СКЗИ в стоимость электронной подписи по умолчанию не входит: удостоверяющий центр выдаёт сертификат и ключевую пару, а программу-криптопровайдер вы устанавливаете и лицензируете отдельно. Исключение одно — сертификат со встроенной лицензией: право на использование КриптоПро CSP прописывается внутрь самого сертификата, серийный номер вводить не нужно, а срок лицензии равен сроку действия сертификата. Бесплатный сертификат УЦ ФНС такую лицензию не содержит, эксперимент по её безвозмездной выдаче закрыт. Главное различие, которое определяет ваши расходы, — где обрабатывается закрытый ключ: на вашем компьютере, и тогда нужен лицензированный криптопровайдер, или в облаке и мобильном приложении, где средство подписи работает на стороне сервиса.
Разберём комплект по позициям и покажем, как за минуту увидеть в окне криптопровайдера тип и срок вашей лицензии. Сравним три способа закрыть вопрос с СКЗИ и посчитаем, во что обходится работа на версии с истёкшим сертификатом соответствия. Сроки сертификации версий на 2026 год, сценарная таблица по типам рабочих мест, образцы учётных документов и ответы на частые вопросы бухгалтеров — во второй половине статьи.
Что входит в стоимость электронной подписи, а что оплачивается отдельно
Сертификат электронной подписи — это файл с данными владельца и открытым ключом плюс закрытый ключ на носителе. Программы, которая выполняет криптографические операции по ГОСТ, в этом комплекте нет. Именно она называется средством криптографической защиты информации, и именно за неё выставляется отдельный счёт. Ниже — разбивка комплекта по позициям и источникам.
| Компонент | Входит в сертификат | Где берётся |
|---|---|---|
| Квалифицированный сертификат | Да | УЦ ФНС для руководителя, ИП, главы филиала иностранной организации и нотариуса; аккредитованный УЦ для сертификатов на физических лиц |
| Закрытый и открытый ключ | Да | Генерируются при выпуске на носителе, в облаке УЦ или в мобильном приложении |
| Ключевой носитель, токен | Нет | Покупается отдельно: USB Тип-А с действующим сертификатом ФСБ или ФСТЭК, например Рутокен ЭЦП 2.0, Рутокен Лайт, JaCarta-2 ГОСТ, ESMART Token ГОСТ |
| Драйверы носителя | Нет | Сайт производителя носителя, бесплатно |
| Криптопровайдер, СКЗИ | Нет | Лицензия покупается отдельно на рабочее место либо запрашивается в УЦ как встроенная в сертификат |
| КриптоПро ЭЦП Browser Plug-in и расширение браузера | Нет | Сайт производителя СКЗИ, отдельная лицензия не требуется |
| Корневые сертификаты Минцифры России и УЦ ФНС России | Нет | Раздел с корневыми сертификатами УЦ ФНС, файлы guc_22.cert и CA_FNS_Russia_2022_01.cert, бесплатно |
Из семи позиций деньги стоят три: сертификат для сертификатов на физических лиц, носитель и лицензия на криптопровайдер. Носитель и лицензия оплачиваются один раз и живут дольше сертификата, поэтому при перевыпуске подписи повторно платить за них не приходится. Сертификат руководителя в УЦ ФНС выдают бесплатно, но носитель заявитель приносит свой, а требования к нему проверяются автоматически при выдаче: подробности и список документов есть в разделе про порядок получения квалифицированного сертификата в удостоверяющем центре ФНС России.
Почему сертификат без криптопровайдера не подписывает
Подпись формируется не сертификатом, а закрытым ключом по алгоритмам ГОСТ. Выполнить это преобразование должно сертифицированное средство: либо программа на компьютере, либо криптоядро внутри носителя, либо сервис удостоверяющего центра. Сертификат в этой схеме отвечает за другое — он связывает открытый ключ с владельцем и подтверждает, кто именно подписал.
Ключи делятся на две группы. Извлекаемые генерирует программный криптопровайдер, а токен работает как защищённое ПИН-кодом хранилище: во время подписания закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемые ключи создаются внутри микроконтроллера носителя и никогда его не покидают, а канал между провайдером и токеном при работе по протоколу с защитой канала шифруется. В обоих случаях программу на рабочем месте всё равно ставят: без неё операционная система не умеет ни выбрать контейнер, ни собрать готовый файл подписи.
