Электронная подпись нужна электронному документообороту для того, чтобы файл стал документом: она фиксирует автора, подтверждает неизменность текста после подписания и лишает подписанта возможности отказаться от авторства. Без подписи в системе хранится копия текста, которую вторая сторона оспорит без особых усилий. 63-ФЗ делит подписи на три вида: ПЭП фиксирует только факт подписания и не позволяет проверить целостность документа, УНЭП и УКЭП строятся на криптографическом преобразовании и показывают любое изменение файла. Главное различие, от которого зависит вся конструкция обмена: УКЭП равнозначна собственноручной подписи по закону и не требует соглашений с контрагентом, а ПЭП и УНЭП работают только внутри регламента или соглашения между участниками обмена.
Разберём, какие подписи каким документам положены, как сотрудник подписывает от лица компании через машиночитаемую доверенность и что должно попасть в её данные, какая инфраструктура нужна на рабочем месте и почему файл .p7s рядом с договором означает нормальную работу, а не сбой. Покажем, что делать с сертификатом уволенного сотрудника и с забытым паролем от контейнера. Стоимость подключения на 2026 год, чек-лист перед запуском, образцы регламентов и реестра сертификатов ждут во второй половине статьи.
Что электронная подпись даёт документообороту организации
Три функции подписи в электронном обмене: контроль целостности и неизменности документа, установление авторства и невозможность отказа от авторства. При собственноручной подписи спор решает почерковедческая экспертиза. При электронной подписи действует другая логика: подписавшим считается владелец сертификата ключа проверки подписи, и именно поэтому конфиденциальность ключа становится обязанностью участника обмена, а не пожеланием.
Механика простая. Для усиленных подписей сначала вычисляется хэш — результат однонаправленного математического преобразования содержимого документа, затем этот хэш подписывается ключом. Проверяющая сторона вычисляет хэш заново и сверяет его с тем, что зашит в подпись. Совпали — в документ после подписания не вносили изменений. Не совпали — проверка даёт отрицательный результат, и дальше спорить не о чем. У простой электронной подписи такого преобразования нет: она фиксирует факт подписания и не даёт способа доказать, что текст остался прежним.
Отсюда практический вывод для руководителя. Электронный документооборот без подписи экономит бумагу и курьера, но не создаёт доказательств. Как только возникает спор с контрагентом, работником или проверяющим, значение имеет электронный оригинал с файлом подписи, который можно проверить.
Внимание: распечатка PDF со штампом «документ подписан электронной подписью» сама по себе юридической значимостью не обладает. Значимость несёт электронный оригинал с файлом подписи, который вторая сторона может проверить.
Мария Ж, специалист по цифровой подписи и КЭДО: «Самая частая ошибка в обмене — отправить контрагенту красивый PDF со штампиком и считать вопрос закрытым. Такой файл знакомит человека с содержанием документа, и на этом его роль заканчивается. Отправляйте электронный оригинал вместе с файлом подписи: только по этой паре получатель построит цепочку сертификатов и убедится, что текст не правили после подписания.»
Виды электронной подписи и что чем подписывают в компании
Все три вида подписи по 63-ФЗ объединяет одно свойство: каждая должна позволять установить лицо, подписавшее документ. Дальше начинаются различия, и именно они определяют, какие документы вы сможете подписывать, а какие придётся оставить на бумаге.
Юридическая сила простой и неквалифицированной подписи возникает не сама по себе. Нужно либо прямое указание федерального закона или подзаконного акта, либо соглашение между участниками электронного взаимодействия, где описаны порядок создания подписи, порядок её проверки и разбор конфликтных ситуаций. У квалифицированной подписи такого требования нет: документ, подписанный УКЭП, по закону равнозначен бумажному с собственноручной подписью, и дополнительных соглашений для этого заключать не надо.
