УКЭП на электронном документе не превращает файл в закрытый контейнер: PDF, DOCX и XML открываются штатными средствами операционной системы, а сама подпись проверяется отдельно, криптосредством или сервисом проверки. Порядок действий определяет вид подписи по способу упаковки: откреплённая лежит рядом с документом отдельным файлом .sig, .p7s или .sgn, присоединённая упакована в один файл вместе с данными, и без криптопровайдера исходный документ из неё не извлечь. Для положительного результата проверки нужны три вещи одновременно: файл документа в неизменном виде, файл подписи и построенная цепочка сертификатов до корневого удостоверяющего центра. Отсутствие любой из трёх даёт статус «подпись недействительна» даже при математически верной подписи.
Разберём, чем ПЭП, УНЭП и УКЭП различаются с точки зрения проверки, а не только юридической силы: кто выпускает ключ, что попадает в сертификат и почему УНЭП чаще падает на цепочке доверия. Покажем минимальный набор программ на рабочем месте, порядок проверки откреплённой подписи и расшифровку типовых сообщений об ошибках. Сценарная таблица форматов подписи, чек-лист предварительной диагностики, образцы протокола проверки и тарифы на 2026 год находятся во второй половине статьи.
Загрузите документ и файл подписи в форму ниже: сервис покажет статус подписи, владельца сертификата, издателя и алгоритмы по ГОСТ.
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Почему документ с УКЭП открывается любой программой, а подпись нет
Подписание не шифрует данные. Электронная подпись по 63-ФЗ — это реквизит, который присоединяется к информации или связан с ней иным способом, поэтому подписанный PDF остаётся обычным PDF, а подписанный XML остаётся валидным XML. Файл с расширением .sgn часто принимают за зашифрованный контейнер, хотя он подписан, а не зашифрован. Шифрование — отдельная операция, она выполняется открытым ключом получателя и к подписанию отношения не имеет.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Различие, которое определяет всю дальнейшую работу, проходит между двумя способами упаковки. При откреплённой подписи криптосредство формирует второй файл рядом с исходным: договор.pdf и договор.pdf.sig. Документ открывается двойным кликом, и у того, кто его получил, нет никакого визуального признака, что документ вообще подписан. При присоединённой подписи данные и подпись лежат в одном файле формата CMS или CAdES: такой файл откроет только программа с поддержкой криптографии, зато потерять половину комплекта невозможно.
Расширение файла подписи выбирается в настройках криптосредства. В «Инструментах КриптоПро» доступны варианты p7s, sig и sgn при одном и том же формате CAdES-BES. Юридически расширение не значит ничего: приёмная система смотрит на структуру данных, а не на три буквы после точки. Проблемы начинаются, когда контрагент отдаёт .p7s, а информационная система принимает только .sig, и файл приходится переименовывать вручную.
Отдельная категория — визуальные штампы на странице документа. Синий или чёрный прямоугольник с надписью «Документ подписан электронной подписью», номером сертификата и сроком действия сам по себе юридической силы не несёт: это отрисовка для человека, которую программа добавляет в копию документа. Проверяющий орган и суд смотрят на исходный файл и файл подписи, а не на картинку. Практика формирования визуализированных копий существует именно потому, что откреплённая подпись на экране не видна: целостность оригинала при этом не трогают, штамп ставят на копию.
Факт: одно и то же криптосредство формирует подпись в формате CAdES-BES и позволяет выбрать расширение файла подписи из списка p7s, sig, sgn. Формат подписи и расширение файла — разные вещи, и менять расширение вручную безопасно только внутри одного формата.
ПЭП, УНЭП и УКЭП: разница, которая видна при проверке
63-ФЗ выделяет простую электронную подпись и два вида усиленной — неквалифицированную и квалифицированную. Механизм подписания у УНЭП и УКЭП одинаковый: закрытый ключ, открытый ключ, сертификат, хеш документа. Различие юридическое и инфраструктурное: УНЭП может выпустить любой удостоверяющий центр и даже сам работодатель, УКЭП выпускает только удостоверяющий центр, аккредитованный Минцифры и прошедший проверку ФСБ. Для человека, который проверяет подпись, это выражается в одном: у квалифицированного сертификата цепочка доверия выстроена от корневого сертификата Минцифры и в системе уже есть, у неквалифицированного её приходится доставлять и устанавливать руками.
