Записать электронную подпись на токен через криптопровайдер значит выполнить две операции: создать ключевой контейнер на носителе и установить в него личный сертификат. Порядок такой: драйверы носителя, КриптоПро CSP не ниже 5.0 R2 сборки 12000, корневые сертификаты Минцифры России и УЦ ФНС России, затем вкладка «Сервис» и кнопка «Просмотреть сертификаты в контейнере». Переписать готовую квалифицированную подпись с одного токена на другой в общем случае нельзя: УЦ ФНС России по регламенту выдает только неэкспортируемый контейнер. Главное различие, от которого зависят и порядок действий, и выбор железа: контейнер с извлекаемым ключом в режиме ЦСП работает на КриптоПро CSP 4.0 и выше и копируется, если при генерации был задан флаг экспорта, а неизвлекаемый ключ ФКН или PKCS#11 требует линейки 5.0 и не копируется никогда.
Разберем, что физически лежит на носителе, чем режимы контейнера отличаются по совместимости и что выбрать, если сотрудник подписывает с разных машин. Покажем пошаговую запись сертификата, диагностику перед выдачей носителя и разбор ошибок, из-за которых записанная подпись не проходит проверку. Таблица совместимости режимов и версий CSP, сценарная таблица по типам задач, стоимость подключения КЭДО на 2026 год и ответы на частые вопросы про PIN-коды, лимит контейнеров и лицензии находятся во второй половине статьи.
Что физически происходит при записи подписи на токен
На носителе лежит не «подпись», а ключевой контейнер и сертификат. Закрытый ключ формирует подпись и существует в единственном экземпляре, открытый ключ нужен для проверки, а сертификат связывает открытый ключ с владельцем и выдается аккредитованным удостоверяющим центром. Закрытый ключ создается раньше сертификата: сначала генерируется ключевая пара и запрос, и только потом удостоверяющий центр выпускает сертификат под этот запрос. Поэтому запись сертификата на токен возможна только в тот контейнер, где лежит соответствующий закрытый ключ. Если контейнер потерян или отформатирован, сертификат ставить некуда, и задача превращается в перевыпуск.
Ключи на токене делятся на две категории. Программные, или извлекаемые, генерируются криптопровайдером на рабочей станции, а токен работает как защищенное PIN-кодом хранилище: при подписании закрытый ключ ненадолго попадает в оперативную память компьютера. Аппаратные, или неизвлекаемые, генерируются криптоядром внутри микроконтроллера токена и никогда его не покидают, поэтому скопировать их невозможно физически. Для первой категории подойдет любой носитель, совместимый с СКЗИ, для второй нужна модель с криптоядром.
Извлекаемые ключи, в свою очередь, бывают экспортируемые и неэкспортируемые. Флаг ставит программный криптопровайдер в момент генерации или копирования контейнера, и снять его задним числом нельзя. Проверить тип конкретного носителя и поддержку функционального ключевого носителя можно в панели управления носителя: там же видно объем свободной памяти и возможность смены PIN-кода пользователем.
Мария Ж, специалист по цифровой подписи и КЭДО: «Запрос «перенесите мне подпись на второй токен» почти всегда упирается не в программу, а в тип ключа. Сначала смотрим, какой контейнер выдан: если ключ неизвлекаемый или помечен как неэкспортируемый, копирование не запустится ни в одной утилите, и остается только перевыпуск сертификата. Уточняйте это до того, как обещаете сотруднику второй экземпляр.»
Подготовка рабочего места до записи подписи
Комплект программного обеспечения на рабочем месте под квалифицированную подпись УЦ ФНС России фиксирован: драйверы используемого носителя, СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, корневые сертификаты Минцифры России и УЦ ФНС России, личный сертификат ключа подписи, расширение криптоплагина для браузера и плагины конкретных информационных систем. Пропуск любого пункта дает ошибку не на этапе записи, а позже, при первом подписании на площадке.
