Вход в КЭДО выполняется и сразу вылетает при полностью исправной аутентификации: логин и пароль система приняла, а следующий запрос ушёл уже без действующего идентификатора сессии и вернул пользователя на страницу входа. Причина почти всегда лежит в одном из четырёх слоёв: cookie и политики браузера, время на сервере и время жизни токена, балансировка и хранилище сессий, состав ролей учётной записи после обмена с 1С:ЗУП. Главное различие, которое задаёт порядок диагностики, — вылетает у одного пользователя или у всех сразу. У одного разбирают его браузер, сертификат и роли; у всех сразу проверяют синхронизацию времени, привязку сессий к узлу и последний релиз или обновление инфраструктуры.
Ниже разобран каждый слой в том порядке, в котором его быстрее исключить, с конкретными записями в логах, отделяющими истёкшую сессию от отозванного доступа. Отдельно разведены ПЭП, УНЭП и УКЭП: вход в систему и подписание документа — операции с разной механикой, и вид подписи влияет на вход только в одной конфигурации. Матрица «симптом — где смотреть — причина», порядок локализации по шагам, чек-листы для скачивания, стоимость подключения на 2026 год и ответы на частые вопросы — во второй половине статьи.
Что именно ломается, когда система пишет «вход выполнен» и выкидывает
Под одним симптомом скрываются три разных сбоя, и лечатся они в разных местах. Первый: аутентификация прошла, но сессия не сохранилась — сервер выдал Set-Cookie, а браузер её не принял. Второй: сессия создалась, но следующий запрос ушёл на другой узел кластера, где этой сессии нет. Третий: сессия жива, а у учётной записи пустой набор ролей или снят признак активности, и приложение отправляет пользователя на страницу входа как неавторизованного.
Отличить их можно по трём вещам: код ответа на первом запросе после редиректа, наличие Set-Cookie в ответе на POST с формой входа и запись в журнале аудита самой системы. Если в журнале КЭДО есть успешный вход и через секунды нет ни одной операции, до приложения пользователь дошёл. Если успешного входа в журнале нет вовсе, а браузер показал личный кабинет на долю секунды, отработал клиентский рендер до проверки токена.
| Что видит пользователь | Где смотреть администратору | Типовая причина |
|---|---|---|
| Кабинет мигнул и вернулась форма входа | Инструменты разработчика, вкладка Network: ответ на POST входа и заголовок Set-Cookie; вкладка Application: список cookie домена | Cookie не записана: атрибуты Secure и SameSite, несовпадение домена или поддомена |
| Вылетает через раз, при повторной попытке заходит | Логи балансировщика: на какой узел ушли запросы одной сессии | Нет привязки сессии к узлу либо общее хранилище сессий доступно не всем узлам |
| «Сессия истекла» сразу после входа | Время на сервере приложения и на устройстве пользователя, поля exp, iat и nbf в токене | Расхождение часов больше допустимого окна проверки токена |
| Возврат на страницу входа после редиректа от провайдера SSO | Ответ провайдера: адрес обработчика, срок действия утверждения, сертификат подписи | Истёк сертификат подписи метаданных или адрес обработчика не совпал с зарегистрированным |
| Пускает и выкидывает только этого сотрудника | Карточка пользователя: активность, роли, подразделение, дата последнего обмена с учётной системой | Обмен перезаписал карточку: снят признак активности или обнулился набор ролей |
| Вылетает ровно через одинаковый интервал | Настройки безопасности кабинета: тайм-аут неактивности и предельное время жизни сессии | Штатный тайм-аут, выставленный администратором |
Одинаковый интервал до вылета почти всегда снимает вопрос о поломке: воспроизводимая цифра означает настройку. Разброс от секунд до минут без закономерности указывает на слой cookie или на балансировку.
Локализация за 15 минут: кто, где и с какого момента
До правки конфигураций администратор отвечает на четыре вопроса и отсекает большую часть гипотез. Первый: сбой у одного человека, у отдела или у всех. Второй: воспроизводится ли он в другом браузере и в режиме без расширений. Третий: одинаково ли ведёт себя вход изнутри корпоративной сети и с домашнего интернета. Четвёртый: что менялось за сутки до первого обращения — релиз системы, обновление браузера, новая политика на прокси, продление сертификата, перенос виртуальной машины.
