файла до получения отчёта с детализацией по сертификату.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что определяет средство проверки электронной подписи

Любое нормальное средство проверки решает четыре задачи. Первая — идентификация подписавшего: кто конкретно поставил подпись, ФИО, СНИЛС, ИНН, организация. Вторая — целостность документа: не менялись ли байты файла после подписания, не дописали ли в трудовой договор лишний абзац. Третья — действительность сертификата: был ли он валиден на момент подписания, не отозвал ли его удостоверяющий центр. Четвёртая — построение цепочки доверия: подпись УЦ под сертификатом владельца, подпись головного УЦ Минцифры под сертификатом этого УЦ, и так до корня.

Технически всё работает через хэш-функцию. Документ прогоняется через однонаправленную математическую функцию, получается длинное число — хэш. Этот хэш подписывается закрытым ключом владельца. Когда подпись проверяют, средство проверки вычисляет хэш ещё раз и сравнивает с тем, что зашифрован в подписи. Совпали — документ не менялся. Не совпали — кто-то правил файл после подписания, и такая подпись юридически не работает.

Мария Ж, юрист со стажем более 20 лет:
«Меня каждый месяц спрашивают — а почему просто визуально посмотреть штампик с фамилией нельзя? Распечатка со штампиком юридической значимости не имеет. Юридическую значимость имеет только электронный оригинал, и только если есть возможность его проверить специальным средством. Бумажка с плашкой — это просто красивая картинка для глаз.»

В практике сервиса Добыто мы видим типичную ошибку: компания принимает документ от контрагента, видит штамп подписи в PDF, принимает на веру и подшивает в дело. Через год возникает спор — оказывается, что подпись была невалидной с самого начала, срок сертификата истёк за две недели до подписания. Если бы файл прогнали через нормальный сервис проверки в момент получения, проблему увидели бы сразу.

Виды электронных подписей и подходящие средства проверки

В России три вида электронной подписи по 63-ФЗ — простая (ПЭП), усиленная неквалифицированная (НЭП) и усиленная квалифицированная (УКЭП). Каждый вид требует своего подхода к проверке.

ПЭП — это, по сути, логин-пароль или одноразовый код. Целостность документа такая подпись не проверяет, средствами криптографии не работает. Проверка ПЭП — это проверка регламента информационной системы, в которой подпись применяется. Если у оператора системы есть приказ о порядке применения ПЭП, журналы действий, привязка кода к конкретному человеку — подпись считается действительной. Никакой «проверки сертификата» у ПЭП нет, потому что и сертификата нет.

НЭП и УКЭП — это уже криптография. Файлы подписи имеют расширение .sig, .p7s, .sgn. Их проверяют средствами, которые умеют работать с алгоритмами ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012. Для НЭП достаточно базовой проверки без построения цепочки до головного УЦ. Для УКЭП цепочка обязательна — до корневого сертификата Минцифры.

Онлайн-сервисы проверки электронной подписи

Самый частый сценарий — получили файл с подписью, нужно быстро проверить без установки программ. Тут работают веб-сервисы.

Сервис Добыто Подпись — онлайн-сервис электронной подписи для физических и юридических лиц. Работает в браузере, документы при проверке не сохраняются на сервере — это критично для конфиденциальных файлов вроде кадровых документов или коммерческих договоров. Сервис поддерживает оба формата: открепленную подпись (документ + отдельный sig-файл) и присоединённую (подпись встроена в файл). Размер каждого файла — до 25 МБ. Поддерживаемые форматы документов — PDF, DOC, DOCX, TXT, XLS, CSV, JPEG, PNG, TIFF и более 100 других. С 1 марта 2026 года сервис умеет добавлять визуальный штамп подписи в PDF. Сервис включён в реестр российского ПО.

Госуслуги. Портал Госуслуг даёт сервис проверки квалифицированной подписи бесплатно. Заходишь в раздел «Электронная подпись», выбираешь «Проверка подписи», загружаешь документ и файл подписи. На выходе — результат с информацией о сертификате, владельце и сроке действия. Отдельно есть проверка сертификатов и проверка машиночитаемой доверенности (МЧД) — последнее особенно важно для юридических лиц после 1 сентября 2024 года.