Факт: встроенная криптография на токене не равна установленному продукту КриптоПро CSP. Если информационная система работает через этот криптопровайдер, программу обязательно ставят на компьютер и вводят лицензию, даже когда ключ неизвлекаемый.
Мария Ж, специалист по цифровой подписи и КЭДО: «Сертификация носителя и лицензия на криптопровайдер — две разные строки расходов, и одна не отменяет другую. Если носитель используется как хранилище извлекаемых ключей, ему достаточно сертификата ФСТЭК; если он сам выполняет подпись как самостоятельное средство, нужен сертификат ФСБ, иначе подпись не считается квалифицированной. Прежде чем оплачивать токен, уточните у поставщика, какой из двух режимов вам продают.»
Важный нюанс из практики: в практике Добыто бухгалтерия чаще всего платит лишнее там, где лицензию считают привязанной к фирме или к сертификату. Лицензия на криптопровайдер приобретается на рабочее место, поэтому один компьютер, на котором ведут пять юридических лиц, требует одной лицензии, а не пяти. Обратная ситуация тоже встречается: один сертификат носят между тремя компьютерами и удивляются требованию ввести серийный номер на каждом из них.
Как проверить, за что вы уже заплатили
Ответ на вопрос о покупке начинается не с прайса, а с окна установленного криптопровайдера. На вкладке с общими сведениями видно версию программы, серийный номер лицензии, её тип и срок действия. Три состояния дают три разных решения: действующая бессрочная лицензия — покупать нечего; годовая с истекающим сроком — планируйте продление; демонстрационный режим — вы работаете на пробном периоде, который даётся один раз после установки и длится 3 месяца.
Полезно знать: если лицензия вшита в сертификат, ключ с этим сертификатом работает даже на компьютере с истёкшей лицензией криптопровайдера, и ставить лицензию дополнительно не нужно. А вот для любого другого ключа на той же машине понадобится полная лицензия.
Как определить, нужна ли вам отдельная лицензия на СКЗИ: пошаговая инструкция
- Шаг 1. Откройте окно криптопровайдера и посмотрите на вкладке общих сведений тип лицензии, серийный номер и срок действия.
- Шаг 2. Запишите версию и релиз программы: 4.0, 5.0, 5.0 R2 или 5.0 R3. От релиза зависит, подойдёт ли имеющаяся лицензия.
- Шаг 3. Проверьте, запрашивает ли программа серийный номер при работе именно с вашим ключом. Если не запрашивает, а лицензия при этом не установлена, значит она встроена в сертификат.
- Шаг 4. Составьте список рабочих мест, где реально подписывают: отчётность, электронный документооборот с контрагентами, госпорталы, банк-клиент. Лицензия нужна на каждое из них.
- Шаг 5. Уточните в удостоверяющем центре, доступна ли встроенная лицензия при очередном перевыпуске сертификата и на какой срок она будет действовать.
- Шаг 6. Примите решение: ключ живёт на одном компьютере — берите лицензию на рабочее место; ключ переносят между машинами — выгоднее встроенная в сертификат.
Лайфхак: проверка электронной подписи лицензии не требует. Программы для работы с подписью позволяют проверять готовые файлы без ввода серийного номера, поэтому получателю документа покупать СКЗИ ради проверки не нужно.
Проверьте подпись на своём документе онлайн
Добыто · Проверка подписи
Что за файл пришёл с документом
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Три способа закрыть вопрос с СКЗИ
Вариантов ровно три, и выбор между ними определяется не ценой, а тем, сколько рабочих мест и какие сценарии подписания у вас есть.
Отдельная лицензия на рабочее место. Классический вариант для бухгалтерии: программа ставится на компьютер, серийный номер вводится один раз. Лицензия бывает годовой и бессрочной, и она покрывает работу с любыми ключами на этой машине. Если вы переходите с четвёртой версии на пятую линейку, берите лицензию на обновление: она дешевле новой.
