Забыл пароль от контейнера ЭЦП: что делать в 2026 году

Пароль от контейнера электронной подписи не хранится ни в удостоверяющем центре, ни в криптопровайдере, поэтому восстановить его нельзя: его можно только вспомнить, найти сохранённым на рабочем месте или выпустить сертификат заново. Порядок действий задаёт носитель. У контейнера в реестре или на флешке пароль проверяет КриптоПро CSP, у токена Рутокен, JaCarta или ESMART Token счётчик попыток встроен в само устройство, а у мобильной подписи Госключ доступ завязан на приложение и подтверждённую учётную запись Госуслуг. Главное различие, от которого зависит исход: успел носитель заблокироваться или нет. Пока счётчик попыток не исчерпан, шанс войти сохраняется, после блокировки PIN-кода администратора остаётся только новый сертификат.

Ниже разобрано, чем пароль контейнера отличается от PIN-кода токена и от пароля к личному кабинету, какие PIN-коды стоят на носителях по умолчанию, сколько попыток даёт каждый из них и как посмотреть пароль, сохранённый в КриптоПро. Отдельно показано, что происходит с ранее подписанными документами, машиночитаемой доверенностью и доступом в КЭДО после перевыпуска. Пошаговый порядок отзыва и перевыпуска сертификата, образцы заявлений, стоимость подключения на 2026 год и ответы на частые вопросы находятся во второй половине статьи.

Что именно потеряно: пароль контейнера, PIN-код токена или пароль от кабинета

Три разные сущности в обиходе называют одним словом «пароль от ЭЦП», и от того, какая из них потеряна, зависит вся дальнейшая процедура.

• Пароль контейнера закрытого ключа. Задаётся при выпуске сертификата и защищает сам ключевой контейнер. Проверяет его криптопровайдер, чаще всего КриптоПро CSP. Нигде на стороне удостоверяющего центра не сохраняется.
• PIN-код носителя. Это код доступа к защищённому хранилищу внутри токена. У носителей вроде Рутокен Лайт токен работает как хранилище ключей и сертификатов, защищённое PIN-кодом, и без верного PIN-кода криптопровайдер до контейнера просто не доберётся.
• Пароль от личного кабинета информационной системы. Пароль от кабинета налогоплательщика, от портала оператора ЭДО или от кабинета сотрудника в КЭДО к криптографии отношения не имеет и сбрасывается штатными средствами системы.

Проверить, что именно перед вами, проще всего по окну запроса. Если система просит «Введите пароль для контейнера» и ниже отображается имя контейнера, речь о пароле контейнера. Если окно называется «Введите PIN-код» и на нём указана модель устройства, вы упёрлись в носитель. Разница практическая: PIN-код токена в большинстве случаев сбрасывается администратором устройства, а пароль контейнера не сбрасывается никем.

Мария Ж, специалист по цифровой подписи и КЭДО: «Первое, что мы просим сделать, — прочитать заголовок окна целиком, а не жать наугад. Пароль контейнера и PIN-код носителя защищают разные слои, и лечатся они по-разному: один не восстанавливается вообще, второй в половине случаев снимается PIN-кодом администратора. Пока вы не поняли, какой из них потерян, любые попытки ввода только сжигают счётчик.»

Где лежит ваш ключ и почему от этого зависит исход

Закрытый ключ хранится в одном из четырёх мест, и каждое даёт свой сценарий восстановления. На аппаратном токене ключ защищён PIN-кодом устройства, в облаке удостоверяющего центра ответственность за доступ и за компрометацию несёт сам центр, на мобильном устройстве в приложении Госключ закрытая часть не покидает телефон, а в системе КЭДО подпись работнику выдаёт работодатель.

Ниже сведено, что происходит при утере доступа для каждого варианта хранения и какой у вас остаётся ход.

Из таблицы следует практический вывод: катастрофа наступает только в двух строках из пяти. Токен и облачная подпись почти всегда восстанавливаются без перевыпуска, а вот Госключ и контейнер с забытым паролем без сохранённой копии пароля означают новый сертификат.

Что проверить до обращения в удостоверяющий центр

Перед тем как писать заявление на аннулирование, стоит потратить полчаса на четыре проверки. Каждая из них дешевле перевыпуска и занимает минуты.