Отдельно стоит УНЭП, выданная с использованием инфраструктуры электронного правительства. Такую подпись выпускают в приложении Госключ по подтверждённой учётной записи на Госуслугах, и она не требует отдельного соглашения сторон о признании: доверие следует из самой процедуры выдачи. Обычная УНЭП по соглашению сторон без такого соглашения в кадровом документообороте не работает.
| Вид подписи | Кто выпускает | Где закрытый ключ | Что даёт при проверке |
|---|---|---|---|
| ПЭП | Оператор системы, работодатель; ПЭП через ЕСИА на портале «Работа в России» | Закрытого ключа нет: учётные данные, коды из SMS | Идентифицирует подписанта, но не подтверждает неизменность документа после подписания. Отдельного файла подписи не создаётся |
| УНЭП по соглашению сторон | Любой удостоверяющий центр или сам работодатель | Токен, реестр компьютера, облако удостоверяющего центра | Проверяется криптографически, но корневые сертификаты не устанавливаются автоматически: без них цепочка рвётся. Нужно соглашение о признании подписи |
| УНЭП с использованием инфраструктуры электронного правительства | Выпуск в приложении Госключ по подтверждённой учётной записи Госуслуг | Мобильное устройство работника | Соглашение сторон о признании не требуется. Доступна и нерезидентам с подтверждённой учётной записью |
| УКЭП | Удостоверяющий центр, аккредитованный Минцифры; УЦ ФНС для юрлиц и ИП | Токен, облако удостоверяющего центра, мобильное устройство в Госключе | Цепочка от корневого сертификата Минцифры, равнозначность собственноручной подписи по умолчанию |
Из таблицы следует практический вывод для настройки рабочих мест: при работе с УКЭП достаточно проверить актуальность корневых сертификатов, при работе с УНЭП по соглашению сторон нужно заранее раздать корневой сертификат выпустившего центра и описать порядок его установки в регламенте обмена.
Статья 22.3 ТК РФ распределяет виды подписей по документам. Трудовой договор, договор о материальной ответственности, ученический договор, приказ о применении дисциплинарного взыскания и уведомление об изменении определённых сторонами условий трудового договора работодатель подписывает усиленной квалифицированной подписью. Работник в этих случаях применяет УКЭП или УНЭП, а при работе через портал «Работа в России» может использовать ПЭП, полученную через ЕСИА. Для остальных кадровых документов работодателю достаточно УНЭП, выданной в его информационной системе.
Мария Ж, специалист по цифровой подписи и КЭДО: «Разделять ПЭП, УНЭП и УКЭП нужно не по силе, а по тому, что вы сможете доказать через два года. ПЭП подтверждает вход в систему, но не даёт технического доказательства, что документ после подписания не менялся. Если спор по документу реален, закладывайте усиленную подпись и сохраняйте файл подписи вместе с документом.»
Что должно стоять на рабочем месте, чтобы подпись проверялась
Минимальный набор для работы с квалифицированной подписью описан в требованиях удостоверяющего центра ФНС и совпадает для большинства площадок. На машину ставятся драйверы ключевого носителя (Рутокен, JaCarta, eSmart в зависимости от типа токена), средство криптографической защиты информации КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in и расширение криптоплагина для используемого браузера. Отдельно устанавливаются корневые сертификаты и личный сертификат из контейнера.
Корневые сертификаты Минцифры и удостоверяющего центра ФНС размещены по адресу uc.nalog.ru/crt: это файлы guc_22.cert и CA_FNS_Russia_2022_01.cert. Устанавливать их нужно в разные хранилища: сертификат Минцифры в «Доверенные корневые центры сертификации», сертификат УЦ ФНС в «Промежуточные центры сертификации». Оба файла в одно хранилище кладут регулярно, и цепочка после этого не строится. Личный сертификат подтягивается из контейнера через КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере».
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: корневой сертификат Минцифры ставится в хранилище «Доверенные корневые центры сертификации», сертификат УЦ ФНС — в «Промежуточные центры сертификации». При установке обоих файлов в одно хранилище криптопровайдер сообщает об отсутствии корневого сертификата, хотя оба файла на машине есть.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Настройку рабочего места мы разбираем в обратном порядке: сначала смотрим, куда установлены корневые сертификаты, и только потом трогаем плагин и браузер. Минцифры идёт в доверенные корневые, удостоверяющий центр — в промежуточные. Если оба файла лежат в одном хранилище, проверка будет падать при исправном токене и действующем сертификате.»
Что проверить до того, как отправлять документ на проверку подписи
Пять пунктов закрывают большую часть обращений в поддержку по невалидной подписи. Проходить их быстрее, чем разбирать сообщение об ошибке.
