Восстановить доступ к ЭЦП после утери ключевого носителя в прямом смысле нельзя: вместе с токеном теряется закрытый ключ, а он существует в единственном экземпляре. Копия остаётся только у тех, кто заранее скопировал экспортируемый контейнер. Сертификаты УЦ ФНС по регламенту выдаются в неэкспортируемом контейнере, а неизвлекаемые ключи форматов ФКН и PKCS#11 вообще не покидают память токена. Рабочий сценарий поэтому один: аннулировать сертификат в удостоверяющем центре, перевыпустить его на новом носителе, переоформить МЧД и доступы. Главное различие, от которого зависит порядок действий, — чей ключ утрачен: руководителю и ИП сертификат перевыпускает УЦ ФНС, сотруднику — аккредитованный коммерческий удостоверяющий центр, и к сертификату нужна машиночитаемая доверенность.
Ниже разберём, как отличить ситуацию, когда копия контейнера ещё есть, от той, когда её нет; какие заявления подать в УЦ и в какой очерёдности; что делать с документами, уже подписанными утраченным сертификатом, и с присланными ранее файлами .p7s и .sig. Отдельно — настройка нового рабочего места: драйверы носителя, КриптоПро CSP, корневые сертификаты. Пошаговая инструкция, сценарная таблица по типам владельцев ключа, образцы заявлений, стоимость подключения сотрудников на 2026 год и ответы на частые вопросы — во второй половине статьи.
Что именно теряется вместе с ключевым носителем
Токен хранит ключевой контейнер, а не подпись целиком. В контейнере лежит закрытый ключ — секретная часть, которой формируется подпись, и связанный с ним сертификат. Сертификат публичен: его копия есть в удостоверяющем центре и внутри каждого подписанного файла, поэтому потеря сертификата проблемы не создаёт. Проблему создаёт закрытый ключ, который восстановлению не подлежит и заново не выводится ни из сертификата, ни из ранее подписанных документов.
Отсюда практическое следствие для администратора: вопрос не в том, как восстановить ключ, а в том, существует ли его законная копия и что делать, если её нет. Ответ определяется форматом, в котором ключ создавали.
Извлекаемые, неэкспортируемые и неизвлекаемые ключи: где копия возможна
Ключи на токене делятся на программные и аппаратные. Программные создаёт криптопровайдер, и во время подписания закрытый ключ ненадолго выгружается в оперативную память компьютера, поэтому их называют извлекаемыми. Аппаратные генерируются криптоядром внутри микроконтроллера токена и память устройства не покидают никогда: такие ключи называют неизвлекаемыми и скопировать их невозможно физически.
| Формат ключа | Чем создаётся | Копия контейнера | Что при утере носителя |
|---|---|---|---|
| Извлекаемый, экспортируемый | КриптоПро CSP, носитель работает как хранилище под ПИН-кодом | Разрешена флагом экспорта | Работа продолжается с копии, если её сделали заранее |
| Извлекаемый, неэкспортируемый | КриптоПро CSP; такой контейнер выдаёт УЦ ФНС по своему регламенту | Запрещена флагом | Только аннулирование и перевыпуск |
| Неизвлекаемый ФКН | Криптоядро токена плюс КриптоПро CSP 5.0 R2 и выше, канал защищён протоколом SESPAKE | Невозможна | Только аннулирование и перевыпуск |
| Неизвлекаемый PKCS#11 | Криптоядро токена, генератор запросов из состава драйверов Рутокен или КриптоПро CSP 5.0 R2 и выше | Невозможна | Только аннулирование и перевыпуск |
Три строки из четырёх ведут в удостоверяющий центр. Это и есть ответ на вопрос про быстрое восстановление: быстро проходит не восстановление, а перевыпуск, если заранее известно, какой носитель нужен и кто подаёт заявление.