В Добыто мы просим администратора зафиксировать точное время неудачной попытки с точностью до секунды и идентификатор запроса из ответа сервера. Без этих двух значений разбор упирается в пересказ ощущений, а проверка по журналам даёт десятки посторонних событий за ту же минуту.
Как локализовать вылет из КЭДО: пошаговая инструкция
- Шаг 1. Соберите с пользователя точное время попытки, адрес страницы, браузер и его версию, способ входа — логин с паролем, корпоративная учётная запись или учётная запись Госуслуг.
- Шаг 2. Повторите вход в приватном окне того же браузера с отключёнными расширениями. Если вылет исчез, причина в кэше, старой cookie или расширении.
- Шаг 3. Повторите вход в другом браузере на том же устройстве, затем на другом устройстве в той же сети. Так отделяется профиль браузера от политики сети.
- Шаг 4. Повторите вход с устройства вне корпоративной сети, без VPN и без корпоративного прокси. Разное поведение указывает на инспекцию трафика, WAF или фильтрацию заголовков.
- Шаг 5. Откройте инструменты разработчика, вкладку Network, включите сохранение журнала при переходах и снимите цепочку: POST входа, ответ с Set-Cookie, редирект, первый запрос к API кабинета и его код ответа.
- Шаг 6. Сверьте системное время устройства и серверов приложения с эталонным источником. Расхождение больше допустимого окна проверки токена делает свежий токен просроченным в момент выдачи.
- Шаг 7. Откройте карточку пользователя в системе и в учётной системе-источнике: признак активности, набор ролей, подразделение, дата увольнения или перевода, дата последнего обмена.
Внимание: вход в кабинет сотрудника обычно настраивается тремя способами — по отдельному логину и паролю, по корпоративной учётной записи через SSO и с привязкой учётной записи Госуслуг. Диагностика для каждого способа своя, поэтому первым делом уточните у пользователя, какой кнопкой он входит.
ПЭП, УНЭП и УКЭП: что из этого влияет на вход, а что на подписание
Виды электронной подписи разведены статьёй 5 закона 63-ФЗ от 06.04.2011. Простая электронная подпись подтверждает факт формирования подписи конкретным лицом через коды, пароли и другие средства: логин с паролем и одноразовый код из СМС относятся к ней. Усиленная неквалифицированная подпись создаётся криптографическими средствами, имеет ключ проверки и фиксирует изменения документа после подписания. Усиленная квалифицированная подпись отличается от неквалифицированной сертификатом аккредитованного удостоверяющего центра и подтверждёнными средствами, поэтому по умолчанию равнозначна собственноручной подписи без дополнительного соглашения сторон.
Для входа в кабинет это различие обычно не работает: аутентификация в большинстве систем КЭДО построена на простой электронной подписи или на корпоративной учётной записи, а УНЭП и УКЭП применяются в момент подписания документа. Единственная конфигурация, где вид подписи влияет на вход, — авторизация по сертификату на рабочем месте кадровика или руководителя. Там вылет даёт отозванный или просроченный сертификат, отсутствующий криптопровайдер, невключённое расширение браузера и запрет установки плагина политиками домена.
| Признак | ПЭП | УНЭП | УКЭП |
|---|---|---|---|
| Что подтверждает | Факт подписания конкретным лицом | Автора и неизменность документа после подписания | Автора и неизменность, равнозначна собственноручной подписи |
| Нужен ли сертификат | Нет | Да, ключ проверки; аккредитация центра не обязательна | Да, только аккредитованного удостоверяющего центра |
| Где работник её получает | В системе работодателя | В системе работодателя либо в Госключе | В аккредитованном удостоверяющем центре либо в Госключе |
| Трудовой договор, договор о материальной ответственности, ученический договор | Не подходит | Работник — да; работодатель — нет | Работодатель — только она; работник — да |
| Заявление на отпуск, табель, ознакомление с ЛНА | Работник — да, при соглашении сторон | Да | Да |
| Влияет ли на вход в кабинет | Да, если вход идёт по логину и коду подтверждения | Нет, применяется при подписании | Да, если включена авторизация по сертификату |
Практический вывод для разбора инцидента: жалоба «не могу войти» и жалоба «не могу подписать» уходят по разным веткам диагностики, а обращение «вошёл и вылетел при попытке подписать» относится к подписанию. Требования к составу и форматам кадровых документов вместе с XML-схемами и эталонным примером описания опубликованы на странице Минтруда об электронном документообороте в сфере трудовых отношений; там же лежат рекомендации по формированию описания документа.