- Комплектность. Для откреплённой подписи у вас должны быть оба файла: документ ровно в том виде, в котором его подписывали, и файл подписи. Пересохранение PDF, конвертация DOCX и даже открытие с последующим сохранением ломают хеш.
- Тип подписи. Определите, откреплённая подпись или присоединённая: в форме проверки это разные режимы, и загрузка присоединённой подписи в режим откреплённой даёт ошибку без объяснения причины.
- Цепочка сертификатов. Откройте сертификат подписанта и посмотрите путь сертификации: все звенья должны быть установлены и действительны.
- Срок действия и отзыв. Сверьте дату подписания со сроком действия сертификата и убедитесь, что сертификат не был отозван до момента подписания.
- Лицензия криптопровайдера. Истёкшая лицензия КриптоПро CSP выдаёт окно о сроке действия версии, и проверка не запускается вовсе.
Как проверить подпись отдельно от документа
Проверка выполняется тремя способами: настольным криптосредством, онлайн-сервисом или встроенным механизмом приложения, если подпись вложена в PDF или в файл Office. Результат должен содержать не только статус, но и реквизиты сертификата: владельца, издателя, серийный номер, отпечаток, срок действия и алгоритмы по ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012.
Как проверить откреплённую УКЭП: пошаговая инструкция
- Шаг 1. Соберите пару файлов в одной папке: документ и файл подписи с тем же именем. Имя вида «договор.pdf» и «договор.pdf.sig» показывает, к какому документу относится подпись.
- Шаг 2. Выберите режим проверки. В настольном криптосредстве это раздел проверки подписи с указанием файла подписи, в онлайн-сервисе — переключатель между откреплённой и присоединённой подписью.
- Шаг 3. Загрузите оба файла и запустите проверку. Криптосредство пересчитает хеш документа и сравнит его со значением внутри подписи.
- Шаг 4. Прочитайте карточку сертификата: владелец, издатель, период действия, отпечаток, адреса списка отзыва и службы OCSP. Издатель показывает, квалифицированная перед вами подпись или нет.
- Шаг 5. Сохраните протокол проверки. Файл с результатом фиксирует статус на дату проверки и прикладывается к делу вместе с документом и файлом подписи.
В Добыто выгрузка кадрового дела формируется парами: файл документа и файл подписи складываются в один архив, и к ним добавляется протокол проверки. Это снимает типовую ситуацию, когда через полгода в папке остался только PDF.
Способ проверки выбирается под формат подписи, а не под привычку. Ниже разложены типовые сценарии, с которыми сталкивается администратор при разборе входящих документов.
| Сценарий | Чем открыть документ | Чем проверить подпись | Что критично |
|---|---|---|---|
| Откреплённая подпись: файл .sig, .p7s или .sgn рядом с PDF | Любой просмотрщик PDF | Криптосредство или онлайн-сервис проверки, загружаются оба файла | Документ не должен пересохраняться после подписания |
| Присоединённая подпись: данные и подпись в одном файле | Только криптосредство: сначала извлекается исходный файл | То же криптосредство при извлечении | У получателя должно быть установлено совместимое ПО |
| Подпись, встроенная в PDF | Просмотрщик PDF с панелью подписей | Панель подписей плюс модуль поддержки ГОСТ | Без модуля ГОСТ просмотрщик покажет ошибку на верной подписи |
| Подпись в файле Word или Excel | Word или Excel | Панель «Подписи», раздел «Состав подписи» | Любая правка файла снимает подпись |
| Подпись представителя с машиночитаемой доверенностью | Просмотрщик документа, доверенность в формате XML | Сервис проверки МЧД: сертификат представителя, файл доверенности и файл её подписи | Полномочия в доверенности должны покрывать подписанный документ |
| Усовершенствованная подпись со штампом времени и OCSP-ответами | Штатные средства по типу файла | Криптосредство с поддержкой CAdES-X Long Type 1 и архивных меток | Проверяется и после окончания срока действия сертификата |
Последняя строка — причина, по которой электронные архивы строят на усовершенствованной подписи: без метки доверенной службы штампов времени подпись перестаёт подтверждаться после истечения срока сертификата, а кадровые и финансовые документы хранятся десятилетиями.
Образцы документов для регламента проверки подписи
Комплект закрывает разбор входящих подписей и учёт сертификатов; начинать удобнее с чек-листа диагностики.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Адреса служб штампов времени TSP | Скачать |
Почему проверка ломается на верной подписи
Сообщение «подпись недействительна» в половине случаев говорит не о подписи, а о рабочем месте проверяющего. Разрыв цепочки сертификатов — причина номер один. У квалифицированной подписи цепочка от корневого сертификата Минцифры устанавливается вместе с сертификатом при выпуске, у неквалифицированной корневые сертификаты не устанавливаются автоматически: операционная система не доверяет произвольному центру по умолчанию. Сертификат в этом случае открывают двойным кликом и устанавливают как доверенный, понимая, что дальше система будет доверять всем подписям этого центра.