| Вид подписи | Что подтверждает | На чём держится сила | Где применяется в организации |
|---|---|---|---|
| ПЭП | Только факт подписания. Целостность документа не проверяется | Правила оператора информационной системы или соглашение сторон, правила определения лица, подписавшего документ | Ознакомление с ЛНА, заявления работника, внутренние согласования невысокого риска |
| УНЭП | Авторство и отсутствие изменений после подписания | Соглашение участников либо нормативный акт. Сертификат выпускает внешний или внутренний удостоверяющий центр | Кадровые документы в КЭДО со стороны работника, внутренний документооборот компании |
| УКЭП | Авторство и неизменность плюс квалифицированный сертификат аккредитованного УЦ и сертифицированные ФСБ средства подписи | Прямая норма 63-ФЗ: равнозначна собственноручной подписи, соглашение не требуется | Трудовые договоры, договоры о материальной ответственности, ученические договоры, приказы о дисциплинарном взыскании, уведомления об изменении условий трудового договора, отчётность, обмен с контрагентами |
| Обезличенный сертификат юрлица | Что документ сформирован информационной системой организации без участия человека | Часть 3 статьи 14 63-ФЗ, автоматическое создание и проверка подписи в информационной системе | Массовые машинные документы: квитанции, счета, автоматические запросы в госсистемы. Первичные учётные документы им не подписывают |
Строка про обезличенный сертификат объясняет, почему нельзя закрыть весь поток документов одним «служебным» ключом на сервере. Он выдаётся на юридическое лицо и привязывается к информационной системе, сотрудники им не пользуются, и первичку он не закрывает. Для документов, которые подписывает человек, придётся выдавать сертификаты людям.
Факт: для квалифицированной подписи достаточно выполнить требования 63-ФЗ — соглашение с получателем документа заключать не нужно, включая обмен с органами власти. Для ПЭП и УНЭП соглашение или регламент оператора информационной системы обязателен.
В практике Добыто ПЭП и УНЭП для сотрудников выпускаются внутри сервиса, а отдельный поход в удостоверяющий центр остаётся нужен только под УКЭП. Это заметно меняет расчёт: разговор о цене подписи сводится к тем ролям, которым квалифицированная подпись действительно нужна.
Проверьте, какая подпись стоит на вашем документе
Добыто · Проверка подписи
Что за файл пришёл с документом
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Кто подписывает от лица компании: сертификат физлица и МЧД
С 1 сентября 2024 года дубликаты электронной подписи сотрудникам не передают. Схема стала двухсоставной: сотрудник получает квалифицированный сертификат на себя как на физическое лицо, а компания выпускает ему машиночитаемую доверенность, подписанную УКЭП руководителя. Руководитель организации и индивидуальный предприниматель получают сертификат в удостоверяющем центре ФНС, остальные сотрудники — в аккредитованных коммерческих удостоверяющих центрах.
МЧД по своей природе XML-файл. Внешне её можно выгрузить в PDF, и она будет похожа на бумажную доверенность, но работает документ иначе: его читает не человек, а алгоритм на стороне получателя. Алгоритм проверяет, есть ли у подписанта нужные полномочия, действует ли доверенность и подходит ли она для этого документа. Юридическую силу в 2026 году имеют только доверенности, зарегистрированные в едином реестре машиночитаемых доверенностей ФНС: там же контрагент проверит вашу доверенность, а вы — его.
Данные МЧД определяют, что сотрудник вообще сможет подписать. В доверенность входят сведения о доверителе, о представителе, срок действия и перечень полномочий. Полномочия берутся из классификатора: у каждого есть код, дата и уникальный идентификационный номер, и в файл попадает именно код. Если полномочия в классификаторе нет, компания вправе направить свой перечень в Минцифры: на рассмотрение отводится 10 дней, после положительного решения на присвоение кодов и включение в классификатор — три рабочих дня.