Факт: в УЦ ФНС извлекаемый ключ выдаётся только в неэкспортируемом контейнере: регламент центра запрещает копирование ради повышения безопасности. Резервной копии такого ключа не существует ни у владельца, ни у самого удостоверяющего центра.
Мария Ж, специалист по цифровой подписи и КЭДО: «Первый вопрос, который я задаю при утере токена, — в каком формате создавали ключ. Если это ФКН или PKCS#11, закрытый ключ рождается и умирает внутри микроконтроллера, наружу он не выходит вообще, и обсуждать резервную копию бессмысленно. Проверьте формат по журналу выдачи и сразу переходите к аннулированию: время, потраченное на поиски копии неизвлекаемого ключа, всегда потеряно зря.»
Что сделать в первые часы после утраты носителя
До обращения в УЦ администратор закрывает три вопроса: точно ли носитель утрачен, где этот ключ использовался и есть ли признаки компрометации. Порядок здесь важнее скорости, потому что аннулирование сертификата необратимо, а неверный вывод об утрате останавливает отчётность и обмен документами.
Начните с проверки самого носителя на другом рабочем месте. Токен может не определяться из-за слетевшего драйвера, а не из-за физической пропажи: диагностика делается в панели управления носителя, где видны тип устройства, идентификатор, версия микропрограммы, объём свободной памяти и признак поддержки функционального ключевого носителя. Если устройство читается, задача сводится к переустановке драйверов и криптопровайдера.
Дальше соберите карту использования ключа. Один сертификат обычно завязан на несколько систем сразу: сдача отчётности через сервисы ФНС с кодом абонента, обмен с контрагентами через оператора ЭДО, подписание кадровых документов, авторизация на площадках. Каждая из этих точек после перевыпуска потребует замены реквизитов сертификата, и список лучше составить до, а не после визита в удостоверяющий центр.
Наконец, оцените компрометацию. Утрата носителя в такси и утрата токена вместе с записанным на бумажке ПИН-кодом — разные по срочности события. В практике Добыто мы разделяем эти сценарии на этапе внедрения и держим для второго отдельный порядок: аннулирование в тот же день, без ожидания результатов поисков.
Проверьте по файлу подписи, действует ли сертификат утраченного ключа
Добыто · Проверка подписи
Что за файл пришёл с документом
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Внимание: пока сертификат не аннулирован, любой, у кого есть носитель и ПИН-код, подписывает документы от имени владельца. В линейке Рутокен ЭЦП 3.0 политики ПИН-кодов вшиты внутрь токена, а не в конкретное рабочее место, поэтому смена компьютера защиту не усиливает.
Аннулирование сертификата: что подать в удостоверяющий центр
Аннулирование прекращает действие сертификата и вносит его в список отозванных, который криптопровайдер загружает при проверке подписи. После этого любая проверка документа, подписанного утраченным ключом, показывает статус «Сертификат недействителен. Сертификат отозван» с указанием серийного номера и данных издателя.
Заявление подаёт владелец сертификата. Если ключ выпускался на сотрудника и в УЦ идёт не он, потребуется доверенность на получение и аннулирование сертификата. Требования к комплекту документов устанавливает конкретный удостоверяющий центр, поэтому список запрашивается у того УЦ, который выдавал сертификат, а не берётся по аналогии с соседним.
Цена промедления считается не стоимостью нового сертификата, а объёмом работ на разбор последствий. Каждый документ, подписанный чужими руками после утраты и до аннулирования, придётся отдельно проверять, фиксировать протоколом проверки подписи и переподписывать с контрагентом. Один день задержки при активном обмене — это десятки документов, по которым нужно готовить письма второй стороне, а при отказе контрагента переподписывать — акт о невозможности переподписания.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Перевыпуск сертификата и настройка нового рабочего места
Куда обращаться за новым сертификатом, зависит от того, чей ключ утрачен. Руководитель организации и индивидуальный предприниматель получают квалифицированный сертификат в УЦ ФНС бесплатно. Сотрудник получает сертификат на себя как на физическое лицо в аккредитованном коммерческом удостоверяющем центре, и к этому сертификату руководитель выпускает машиночитаемую доверенность. Идентификация возможна без личного визита, через подтверждённую учётную запись Госуслуг, но конкретный порядок опять же устанавливает удостоверяющий центр.