Контур.Крипто. Бесплатный веб-сервис от СКБ Контур. Особенность — умеет проверять подписи в формате CAdES, в том числе усовершенствованные (с штампом времени и OCSP-ответом). Подходит, когда нужно проверить документ, лежащий в архиве больше 5 лет.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Когда коллеги-кадровики спрашивают, что выбрать для проверки — я говорю: для разовой проверки берите любой онлайн-сервис, тут вопроса нет. А вот если вы каждый день получаете десятки документов с подписями от контрагентов или сотрудников, то открывать каждый раз браузер и тыкать кнопочку — это мрак. Тут уже нужна автоматизация, и денежки на корпоративный сервис проверки окупятся за месяц.»

Программы для установки на компьютер

Когда работа с подписями идёт каждый день, удобнее держать программу на машине.

КриптоПро CSP — криптопровайдер от компании КриптоПро. Это движок, который встраивается в Windows и умеет работать с алгоритмами ГОСТ. Через него электронные подписи проверяют офисные приложения, Adobe Reader, браузеры с плагином КриптоПро ЭЦП Browser plug-in. Сертифицирован ФСБ России. Лицензия ставится либо отдельно, либо включается в состав квалифицированного сертификата при выпуске.

КриптоАРМ ГОСТ 3 и КриптоАРМ 6. Программа для подписания и проверки от компании Цифровые Технологии. Универсальное приложение со встроенным почтовым клиентом — можно безопасно обмениваться письмами и файлами. Работает на Windows, Linux, macOS, Astra Linux. Сертифицирован ФСБ России в составе КриптоПро CSP 5.0 R3, сертификат действует до мая 2027 года. Поддерживает подпись с МЧД, создание архива из подписанных файлов и доверенности. Версия 6 умеет работать со встроенной подписью PDF, пакетной подписью и сертификацией документа после подписания.

Crypto Expert и Litoria Desktop. Crypto Expert от CrypteX — проверяет подпись PDF, поддерживает усовершенствованную CAdES-X Long Type 1, архивную подпись и проверку статусов МЧД. Компания CrypteX — действующий оператор ЭДО с прямым доступом к реестру сертификатов ФНС. Litoria Desktop от Жинн Сервис — средство для трансграничного документооборота, прошла 224 теста по информбезопасности, сертифицирована ФСБ.

Adobe Reader для PDF. Если документ подписан встроенной подписью PDF (формат PAdES), Adobe Reader проверит её сам. Открываешь файл — в верхней панели появляется индикатор подписи. Кликаешь на штампик — видишь данные сертификата, статус, время подписания. Для российских ГОСТ-подписей нужен дополнительно установленный криптопровайдер — без него Adobe увидит подпись, но не сможет её проверить и покажет «неизвестный издатель».

Корпоративные сервисы автоматической проверки

В компаниях, где документы льются потоком — десятки тысяч в день — ручная проверка не подходит. Тут работают серверные решения с REST API.

КриптоАРМ Server — on-premise решение от Цифровых Технологий. Ставится на сервер заказчика, состоит из SDK КриптоАРМ + сервиса для подписи. Умеет автоматически проверять входящий поток документов, формировать электронную подпись (в том числе обезличенным сертификатом для информационной системы), визуализировать подпись штампом, шифровать и расшифровывать файлы, отправлять подписанные документы по почте. Поставляется в формате Docker-образов, разворачивается за минимальное время. Включён в реестр российского ПО.

Удобная фишка — Telegram-бот, который интегрируется с сервером и позволяет сотрудникам проверять подписи прямо в мессенджере. Кидаешь файл боту, через секунду получаешь отчёт. На сервисе Добыто мы внедрили похожий механизм для клиентов корпоративного тарифа: документы в очереди на согласование автоматически проверяются на действительность подписи, и кадровик видит сразу — принимать к учёту или возвращать на переподписание.