1. Стандартный PIN-код носителя. Многие владельцы токенов никогда не меняли заводской PIN-код, и на этом всё заканчивается.
2. Сохранённый пароль КриптоПро. Если при первом вводе пароля вы ставили галочку «Запомнить пароль», КриптоПро CSP сохранила его в системе. Утилита csptest из состава дистрибутива умеет показать сохранённое значение командой вида csptest -passwd -showsaved -container с именем нужного контейнера. Способ работает начиная с версии 3.6: в версии 3.0 ключа -showsaved нет.
3. Другие рабочие места. Если контейнер экспортируемый, его могли скопировать на второй компьютер, и там пароль может быть сохранён.
4. Действующий срок сертификата. Иногда пароль вспоминают, а подпись всё равно не работает: сертификат уже истёк или отозван, и перевыпуск нужен независимо от пароля.

Заводские PIN-коды и лимиты попыток различаются по производителям. Значения ниже действуют для устройств, которые ни разу не переинициализировали.

Работать с этой таблицей нужно осторожно. Каждая неудачная попытка уменьшает счётчик, а у ESMART Token ГОСТ количество попыток на PIN-код администратора задаётся при инициализации, и при их исчерпании токен блокируется без возможности восстановления. Разумная тактика — не более двух-трёх осмысленных вариантов, а дальше панель управления носителя.

Проверьте, действует ли ваш сертификат и подписанные им файлы

Добыто · Проверка подписи

Что за файл пришёл с документом

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.

Файл остаётся на вашем устройстве — мы его не получаем и не храним

Перетащите файл сюда или выберите на устройстве

.sig · .sgn · .p7s · .p7m · .pdf · .xml · .docx · .zip и другие. Ничего никуда не отправляется: файл читается кодом страницы прямо в вашем браузере.

Нет файла под рукой? Выберите расширение вручную:

.sig .sgn .p7s .pdf .xml .docx .zip

Проверить подпись онлайн в Добыто

Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.

Блокировка носителя: что происходит после исчерпания попыток

Счётчик попыток у Рутокена по умолчанию равен 10 и ведётся отдельно для PIN-кода пользователя и для PIN-кода администратора. Когда исчерпан пользовательский счётчик, администратор устройства разблокирует его через панель управления: вводит свой PIN-код и нажимает «Разблокировать». Ключи и сертификаты при этом остаются на месте.

Сложнее ситуация, когда заблокирован PIN-код администратора. Единственный выход — сброс устройства к заводским настройкам, а он безвозвратно удаляет всё, что на токене записано, включая ключи и сертификаты. Форматирование не восстанавливает подпись, оно возвращает вам чистую болванку.

Второй тупик связан с типом ключа. Неизвлекаемые ключи, которые генерируются криптоядром внутри микроконтроллера, никогда не покидают память токена, скопировать их нельзя в принципе. Извлекаемые ключи бывают экспортируемыми и неэкспортируемыми: флаг ставится криптопровайдером при генерации или копировании контейнера, и если стоит признак неэкспортируемого контейнера, копирование запрещено.

Полезно знать: если извлекаемый ключ получен в удостоверяющем центре ФНС, контейнер всегда неэкспортируемый: по регламенту центра такие ключи копировать нельзя. Резервной копии контейнера у вас физически не существует, и рассчитывать на неё при утере пароля бессмысленно.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Мария Ж, юрист со стажем более 20 лет: «Владельцы токенов часто уверены, что ключ где-то продублирован: у бухгалтера, у подрядчика, в архиве на сервере. С подписью из УЦ ФНС это не так по регламенту, а с неизвлекаемыми ключами не так технически — закрытый ключ рождается и умирает внутри токена. Проверьте это до того, как начнёте перебирать PIN-коды: если копии нет, каждая попытка стоит дороже.»

Отзыв и перевыпуск сертификата: порядок, сроки и документы

Когда доступ потерян окончательно, задача переходит из технической плоскости в юридическую. По части 1 статьи 10 Федерального закона № 63-ФЗ «Об электронной подписи» участники электронного взаимодействия обязаны обеспечивать конфиденциальность ключей и уведомлять выдавший сертификат удостоверяющий центр о нарушении конфиденциальности ключа не позднее одного рабочего дня со дня, когда об этом стало известно. Утеря пароля сама по себе компрометацией не является, но если носитель потерян или мог попасть в чужие руки, срок в один рабочий день уже работает.