| Чей ключ утрачен | Где перевыпускать | Что переоформить дополнительно | Чем закрыть паузу |
|---|---|---|---|
| Руководитель ЮЛ или ИП | УЦ ФНС, бесплатно | Доступы к сервисам отчётности, код абонента, настройки оператора ЭДО | Документы, которые вправе подписать сотрудник по действующей МЧД |
| Сотрудник, подписывающий от лица компании | Аккредитованный коммерческий УЦ, сертификат на физлицо | Машиночитаемая доверенность от руководителя на нового представителя | Подписание документов руководителем своей квалифицированной подписью |
| Работник, подписывающий кадровые документы в КЭДО | Подпись перевыпускается в самой системе КЭДО | Сведения о работнике в системе, маршруты согласования | Подписание через мобильное приложение или Госключ |
| Ключ для интеграции и автоматической отправки | Тот же УЦ, что выдавал прежний сертификат | Сертификат в настройках обмена, транспортные контейнеры, код абонента | Ручная отправка уполномоченным представителем |
Из таблицы видно закономерность: сам сертификат перевыпускается в одном месте, а восстановление работоспособности растягивается по числу систем, где ключ был прописан. Поэтому карта использования из предыдущего раздела экономит больше времени, чем ускоренный тариф удостоверяющего центра.
Новое рабочее место собирается из фиксированного набора: драйверы конкретного носителя (Рутокен, JaCarta, eSmart), КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, корневые сертификаты и личный сертификат с носителя. Корневой сертификат Минцифры России guc_22.cert и корневой сертификат УЦ ФНС России CA_FNS_Russia_2022_01.cert публикуются на странице корневых сертификатов удостоверяющего центра ФНС: первый устанавливается в доверенные корневые центры сертификации, второй — в промежуточные.
Как вернуть рабочее место в строй после перевыпуска: пошаговая инструкция
- Шаг 1. Определите тип нового носителя визуально или по документам и скачайте драйверы с сайта производителя: Рутокен, Рутокен ЭЦП 2.0, JaCarta или eSmart. Установите пакет в режиме по умолчанию.
- Шаг 2. Установите КриптоПро CSP 5.0 R2 сборки 12000 или выше. Дистрибутив со встроенной библиотекой PKCS#11 избавляет от отдельной установки компонентов для активных токенов.
- Шаг 3. Установите корневой сертификат Минцифры России в хранилище доверенных корневых центров сертификации, а корневой сертификат УЦ ФНС России — в промежуточные центры сертификации.
- Шаг 4. Подключите носитель, откройте КриптоПро CSP, вкладка «Сервис», нажмите «Просмотреть сертификаты в контейнере», выберите контейнер кнопкой «Обзор» и установите личный сертификат.
- Шаг 5. Установите КриптоПро ЭЦП Browser Plug-in, включите расширение в браузере и проверьте его работу на странице проверки плагина.
- Шаг 6. Зарегистрируйте новый сертификат в сервисах, где он используется: получите код абонента, замените сертификат в настройках оператора ЭДО и в системах, откуда уходит отчётность.
- Шаг 7. Подпишите тестовый документ и проверьте подпись до того, как ключ понадобится в срочной задаче.
Полезно знать: в рамках проекта УЦ ФНС лицензия на КриптоПро CSP вшивается внутрь сертификата и действует ровно столько, сколько сам сертификат. Отдельно устанавливать её на рабочее место не нужно, но для работы с чужими ключами на той же машине потребуется полная лицензия.
