Авторизация сотрудников в браузерном расширении КЭДО занимает около минуты только в одном сценарии: работник входит в веб-кабинет по логину и паролю, а документы подписывает ПЭП или УНЭП. Браузерное расширение в этой схеме не нужно вообще. Оно требуется там, где сотрудник подписывает УКЭП ключом на токене: тогда на рабочее место ставят драйвер носителя, КриптоПро CSP, КриптоПро ЭЦП Browser Plug-in, корневые сертификаты и само расширение браузера. Различие, которое определяет объем работ администратора: под ПЭП и УНЭП настраивается учетная запись и роль, под УКЭП на токене — криптографический стек на каждой машине.
Разберем, чем ПЭП, УНЭП и УКЭП отличаются по 63-ФЗ и статье 22.3 ТК РФ, какой вид подписи закрывает какие кадровые документы и почему запросы вида «тип подписки УКЭП» или «единица измерения УКЭП» описывают несуществующие сущности. Покажем состав ПО для рабочего места, порядок выдачи доступа новому сотруднику и точки, где доступ ломается: отключенное после обновления браузера расширение, истекший сертификат, недоступный контейнер. Сценарная таблица по ролям, сравнение видов подписи в цифрах, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Что происходит за минуту при авторизации сотрудника в КЭДО
Авторизация и подписание — два разных технических процесса, и путаница между ними съедает больше времени, чем сама настройка. Авторизация отвечает на вопрос «кто зашел в систему»: логин и пароль, учетная запись Госуслуг, сертификат на носителе, одноразовый пароль. Подписание отвечает на вопрос «кто и чем заверил файл»: тут работает криптопровайдер и ключ. Браузерное расширение относится ко второму процессу, а не к первому.
В сервисе Добыто вход в личный кабинет устроен по первому сценарию: сотрудник вводит электронную почту или телефон и пароль, при необходимости восстанавливает пароль, либо заходит через Яндекс или ВКонтакте. Ни плагина, ни токена на этом шаге нет. Дальше он попадает в разделы «Документы», «График отсутствий», «Выплаты» и «Уведомления», видит маршрут согласования по каждому документу и нажимает «Подписать» или «Согласовать».
Минута — это реальный срок для входа и первого действия в кабинете. Установка криптографического стека под УКЭП на токене в минуту не укладывается никогда: там драйверы, дистрибутив СКЗИ, два корневых сертификата, личный сертификат из контейнера и отдельное расширение браузера. Планируя миграцию, разделите численность на две группы по этому признаку, и оценка трудозатрат перестанет плавать.
ПЭП, УНЭП и УКЭП: разница, которая определяет схему доступа
63-ФЗ различает три вида подписи: простую (ПЭП), усиленную неквалифицированную (УНЭП) и усиленную квалифицированную (УКЭП). ПЭП подтверждает факт формирования подписи через коды и пароли. УНЭП создается криптографическими средствами, позволяет обнаружить изменение документа после подписания и опирается на сертификат ключа проверки. УКЭП дополнительно выпускается аккредитованным удостоверяющим центром на сертифицированных ФСБ России средствах.
Статья 22.3 ТК РФ перечисляет, какие подписи работник может использовать при заключении трудового договора, договора о материальной ответственности, ученического договора, при подписании согласия на перевод, заявления об увольнении и отзыва такого заявления, а также при ознакомлении с уведомлением об изменении условий трудового договора и с приказом о дисциплинарном взыскании: УКЭП; УНЭП, порядок проверки которой определен соглашением сторон трудового договора; УНЭП, выданная с использованием инфраструктуры электронного правительства. Простой электронной подписи в этом перечне нет.
Мария Ж, судебный эксперт по трудовому праву: «Перечень в статье 22.3 ТК РФ закрытый, и это первое, что я проверяю в техническом задании на КЭДО. Если в системе для трудового договора предусмотрена только простая подпись работника, документ придется переподписывать. Сверьте матрицу типов документов и допустимых подписей до того, как разработчик начнет настраивать маршруты.»
Отдельная путаница живет в терминологии вокруг ЕСИА. Логин и пароль от Госуслуг — это ПЭП ЕСИА. Под УНЭП ЕСИА понимают УНЭП в инфраструктуре электронного правительства, то есть УНЭП Госключа: она создается только с использованием технологии «Госключ» и сертифицированных ФСБ России средств электронной подписи. Две сущности называются похоже, но требуют разной интеграции.