Вторая причина — изменение файла после подписания. Пересчитанный хеш не совпадает с записанным в подписи, и криптопровайдер возвращает ошибку с кодом 0x80091007 о неправильном значении хеша. Здесь бесполезно переустанавливать сертификаты: нужен исходный файл в байт-в-байт том же виде.
Третья причина — срок действия сертификата. Сертификат, как правило, действует год, а спор по документу возникает позже. Если при подписании не обращались к доверенной службе штампов времени, момент подписания технически не доказан. Штамп времени фиксирует точное время и хеш документа, а ответ службы OCSP подтверждает, что сертификат не был отозван на момент подписания. Архивная метка объединяет обе и подписывается сверху, что и даёт проверяемость через годы.
Важный нюанс из практики: подпись может быть математически верной и при этом получить статус «недействительна», если сертификат выпущен тестовым удостоверяющим центром: в карточке проверки будет прямо указано, что сертификата нет в списке доверенных. Такое встречается при пилотных запусках, когда интеграцию проверяли на тестовых сертификатах и забыли переключить контур на боевые.
Официальный сервис проверки квалифицированной подписи работает на портале Госуслуг: там же можно проверить подлинность электронной подписи и машиночитаемой доверенности, посмотреть реестр аккредитованных удостоверяющих центров и сверить издателя сертификата, если контрагент вызывает сомнения.
Мария Ж, судебный эксперт по трудовому праву: «В спорах по электронным документам суд запрашивает не распечатку со штампом, а исходный файл и файл подписи. Штамп на странице — визуализация, юридической силы у него нет. Выгружайте архив целиком: документ, подпись, протокол проверки и сведения о сертификате на дату подписания.»
Сколько стоит ошибка при проверке подписи
Цена ошибки считается не стоимостью переподписания. Кадровый документ, подпись под которым не подтверждается, в споре не работает как доказательство: он не подтверждает ни волю работника, ни факт ознакомления. Нарушение порядка оформления трудовых отношений по части 1 статьи 5.27 КоАП РФ обходится юридическому лицу в сумму от 30 000 до 50 000 рублей, и это только административная часть.
Кейс из практики: в крупном банке усиленные неквалифицированные подписи выпускали на токенах и хранили в сейфе подразделения. Работник оспорил увольнение по соглашению сторон, заявив, что документ подписывал не он. Суд изучил комплект: локальные акты о введении электронного документооборота, сведения о действительности сертификата на момент подписания и подтверждение того, что подписывался именно тот документ, который передавался в удостоверяющий центр. Увольнение признали незаконным, с работодателя взыскали компенсацию в пользу работника. Итог упирался не в криптографию, а в организацию хранения ключей.
В практике Добыто мы закрываем этот риск двумя вещами: ключ работника не покидает его устройство или облако удостоверяющего центра, а к каждому подписанному документу формируется протокол проверки, который выгружается вместе с файлами. Если вы отвечаете за инфраструктуру и не хотите поддерживать зоопарк токенов и плагинов на рабочих местах кадровой службы, схема с облачными подписями и выгрузкой архива снимает основную часть обращений в поддержку.
Полезно знать: закрытый ключ подписи, выпущенной в Госключе, хранится на мобильном устройстве работника. При удалении приложения или потере пароля доступ к ключу не восстанавливается: подпись выпускается заново, уже с другим сроком действия. Ранее подписанные документы при этом остаются проверяемыми.
Когда отдельная проверка подписи не нужна
Внутри одной системы кадрового документооборота ручная проверка каждого файла избыточна: платформа проверяет подпись в момент подписания и хранит результат, а администратору достаточно выгрузить протокол. В Добыто результат проверки сохраняется в момент подписания и выгружается по каждому документу отдельным файлом. Не нужна отдельная проверка и там, где документ подписан простой электронной подписью: проверять нечего, юридическую конструкцию держат соглашение об использовании ПЭП и журналы системы, а не криптография.
Отдельная проверка обязательна в трёх ситуациях: входящий документ от контрагента или из внешней системы, выгрузка комплекта по запросу государственной инспекции труда или суда, передача документов в архив на длительное хранение. В остальных случаях достаточно выборочного контроля, встроенного в регламент обмена.