Отдельная тема — филиалы. Сведения о доверителе теперь допускают указание не только головного юридического лица, но и филиала, представительства или иного обособленного подразделения. Если МЧД в порядке передоверия выдаёт директор организации или её филиала, нотариальное удостоверение не требуется. В остальных цепочках передоверия нотариус нужен: он формирует новую доверенность, подписывает её своей квалифицированной подписью и выгружает в информационную систему. Срок действия доверенности, выданной в порядке передоверия, не превышает срока первоначальной МЧД.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, юрист со стажем более 20 лет: «Перед тем как заводить МЧД на весь коммерческий отдел, откройте классификатор полномочий и найдите там свои коды. Если нужного полномочия нет, направляйте перечень в Минцифры заранее: рассмотрение занимает 10 дней, ещё три рабочих дня уходит на присвоение кодов. Планировать выдачу доверенностей на завтра, не проверив классификатор, смысла нет.»
Как дать сотруднику право подписывать от лица компании: пошаговая инструкция
- Шаг 1. Определите роли, которым нужна подпись от лица организации, и конкретные документы по каждой роли. Для части задач хватит подписи работника в КЭДО, и МЧД там не понадобится.
- Шаг 2. Получите УКЭП руководителя в удостоверяющем центре ФНС. Без неё выпустить машиночитаемую доверенность не получится.
- Шаг 3. Оформите сотруднику квалифицированный сертификат физического лица в аккредитованном удостоверяющем центре. Список документов и порядок идентификации задаёт регламент конкретного центра, он публикуется на его сайте.
- Шаг 4. Сформируйте МЧД с кодами полномочий из классификатора, укажите срок действия и подпишите её УКЭП руководителя. Отсоединённая подпись доверенности создаётся отдельным файлом.
- Шаг 5. Загрузите XML-файл доверенности и файл подписи в распределённый реестр и дождитесь регистрации.
- Шаг 6. Внесите сотрудника, номер сертификата, срок действия и объём полномочий в реестр подписей компании. Без такого учёта отзыв доверенности при увольнении превращается в поиск по переписке.
Инфраструктура подписи: провайдер, носитель, формат файла
Криптопровайдер — программа, которая считает хэш и формирует подпись. Для квалифицированной подписи она должна быть сертифицирована ФСБ. Практический стандарт рынка — КриптоПро CSP, и версия здесь имеет значение: провайдеры семейства 3.6-4.0 работают только с пассивными носителями, где закрытый ключ на время операции выгружается в оперативную память компьютера. Версия 5.0 и старше умеет работать с активными носителями, где ключ формируется внутри токена и никогда его не покидает.
Ключи делятся на извлекаемые и неизвлекаемые. Извлекаемый ключ генерирует программный криптопровайдер, а токен выступает хранилищем под пин-кодом. Неизвлекаемый ключ рождается внутри криптоядра токена и наружу не выходит: скопировать его невозможно. Существование ключа в единственном экземпляре и единоличное владение им — то, на чём держится невозможность отказа от авторства, и обеспечить это хранением ключа в реестре компьютера нельзя. Из сертифицированных ФСБ носителей на рынке применяются Рутокен ЭЦП 3.0 и ESMART Token ГОСТ: оба формируют подпись с неизвлекаемым закрытым ключом.
Полезно знать: встроенная криптография на токене не равна установленному криптопровайдеру. Если информационная система требует КриптоПро CSP, программу нужно поставить на компьютер и ввести лицензию. В сертификатах удостоверяющего центра ФНС лицензия вшивается внутрь сертификата и действует ровно столько, сколько сам сертификат.
Формат файла подписи вызывает больше всего вопросов у руководителей, которые впервые видят рядом с договором посторонний файл. Подпись бывает присоединённой, когда она включена внутрь документа, и отсоединённой, когда лежит рядом отдельным файлом. Отсоединённая подпись — это контейнер формата PKCS#7, он же CMS, и на диске он получает расширение .p7s, .sig или .sgn. Расширение выбирается в настройках программы подписи и на содержимое не влияет: внутри тот же контейнер CAdES-BES. Для проверки получателю нужны оба файла — документ и подпись.
Отдельно стоит вопрос с письмами. Подписать и зашифровать можно не только вложение, но и само письмо: часть средств подписи содержит собственный почтовый клиент, а на стороне получателя защищённое сообщение открывается почтовым клиентом с поддержкой гостового S/MIME. Если такой поддержки нет, адресат увидит зашифрованный контейнер и без специального программного обеспечения его не прочитает. Этот момент лучше согласовать с контрагентом до того, как вы начнёте отправлять ему подписанные письма.