Что именно проверяют средства определения автора подписи

За кнопкой «Проверить подпись» любого сервиса скрывается набор операций.

Целостность документа через хэш. Средство проверки берёт исходный файл, прогоняет через хэш-функцию (по ГОСТу — алгоритм Стрибог, ГОСТ Р 34.11-2012), получает контрольное число. Затем извлекает из файла подписи закрытое значение, расшифровывает его открытым ключом владельца и получает хэш, который был зашифрован в момент подписания. Сравнивает два хэша. Совпали — документ не менялся ни на байт. Не совпали — кто-то правил файл, и подпись становится недействительной.

Действительность сертификата. Сертификат содержит открытый ключ владельца, его атрибуты (ФИО, СНИЛС, ИНН, организация) и подпись удостоверяющего центра. У сертификата есть срок действия — сейчас квалифицированные сертификаты от ФНС выдаются на 1 год и 3 месяца (15 месяцев), а от УЦ Минцифры — до 12 лет. Средство проверки сравнивает дату подписания документа с датой действия сертификата.

Список отозванных сертификатов (CRL) и протокол OCSP. Сертификат можно отозвать досрочно — если ключ скомпрометирован, токен потерян, владелец уволен. УЦ включает отозванный сертификат в CRL — Certificate Revocation List. Список публикуется по ссылке, которая указана в самом сертификате. Альтернатива CRL — протокол OCSP, онлайн-проверка статуса сертификата по запросу к серверу УЦ. OCSP даёт ответ за секунду, без скачивания всего списка отозванных.

Цепочка доверия и штамп времени. Сертификат владельца подписан удостоверяющим центром. Сертификат УЦ подписан головным УЦ Минцифры. Корневой сертификат Минцифры — доверенный изначально. Средство проверки строит цепочку от подписи владельца до корня и проверяет каждое звено. Любой разрыв — подпись не валидна.

Для долговременного хранения подписи (больше 5 лет, для кадровых документов — до 50 лет) применяют усовершенствованную подпись CAdES-X Long Type 1 или архивную CAdES-A. Она содержит штамп времени от доверенной службы (TSP), OCSP-ответ о действительности сертификата на момент подписания, цепочку всех использованных сертификатов. Эта конструкция позволяет проверять подпись даже через 18 лет после подписания. Профессионалы называют это «ухаживанием за подписью» — её регулярно «обновляют» свежими метками времени, чтобы юридическая значимость не утрачивалась.

Мария Ж, судебный эксперт по трудовому праву:
«В судах меня часто спрашивают — а что делать, если подпись была сделана 7 лет назад, сертификат давно истёк, а ответчик заявляет, что документ не подписывал. Если подпись была усовершенствованная, со штампиком времени — вопрос решается за 5 минут проверки. Если обычная CMS-подпись без меток — доказывать момент подписания приходится через косвенные обстоятельства. Поэтому для кадровых документов закладывайте усовершенствованную подпись с самого начала.»

Образцы документов для работы с электронной подписью

Сравнение средств проверки подписи: что выбрать

Выбор средства зависит от того, как часто и в каких объёмах вы работаете с подписанными документами.

Как проверить подпись в сервисе Добыто Подпись: пошаговая инструкция

Стоимость средств проверки электронной подписи

Цены на средства проверки зависят от формы поставки — онлайн-сервис, лицензия на компьютер, серверное решение или облачная подписка с автопроверкой в составе системы документооборота. Базовая проверка через онлайн-сервисы (Госуслуги, Контур.Крипто, Добыто Подпись) — бесплатна. Платные решения нужны при потоке документов, когда требуется автоматизация и интеграция с учётной системой.

Итоговая сумма зависит от численности сотрудников, выбранного тарифа КЭДО, набора подключаемых модулей и формы поставки. Стоимость лицензий на отдельные средства проверки (КриптоПро CSP, КриптоАРМ ГОСТ) определяется поставщиком ПО и не входит в тариф КЭДО. Актуальные тарифы сервиса Добыто помогут точнее сориентироваться по бюджету для вашей компании.