Встроенная в сертификат лицензия. Право на использование криптопровайдера прописывается внутрь сертификата при выпуске. Серийный номер вводить не нужно, срок совпадает со сроком сертификата, а ключ работает на любом рабочем месте, где программа установлена. Вариант закрывает сценарий бухгалтера, который обслуживает несколько юридических лиц и работает то в офисе, то из дома.
Отказ от локального СКЗИ. Подпись выпускается в облаке удостоверяющего центра или в мобильном приложении, а криптографию выполняет сервис. На рабочем месте не нужно ни программы, ни лицензии, ни прав администратора.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, юрист со стажем более 20 лет: «Встроенная лицензия не требует ввода серийного номера, а срок её действия равен сроку действия сертификата, поэтому продлевать её отдельно не придётся. Ключ с таким сертификатом работает и там, где локальная лицензия давно истекла. Но как только на этом же компьютере вы захотите использовать другой ключ, без встроенной лицензии, понадобится полная лицензия на рабочее место.»
Дальше решение зависит от сценария. Сценарная таблица ниже собрана по типам рабочих мест, которые встречаются в бухгалтерии и кадрах.
| Сценарий | Что критично | Что вторично | Чем закрывать |
|---|---|---|---|
| Бухгалтер сдаёт отчётность с токена на одном компьютере | Действующая лицензия и поддержка модели носителя текущим релизом | Мобильные сценарии подписания | Лицензия на рабочее место, годовая или бессрочная |
| Один специалист ведёт несколько юрлиц и меняет рабочие места | Переносимость ключа между компьютерами | Стоимость одной локальной лицензии | Встроенная в сертификат лицензия |
| Руководитель подписывает единичные документы | Скорость и отсутствие настройки рабочего места | Интеграция с учётной системой | Госключ или облачная подпись, локальное СКЗИ не нужно |
| Сотрудники подписывают кадровые документы | Массовость и отсутствие установки программ у работников | Тип носителя | ПЭП и УНЭП в сервисе КЭДО, УНЭП или УКЭП в Госключе |
| Сервер или веб-сервис подписывает документы автоматически | Класс защиты и тип лицензии для серверной операционной системы | Удобство графического интерфейса | Серверная лицензия; для веб-сервера с российской криптографией — отдельная лицензия по числу одновременных подключений |
Строка про сервер выпадает из бухгалтерской логики чаще всего: серверная лицензия не заменяется клиентской, а для веб-сервера с ГОСТ-шифрованием нужна ещё и своя, считаемая по подключениям. Демонстрационный режим на серверной операционной системе, начиная с релиза 5.0 R3, тоже не выдаётся автоматически — его запрашивают у производителя.
Когда лицензия на СКЗИ не нужна
Часть сценариев закрывается вообще без покупки. Это не универсальный совет: там, где нужны отчётность, госсистемы и работа с носителем, локальный криптопровайдер обязателен. Но платить за него на каждое рабочее место в компании не требуется.
Госключ выпускает УНЭП и УКЭП в мобильном приложении. Закрытый ключ хранится на телефоне владельца, доступа к нему нет ни у оператора, ни у госорганов. Для УНЭП достаточно подтверждённой учётной записи на Госуслугах, для УКЭП понадобятся биометрический загранпаспорт нового образца и телефон с NFC. У этого варианта есть жёсткое ограничение: приложение удалили или забыли пароль — подпись перевыпускается заново, это будет уже другой сертификат со своим сроком.
Облачная подпись хранит закрытый ключ на стороне удостоверяющего центра, а операции подтверждаются через отдельное приложение. Ответственность за компрометацию ключей в этой схеме несёт удостоверяющий центр. Ограничение тоже есть: облачную подпись можно применять только в тех сервисах, куда встроено программное обеспечение конкретного центра.
Для кадровых документов работает третий путь. Простая электронная подпись на портале Работа в России привязана к подтверждённой учётной записи Госуслуг, а в коммерческих сервисах КЭДО сотрудникам выпускают ПЭП и УНЭП без всякой установки программ. В сервисе Добыто электронные подписи для сотрудников выпускаются в рамках тарифа, а криптопровайдер на компьютере работника не нужен вовсе — подписание идёт в браузере или в мобильном приложении.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Рядовому сотруднику криптопровайдер на рабочем месте не нужен: кадровые документы подписывают ПЭП и УНЭП, а в Госключе закрытый ключ вообще живёт на телефоне работника. Локальные средства подписи мы закладываем только на те места, где сдают отчётность и работают с госсистемами. Посчитайте такие рабочие места до закупки — обычно их единицы, а не десятки.»