Что ломается на практике и во что это обходится
Цена ошибки в подписи считается не стоимостью переоформления документа. Кадровый документ, подписанный не тем видом подписи, для государственной инспекции труда просто не существует: по части 1 статьи 5.27 КоАП это штраф от 30 000 до 50 000 рублей на организацию, а в суде такой документ не работает как доказательство. Договор с контрагентом, подписанный ключом, сертификат которого к моменту подписания истёк, проверку у второй стороны не пройдёт.
Второй источник потерь — компрометация ключа. Если есть подозрение, что конфиденциальность ключа нарушена, участник обмена обязан уведомить удостоверяющий центр и других участников взаимодействия, а сертификат отозвать. После включения сертификата в список отозванных подпись под документами, подписанными позже, проверку не проходит. Копиями скомпрометированного ключа пользоваться нельзя даже технически: нужны новые ключи и новый сертификат.
Лайфхак: при потере токена не ждите выяснения обстоятельств. Сообщите в удостоверяющий центр и отзовите сертификат сразу — до отзыва все документы, подписанные найденным ключом, будут проверяться как действительные.
Важный нюанс из практики: вопрос «как показать электронные кадровые документы при выездной проверке» решается передачей электронного оригинала вместе с файлом подписи. Проверяющие вправе проверить подпись самостоятельно, поэтому распечатка со штампом годится только для ознакомления с содержанием.
Учёт сертификатов: журнал, который экономит недели
Реестр сертификатов сотрудников решает четыре задачи: кто владеет каким ключом, до какой даты он действует, какие полномочия закрыты машиночитаемой доверенностью и что нужно отозвать при увольнении. Без реестра компания узнаёт об истёкшем сертификате главного бухгалтера в день сдачи отчётности. Ведётся он как обычная таблица, но обновляется одновременно с кадровыми событиями: приём, перевод, изменение полномочий, увольнение.
Забытый пин-код от контейнера — отдельная строка расходов. Восстановлению он не подлежит, поэтому ситуация решается либо администратором с правами на сброс, либо перевыпуском ключей и сертификата. Заранее решённый вопрос о том, кто в компании имеет право сбрасывать пин-коды и по какой процедуре, стоит дешевле, чем срочный перевыпуск в день сдачи отчётности.
Регламенты и образцы для запуска подписи в документообороте
Комплект закрывает три узла: правила обмена, учёт сертификатов и подтверждение результата проверки. Начните с соглашения об использовании ПЭП и НЭП — без него неквалифицированные подписи юридической силы не имеют.
| Документ | Скачать |
|---|---|
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Машиночитаемая доверенность (МЧД): образец и структура XML | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
Мария Ж, соучредитель сервиса КЭДО Добыто: «Регламент применения подписи пишется до первого подписанного документа. В нём должны быть три вещи: порядок создания подписи, порядок её проверки и порядок разбора конфликтных ситуаций. Если этих разделов нет, неквалифицированная подпись в споре защищается плохо.»
Долговременная сила подписи: почему архив требует отдельного решения
Срок действия ключа подписи и срок действия ключа проверки подписи различаются, и оба конечны. Подписывать документ можно до истечения срока действия ключа подписи, проверять — до истечения срока действия ключа проверки. Кадровые и финансовые документы живут дольше любого сертификата, поэтому для архива подпись усовершенствуют: в неё добавляют штамп времени, ответ службы актуальных статусов сертификатов о действительности сертификата на момент подписания и архивную метку, которая заверяет обе предыдущие. Обычная подпись CMS так превращается в формат CAdES-X Long Type 1, и её можно проверить спустя годы после окончания срока сертификата.
Нормативная рамка хранения к электронным документам применяется та же, что к бумажным. 125-ФЗ об архивном деле даёт организации право самостоятельно создавать архив и организовывать хранение, а требования к системам задаёт приказ Росархива от 15 июня 2020 года о типовых функциональных требованиях к системам электронного документооборота и системам хранения электронных документов. Стратегию долговременной сохранности описывает ГОСТ Р 57762-2017: читаемость, интерпретируемость, идентифицируемость, доступность, аутентичность, конвертация, миграция, безопасность.
