Встроить ЭЦП прямо в PDF позволяет формат PAdES: подпись записывается внутрь файла, и отдельный .sig или .p7s рядом не появляется. Практически это делают модуль КриптоПро PDF в Adobe Reader, КриптоАРМ версии 6 с мастером подписи и защиты PDF и серверные решения для пакетной обработки. Главное различие, от которого зависит исход, — нужна вам подпись или только её визуализация: нарисованный штамп с надписью о подписании сам по себе юридической значимости не несёт, проверяемая подпись внутри PDF — несёт. Второе, что решает, — примет ли получатель встроенную подпись, потому что многие государственные системы и операторы ЭДО работают только с откреплённой.
Дальше разберём, чем PAdES отличается от откреплённой CAdES и в каких случаях встроенная подпись ломает привычный процесс проверки. Покажем, как настроить графический штамп по ГОСТ Р 7.0.97-2016, чтобы он не перекрывал текст, и что делать, если получатель требует именно пару из документа и файла подписи. Разберём, почему подпись без штампа времени перестаёт проверяться после окончания срока сертификата. Пошаговая инструкция, чек-лист подготовки, сценарная таблица, стоимость подключения на 2026 год и ответы на частые вопросы — во второй половине статьи.
Подписать PDF встроенной или откреплённой подписью можно прямо здесь: форма работает в браузере, принимает несколько файлов за раз и отдаёт результат архивом.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Встроенная подпись в PDF и отдельный файл SIG: в чём разница
Присоединённая подпись записывается внутрь документа, откреплённая лежит рядом в виде отдельного файла. Это две разные упаковки одного и того же криптографического результата, и путаница между ними начинается там, где присоединённую подпись отождествляют со встроенной подписью PDF. Это не одно и то же.
Классическая присоединённая подпись формата CAdES складывает документ и подпись в один контейнер .sig. Файл перестаёт быть PDF: чтобы прочитать сам договор, нужен инструмент, который извлечёт вложение. Откреплённая подпись оставляет исходный документ нетронутым, но рождает второй файл, который живёт рядом и легко теряется при пересылке. Встроенная подпись PAdES — третий вариант: PDF остаётся PDF, открывается любым просмотрщиком, а подпись лежит внутри его структуры и проверяется автономно.
Важный нюанс из практики: при двустороннем подписании откреплённой подписью на выходе получается три файла — сам договор и по файлу подписи от каждой стороны. Встроенный вариант кладёт обе подписи в тот же PDF, и передавать нужно один файл. Именно это чаще всего и имеют в виду, когда просят подписать без отдельного SIG.
Дальше — развёрнутое сравнение трёх вариантов. Обратите внимание на строку про то, чем открывается исходный документ: она объясняет, почему присоединённая CAdES и встроенная PAdES ведут себя по-разному, хотя обе дают на выходе один файл.
| Параметр | Присоединённая CAdES (.sig) | Откреплённая CAdES (.sig, .p7s рядом) | Встроенная PAdES (внутри PDF) |
|---|---|---|---|
| Что получается на выходе | Один файл подписи, документ спрятан внутри | Два файла: исходный документ и файл подписи | Один файл .pdf, подпись внутри него |
| Чем открыть сам документ | Нужны дополнительные средства для извлечения | Обычным просмотрщиком, документ не менялся | Обычным просмотрщиком PDF |
| Виден ли факт подписания при открытии | Документ отдельно не открывается | Нет, документ выглядит неподписанным | Да, просмотрщик показывает статус подписи |
| Что происходит со вторым подписантом | Подпись накладывается на новый файл, полученный после первого подписания | Появляется ещё один файл подписи рядом | Подпись добавляется в тот же PDF |
| Что можно подписать | Файл любого формата | Файл любого формата | Только PDF |
| Риск потерять часть комплекта | Отсутствует, всё в одном файле | Есть: файл подписи теряется при пересылке | Отсутствует, всё в одном файле |
| Уровни для долгого хранения | CAdES-BES, CAdES-T, CAdES-A | CAdES-BES, CAdES-T, CAdES-A | PAdES-BES, PAdES-T, PAdES-A |
Вывод из таблицы простой: встроенная подпись выигрывает у откреплённой в передаче и в наглядности, но проигрывает в универсальности — она работает только с PDF. Если в комплекте есть XML, XLSX или архив, для них всё равно понадобится откреплённый вариант.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, специалист по цифровой подписи и КЭДО: «Плюс присоединённой упаковки в том, что комплект нельзя разбить: всё едет одним файлом. Минус — без дополнительных средств первичный документ из неё не открыть, и получатель видит непонятное вложение вместо договора. Встроенная подпись PDF снимает этот минус: файл остаётся читаемым документом. Прежде чем выбирать формат, спросите у получателя, чем он будет проверять подпись.»