Формулировки «единица измерения УКЭП» и «тип подписки УКЭП» пришли из закупочных таблиц и анкет. Подпись не измеряется единицами и не продается подпиской: тарифицируется сертификат ключа проверки с ограниченным сроком действия. В Госключе срок действия сертификатов УНЭП и УКЭП составляет 12 месяцев. Аббревиатура ЕИО означает единоличный исполнительный орган, то есть генерального директора; строка «ЕИО с наличием ПЭП» в анкете говорит лишь о том, что у руководителя оформлена простая подпись, и для документов из статьи 22.3 ТК РФ ее недостаточно.
Сравнение видов подписи по трем осям — защищенность, удобство клиентского пути и применимость в КЭДО — выглядит так.
| Вид подписи | Безопасность | Удобство пути | Применимость в КЭДО | Плата за использование |
|---|---|---|---|---|
| Простая ЭП | 10 % | 100 % | 10 % | стоимость каждого СМС-сообщения |
| ПЭП ЕСИА | 30 % | 85 % | 30 % | бесплатно |
| УНЭП информационной системы | 50 % | 75 % | 80 % | около 500 руб. в год на сотрудника |
| УНЭП Госключа | 75 % | 50 % | 80 % | бесплатно, разовые затраты на интеграцию |
| УКЭП Госключа | 100 % | 30 % | 100 % | бесплатно, разовые затраты на интеграцию |
| УКЭП удостоверяющего центра | 100 % | 10 % | 100 % | от 2 до 5 тыс. руб. в год на сотрудника |
Удобство клиентского пути падает ровно там, где растет защищенность: у УКЭП удостоверяющего центра оно оценено в 10 %, и именно эти 10 % оплачивает служба поддержки, разбирая обращения по расширениям и токенам.
Полезно знать: иностранные граждане могут получить УНЭП в инфраструктуре электронного правительства, если у них подтвержденная учетная запись на Госуслугах и в личном кабинете указаны данные СНИЛС. УКЭП в этой инфраструктуре доступна только гражданам РФ.
Когда браузерное расширение нужно, а когда его ставить незачем
Браузерное расширение в контексте электронной подписи — это связка из двух компонентов: КриптоПро ЭЦП Browser Plug-in, который ставится в систему установочным файлом, и расширение криптоплагина для конкретного браузера, которое включается в разделе дополнений. Один без другого не работает: плагин без включенного расширения браузер не увидит.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Расширение нужно, когда закрытый ключ лежит на рабочей станции или на аппаратном носителе и подписание идет прямо из веб-страницы. Это классический сценарий для УКЭП руководителя, для работы с площадками и государственными сервисами. Расширение не нужно, когда подпись выпускается и хранится в мобильном приложении или на стороне информационной системы: Госключ подписывает документ на смартфоне и возвращает отдельный файл подписи, а серверное подписание УКЭП работодателя выполняется на стороне сервиса.
Когда браузерное расширение ставить не нужно
- Сотрудники подписывают ПЭП или УНЭП внутри веб-кабинета КЭДО: криптография выполняется на стороне системы.
- Подписание идет через Госключ: с августа 2025 года технология работает внутри мобильного приложения «Госуслуги», отдельная установка приложения «Госключ» не обязательна.
- У сотрудников кнопочные телефоны или нет смартфона: в регионах таких работников до 10-15 %, и им расширение все равно не поможет, задача решается другим маршрутом.
- Работа идет в закрытом контуре без выхода в интернет: Госключ там не заработает, а схема с сертификатами на токенах требует собственного удостоверяющего центра.
Проверьте по своему парку рабочих мест, сколько человек реально попадает в сценарий с токеном. В типовой компании это единицы: руководитель, главный бухгалтер, кадровик с правом подписи приказов.
Проверьте подпись на документе, который вернул сотрудник
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Что ставится на рабочее место под УКЭП: состав ПО и порядок
Комплект программного обеспечения для работы с квалифицированной подписью на рабочем месте фиксирован и включает: драйверы используемого ключевого носителя (Рутокен, JaCarta и аналоги), СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, корневые сертификаты Минцифры России и удостоверяющего центра, личный сертификат ключа электронной подписи, расширение криптоплагина для используемого браузера и плагины конкретных информационных систем.
Мария Ж, специалист по цифровой подписи и КЭДО: «Версия криптопровайдера в этом списке не формальность: под УКЭП нужен КриптоПро CSP 5.0 R2 сборки 12000 или выше, иначе часть сценариев подписания просто не отработает. Перед раскаткой соберите с рабочих мест текущие версии CSP и браузеров, и вы заранее увидите, сколько машин придется обновлять, а не узнаете это в день запуска.»