Корневые сертификаты берутся на странице корневых сертификатов УЦ ФНС России, где выложены и сертификат Минцифры России, и сертификат самого удостоверяющего центра. Устанавливаются они в разные хранилища: сертификат Минцифры России в «Доверенные корневые центры сертификации», сертификат УЦ ФНС России в «Промежуточные центры сертификации».
Важный нюанс из практики: ошибка с хранилищем корневых сертификатов выглядит для пользователя как проблема с самой подписью. Документ подписывается, но цепочка доверия не строится, и получатель видит неподтвержденную подпись. Проверяется это за минуту в разделе сертификатов криптопровайдера, до того как заявка уйдет в поддержку удостоверяющего центра.
Факт: все релизы линейки КриптоПро CSP 5.0 — R1, R2 и R3 — сертифицированы по классам КС1, КС2 и КС3, сертификаты действуют до 1 мая 2027 года. Сертификат на КриптоПро CSP 4.0 действовал до 15 января 2026 года.
Лицензирование внутри линейки 5.0 единое: одна лицензия подходит и для 5.0 R2, и для 5.0 R3. При переходе с четвертой версии покупается лицензия на обновление, она дешевле новой. Отдельная логика у ключей УЦ ФНС России: лицензия на криптопровайдер вшивается внутрь сертификата и по сроку равна сроку действия сертификата подписи. В практике Добыто мы начинаем внедрение с инвентаризации парка: сводим версии CSP, типы носителей и сроки лицензий по рабочим местам, потому что до этого шага любая оценка сроков выдачи подписей остается предположением.
Как записать сертификат на токен и убедиться, что ключ читается
Запись сертификата в контейнер занимает несколько минут при условии, что подготовка выполнена. Если на этапе выбора контейнера список пуст, дальше идти бесполезно: либо не встали драйверы носителя, либо контейнер создан в другом считывателе, например в реестре Windows на другой машине.
Как записать электронную подпись на токен через КриптоПро CSP: пошаговая инструкция
- Шаг 1. Определите тип носителя визуально или по документам на выдачу и скачайте установочный пакет драйверов у производителя: Рутокен, Рутокен ЭЦП 2.0 для системы учета алкогольного рынка, JaCarta, ESMART Token. Установите драйвер в режиме по умолчанию и завершите установку.
- Шаг 2. Установите КриптоПро CSP. Дистрибутив вместе с плагином КриптоПро ЭЦП Browser Plug-in доступен на странице эксперимента по безвозмездному предоставлению программного обеспечения пользователям УЦ ФНС России, второй вариант — личный кабинет на сайте разработчика СКЗИ.
- Шаг 3. Установите оба корневых сертификата: сертификат Минцифры России в хранилище «Доверенные корневые центры сертификации», сертификат УЦ ФНС России в «Промежуточные центры сертификации».
- Шаг 4. Подключите носитель в USB-порт, запустите КриптоПро CSP и перейдите на вкладку «Сервис».
- Шаг 5. Нажмите «Просмотреть сертификаты в контейнере», затем «Обзор» и выберите контейнер электронной подписи на носителе. Если контейнеров несколько, ориентируйтесь на имя контейнера и дату, а не на порядок в списке.
- Шаг 6. Проверьте сведения о владельце и срок действия сертификата и установите сертификат в личное хранилище пользователя. Введите PIN-код носителя, когда его запросит провайдер.
- Шаг 7. Установите КриптоПро ЭЦП Browser Plug-in, включите расширение в браузере и выполните проверку работы плагина на странице разработчика. После этого рабочее место готово к подписанию, носитель должен оставаться в USB-порту.
Важный нюанс из практики: при пустом списке контейнеров разбор начинается не с криптопровайдера, а с панели управления носителя. Если она сама не видит подключенный токен, проблема в драйвере или в порте, и переустановка КриптоПро CSP ничего не изменит.