Почему расширение .sig, .p7s и .sgn ничего не меняет
Расширение файла подписи — это настройка программы, а не формат подписи. В Инструментах КриптоПро расширение подписанного файла выбирается из списка p7s, sig и sgn, а сам формат при этом остаётся CAdES-BES. Переименование .sig в .p7s не превращает откреплённую подпись во встроенную и не влияет на результат проверки.
Важный нюанс из практики: когда сотрудник пишет, что ему прислали подпись p7s и она не открывается, проблема почти никогда не в расширении. Чаще рядом просто нет второго файла — самого документа, к которому эта подпись относится.
Штамп о подписании и встроенная подпись: почему это разные вещи
Визуализация подписи — это добавление штампа с информацией о подписании на копию документа, а не на оригинал. Оригинал при этом остаётся неизменным, а копия со штампом нужна для наглядного просмотра и печати. Такая копия читается человеком, но криптографически ничего не подтверждает.
Распечатка или PDF, в котором просто стоит надпись о подписании электронной подписью с номером сертификата, сама по себе юридической значимости не несёт: штамп нарисован, и проверить подпись по нему невозможно. Юридическую значимость подтверждает электронный оригинал вместе с подписью — либо файл подписи рядом, либо подпись внутри PDF. Отправить документ со штампом по электронной почте можно, но подтвердить его значимость таким способом не получится.
Внимание: штамп визуализации ставится на копию документа и не заменяет подпись. Если спор дойдёт до суда, потребуются первичный документ и файлы подписи, а не изображение штампа.
Отсюда и требование к оформлению. По ГОСТ Р 7.0.97-2016 отметка об электронной подписи включает фразу о том, что документ подписан электронной подписью, и номер сертификата ключа проверки подписи. Стандарт задаёт и правила размещения: отметка ставится там же, где в бумажном аналоге стояла бы собственноручная подпись, её элементы должны быть видимыми и читаемыми при отображении документа в натуральную величину, не должны перекрывать друг друга и не должны накладываться на текст документа. Настраивая графический штамп во встроенной подписи, эти четыре условия проверяют до подписания, а не после.
Проверить, что за штампом стоит настоящая подпись, можно самостоятельно. Загрузите документ в сервис подтверждения подлинности электронной подписи на портале Госуслуг: он разбирает и подпись внутри файла, и пару из документа и откреплённого файла подписи. Если сервис не находит подпись, а на странице при этом есть красивая отметка, перед вами картинка.
Сколько стоит ошибка со штампом вместо подписи
Цена ошибки редко измеряется переделкой одного файла. Если контрагент принял PDF с нарисованным штампом и подшил его в дело, при разборе выяснится, что подтвердить подписание нечем: подписи в файле нет, файла подписи рядом тоже нет. Дальше идёт переписка о переподписании, повторное согласование и повторный проход по маршруту подписантов. Когда один из подписантов уже уволился или его сертификат отозван, переподписать документ той же подписью невозможно, и приходится фиксировать это отдельным актом.
Мария Ж, судебный эксперт по трудовому праву: «Суд смотрит не на штамп, а на первичный документ и файлы подписи, которыми он был подписан. Штамп в этой конструкции — визуализация для человека, юридической силы он не несёт. Поэтому храните не распечатку и не копию с отметкой, а тот файл, который реально уходил на подписание, вместе с подписью.»
Шаблоны для работы с электронной подписью и переподписанием
Комплект закрывает разбор спорной ситуации: начните с чек-листа диагностики, он подскажет, в чём именно причина отказа при проверке.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Письмо контрагенту о переподписании (образец) | Скачать |
| Акт о невозможности переподписания (образец) | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
Чем встроить подпись в PDF: рабочие инструменты
Любой инструмент подписания на российских алгоритмах опирается на криптопровайдер. Обычно это КриптоПро CSP: версии линейки 5.0 сертифицированы по классам КС1, КС2 и КС3, а работа с ключевыми носителями, которые не выдают ключ наружу, доступна начиная с пятой версии. Четвёртая версия с такими носителями не работает, и это первое, что стоит проверить, если подписание не запускается.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Дальше выбор зависит от того, что именно вы делаете с PDF.
- Модуль КриптоПро PDF. Подключается к Adobe Reader и Adobe Acrobat и формирует подпись прямо в PDF средствами КриптоПро CSP. В Adobe Reader создание и проверка подписи работают без лицензии, для Adobe Acrobat нужна платная.