Отдельный слой — защищенный доступ к внутренним ресурсам. Если веб-кабинет публикуется наружу через шлюз с шифрованием по ГОСТ, у пользователя должен быть браузер, который умеет устанавливать такие соединения: КриптоПро Chromium GOST для десктопных систем, корпоративный Яндекс Браузер, CryptoPro Fox для Android. На зарубежных операционных системах на переходный период применяют штатные средства: сертификат кладут в связку ключей macOS и аутентифицируются на шлюзе через Safari.
Как подготовить рабочее место для подписания УКЭП в браузере: пошаговая инструкция
- Шаг 1. Определите тип ключевого носителя и установите драйвер для него, последовательно подтверждая установку до появления кнопки «Готово».
- Шаг 2. Установите КриптоПро CSP 5.0 R2 сборки 12000 или выше. Дистрибутив включает инсталлятор CSP и плагина КриптоПро ЭЦП Browser Plug-in.
- Шаг 3. Установите корневой сертификат Минцифры России в хранилище «Доверенные корневые центры сертификации», а сертификат удостоверяющего центра — в «Промежуточные центры сертификации».
- Шаг 4. Установите личный сертификат: КриптоПро CSP, вкладка «Сервис», «Просмотреть сертификаты в контейнере», выбор контейнера через «Обзор».
- Шаг 5. Запустите установку плагина и в появившемся окне включите расширение в браузере, после чего откройте список расширений и убедитесь, что оно активно.
- Шаг 6. Проверьте работу плагина на тестовой странице производителя и подключите носитель с ключом в USB-порт: без подключенного носителя подписание не запустится.
Лайфхак: кнопка «Проверить работу плагина» находится на той же странице, где скачивался дистрибутив. Прогоняйте эту проверку сразу после установки на каждой машине: она отделяет проблему с расширением от проблемы с сертификатом.
Как выдать доступ новому сотруднику за минуту
Добавлять сотрудников в организацию в Добыто может пользователь с правами администратора: он нажимает «Добавить сотрудника», заполняет карточку и выбирает роль, после сохранения человек появляется в списке. Дальше сотрудник заходит по почте или телефону с паролем либо через Яндекс или ВКонтакте, видит свой профиль с должностью, отделом, рабочим временем и отсутствиями и получает уведомления по документам, которые требуют действия.
Для дистанционных работников и кандидатов, которых нужно оформить до первого рабочего дня, схема другая: подпись выпускается в Госключе. Работник скачивает мобильное приложение «Госуслуги» или «Госключ», проходит аутентификацию в ЕСИА, принимает условия лицензионного соглашения, задает пароль и соглашается на использование TouchID или FaceID, выпускает сертификат УНЭП и подписывает документы. С февраля 2026 года в приложении «Госключ» доступен вход по отпечатку пальца или изображению лица, поэтому пароль, заданный при активации, вводить каждый раз не нужно. Подробные требования к идентификации и порядок выпуска сертификатов описаны на странице Госключа на портале Госуслуг.
Мария Ж, HR-эксперт с 13-летним стажем: «Доступ новичку мы открываем до первого рабочего дня, вместе с задачей административной службе на подготовку рабочего места. Если учетную запись заводят в день выхода, человек полдня ждет, пока ему выдадут роль и маршрут. Заложите выдачу доступа отдельным шагом в процесс приема, а не пунктом в чек-листе кадровика.»
Для интеграции с Госключом специальных требований к организации работодателя не предъявляется. При интеграции через API ЕПГУ нужны оборудование или ПО с поддержкой протокола SSL/TLS версии 1.2 с ГОСТ Р 34.12-2015, а организация должна быть зарегистрирована как юридическое лицо в ЕСИА. Регистрация в тестовом контуре, доработка информационной системы, совместное тестирование с Минцифры России и подключение к продуктивной среде занимают не более 30 дней.
Факт: срок действия сертификатов УНЭП и УКЭП в Госключе — 12 месяцев. Напоминание приходит за 30 календарных дней пуш-уведомлением, за 14 дней на Госуслуги и за 7 дней в приложение «Госключ». Выпуск нового сертификата УНЭП занимает несколько минут.
Документы для настройки доступа и учета подписей
Комплект закрывает административную часть выдачи доступа; начните с матрицы прав и ролей, она задает состав учетных записей.
| Документ | Скачать |
|---|---|
| Матрица прав и ролей КЭДО в 1С ЗУП | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Реестр выданных токенов | Скачать |
| Приказ: ответственный за КЭДО и делегирование подписи | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
Роли, права и сценарии доступа
Гибкость системы измеряется не количеством галочек в настройках, а тем, умеет ли она сама определить получателя документа. Если за каждым подразделением закреплен свой специалист по кадрам, система должна вычислить нужного адресата по роли, а не оставлять выбор тому, кто запускает заявление. Тот же принцип действует и для доступа: сотрудник получает не персонально настроенный набор прав, а роль, за которой закреплены типы документов и маршруты.