Финальная проверка выполняется не глазами, а подписью тестового файла. Если файл подписался и подпись проверяется, связка драйвера, провайдера, контейнера и сертификата собрана корректно.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Подпишите тестовый файл ключом с записанного токена
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
При подписании обратите внимание на тип подписи и расширение файла. Присоединенная подпись упаковывает документ и подпись в один файл, отсоединенная создает отдельный файл рядом с исходным. Расширение подписанного файла выбирается в настройках: p7s, sig или sgn, формат по умолчанию CAdES-BES. Для внешних получателей и для суда чаще нужна отсоединенная подпись, потому что исходный документ остается читаемым без криптопровайдера.
Режимы контейнера: ЦСП, ФКН и PKCS#11
При создании контейнера провайдер показывает окно выбора ключевого носителя, и там же решается, в каком режиме будет жить ключ. Выбор влияет на совместимость сильнее, чем модель токена: контейнер, созданный в режиме ФКН, не заработает на машине с КриптоПро CSP 4.0.
| Режим контейнера | Где генерируется закрытый ключ | Минимальная версия CSP | Копирование контейнера |
|---|---|---|---|
| ЦСП, пассивный носитель, извлекаемый ключ | Программно, криптопровайдером на рабочей станции | 4.0 | Возможно при флаге экспорта |
| ФКН без защиты канала, активный токен | Криптоядро токена, ключ наружу не выходит | 5.0 | Невозможно |
| ФКН с защитой канала по протоколу SESPAKE | Криптоядро токена, канал с провайдером шифруется | 5.0 | Невозможно |
| PKCS#11 | Криптоядро токена через библиотеку из состава драйверов носителя | 5.0 R2 | Невозможно |
Режим PKCS#11 обязателен для производителей и поставщиков алкоголя, которые отчитываются в государственную систему учета алкогольного рынка, и для настольных и мобильных компонентов вендора носителя. В версии 5.0 R2 такой контейнер создавался через отдельный считыватель с пометкой активных токенов, и у ключей PKCS#11 были ограничения при входе в Windows и в RDP. В 5.0 R3 режим встроен в общий выпадающий список считывателя, а работа с Windows Logon и RDP исправлена.
Внимание: носители с невыводимыми ключами поддерживаются начиная с пятой версии криптопровайдера. Если в парке остались рабочие места на КриптоПро CSP 4.0, ключ в режиме ФКН на них не заработает, и сотрудник не сможет подписать документ на такой машине.
Мария Ж, юрист со стажем более 20 лет: «Токен — вещь мобильная, и вероятность того, что ключ всю жизнь проживет на одной машине, невелика. Если сотрудник ходит с носителем между офисами и часть рабочих мест сидит на четвертой версии провайдера, выбирайте режим ЦСП: он работает во всех версиях. Максимальную защиту канала имеет смысл включать там, где вы контролируете весь парк рабочих мест.»
Какой носитель нужен под выбранный режим
Пассивный носитель без криптоядра, например Рутокен Лайт, работает только с программным криптопровайдером и служит защищенным хранилищем для ключей и сертификатов, а сгенерировать на нем неизвлекаемый ключ невозможно. Модели с криптоядром вроде Рутокен ЭЦП 3.0 умеют оба режима: на них создается неизвлекаемый ключ, а при необходимости выбирается режим обратной совместимости, и тогда токен работает как пассивный носитель. Драйверы качаются с сайтов производителей: Рутокен, JaCarta у Аладдин Р.Д., ESMART Token у своего вендора.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Сертификация носителя привязана к тому, как он используется. Если ключи извлекаемые и токен выступает только как хранилище под PIN-кодом, достаточно сертификации ФСТЭК. Если токен формирует подпись на борту собственным криптоядром, у модели должен быть сертификат ФСБ, иначе подпись не считается квалифицированной. Линейка Рутокен ЭЦП 3.0 сертифицирована и во ФСТЭК, и в ФСБ, имеет 128 КБ защищенной памяти и подходит для получения подписи в УЦ ФНС России и у доверенных лиц, в том числе при дистанционном получении.