Типичные ошибки при проверке электронной подписи

За время работы сервиса Добыто мы собрали типовые грабли пользователей. Шесть самых частых.

1. Передача токена и пароля третьим лицам. Юридически документ, подписанный вашей подписью, считается подписанным вами — неважно, физически вы нажали кнопку или ваш помощник. Передача токена секретарю — один из самых частых способов потерять контроль над подписью. Если ассистент уволился, а ключ не вернул — бегом в УЦ отзывать сертификат.

2. Использование просроченного сертификата. Документ, подписанный сертификатом с истёкшим сроком, юридически ничтожен. Перед подписанием важных документов проверяйте срок действия. Особенно актуально в декабре — многие сертификаты выдаются на 15 месяцев и истекают в новогодние праздники.

3. Хранение сканов паспорта и СНИЛС в облаке. Если злоумышленники получат доступ к облачному хранилищу с вашими документами, они могут попытаться оформить ЭП на ваше имя. Случаи мошенничества с дистанционным выпуском подписи известны. Сканы паспорта — не для облачных папок.

4. Игнорирование уведомлений от УЦ. УЦ уведомляет владельца о компрометации, отзыве, истечении срока. Письма приходят на ту почту, которую указали при выпуске. Если почта не проверяется или ушла из жизни вместе с уволившимся сотрудником, сигналы пропускаются. Заведите общую корпоративную почту для УЦ-уведомлений.

5. Неправильная установка корневых сертификатов. Без установленных корневых сертификатов УЦ и Минцифры подпись не валидируется — средство проверки покажет «цепочка не построена». Корневые сертификаты Минцифры скачиваются с Госуслуг, корневые УЦ — с сайта удостоверяющего центра.

6. Подписание с чужого компьютера или публичного Wi-Fi. Закрытка может быть скопирована вредоносным ПО. После работы на чужом компьютере токен лучше извлечь и пройти антивирусную проверку. Используйте только доверенные устройства и защищённые каналы.

Мария Ж, специалист по трудовому праву:
«Самая частая ошибка кадровиков — получили от сотрудника подписанное заявление, увидели плашечку с фамилией, успокоились. А через полгода выясняется, что сотрудник подписал чужой подписью — оставленной коллегой флешкой. Юридически это всё равно его подпись, потому что персональная ответственность за конфиденциальность ключа лежит на владельце. Кадровик, который не проверил действительность сертификата на момент подписания, получает свою долю проблем при инспекции ГИТ.»

Выводы: средства проверки электронной подписи

Средство проверки электронной подписи решает четыре задачи параллельно: устанавливает автора, проверяет целостность документа через хэш, валидирует действительность сертификата по сроку и спискам отзыва, строит цепочку доверия до корневого УЦ Минцифры. Без выполнения всех четырёх проверок подпись юридически не подтверждена. Распечатка со штампиком подписи юридической значимости не имеет — имеет значение только электронный оригинал, который можно прогнать через сервис проверки.

Для разовых проверок подходят онлайн-сервисы — Госуслуги, Добыто Подпись, Контур.Крипто. Они бесплатны, работают в браузере, не требуют установки программ. Для постоянной работы устанавливайте на машину КриптоПро CSP в связке с КриптоАРМ ГОСТ 3 или версией 6 — это даёт независимость от интернета, работу со всеми типами подписи, поддержку МЧД и усовершенствованных архивных форматов. Для корпоративного потока документов нужны серверные решения с REST API или сервисы КЭДО со встроенной автопроверкой подписи на маршруте согласования.

Что меняется в ближайшее время: Госключ становится массовым средством подписи для физических лиц и сотрудников. Усовершенствованные подписи с штампами времени постепенно становятся нормой для документов с длительным сроком хранения. Доля автоматических корпоративных проверок продолжает расти — ручная проверка каждого документа экономически нецелесообразна для компаний от 100 сотрудников.

Часто задаваемые вопросы