Факт: в тарифах Добыто электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, а УКЭП оформляется через партнёров-удостоверяющих центров. Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ.
Вход по сертификату: что проверить на рабочем месте
Отозванный сертификат виден в свойствах ключа до всякого обращения в поддержку: система показывает статус, серийный номер и данные издателя. Просроченный сертификат ведёт себя мягче: часть систем пускает в кабинет и обрывает сессию на первом обращении к операциям с подписью. Проверьте четыре вещи подряд — срок действия сертификата, статус отзыва по списку отзыва и службе проверки статуса, установленную цепочку доверия до корневого центра, версию криптопровайдера и расширения браузера.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Сверьте сертификат сотрудника перед разбором сессии
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Мария Ж, специалист по цифровой подписи и КЭДО: «Когда администратор пишет, что у сотрудника проблема с подписью, мы просим подписать любой тестовый файл и прислать результат проверки. Отчёт сразу показывает владельца, издателя, срок действия и статус сертификата. Дальше видно, чинить рабочее место или менять сертификат, и не приходится восстанавливать картину по описанию пользователя».
Cookie, домен и браузер: слой, который даёт большинство обращений
Сессионная cookie не записывается по нескольким конкретным причинам, и все они видны в одном ответе сервера. Атрибут Secure требует HTTPS: если пользователь пришёл по http, потому что внутренний адрес не переведён на TLS или прокси терминирует шифрование и передаёт запрос дальше без корректных заголовков, браузер молча отбросит cookie. Атрибут SameSite в значении Lax запрещает отправку cookie при переходе с внешнего домена методом POST, и сценарий с редиректом от провайдера SSO ломается ровно так. Значение None работает только вместе с Secure.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Дальше идёт домен. Cookie, выставленная на www-поддомен, не уйдёт на голый домен и наоборот. При переезде системы на новый адрес в браузере остаётся старая cookie с прежним доменом, и приложение получает два идентификатора, из которых читает не тот. Отдельная история — размер: если в заголовки набивается длинный набор cookie от корпоративных сервисов, обратный прокси отвечает ошибкой на слишком большой заголовок, и пользователь видит обрыв сессии вместо внятного сообщения.
Проверяются эти гипотезы за минуты: очистка cookie конкретного домена, вход в приватном окне, вход в браузере на другом движке. Блокировка сторонних cookie и режимы усиленной защиты от отслеживания ломают сценарии со встроенными фреймами и внешним провайдером входа, при этом обычный вход по логину в том же браузере продолжает работать.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Прежде чем поднимать логи серверов, попросите пользователя войти в приватном окне без расширений. Шаг занимает минуту и в большой доле обращений закрывает вопрос: остаётся почистить cookie домена и обновить браузер. Если в приватном окне вылет повторяется, вы уже знаете, что дело не в профиле пользователя, и переходите к серверному слою».
Полезно знать: тайм-аут работы с кабинетом и двухфакторная аутентификация в системах КЭДО настраиваются администратором и служат защитой от доступа третьих лиц. Прежде чем считать вылет сбоем, откройте эти настройки: короткий тайм-аут выглядит для пользователя ровно как выброс из системы.
Время, токены и SSO: сессия истекает в момент выдачи
Проверка токена доступа сверяет три поля: момент выпуска, момент окончания и момент, раньше которого токен недействителен. Проверяющая сторона допускает небольшое расхождение часов, окно задаётся в конфигурации. Если сервер приложения ушёл вперёд или назад сильнее этого окна, свежевыпущенный токен считается просроченным или ещё не наступившим, и пользователь выбрасывается на форму входа сразу после успешной аутентификации. Тот же механизм срабатывает при рассинхроне часов на устройстве пользователя, когда часть проверок идёт на клиенте.