Прекращение действия сертификата по заявлению владельца предусмотрено частью 6 статьи 14 того же закона, а часть 7 задаёт срок: информация о прекращении действия вносится удостоверяющим центром в реестр сертификатов в течение двенадцати часов с момента наступления обстоятельств либо с момента, когда центр о них узнал. Действие сертификата прекращается именно в момент внесения записи в реестр, а не в момент подачи заявления.

Как перевыпустить подпись после утери пароля: пошаговая инструкция

1. Шаг 1. Определите, где выпускался сертификат. Руководитель организации и индивидуальный предприниматель получают квалифицированный сертификат в удостоверяющем центре ФНС России, сотрудник как физическое лицо — в коммерческом аккредитованном удостоверяющем центре.
2. Шаг 2. Подайте заявление на аннулирование или прекращение действия сертификата в тот центр, который его выдал. Удаление контейнера с компьютера заявление не заменяет.
3. Шаг 3. Подготовьте комплект для нового выпуска: документ, удостоверяющий личность, СНИЛС, ИНН и сертифицированный носитель. Если документы подаёт представитель, потребуется доверенность.
4. Шаг 4. Явитесь в точку выдачи лично. Дистанционный перевыпуск в личном кабинете возможен только при входе по действующей квалифицированной подписи, ранее полученной в ФНС, а при заблокированном токене такой вход невозможен.
5. Шаг 5. Установите новый сертификат на рабочее место: драйверы носителя, КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, корневые сертификаты Минцифры России и удостоверяющего центра, плагин КриптоПро ЭЦП Browser Plug-in.
6. Шаг 6. Задайте новый пароль контейнера и PIN-код носителя и зафиксируйте их в защищённом хранилище паролей, а не в заметке на рабочем столе.
7. Шаг 7. Обновите доступы в системах, где подпись использовалась: операторы ЭДО, торговые площадки, кабинеты ведомств, машиночитаемые доверенности.

Актуальный порядок выдачи, перечень документов и адреса точек выдачи публикует ФНС в разделе Удостоверяющий центр ФНС России: там же указано требование о личном присутствии при получении квалифицированного сертификата.

Важный нюанс из практики: в спорах по кадровому документообороту суд смотрит не на визуальный штамп подписи на документе, а на файлы подписи и на локальные акты, вводящие электронный документооборот. Штамп в PDF юридической силы не несёт, это визуализация для читателя, поэтому при выгрузке архива нужно сохранять и сам документ, и файл подписи к нему.

Образцы заявлений и форм для отзыва и перевыпуска подписи

Комплект собран под ситуацию с потерянным доступом: начинать стоит с заявления на аннулирование, дальше идут документы на новый выпуск.

Что будет с ранее подписанными документами, МЧД и доступом в КЭДО

Отзыв сертификата не отменяет задним числом всё, что вы подписали раньше, но и не гарантирует автоматически обратного. Доказательством момента подписания служит усовершенствованный формат подписи: штамп доверенной службы времени фиксирует точное время и хэш документа, а ответы службы проверки статуса подтверждают, что на момент подписания сертификат не был отозван. Без этих элементов после отзыва становится трудно доказать, когда именно файл был подписан.

Сам файл подписи при этом никуда не девается. Открепленная подпись лежит рядом с документом отдельным файлом с расширением sig или p7s, и для проверки в сервис нужно загружать оба файла: и документ, и подпись. Присоединённая подпись хранится в одном файле с документом, но открыть такой файл без специальной программы не получится.

С машиночитаемой доверенностью история отдельная. МЧД — это XML-файл, в котором указаны данные доверителя, данные представителя и коды полномочий из классификатора. Подпись сотрудника выпускается на физическое лицо, а полномочия подтверждаются приложенной МЧД. При перевыпуске сертификата на того же человека его идентификационные данные не меняются, но состав документов, которые вы прикладываете при подписании, стоит перепроверить в каждой системе, где вы работаете: требования к комплекту задают операторы и ведомства, а не общее правило.