Сколько лицензий нужно компании и как не купить лишнее
Единица учёта — рабочее место, а не сотрудник и не юридическое лицо. Отсюда несколько практических следствий, которые редко проговаривают при продаже.
- Один компьютер, на котором работают с ключами нескольких организаций, закрывается одной лицензией.
- Один сертификат, который используют на нескольких компьютерах, требует лицензии на каждом из них, если в сам сертификат лицензия не встроена.
- Полная лицензия нужна тем, кто формирует запросы на сертификат прямо на своём рабочем месте или работает с ключами удостоверяющих центров, не включающих расширение со встроенной лицензией.
- Серверные и клиентские лицензии не взаимозаменяемы, а веб-сервер с российской криптографией лицензируется по числу одновременных подключений.
- Демонстрационный режим даётся один раз на установку и длится 3 месяца — как способ бесплатно закрыть постоянную работу он не годится.
Важный нюанс из практики: проблема обычно не в цене лицензии, а в отсутствии учёта. Компания не знает, сколько у неё сертификатов, на кого они выпущены, когда истекают и где встроена лицензия, поэтому покупает по факту паники за неделю до отчётности. Мы ведём реестр сертификатов сотрудников с датами выпуска и окончания и сверяем его при каждом перевыпуске — это снимает и двойные покупки, и остановку отчётности.
Учёт нужен и по другой причине. Сертификат сотрудника после увольнения не аннулируется сам: чтобы прекратить его действие, владелец подаёт заявление в тот удостоверяющий центр, который его выдал. Удаление сертификата из хранилища на компьютере действие подписи не прекращает.
Образцы документов для работы с сертификатами и подписями
Комплект закрывает весь цикл от выпуска сертификата до разбора неудачной проверки; начните с реестра сертификатов, если учёта в компании ещё нет.
| Документ | Скачать |
|---|---|
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
Версии, сроки сертификации и цена ошибки
Срок действия сертификата соответствия на само СКЗИ — отдельный параметр, за которым бухгалтерия обычно не следит. У КриптоПро CSP версии 4.0 период действия сертификата соответствия завершился 15 января 2026 года. Версии 5.0, 5.0 R2 и 5.0 R3 сертифицированы по классам КС1, КС2 и КС3, их сертификаты действуют до 1 мая 2027 года.
Внимание: бессрочная лицензия на версию 4.0 подходила к пятой линейке только до релиза R2. Начиная с 5.0 R2 нужна лицензия на версию 5.0, и она же действует для 5.0 R3.
Работа на несертифицированном средстве защиты информации, если оно подлежит обязательной сертификации, — самостоятельный состав по части 2 статьи 13.12 КоАП РФ: для юридического лица это штраф от 50 000 до 100 000 рублей с возможной конфискацией. К этому добавляется цена простоя: отчётность не уходит, документы контрагентам не подписываются, а замена криптопровайдера в разгар отчётного периода требует переустановки на всех рабочих местах и повторной настройки браузеров.
Отдельная статья расходов — несовпадение версий с требованиями информационных систем. Ключевые носители с неизвлекаемыми ключами поддерживаются начиная с пятой версии; Windows 11 в четвёртой версии не поддерживается вовсе; часть систем уже не работает со старыми релизами. Банк России рекомендует переходить на алгоритмы шифрования Кузнечик и Магма, а их поддержка появилась в релизе 5.0 R2.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Сертификат подписи обычно действует год, а спор может начаться через два. Чтобы подтвердить, что документ подписали, пока сертификат действовал, подпись дополняют штампом доверенного времени и ответами о статусе сертификата на момент подписания. Без этого момент подписания придётся доказывать косвенно — логами системы и перепиской, и суд будет изучать их отдельно.»
Проверить уже подписанные документы можно и на компьютере без действующей лицензии: проверка подписи её не требует. Файл подписи при этом может называться по-разному — p7s, sig или sgn: расширение выбирается в настройках программы, а содержимое остаётся одним и тем же контейнером формата CMS с сертификатом подписанта, значением подписи и данными о времени.