В практике Добыто подписанный документ и файл подписи хранятся в электронном архиве одной связкой, вместе с протоколом проверки. Это снимает основную часть вопросов при выгрузке комплекта для проверяющих: документ, подпись и результат её проверки лежат в одном месте.
Мария Ж, судебный эксперт по трудовому праву: «Документ, который вы храните 50 лет, и документ, который живёт квартал, требуют разной подписи. Для короткого цикла достаточно обычной CMS, для архива нужна усовершенствованная подпись со штампом времени и подтверждением статуса сертификата. Проверьте, какие сроки хранения стоят в вашей номенклатуре дел, и только после этого выбирайте формат.»
Когда усиленная подпись задачу не решает
Часть документооборота усиленной подписи не требует, и попытка закрыть ею всё подряд удорожает проект без выигрыша. Внутренние согласования, ознакомление с локальными нормативными актами, заявления работника закрываются простой электронной подписью, если в компании утверждён порядок её применения и каждый работник под ним подписался. Логин в домене при таком порядке становится ключом простой подписи, а определение лица, подписавшего документ, обеспечивается приказом о присвоении учётных записей.
Обезличенный сертификат юрлица тоже не универсален. Он подходит для автоматического подписания квитанций, счетов и запросов в государственные системы, но подписывать им первичные учётные документы нельзя: требование о подписании руководителем или уполномоченным лицом при таком сценарии не выполняется.
Третье ограничение техническое. Через терминальную сессию по протоколу RDP работа с токеном, физически подключённым к удалённой машине, не предусмотрена: протокол не поддерживает удалённые смарт-карты. Токен должен быть в руках подписанта и пробрасываться в терминальный сеанс, а канал при этом защищаться. Если сценарий работы построен на общем токене, который лежит в офисе, проект придётся перестраивать.
Дальше выбор упирается в контур обмена. Сценарная таблица показывает, что критично в каждом случае и что можно отложить.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Кадровый документооборот с работниками | УКЭП работодателя на трудовых договорах и приказах о дисциплинарном взыскании, согласия работников, ЛНА о переходе на КЭДО | Формат файла подписи, метки времени на документах короткого хранения |
| Обмен с контрагентами | УКЭП, МЧД на подписантов, согласованный формат подписи и порядок передачи файла подписи | Внутренние правила применения ПЭП |
| Отчётность и запросы в госорганы | Действующий квалифицированный сертификат, полномочия из классификатора, регистрация МЧД в реестре ФНС | Визуализация подписи на печатной форме |
| Архив с длительными сроками хранения | Усовершенствованная подпись со штампом времени и подтверждением статуса сертификата, план миграции форматов | Модель токена и версия криптопровайдера на рабочих местах |
Общая закономерность: чем длиннее срок жизни документа и чем дальше получатель от вашего контура, тем строже требования к подписи. Внутри компании допустимы упрощения, за её пределами их не остаётся.
Что проверить до запуска подписи в электронном документообороте
- Перечень документов по видам с указанием, какая подпись требуется каждому виду.
- Наличие соглашения или регламента для ПЭП и УНЭП с порядком создания, проверки подписи и разбора конфликтных ситуаций.
- Список ролей, которым нужна УКЭП, и ролей, которым достаточно подписи внутри системы.
- Версия криптопровайдера на рабочих местах и совместимость с моделями токенов, которые уже закуплены.
- Сроки хранения по номенклатуре дел и решение по усовершенствованию подписи для длительного хранения.
- Порядок отзыва сертификата и МЧД при увольнении, а также ответственный за сброс пин-кодов.
Мы закладываем пилотную группу перед раскаткой на всю компанию: она снимает основную часть ошибок настройки до того, как в процесс войдут сотни человек.