Носители предыдущих линеек, включая Рутокен ЭЦП 2.0, продолжают поддерживаться и работать в информационных системах, техническая поддержка по ним сохраняется. Менять парк только ради номера версии не нужно. Перед закупкой сверьте по своим задачам две вещи: нужен ли вам неизвлекаемый ключ и какая версия криптопровайдера стоит на рабочих местах.
Копирование контейнера на второй носитель
Копирование доступно только для извлекаемого ключа с установленным флагом экспорта. Флаг задается программным криптопровайдером в момент генерации или копирования, поэтому решение принимается один раз, до выпуска сертификата. Для подписи, полученной в УЦ ФНС России, вопрос закрыт регламентом: там выдается только неэкспортируемый контейнер, и запрет действует на уровне самого контейнера, а не настроек программы.
Практическое следствие для администратора: резервной копии квалифицированной подписи руководителя, как правило, не существует. Потеря или поломка носителя означает перевыпуск сертификата с повторной идентификацией, а не восстановление из архива. Второй сотрудник в этой схеме подписывает не чужим ключом, а своим сертификатом плюс машиночитаемая доверенность.
Сотрудники филиалов: сертификат физлица плюс МЧД
Для филиальной сети схема с одним ключом руководителя не масштабируется. Работает связка из двух элементов: сертификат физического лица у сотрудника и машиночитаемая доверенность, которую руководитель-доверитель подписывает своей УКЭП. В данные МЧД входят сведения о доверителе и представителе, перечень полномочий и срок действия доверенности. Файл доверенности в формате XML и файл отсоединенной подписи хранятся вместе с сертификатом представителя, а проверить комплект можно в сервисе проверки машиночитаемой доверенности на портале государственных услуг. Для распределенных компаний мы в Добыто сначала запускаем пилотную группу на одном филиале и только потом раскатываем схему на остальные: расхождения в полномочиях вылезают именно на первой группе.
PIN-коды, блокировка и забытый пароль контейнера
PIN-код носителя и пароль на ключевой контейнер — разные сущности, и путаница между ними дает заметную часть обращений в поддержку. PIN защищает доступ к самому токену, пароль контейнера задается криптопровайдером при создании контейнера. Разблокировка PIN пользователя выполняется в панели управления носителя с помощью PIN администратора, там же меняется PIN и задается имя токена.
Забытый пароль контейнера восстановлению не подлежит: он не хранится в открытом виде и не сбрасывается из панели управления. Если PIN администратора тоже утрачен, остается форматирование носителя, а вместе с ним теряются и ключ, и сертификат. Дальше только перевыпуск. У актуальной линейки носителей политики безопасности и настройки PIN-кодов хранятся внутри токена, а не привязаны к конкретному рабочему месту, поэтому заданная политика едет вместе с носителем.
Мария Ж, соучредитель сервиса КЭДО Добыто: «PIN администратора при массовой выдаче держите у ответственного за СКЗИ, а не выдавайте вместе с носителем. Пользователь, который сам разблокирует токен, рано или поздно отформатирует его, чтобы освободить память, и это уже гарантированный перевыпуск сертификата. Выдачу и возврат носителей фиксируйте в реестре с подписью получателя.»
Ошибки при записи подписи и во что они обходятся
Типовые ошибки повторяются от компании к компании и почти всегда стоят дороже, чем кажется в момент их совершения.
- Контейнер создан в реестре машины вместо токена. Так делают ради скорости при первом выпуске. Ключ остается на одном компьютере, и при смене рабочего места или переустановке системы подпись теряется.
- Куплен носитель с криптоядром, а на рабочем месте стоит КриптоПро CSP 4.0. Мотив — экономия на лицензии. Неизвлекаемый ключ на этой связке не создать, деньги за носитель потрачены впустую.