Мария Ж, юрист со стажем более 20 лет: «Перевыпуск редко ломается на самом удостоверяющем центре, ломается он на носителе. Если подпись должна быть квалифицированной, а токен работает своим криптоядром, устройство должно иметь сертификацию ФСБ; для режима простого защищённого хранилища достаточно сертификации ФСТЭК. Уточните это до покупки нового носителя, иначе перевыпускать сертификат придётся дважды.»
Образцы заявлений и форм для аннулирования и перевыпуска подписи
Комплект собран под ситуацию утраты носителя: начните с заявления на аннулирование, остальное понадобится по мере восстановления доступа.
| Документ | Скачать |
|---|---|
| Заявление на аннулирование сертификата ЭП | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Письмо контрагенту о переподписании | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
Документы, подписанные утраченным ключом: p7s, sig и переподписание
Аннулирование сертификата не стирает ранее созданные подписи, но меняет результат их проверки. Внутри SIG-контейнера формата CMS PKCS#7 лежат алгоритм хэширования по ГОСТ, сертификаты подписанта с цепочкой доверия, список отозванных сертификатов и блок SignerInfo, где хранятся значение подписи, заявленное время и штамп времени TSP. Именно наличие штампа времени определяет, сможет ли проверяющая сторона увидеть, что подпись создана до отзыва сертификата.
Отдельная путаница возникает с расширениями. Откреплённая подпись сохраняется рядом с документом отдельным файлом, и в настройках Инструментов КриптоПро выбирается расширение p7s, sig или sgn при формате CAdES-BES. Расширение на содержимое не влияет: p7s и sig — это один и тот же контейнер, а sgn отличается только именем файла. Если контрагент прислал документ и подпись, а система не открывает файл, начните с расширений, а не с перевыпуска сертификата.
По документам, подписанным до утраты, порядок действий такой: зафиксировать результат проверки протоколом, направить второй стороне письмо о переподписании там, где документ продолжает исполняться, и оформить акт о невозможности переподписания, если контрагент ликвидирован или отказался. Массово переподписывать весь архив не требуется: отзыв сертификата не отменяет ранее совершённые действия сам по себе.
Мария Ж, судебный эксперт по трудовому праву: «Спор чаще возникает не из-за самого отзыва сертификата, а из-за того, что стороны по-разному читают дату подписания. Сохраняйте вместе с документом файл подписи целиком, а не скриншот штампа: заявленное время и штамп времени TSP лежат внутри контейнера, и восстановить их из картинки невозможно.»
МЧД, доступы и интеграции после перевыпуска
Сертификат сотрудника выпускается на физическое лицо, а полномочия подтверждает машиночитаемая доверенность. Изначально МЧД — это XML-файл, который руководитель подписывает своей квалифицированной подписью и который проверяется алгоритмами, а не человеком. Поэтому после перевыпуска сертификата сверьте данные представителя в действующей доверенности с новым сертификатом: проверка на портале Госуслуг принимает три файла сразу — сертификат представителя, XML доверенности и файл отсоединённой подписи доверенности.
Полномочия в доверенности задаются кодами классификатора, размещённого в Единой системе нормативной и справочной информации: каждое полномочие имеет код, дату и уникальный идентификационный номер. Компания вправе направить перечень своих полномочий в Минцифры: на рассмотрение отводится 10 дней, а при положительном решении коды присваиваются и включаются в классификатор в течение трёх рабочих дней. Пока классификатор наполняется, полномочия допустимо вписывать вручную.