Разграничение прав на уровне шлюза доступа строится по группам безопасности в Active Directory, по полям сертификата, включая нестандартные, и по атрибутам RADIUS. Для квалифицированных сертификатов, которые принадлежат самому человеку и не могут быть отозваны организацией, применяют черные и белые списки: блокируется конкретный сертификат или учетная запись в службе каталогов.
Категории сотрудников различаются способом входа, видом подписи и потребностью в браузерном расширении.
| Категория | Способ входа | Вид подписи | Расширение браузера |
|---|---|---|---|
| Линейный сотрудник | почта или телефон и пароль в веб-кабинете | ПЭП или УНЭП информационной системы | не нужно |
| Дистанционный работник, новичок до первого дня | учетная запись Госуслуг, вход по FaceID или TouchID | УНЭП Госключа | не нужно |
| Специалист по кадрам с правом подписи приказов | пароль плюс одноразовый пароль | УНЭП или УКЭП | нужно, если ключ на токене |
| Руководитель, единоличный исполнительный орган | пароль плюс сертификат на носителе | УКЭП удостоверяющего центра или УКЭП Госключа | нужно при подписании из браузера |
| Внешний исполнитель с эпизодическим доступом | веб-портал шлюза без клиентского ПО | по регламенту доступа к ресурсу | нужен криптопровайдер при шифровании по ГОСТ |
Расширение придется поддерживать на единицах рабочих мест, а не на всем парке. Основную нагрузку на службу поддержки дают именно эти рабочие места: обновления браузера, замена носителя, перевыпуск сертификата.
Важный нюанс из практики: нагрузка при рассылке локального нормативного акта отличается от повседневной в разы. Когда ЛНА уходит на ознакомление, в систему одномоментно приходят тысячи сотрудников, и архитектура должна это выдержать. Результаты нагрузочного тестирования на 50 000 одновременно работающих пользователей — тот показатель, который стоит запрашивать у вендора до подписания договора, а не после первой массовой рассылки.
Где доступ ломается: диагностика и цена ошибки
Обращения по неработающему подписанию сводятся к нескольким повторяющимся причинам, и каждая диагностируется отдельным действием. Расширение выключилось после обновления браузера — смотрим список расширений. Плагин установлен, но криптопровайдер не видит контейнер — проверяем подключение носителя и наличие личного сертификата в контейнере. Подпись формируется, но получатель видит ошибку — проверяем цепочку до корневых сертификатов Минцифры и удостоверяющего центра.
Внимание: заявление, направленное в Госключ, может быть подписано не позднее 24 часов. Информационная система работодателя получает сведения об истечении срока подписания, и этот статус нужно обрабатывать: либо автоматически направлять документ повторно, либо передавать задачу специалисту по кадрам.
Цена ошибки в схеме доступа считается не в часах поддержки. Если сотрудник подписал трудовой договор подписью, которая не входит в перечень статьи 22.3 ТК РФ, документ придется переподписывать, а при недоступности инфраструктуры оформлять на бумаге: абзац 4 части 3 статьи 22.2 ТК РФ разрешает работодателю утвердить исключительные случаи бумажного оформления. Второй слой — хранение: обязанность обеспечивать архивное хранение возложена на работодателя частью 8 статьи 22.1 ТК РФ, а Госключ возвращает подпись в формате CAdES-T с меткой доверенного времени, что позволяет проверять подпись после истечения срока действия сертификата и расширять формат до CAdES-A на стороне информационной системы.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы закладываем пилотную группу до раскатки на всю компанию, и первыми в нее берем тех, у кого подпись на токене. Именно на этих рабочих местах вылезают версии криптопровайдера, отключенные расширения и просроченные сертификаты. Соберите пилот из 10-15 человек с разными операционными системами и браузерами, и основная часть ошибок настройки закроется до массового запуска.»
Третий слой — файлы подписи. Госключ не изменяет направленные документы, а возвращает отдельный файл подписи с расширением .sig на каждый переданный файл, при этом в одном пакете можно отправить до 50 файлов, включая PDF и XML. Если ваш обработчик рассчитан на один файл в ответе, он сломается на первом же пакете из нескольких документов.