- Не установлены корневые сертификаты или установлены не в те хранилища. Подпись формируется, но цепочка доверия не строится, и контрагент получает файл с неподтвержденной подписью.
- Один токен на отдел. Экономия на носителях приводит к тому, что установить фактического подписанта невозможно, а сотрудники подписывают документы чужим ключом.
- Носители не учтены. При увольнении токен уходит с сотрудником, сертификат остается действующим, и аннулирование запускается с опозданием.
Цена ошибки считается не стоимостью носителя. Перевыпуск квалифицированного сертификата означает повторную идентификацию владельца, простой сотрудника на время выпуска и остановку подписания в тех системах, где ключ был единственным. Для руководителя это дополнительно означает, что на период перевыпуска в компании нет никого, кто может подписать документ от лица юридического лица без машиночитаемой доверенности.
Важный нюанс из практики: носитель возвращается при увольнении по тому же реестру, по которому выдавался. Без строки в реестре с моделью, серийным номером и датой выдачи заявление на аннулирование сертификата приходится готовить со слов сотрудника, а сроки в этот момент считаются днями.
Лайфхак: если сертификат получен в УЦ ФНС России, лицензия на криптопровайдер уже вшита в сертификат и действует столько же, сколько сам сертификат. Отдельно ставить лицензию на такую машину не нужно, но для любых других ключей на том же рабочем месте потребуется полная лицензия.
Реестры и формы для учета носителей и разбора отказов
Комплект закрывает две задачи: учет выданных токенов и разбор ситуации, когда записанная подпись не проходит проверку. Начинать удобнее с реестра выданных токенов.
| Документ | Скачать |
|---|---|
| Реестр выданных токенов | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Ошибки площадок при подписании | Скачать |
Что критично в разных сценариях выдачи подписей
Универсального набора требований не существует: под разные задачи критичны разные параметры записи.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Подпись руководителя из УЦ ФНС России | Неэкспортируемый контейнер, корневые сертификаты, лицензия в составе сертификата | Форм-фактор носителя |
| Сотрудник подписывает на разных рабочих местах | Режим ЦСП ради совместимости со старыми версиями провайдера | Защита канала между провайдером и токеном |
| Отчетность в систему учета алкогольного рынка | Формат PKCS#11, модель с криптоядром, CSP 5.0 R2 и выше | Совместимость с CSP 4.0 |
| Подписание за компанию в филиалах | Сертификаты физлиц, МЧД с корректными полномочиями и сроком, учет носителей | Единая модель токена во всех филиалах |
| Кадровые документы рядовых сотрудников | Вид подписи, допустимый для конкретного документа, и фиксация согласия работника | Аппаратные носители и криптопровайдер на рабочем месте |
Последняя строка таблицы объясняет, почему массовая закупка токенов под кадровый документооборот обычно не окупается.
Когда токен и криптопровайдер не нужны вовсе
Для подписания кадровых документов работниками аппаратный носитель избыточен. Виды электронной подписи различаются по допустимости к конкретному документу: часть кадровых документов работник подписывает УНЭП, часть закрывается ПЭП внутри информационной системы работодателя, и ни один из этих сценариев не требует установки криптопровайдера на компьютер сотрудника и покупки токена. Токен нужен там, где требуется квалифицированная подпись: подписание от лица юридического лица, работа с государственными системами, площадками и отчетностью. В сервисе Добыто ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа, отдельный носитель для них не нужен, а УКЭП оформляется через партнеров-удостоверяющие центры.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников и набора функций: числа подключенных работников, состава видов подписи, наличия интеграции с 1С и электронного архива.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | в рамках подключения |
| УКЭП для сотрудников через партнеров-удостоверяющие центры | рассчитывается индивидуально | по регламенту УЦ |
| Модуль интеграции с 1С:ЗУП, тариф «Бизнес» | входит в тариф | установка и настройка за один день |
Итоговая сумма складывается из численности подключенных сотрудников и выбранного набора функций, а тариф можно повысить или понизить в любое время с пропорциональным пересчетом разницы за оставшийся период. Условия по каждому тарифу приведены на странице тарифов ДОБЫТО КЭДО.