- КриптоАРМ версии 6. Содержит мастер подписи и защиты PDF и собственный просмотрщик PDF. Даёт настройку графического штампа, произвольный штамп поверх документа, пакетную подпись сразу большого количества файлов и сертификацию документа, после которой внести изменения в файл уже нельзя.
- КриптоАРМ ГОСТ 3 в сертифицированном исполнении. Умеет визуализацию подписи, то есть штамп на копии документа, а также подпись с приложением МЧД в виде единого архива. Встроенная подпись PDF в сертифицированное исполнение не вошла.
- Серверные решения. Нужны там, где документы подписываются потоком: автоматическое добавление подписи в PDF, пакетная обработка, добавление произвольных графических областей и отчёты о проверке. Подписание идёт в том числе обезличенным сертификатом, который оператор информационной системы получает в удостоверяющем центре ФНС в рамках 63-ФЗ.
- Веб-сервисы подписания. Подходят, когда нужно подписать несколько файлов без установки программ: переключатель между присоединённой и откреплённой подписью, загрузка сразу нескольких PDF и выгрузка результата архивом.
Факт: в сертифицированное исполнение КриптоАРМ ГОСТ 3 подпись PDF не попала — она есть в релизе шестой версии. Если у вас требование работать только на сертифицированном средстве, встроенную подпись PDF придётся закрывать другим инструментом.
Как встроить подпись в PDF: пошаговая инструкция
- Шаг 1. Откройте мастер подписи и защиты PDF и загрузите документ. На этом этапе проверьте, что файл открывается корректно: подпись фиксирует ровно то содержимое, которое вы видите.
- Шаг 2. Выберите сертификат из списка установленных. Убедитесь, что срок действия сертификата покрывает дату подписания и что цепочка сертификации построена полностью.
- Шаг 3. Решите, нужна ли видимая отметка. По умолчанию подпись невидимая: она уже действительна, но на странице ничего не отображается.
- Шаг 4. Разместите штамп на странице и настройте его ширину, высоту, ориентацию, страницы размещения и внешний вид. При необходимости добавьте логотип или изображение.
- Шаг 5. Сверьте расположение штампа с требованиями ГОСТ Р 7.0.97-2016: отметка стоит на месте собственноручной подписи, читается в натуральную величину, не перекрывает текст и другие отметки.
- Шаг 6. Включите сертификацию документа, если после подписания в файл не должны вноситься изменения. Для двустороннего договора этот режим включают на последнем подписанте, иначе вторая сторона не сможет добавить свою подпись.
- Шаг 7. Выполните подписание и сразу проверьте результат в том же мастере: он покажет статус подписи, сведения о сертификате и цепочку сертификации.
В практике Добыто чаще всего спотыкаются на шестом шаге: сертификацию включают на первой подписи и потом не понимают, почему вторая сторона получает отказ. Порядок здесь важнее настроек внешнего вида.
Что проверить до подписания
Подготовка занимает несколько минут и снимает большую часть отказов при проверке. Пройдите по списку до того, как отправите документ получателю.
- Версия криптопровайдера. Для носителей с неизвлекаемым ключом нужна линейка КриптоПро CSP 5.0 и выше. На четвёртой версии такой ключ просто не подключится.
- Лицензия. Если сертификат выпущен с встроенной лицензией, ключ работает и на машине с истекшей лицензией провайдера. Для других ключей на том же рабочем месте нужна полная лицензия.
- Цепочка сертификатов. У квалифицированной подписи цепочка доверенная и устанавливается вместе с сертификатом. У неквалифицированной корневые сертификаты по умолчанию не ставятся: при разрыве цепочки подписание не пройдёт, сертификат придётся установить как доверенный вручную.
- Срок действия и статус. Сертификат должен быть действителен и не отозван на момент подписания. Отзыв сертификата делает подпись недействительной, даже если формально срок ещё не истёк.
- Формат файла. Встроенная подпись работает только с PDF. Для XML, XLSX и архивов остаётся откреплённый вариант.
- Полномочия. Если вы подписываете от имени организации по машиночитаемой доверенности, файл МЧД должен быть готов и зарегистрирован до подписания документа.
Лайфхак: МЧД подписывается отсоединённой подписью — в Инструментах КриптоПро для этого ставится галочка «Создать отсоединённую подпись». Встроенная подпись PDF здесь не подходит, потому что сама доверенность передаётся в формате XML.
Когда встроенная подпись в PDF не подходит
Встроенная подпись удобна, но она закрывает не все сценарии. Ниже ситуации, в которых её выбирать не нужно.