Стоимость подключения документооборота с электронными подписями
Цена складывается из численности сотрудников, набора видов подписи и требований к интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | рассчитывается индивидуально |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за один день |
Итоговая сумма зависит от численности и выбранного набора функций: кастомные шаблоны, электронный архив и интеграция с 1С доступны начиная с тарифа «Бизнес», выделенный сервер и SLA — только в «Корпорации». Условия по каждому тарифу и состав функций собраны на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных. Переход между тарифами возможен в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Электронная подпись превращает файл в документ, который выдержит проверку и спор: она удерживает авторство, фиксирует неизменность текста и закрывает отказ от авторства. Вид подписи диктуют адресат документа и срок его жизни: за пределами компании и в длительном архиве работает квалифицированная подпись, усовершенствованная штампом времени и подтверждением статуса сертификата. Право сотрудника подписывать от лица организации сегодня держится на связке личного сертификата и машиночитаемой доверенности с кодами полномочий, а порядок отзыва при увольнении стоит описать до первого увольнения.
Сервис Добыто закрывает эту часть работы целиком: выпуск ПЭП и УНЭП для сотрудников, маршруты подписания, электронный архив и выгрузку комплекта документов вместе с файлами подписей для проверяющих.
Частые вопросы
Можно ли передать токен с ключом подписи секретарю или заместителю?
63-ФЗ передачу ключа третьим лицам не регламентирует, но обязывает участника взаимодействия не допускать использования своего ключа без его согласия. Возникает юридический казус: при бумажной доверенности представитель ставит собственную подпись и сам отвечает за содержание документа, а при передаче токена подпись формально принадлежит владельцу сертификата. Допустимый компромисс — подписание помощником в присутствии владельца ключа. Раздать токены по отделу и считать вопрос решённым нельзя: ответственность останется на владельце сертификата.
Что делать, если сотрудник забыл пин-код от контейнера с ключом?
Пин-код к токену не восстанавливается. Возможны два пути: сброс администратором, если в компании настроены соответствующие политики безопасности и известен административный пин, либо перевыпуск ключей и сертификата в удостоверяющем центре. В моделях последних линеек политики пин-кодов хранятся внутри токена, а не на конкретном рабочем месте, поэтому смена компьютера ситуацию не меняет.
Нужно ли прописывать применение электронной подписи в инструкции по делопроизводству?
Для квалифицированной подписи это желательно, но не обязательно: её сила установлена законом. Для неквалифицированной и простой подписи комплект внутренних документов обязателен — без порядка создания подписи, порядка проверки и правил определения лица, подписавшего документ, юридическая значимость не возникает.
Можно ли считать переписку в корпоративной почте подписанной простой электронной подписью?
Только если это оформлено. Нужен внутренний документ, который устанавливает порядок применения простой электронной подписи, приказ о присвоении учётных записей конкретным сотрудникам и подпись каждого работника под этим порядком. При таких условиях доменный пароль выступает ключом простой подписи, а действия из учётной записи считаются подписанием. Без оформления письмо остаётся просто письмом.
Сколько сертификатов помещается на один токен?
Зависит от формата ключей и объёма самих сертификатов. На носителе со 128 килобайтами защищённой памяти при программных извлекаемых ключах помещается до 31 контейнера. Если удостоверяющий центр записывает в сертификат большой объём дополнительных расширений, один контейнер занимает до 12 килобайт, и тогда реальная вместимость падает примерно до десяти.
Можно ли хранить на одном носителе ключи по ГОСТ и по зарубежным алгоритмам?
Да, это штатный сценарий. Часто на одном токене у сотрудника лежит ключ для аутентификации в корпоративной сети и гостовый ключ для подписи документов. Запрета на такое совмещение нет, технически оно поддерживается.
Действителен ли документ после окончания срока действия сертификата?
Документ остаётся действительным, но проверить подпись обычными средствами после истечения срока проверки уже не получится. Чтобы юридическая значимость сохранялась годами, подпись усовершенствуют на этапе подписания или переподписывают в архиве: добавляют штамп времени, подтверждение статуса сертификата на момент подписания и архивную метку. Периодическую проверку архива на документы, требующие переподписания, лучше поставить на регламент.