Важный нюанс из практики: подпись физического лица, записанная в реестр рабочего компьютера, после увольнения сотрудника не исчезает сама, а выданная на него МЧД продолжает лежать в системах. Отзывать такую подпись должен владелец, направив заявление в выдавший её центр, поэтому в чек-лист увольнения этот пункт нужно вносить наравне со сдачей пропуска.

Мария Ж, судебный эксперт по трудовому праву: «Ответственность за хранение ключа лежит на его владельце, и это работает против сотрудника ровно так же, как против компании. Мы советуем вести реестр выданных сертификатов с датами окончания и отметкой об отзыве: без такого реестра при увольнении и при утере пароля никто не помнит, какие подписи на человеке вообще числятся.»

В системах КЭДО картина проще. Работник подписывает кадровые документы простой или усиленной неквалифицированной подписью, которую выдаёт работодатель в самой системе по правилам статьи 22.3 ТК РФ и 377-ФЗ, а формирование и использование УНЭП через Госключ регулирует постановление Правительства РФ от 01.12.2021 № 2152. Пароля от криптографического контейнера у сотрудника здесь нет вовсе: теряется только пароль от личного кабинета, и он сбрасывается штатно. В сервисе Добыто подпись сотрудника выпускается внутри платформы, поэтому сценарий с заблокированным токеном для кадровых документов не возникает.

Во что обходится потерянный пароль

Прямые расходы на перевыпуск в удостоверяющем центре ФНС нулевые: сертификат руководителю выдают бесплатно. Считать нужно другое.

Первое — время простоя. Пока подпись не перевыпущена, останавливается всё, что на неё завязано: сдача отчётности, подписание договоров, участие в закупках, работа в кабинетах ведомств. Личная явка в точку выдачи означает как минимум один рабочий день, выпавший из графика ответственного сотрудника.

Второе — каскад в смежных системах. После перевыпуска приходится заново устанавливать сертификат на рабочих местах, переустанавливать корневые сертификаты, перепроверять доверенности и доступы. На одном контуре это полчаса, на десятке рабочих мест в подразделениях — несколько дней силами администратора.

Третье — риск испорченного доказательства. Если документ подписан без штампа времени, а сертификат затем отозван, доказывать момент подписания придётся косвенно: логами входов, журналами действий пользователя в системе, перепиской. Это работает, но хуже, чем усовершенствованный формат подписи, и в споре обходится дороже.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Перед раскаткой на всю компанию мы всегда проходим пилотной группой: на ней видно, у скольких сотрудников подпись вообще привязана к личному токену и сколько людей не помнят своих паролей. Соберите такую выборку до старта проекта, иначе половина сроков внедрения уйдёт на разбор индивидуальных случаев с доступом.»

Если вы читаете этот раздел как работодатель и понимаете, что учёта выданных сотрудникам подписей у вас нет, начинать нужно не с закупки токенов. В практике Добыто мы сначала собираем реестр действующих сертификатов и сроков, а затем переводим массовое подписание в КЭДО, где подпись выдаётся и отзывается централизованно.

Когда перевыпускать подпись не нужно

Есть ситуации, в которых утеря пароля не требует ни отзыва, ни новой процедуры выдачи.

• Сертификат и так истекает в ближайшие дни. Отзывать его отдельно смысла нет: подпись прекратит действие по сроку, и вы просто получаете новую в плановом порядке.
• Забыт пароль от кабинета, а не от контейнера. Сброс пароля в системе решает вопрос за минуты, сертификат при этом не трогается.
• Подпись использовалась только для кадровых документов внутри КЭДО. Восстанавливается доступ в кабинет, ранее подписанные документы остаются в архиве.
• PIN-код пользователя заблокирован, но PIN-код администратора известен. Разблокировка через панель управления возвращает работу с тем же контейнером.

Обратная граница тоже важна. Если носитель потерян физически, а не просто забыт пароль, отзыв обязателен независимо от того, насколько неудобно это в моменте: закон требует уведомить удостоверяющий центр о нарушении конфиденциальности ключа не позднее одного рабочего дня.

Стоимость подключения КЭДО и электронных подписей сотрудникам

Стоимость зависит от численности сотрудников, набора видов подписи и необходимости интеграции с учётной системой. Тарифы ниже приведены по действующей странице тарифов сервиса.