Первое ограничение — требование получателя. Государственные системы и операторы ЭДО обычно принимают комплект из документа и откреплённого файла подписи. Если регламент обмена описывает именно такой комплект, встроенная подпись в него не встанет, и переделывать придётся вам.
Второе — формат данных. Машиночитаемая доверенность передаётся в XML, отчётность выгружается в собственных форматах, архивы приходят одним ZIP. Всё это подписывается откреплённой подписью, встроенный вариант к ним неприменим.
Третье — кадровые документы внутри системы КЭДО. Там подписание идёт по маршруту согласования, а не вручную в просмотрщике: сотрудник открывает документ, нажимает кнопку подписания, и система сама формирует подпись и кладёт документ в архив. Скачивать и подписывать PDF отдельно в этом сценарии не нужно, а самостоятельная подпись файла вне маршрута ломает историю согласования.
Если вы работодатель и читаете этот раздел с мыслью, что у вас сотрудники до сих пор пересылают подписанные PDF почтой, отдельный инструмент подписания для этого не нужен: в Добыто КЭДО документ проходит маршрут и подписывается кнопкой прямо в карточке, а подписанный файл остаётся в электронном архиве.
Мария Ж, HR-эксперт с 13-летним стажем: «Когда кадровый документ подписывается внутри системы, у вас остаётся не только файл, но и вся история маршрута: кто согласовал, кто подписал, когда документ ушёл в архив. Ручная подпись PDF на рабочем столе такой истории не оставляет. Если документ кадровый, подписывайте его там, где он создавался.»
Сценарная таблица ниже помогает выбрать формат под конкретную ситуацию.
| Ситуация | Что критично | Что вторично | Формат подписи |
|---|---|---|---|
| Договор с контрагентом по почте | Комплект не должен разбиться при пересылке | Внешний вид штампа | Встроенная PAdES |
| Подача документов в государственную систему | Соответствие регламенту приёма | Наглядность подписи | Откреплённая CAdES |
| Машиночитаемая доверенность | Формат XML и отсоединённая подпись | Число файлов в комплекте | Откреплённая CAdES |
| Кадровый документ в КЭДО | История маршрута и хранение в архиве | Выбор формата пользователем | Определяет система |
| Поток однотипных PDF: счета, квитанции, справки | Пакетная подпись без участия человека | Индивидуальная настройка штампа | Встроенная PAdES, обезличенный сертификат |
| Документ на хранение свыше срока сертификата | Штамп времени и доказательства подлинности | Тип упаковки подписи | Усовершенствованный формат: PAdES-A или CAdES-A |
Обратите внимание на последнюю строку: она про сценарий, который проявляется не сразу, а через год-два после подписания.
Долгое хранение: штамп времени и переподписание
Подпись базового уровня отвечает на вопрос, кто подписал и не менялся ли документ, но не отвечает на вопрос, когда это произошло. Пока сертификат действует, проверка проходит. После окончания срока действия подтвердить момент подписания нечем, и подпись перестаёт проверяться.
Решают это доказательства подлинности, которые добавляются поверх базовой подписи. Штамп времени от доверенной службы фиксирует точное время и хэш подписанного документа. Ответ службы актуальных статусов подтверждает, что на момент подписания сертификат не был отозван. Архивная метка объединяет и заверяет обе предыдущие. В форматах CAdES эти уровни называются CAdES-BES, CAdES-T и CAdES-A, во встроенной подписи PDF им соответствуют PAdES-BES, PAdES-T и PAdES-A.
Для кадровых и финансовых документов это не теория. Сроки хранения там измеряются десятилетиями, а архивная метка требует периодического переподписания, иначе доказательства со временем перестают работать. Требования к хранению задают 125-ФЗ об архивном деле, приказ Росархива от 15 июня 2020 года с типовыми функциональными требованиями к системам электронного документооборота и системам хранения электронных документов, а также ГОСТ Р 57762-2017 об обеспечении долговременной сохранности электронных документов с его набором свойств: читаемость, интерпретируемость, идентифицируемость, доступность, аутентичность, конвертация, миграция, безопасность.
Полезно знать: у Госключа собственной службы штампов времени нет. Момент подписания там подтверждается опосредованно — логами входов и действий пользователя в приложении. У удостоверяющих центров и у налоговой службы штампов времени есть.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Подпись без штампа времени живёт ровно столько, сколько живёт сертификат. Для договора на год это допустимо, для кадрового документа с длительным сроком хранения — нет. Заложите усовершенствованный формат сразу при настройке подписания, переподписывать весь архив задним числом дороже.»