Отдельная строка расходов при работе с квалифицированными подписями остается вне тарифа: носители, лицензии на криптопровайдер и рабочее время администратора на развертывание. Эти затраты считаются по числу сотрудников, которым УКЭП действительно нужна, а не по штатной численности.
Выводы
Запись подписи на токен сводится к контролируемой цепочке: драйверы носителя, поддерживаемая версия криптопровайдера, корневые сертификаты в правильных хранилищах и установка личного сертификата в тот контейнер, где лежит закрытый ключ. Режим контейнера выбирается один раз и определяет совместимость с версиями CSP и возможность копирования. Ключ из УЦ ФНС России скопировать нельзя, поэтому резервирование решается через машиночитаемую доверенность и учет носителей, а не через второй экземпляр токена.
Мы в Добыто заходим в тот же круг задач с другой стороны: оставляем токены там, где действительно нужна квалифицированная подпись, а кадровое подписание переводим на ПЭП и УНЭП внутри системы. Инвентаризация парка версий и носителей обычно занимает меньше времени, чем разбор одного перевыпуска после потерянного токена.
Частые вопросы
Сколько сертификатов помещается на один токен
Ориентир по памяти: на 128 КБ защищенной памяти помещается до 31 контейнера в формате ЦСП. Реальное число меньше, если удостоверяющий центр записал в сертификат дополнительные расширения и цепочку: оценка сверху для такого контейнера порядка 12 КБ. Размер контейнера не фиксирован и зависит от того, что в него установлено, поэтому перед массовой выдачей проверьте объем свободной памяти в панели управления носителя.
Нужна ли отдельная лицензия КриптоПро, если она вшита в сертификат
Для ключа, к которому относится этот сертификат, отдельную лицензию ставить не нужно: подписывать им можно и на машине с истекшей лицензией провайдера. Как только на том же рабочем месте потребуется работать с другими ключами или самостоятельно формировать запросы на сертификат, понадобится полная лицензия на КриптоПро CSP.
Будут ли работать токены предыдущих линеек
Носители Рутокен ЭЦП 2.0 и другие модели предыдущих линеек продолжают поддерживаться в информационных системах, техническая поддержка по ним сохраняется, срочная замена не требуется. Носители старого формата с поддержкой ФКН подключаются к актуальным версиям провайдера и используются в пассивном режиме для хранения извлекаемых ключей.
Можно ли подписывать почтовые письма ключом с токена
Да, для этого используется стандарт S/MIME: подпись по ГОСТ 2012 и шифрование по ГОСТ 2015. Такой режим поддерживает почтовый клиент в составе КриптоАРМ ГОСТ 3, который подключается к почтовым серверам по IMAP, SMTP и POP3, причем соединение должно быть защищенным по ГОСТ. Отдельная задача — шифрование вложений открытым ключом получателя перед отправкой через мессенджеры.
Сертификат записан, а площадка не видит подпись
Проверяйте по порядку: установлен ли КриптоПро ЭЦП Browser Plug-in, включено ли расширение плагина в браузере, проходит ли проверка работы плагина на странице разработчика, добавлен ли адрес площадки в надежные сайты. Настройки браузера для государственных порталов, торговых площадок и закупочных систем совпадают, поэтому выполняются один раз для каждого адреса.
Чем отличаются файлы p7s, sig и sgn
Это разные расширения файла подписи, а не разные форматы подписи: формат остается CAdES-BES, расширение выбирается в настройках программы подписания. Присоединенная подпись упаковывает документ внутрь одного файла, отсоединенная лежит рядом с исходным документом, и передавать получателю нужно оба файла.