Итоговая сумма складывается из численности и выбранного набора функций: на тарифе «Бизнес» действует минимальная оплата 50 сотрудников за 30 000 ₽ в год, а расширенные требования по SLA и выделенному серверу считаются отдельно. Полный состав тарифов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.

Отдельная статья расходов при бумажном сценарии — выпуск и обслуживание аппаратных носителей для каждого сотрудника. В КЭДО подписи ПЭП и УНЭП выпускаются бесплатно на всех тарифах, а УКЭП оформляется через партнёров-удостоверяющих центров, когда она действительно нужна конкретной роли.

Выводы

Пароль от контейнера закрытого ключа не восстанавливается, поэтому исход определяется тем, что именно потеряно и на каком носителе лежит ключ. Токен с известным PIN-кодом администратора разблокируется без потерь, контейнер с сохранённым в КриптоПро паролем читается утилитой csptest, а Госключ и заблокированный администраторский PIN-код означают выпуск нового сертификата. Юридическая часть при этом жёсткая: заявление подаётся в выдавший центр, запись о прекращении действия вносится в реестр в течение двенадцати часов, а о нарушении конфиденциальности ключа нужно сообщить не позднее одного рабочего дня.

Отдельно стоит развести личную подпись руководителя и массовое подписание кадровых документов. Мы в Добыто выдаём сотрудникам ПЭП и УНЭП внутри платформы и ведём реестр действующих сертификатов, поэтому забытый пароль от токена не останавливает оформление отпуска, перевода или ознакомления с локальным нормативным актом.

Частые вопросы

Можно ли скопировать контейнер на второй компьютер, чтобы не остаться без подписи

Зависит от флага экспортируемости, который криптопровайдер задаёт при генерации или копировании контейнера. Экспортируемый контейнер копируется штатными средствами КриптоПро CSP, неэкспортируемый копировать запрещено. Ключи, полученные в удостоверяющем центре ФНС, всегда неэкспортируемые по регламенту центра, а неизвлекаемые ключи, сгенерированные криптоядром токена, не покидают устройство физически.

Что делать, если пароль знал уволившийся сотрудник, а подпись выпущена на него как на физическое лицо

Отозвать такой сертификат может только его владелец, направив заявление в выдавший удостоверяющий центр. Работодатель самостоятельно аннулировать чужой сертификат не может, поэтому пункт про отзыв подписи и снятие полномочий по МЧД нужно закреплять в процедуре увольнения и фиксировать в реестре выданных сертификатов.

Останутся ли действительными документы с подписью в формате p7s, подписанные до отзыва сертификата

Файл открепленной подписи с расширением p7s или sig сохраняется и проверяется вместе с исходным документом. Подтвердить, что подпись поставлена в период действия сертификата, помогает усовершенствованный формат: штамп доверенной службы времени и ответы службы проверки статуса сертификата. Если этих элементов нет, момент подписания придётся доказывать косвенными данными, например журналами входов и действий в системе.

Нужно ли платить за перевыпуск квалифицированной подписи

Квалифицированный сертификат руководителю организации и индивидуальному предпринимателю удостоверяющий центр ФНС России выдаёт бесплатно. Отдельно оплачиваются сертифицированный ключевой носитель, если он не сохранился, и лицензия на криптопровайдер в тех случаях, когда она не вшита в сертификат.

Поможет ли смена пароля контейнера, если PIN-код токена ни разу не меняли

Нет, это разные уровни защиты. Пока на токене стоит заводской PIN-код вроде 12345678 у Рутокена или 0987654321 у приложения ГОСТ на JaCarta, доступ к хранилищу открыт любому, кто держит носитель в руках. Менять нужно оба значения: и PIN-код пользователя носителя, и пароль контейнера.

Что делать, если забыт пароль от приложения Госключ

Другого способа входа, кроме пароля, заданного при первом запуске приложения, не предусмотрено: закрытая часть ключа хранится на самом устройстве. Прежнюю подпись восстановить нельзя, выпускается новая через подтверждённую учётную запись на Госуслугах, и у неё будет собственный срок действия. Для выпуска квалифицированной подписи в приложении дополнительно понадобятся биометрический загранпаспорт нового образца и смартфон с NFC.