Стоимость КЭДО и электронных подписей для сотрудников: тарифы Добыто
Стоимость зависит от численности сотрудников, набора видов подписи и потребности в интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности, выбранного тарифа и потребности в УКЭП: подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, а квалифицированная подпись оформляется через партнёров-удостоверяющих центров. Полный состав тарифов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Для бухгалтерии здесь важен один момент: расходы на КЭДО и расходы на СКЗИ для отчётности не пересекаются. Тариф закрывает подписание кадровых документов сотрудниками, а лицензия на криптопровайдер остаётся нужна там, где вы сдаёте отчётность и работаете с госсистемами со своего рабочего места.
Выводы
Средство криптографической защиты и сертификат подписи продаются раздельно, и молчание удостоверяющего центра о лицензии почти всегда означает, что её в комплекте нет. Проверять нужно три вещи: тип и срок лицензии в окне криптопровайдера, релиз программы и число рабочих мест, где реально подписывают документы. Встроенная в сертификат лицензия закрывает переносимые сценарии, отдельная лицензия — стационарные, а массовое подписание кадровых документов вообще обходится без локального СКЗИ.
Мы в Добыто ежедневно разбираем эти развилки: выпускаем ПЭП и УНЭП сотрудникам без установки программ на их компьютерах, помогаем свести реестр сертификатов и отделить рабочие места, где криптопровайдер действительно необходим, от тех, где за него платят по инерции.
Частые вопросы бухгалтеров о лицензии на СКЗИ
Я обслуживаю пять юридических лиц на одном компьютере. Нужно пять лицензий?
Нет. Лицензия на криптопровайдер приобретается на рабочее место, а не на организацию или сертификат, поэтому одного компьютера достаточно одной полной лицензии для работы с любыми ключами. Обратная ситуация обходится дороже: если один и тот же ключ используется на трёх компьютерах, лицензия нужна на каждом, кроме случая, когда она встроена в сам сертификат.
Что будет с документами, которые я подписала, если срок лицензии закончился?
Подписанные документы остаются подписанными: лицензия ограничивает право использовать программу, а не действительность уже созданных подписей. Проверять такие файлы можно и без лицензии. Сложность возникает с доказыванием момента подписания после окончания срока сертификата — для этого подпись дополняют штампом доверенного времени и ответами о статусе сертификата.
Забыла пароль от контейнера с ключом. Можно восстановить?
Пароль от контейнера и ПИН-код носителя не восстанавливаются: сбросить их можно только форматированием, а форматирование уничтожает закрытый ключ вместе с сертификатом. Дальше остаётся перевыпуск сертификата в том же удостоверяющем центре. С мобильной подписью логика та же: при потере доступа к приложению выпускается новая подпись со своим сроком действия, прежняя не восстанавливается.
Нужен ли криптопровайдер, чтобы оформить МЧД на сотрудника филиала?
Машиночитаемая доверенность — это XML-файл, который формируется в сервисе ФНС бесплатно, но подписывает его доверитель своей квалифицированной подписью, чаще всего отсоединённой подписью. Для этой операции средство подписи на рабочем месте нужно. Если полномочия передаёт руководитель филиала, действующий сам по доверенности, оформляется передоверие, и его удостоверяет нотариус своей квалифицированной подписью.
Чем отличаются файлы подписи p7s, sig и sgn?
Ничем по существу: это одно и то же содержимое контейнера формата CMS, включая сертификат подписанта, значение подписи и сведения о времени. Расширение задаётся в настройках программы подписания вместе с профилем подписи, поэтому файл, полученный от контрагента с расширением p7s, проверяется теми же средствами, что и sig.
Нужно ли отдельное СКЗИ, чтобы отправить контрагенту подписанное письмо?
Чтобы подписать вложение, хватает того же криптопровайдера, который вы используете для отчётности. Шифрование самой переписки по ГОСТ — другая задача: для неё нужен почтовый клиент с поддержкой S/MIME и российских алгоритмов, а в клиентской лицензии такой программы почтовый функционал может как включаться, так и не включаться. Уточняйте это до оплаты.