Схема с откреплённой подписью не подходит, если получатель не может обеспечить сохранность пары файлов: почтовые пересылки, мессенджеры и ручные перекладывания папок регулярно приводят к тому, что документ есть, а файла подписи нет. В таких контурах надёжнее присоединённая подпись или подпись, встроенная в PDF.
Стоимость подключения КЭДО и электронных подписей
Стоимость зависит от численности сотрудников, набора видов подписи и требований к инфраструктуре: выделенный сервер, SLA и интеграции считаются отдельно.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | при подключении |
| УКЭП для сотрудников через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного набора функций: кастомные шаблоны, интеграция с 1С, электронный архив и приоритетная поддержка входят в тариф «Бизнес», выделенный сервер и SLA считаются в «Корпорации». Действующие условия и состав тарифов приведены на странице тарифов Добыто КЭДО; переход между тарифами возможен в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Файл, подписанный квалифицированной подписью, остаётся обычным файлом: открыть его можно штатными средствами, а подтвердить подпись — только криптосредством или сервисом проверки, и для откреплённой подписи потребуются оба файла сразу. Различия ПЭП, УНЭП и УКЭП проявляются именно на этом шаге: у квалифицированной подписи цепочка доверия построена от корневого сертификата Минцифры, у неквалифицированной её нужно доставить и установить, а простая подпись криптографической проверке не подлежит вовсе. Срок жизни доказательства определяет не вид подписи, а наличие штампа времени и ответов службы OCSP.
Мы в Добыто выстраиваем кадровый документооборот так, чтобы проверка не превращалась в отдельный проект: подписи выпускаются под конкретные документы по статье 22.3 ТК РФ, а комплект для выгрузки собирается вместе с протоколом проверки и сведениями о сертификате.
Частые вопросы
Что имеют в виду под единицей измерения УКЭП
Единицы измерения у подписи нет: считают сертификаты и срок их действия. Один квалифицированный сертификат выпускается на одного человека, срок действия, как правило, год, после чего сертификат перевыпускается. В сервисах кадрового документооборота расчётной единицей выступает сотрудник в месяц, а не количество подписаний.
Бывает ли подписка на УКЭП или ПЭП
Подписки на подпись не существует. Квалифицированная подпись — это сертификат с конкретным сроком действия, выпущенный аккредитованным удостоверяющим центром, и его нужно перевыпускать по окончании срока. По подписной модели тарифицируется сама платформа документооборота, внутри которой подпись применяется. Простая электронная подпись сертификата не имеет: её основанием служит соглашение сторон или локальный нормативный акт.
Что означает ЕИО с наличием ПЭП
ЕИО — единоличный исполнительный орган, то есть руководитель организации. Простой электронной подписи ему недостаточно для кадровых документов: по статье 22.3 ТК РФ работодатель подписывает трудовой договор, договор о материальной ответственности, ученический договор, приказ о применении дисциплинарного взыскания и уведомление об изменении условий трудового договора усиленной квалифицированной подписью. ПЭП руководителя применима во внутренних согласованиях, но не заменяет УКЭП там, где её требует кодекс.
Можно ли проверить подпись без установки криптопровайдера
Да, через веб-сервис проверки: документ и файл подписи загружаются в браузере, криптография выполняется на стороне сервиса. Ограничения два: лимит на размер загружаемого файла и отсутствие проверки в закрытом контуре. Для создания подписи криптопровайдер и плагин для браузера всё равно понадобятся, для проверки — нет.
Что делать, если файл подписи потерян, а документ остался
Восстановить откреплённую подпись из документа невозможно: это отдельный файл с хешем и сертификатом. Документ переподписывают заново, направив второй стороне письмо о переподписании, а при отказе или невозможности подписания оформляют акт. Для профилактики файлы хранят парами в одном архиве, а не раскладывают по разным папкам.
Отличается ли технически проверка УНЭП от проверки УКЭП
Алгоритм одинаков: пересчёт хеша, сверка с подписью, построение цепочки сертификатов, проверка срока и отзыва. Различие в доверии к издателю. Квалифицированный сертификат выстраивается до корневого сертификата Минцифры, который в системе уже есть, а корневой сертификат центра, выпустившего УНЭП, приходится устанавливать вручную и решать, доверять ему или нет.
Нужен ли штамп времени, если сертификат ещё действует
Для текущей операции нет, для хранения да. Сертификат действует, как правило, год, а кадровые и финансовые документы хранятся значительно дольше. Без метки доверенной службы штампов времени и ответа службы OCSP после окончания срока действия сертификата момент подписания технически не подтверждается, и подпись при повторной проверке не подтвердится.