Для филиалов действует общее правило: филиал не самостоятельное юридическое лицо, поэтому доверенность выдаётся от имени организации, и подписывает её руководитель юридического лица. Если ключ утрачен у сотрудника филиала и полномочия нужно передать другому человеку по цепочке передоверия, потребуется нотариус: он проверяет паспортные данные нового уполномоченного лица и актуальную выписку из ЕГРЮЛ, подписывает новую доверенность своей квалифицированной подписью и выгружает её в информационную систему. В практике Добыто это самый долгий участок восстановления доступа, особенно в небольших городах, где нотариус может быть технически не оборудован для работы с МЧД.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Компании держат в голове сертификат и забывают про доверенность. После перевыпуска сначала проверьте связку «новый сертификат плюс действующая МЧД» на проверочном сервисе и только потом отправляйте документы контрагенту. Одна неудачная проверка на стороне получателя стоит дороже, чем пять минут на самопроверку.»
Когда токен вообще не нужен
Аппаратный носитель обязателен не везде. Токен-флешка нужна руководителю для УКЭП и работы с государственными системами, где ключ должен находиться у владельца. Для массового кадрового документооборота и подписи рядовых сотрудников используются облачные подписи и Госключ: закрытый ключ хранится на стороне сервиса, терять физически нечего, а стоимость и логистика носителей исчезают вовсе. Обратная сторона решения тоже понятна: облачную подпись можно применять только в сервисах, интегрированных с этим удостоверяющим центром, и владелец вынужден доверять хранение ключа сервису.
Если вы отвечаете за инфраструктуру и после каждой утери токена собираете рабочее место заново, посмотрите, какая часть подписаний вообще требует аппаратного носителя. Кадровые документы в сервисе Добыто подписываются ПЭП и УНЭП, которые выпускаются работникам внутри системы, поэтому потерянный токен не блокирует ни приём на работу, ни ознакомление с ЛНА.
Мобильная подпись даёт третий вариант: она встроена в телефон и не требует дополнительных приложений, но телефон теряется чаще токена, и это стоит учитывать при выборе для сотрудников с высокими полномочиями.
Журнал ЭЦП и реестр сертификатов: как не проходить это дважды
Восстановление доступа занимает столько времени, сколько заняло восстановление сведений о ключе. Организации, которые ведут журнал выданных подписей, укладываются в один визит в УЦ, потому что заранее знают номер сертификата, издателя, формат ключа, модель носителя и системы, где сертификат прописан.
Что фиксировать в журнале ЭЦП:
- Владелец сертификата, его роль и подразделение, для сотрудников — реквизиты действующей МЧД.
- Удостоверяющий центр-издатель, серийный номер сертификата, даты начала и окончания действия сертификата и закрытого ключа.
- Формат ключа: извлекаемый экспортируемый, извлекаемый неэкспортируемый, ФКН или PKCS#11.
- Модель и инвентарный номер носителя, а также число контейнеров на нём.
- Перечень систем, где сертификат используется, включая код абонента и настройки оператора ЭДО.
- Ответственный за перевыпуск и порядок действий при утрате.
Отдельный пункт про плотность записи на носителе. Рутокен ЭЦП 3.0 имеет 128 КБ защищённой памяти; в формате CSP на токен помещается до 31 контейнера, а один контейнер с большими сертификатами и цепочками занимает до 12 КБ. Технически на одном носителе живёт десяток ключей, и один потерянный токен выносит сразу весь этот десяток. Мы в Добыто разводим ключи с разными зонами ответственности по разным носителям именно из-за этой арифметики.
Лайфхак: на странице загрузки КриптоПро есть отдельная сборка CSP, включающая библиотеку PKCS#11. Она разворачивает поддержку активных токенов автоматически, и новое рабочее место после перевыпуска собирается без ручной доустановки компонентов.
Стоимость подписей для сотрудников и подключения к КЭДО
Стоимость зависит от численности сотрудников и набора функций: выпуск ПЭП и УНЭП для работников входит в тариф, УКЭП оформляется через партнёров-удостоверяющие центры.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | в составе тарифа |
| Получение УКЭП через партнёров-удостоверяющие центры | по запросу | рассчитывается индивидуально |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности сотрудников, набора функций и требований к инфраструктуре: выделенный сервер и SLA переводят расчёт в индивидуальный. Актуальные условия по каждому набору функций перечислены на странице тарифов ДОБЫТО КЭДО, включая правила перехода между тарифами с пропорциональным пересчётом разницы.