Проверить откреплённую подпись на документе, который уже лежит в архиве, можно в Добыто.Подпись: загружаются два файла — сам документ и файл .sig, сервис показывает статус подписи и данные сертификата.
Стоимость перевода документов на электронную подпись: тарифы 2026 года
Стоимость зависит от численности сотрудников, набора видов подписи и того, нужна ли интеграция с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по числу сотрудников, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | — |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | — |
| Получение УКЭП | через партнёров-удостоверяющих центров | — |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| Электронный архив подписанных документов | входит в тариф «Бизнес» | — |
Итоговая сумма складывается из численности и выбранного набора функций: кастомные шаблоны, интеграция с 1С и электронный архив входят в тариф «Бизнес», а выделенный сервер и SLA считаются отдельно. Актуальный состав каждого пакета и условия перехода между тарифами приведены на странице тарифов ДОБЫТО КЭДО.
При повышении тарифа разница пересчитывается пропорционально оставшемуся периоду, понизить тариф можно в любое время. Данные приведены на дату публикации.
Выводы
Встроенная подпись PDF решает бытовую задачу: документ едет одним файлом, открывается обычным просмотрщиком, и получатель сразу видит, что он подписан. Она не универсальна — для XML, отчётности и машиночитаемых доверенностей остаётся откреплённый вариант, а государственные системы чаще требуют именно его. Отдельно стоит развести подпись и её визуализацию: нарисованный штамп не подтверждает ничего, доказательством остаётся файл с подписью. Если документ хранится дольше срока действия сертификата, базового уровня подписи не хватит, нужен штамп времени и архивная метка.
Мы в Добыто работаем с этим ежедневно: настраиваем маршруты подписания, выпускаем сотрудникам ПЭП и УНЭП, храним подписанные документы в электронном архиве и разбираем ситуации, когда подпись на документе не проходит проверку. Если задача шире, чем подписать один PDF, её обычно проще закрыть системой, а не отдельным инструментом на рабочем столе.
Частые вопросы
Контрагент прислал PDF со штампом, но без файла подписи. Что делать?
Запросить электронный оригинал вместе с подписью: либо PDF со встроенной подписью, либо документ и файл подписи в одном комплекте. Штамп на странице подтверждением не является, проверить по нему нечего. Если оригинал утрачен или сертификат подписанта отозван, ситуация закрывается перепиской о переподписании, а при невозможности переподписать — актом, который фиксирует причину.
Что произойдёт со встроенной подписью, если после подписания добавить в PDF комментарий?
Зависит от того, включалась ли сертификация документа. Режим сертификации запрещает вносить изменения в файл после подписания, и попытка что-то дописать будет заблокирована. Без сертификации изменение содержимого сделает ранее поставленную подпись невалидной при проверке, потому что подпись фиксирует конкретное состояние документа.
Нужна ли платная лицензия, чтобы подписать PDF в Adobe Reader?
Для Adobe Reader модуль КриптоПро PDF работает без лицензии: создание и проверка подписи доступны бесплатно. Платная лицензия нужна для Adobe Acrobat и Adobe LiveCycle ES. Сам криптопровайдер КриптоПро CSP лицензируется отдельно, при этом сертификат, выпущенный со встроенной лицензией, позволяет использовать соответствующий ему ключ и на машине с истекшей лицензией провайдера.
Как приложить машиночитаемую доверенность к подписи?
МЧД прикладывается к сертификату при подписании, и на выходе получается единый архив, в котором лежат подписанные файлы и файл доверенности. Сама доверенность передаётся в XML и подписывается отсоединённой подписью — в Инструментах КриптоПро для этого отмечается пункт о создании отсоединённой подписи. Встроенная подпись PDF для доверенности не применяется.
Будет ли встроенная подпись проверяться после окончания срока действия сертификата?
Только если в подпись добавлены доказательства подлинности. Штамп времени фиксирует момент подписания, ответ службы актуальных статусов подтверждает, что сертификат не был отозван на этот момент, архивная метка заверяет оба доказательства и требует периодического переподписания. Без них после истечения срока сертификата подтвердить дату подписания нечем.
Что делать, если удалили приложение Госключ или забыли пароль от него?
Восстановить прежнюю подпись не получится. Закрытая часть ключа хранится на самом мобильном устройстве, и другого доступа, кроме пароля, у приложения нет. После переустановки подпись выпускается заново, это будет уже другая подпись со своим сроком действия. Ранее подписанные документы при этом остаются действительными: они проверяются по тому сертификату, которым были подписаны.