Стоимость подключения КЭДО и тарифы на 2026 год
Стоимость складывается из численности подключаемых сотрудников, набора видов подписи и потребности в интеграции с учетной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | по запросу |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9 %, API и кастомные интеграции | по запросу | по запросу |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф, выпускаются бесплатно | по запросу |
| УКЭП для сотрудников | через партнеров-удостоверяющих центров | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма зависит от численности и выбранного набора функций: интеграция с 1С, кастомные шаблоны и электронный архив входят в тариф «Бизнес», выделенный сервер и SLA — в «Корпорацию». Актуальные условия и состав каждого пакета опубликованы на странице тарифов ДОБЫТО КЭДО.
Тариф можно повысить или понизить в любое время; при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Скорость выдачи доступа определяется не интерфейсом, а выбранным видом подписи. Учетная запись с логином и паролем плюс ПЭП или УНЭП открывается за минуту и не требует ничего на рабочем месте. Квалифицированная подпись с ключом на носителе тянет за собой драйверы, криптопровайдер, корневые сертификаты, плагин и расширение браузера, а вместе с ними и постоянную поддержку версий. Разделите штат по этому признаку заранее, зафиксируйте роли и маршруты, и объем работ станет считаемым.
Мы в Добыто подключаем компании по обеим схемам: массовое подписание рядовыми сотрудниками через веб-кабинет и Госключ, квалифицированная подпись руководителя и кадровой службы на рабочих местах с криптопровайдером. Пилотная группа перед раскаткой снимает основную часть ошибок настройки, а матрица ролей задает, кому какие типы документов вообще доступны.
Частые вопросы
Можно ли работать с КЭДО в закрытом контуре без выхода в интернет?
Мобильное приложение «Госключ» без интернета не работает, поэтому схема с УНЭП инфраструктуры электронного правительства в изолированной сети неприменима. Кроме того, ТК РФ содержит положения о передаче связанных с работой документов из информационной системы работодателя на портал Госуслуг, поэтому автономная работа именно для систем КЭДО выглядит сомнительной. Для закрытого контура остается сценарий с собственными сертификатами, криптопровайдером и расширением браузера на каждом рабочем месте.
Что делать, если сертификат сотрудника истек в момент подписания?
В Госключе сертификат действует 12 месяцев, а напоминания приходят за 30, 14 и 7 календарных дней до окончания. Если срок все же истек, сотрудник увидит это в приложении в момент подписания: выпуск нового сертификата УНЭП занимает несколько минут и не требует обращения в кадровую службу. Отдельно контролировать сроки со стороны работодателя не обязательно, если система корректно обрабатывает статусы ошибок подписания.
Госключ возвращает один файл или комплект?
В одном пакете на подпись можно направить до 50 файлов, в том числе в форматах PDF и XML. Сами файлы при этом не изменяются: на каждый направленный документ возвращается отдельный файл открепленной подписи с расширением .sig. Обработчик на стороне информационной системы должен уметь принимать несколько файлов подписи в одном ответе.
Нужен ли собственный удостоверяющий центр для выдачи подписей сотрудникам?
При использовании инфраструктуры электронного правительства собственный удостоверяющий центр не нужен: одна интеграция закрывает все типы сертификатов, а нагрузка на инфраструктуру компании снижается. Собственный удостоверяющий центр остается актуальным для закрытых контуров и для сценариев, где сертификаты выдаются под внутренние информационные системы.
Ставится ли штамп подписи на документ автоматически?
Мобильное приложение «Госключ» штампы на документ не наносит. Система документооборота может на основе полученного файла .sig сформировать печатную версию со штампом и положить ее в архив рядом с юридически значимой версией. Проверку целостности проходит именно версия без штампа: она не подлежит изменению и не может быть дополнена визуализацией подписи.
Какие способы аутентификации применимы, если сотрудники работают на разных операционных системах?
Веб-доступ через шлюз не требует клиентского ПО: достаточно браузера, а при шифровании по ГОСТ — криптопровайдера. Поддерживаются логин и пароль с проверкой во внешней службе каталогов по LDAP, сертификаты в памяти устройства и на съемных носителях, комбинированная схема со сверкой сертификата из учетной записи и одноразовые пароли, аппаратные и программные. На практике чаще всего запрашивают доменную учетную запись плюс одноразовый пароль.
Обязателен ли переход на КЭДО для компании?
На дату публикации кадровый электронный документооборот остается добровольным: нормативных актов, которые делают его обязательным для отдельных категорий компаний, не принято. Переход оформляется локальным нормативным актом и письменным согласием работников, а те, кто согласие не дал, продолжают получать документы на бумаге.