Выводы
Утрата ключевого носителя решается не восстановлением ключа, а управляемым перевыпуском. Сначала определяется формат ключа и наличие законной копии, затем аннулируется сертификат, следом подаётся заявление на новый, собирается рабочее место с драйверами носителя, КриптоПро CSP и корневыми сертификатами, и в конце приводятся в порядок МЧД, коды абонента и настройки обмена. Документы, подписанные до утраты, разбираются точечно: протокол проверки, письмо контрагенту, при отказе — акт.
Мы в Добыто выстраиваем кадровый документооборот так, чтобы аппаратный носитель оставался только там, где он действительно нужен: подписи работников выпускаются в системе, а журнал сертификатов и маршруты подписания хранятся централизованно, поэтому потеря токена перестаёт быть событием, останавливающим кадровые процессы.
Частые вопросы
Носитель не утерян, но заблокирован после нескольких неверных ПИН-кодов. Это тот же сценарий?
Нет, это отдельная ситуация: физически ключ на месте, вопрос в политике ПИН-кодов носителя. В линейке Рутокен ЭЦП 3.0 политики хранятся внутри токена, а разблокировка выполняется в панели управления носителем администратором устройства. Если разблокировать не удалось и токен отформатирован, ключ утрачен вместе с содержимым, и дальше действует обычный порядок аннулирования и перевыпуска.
Сколько ключей помещается на один токен и стоит ли держать их вместе?
Рутокен ЭЦП 3.0 имеет 128 КБ защищённой памяти. В формате CSP помещается до 31 контейнера, при этом один контейнер с объёмными сертификатами и дополнительными расширениями занимает до 12 КБ, а контейнер без цепочек — в разы меньше. Технически десяток ключей на одном носителе укладывается, но при утрате блокируются все сразу, поэтому ключи с разными зонами ответственности лучше разносить.
Новый ключ не читается на старом компьютере с КриптоПро CSP 4.0. Что не так?
Классические провайдеры семейства 3.6-4.0 работают только с пассивными носителями, то есть с извлекаемыми ключами. Ключи ФКН и PKCS#11 требуют КриптоПро CSP 5.0 R2 и выше. Если ключ должен использоваться на разных рабочих станциях, часть которых осталась на 4.0, при генерации выбирается режим обратной совместимости CSP; если все машины на 5.0 R2 и новее, выбирайте защищённые форматы.
Нужна ли новая лицензия КриптоПро после перевыпуска сертификата?
Если сертификат получен в УЦ ФНС, лицензия вшита в сертификат и действует столько же, сколько он сам, отдельно устанавливать её не нужно. Лицензии на версию 5.0 подходят для всего семейства 5.0, включая R2 и R3; для сборок начиная с R2 лицензия от версии 4.0 уже не годится. Полная лицензия понадобится, если на этой машине используются и другие ключи.
Сертификат перевыпущен на сотрудника филиала. Кто подписывает новую МЧД?
Доверенность выдаётся от имени юридического лица, а не филиала, и подписывает её руководитель организации своей квалифицированной подписью. Полномочия задаются кодами классификатора, а недостающие компания вправе направить в Минцифры: решение принимается в течение 10 дней, коды присваиваются в течение трёх рабочих дней после положительного решения. Передоверие оформляется только через нотариуса.
Работник потерял доступ к подписи, которой подписывал кадровые документы. Идти в удостоверяющий центр?
Зависит от вида подписи. ПЭП и УНЭП для кадрового документооборота выпускаются внутри системы КЭДО и перевыпускаются там же, визит в удостоверяющий центр не требуется. В УЦ придётся идти, если работник использовал квалифицированную подпись, полученную как физическое лицо, например для подписания документов от имени компании по машиночитаемой доверенности.