Типичный источник расхождения — виртуальная машина после переноса или отката к снимку состояния, узел без работающей службы синхронизации времени, контейнер с часовым поясом, отличным от остальных. Проверка занимает одну команду на каждом узле и одно сравнение с эталонным источником времени.
В связке с внешним провайдером входа добавляются четыре точки отказа: истёкший сертификат подписи, которым провайдер заверяет утверждение о пользователе; адрес обработчика ответа, не совпадающий с зарегистрированным в провайдере; узкое окно действия утверждения, не переживающее задержку сети; отсутствие в ответе атрибута, по которому система сопоставляет пользователя с карточкой. В последнем случае вход технически проходит, сопоставить сотрудника не с кем, и приложение отправляет его на страницу входа.
Отдельный класс — кластер. Сессия создана на первом узле, а следующий запрос ушёл на второй, где её нет. Так происходит после включения нового узла, после перезапуска общего хранилища сессий и после смены ключа подписи cookie, когда старые идентификаторы перестают проверяться. Симптом узнаваемый: вылетает у всех и через раз, а повторный вход иногда срабатывает.
Мария Ж, юрист со стажем более 20 лет: «Массовый вылет сразу после планового обновления инфраструктуры мы разбираем с конца: смотрим не приложение, а то, что менялось за сутки до первых обращений. Перезапуск хранилища сессий, новый узел в кластере и смена ключа подписи cookie дают одинаковую картину для пользователя и разные записи в журналах. Зафиксируйте окно изменений до того, как начнёте править настройки».
Роли, обмен с 1С:ЗУП и лимиты лицензии
Учётная запись без единой роли ведёт себя как неавторизованная: система пропускает пользователя через аутентификацию, не находит ни одного разрешения и возвращает его на вход. Набор ролей обнуляется в трёх сценариях. Первый: обмен с учётной системой перезаписал карточку сотрудника и снял признак активности, потому что в источнике проставлена дата увольнения или перевода. Второй: сотрудник переведён в другое подразделение, а роли выданы через привязку к прежнему. Третий: администратор менял матрицу прав и убрал роль у группы, в которую пользователь входит.
Модуль интеграции с 1С:ЗУП в Добыто устанавливается и настраивается за один день, дальше документы и статусы синхронизируются автоматически. Обратная сторона автоматизации: любая ошибка в карточке источника приезжает в кабинет без ручного подтверждения, поэтому при жалобе одного сотрудника карточку смотрят в обеих системах и сверяют дату последнего обмена с временем первого вылета.
Лицензионные ограничения дают похожую картину, но с другим распределением: вылетают не все и не одни и те же люди, а те, кто зашёл последними. Проверяется по счётчику активных пользователей и по журналу отказов в выдаче сессии. Сюда же относится запрет параллельных сессий: сотрудник, оставивший открытый кабинет на рабочем компьютере, при входе с телефона закрывает первую сессию и получает вылет там.
Документы, которые ускоряют разбор доступа в КЭДО
Комплект для администратора и кадровой службы; при разборе вылета начинайте с чек-листа настройки КЭДО в 1С ЗУП.
| Документ | Скачать |
|---|---|
| Чек-лист настройки КЭДО в 1С ЗУП | Скачать |
| Матрица прав и ролей КЭДО в 1С ЗУП | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Приказ: ответственный за КЭДО и делегирование подписи | Скачать |
| Руководство пользователя Добыто КЭДО | Скачать |
Когда причина не в КЭДО и что бессмысленно чинить на стороне сервиса
Часть сценариев не лечится настройками системы, и время, потраченное на переписку с поддержкой вендора, здесь теряется. Инспекция HTTPS-трафика антивирусом или шлюзом подменяет сертификат сайта и в отдельных конфигурациях режет заголовки: сессия рвётся у всех, кто ходит через этот шлюз, и работает у тех, кто вне периметра. WAF с агрессивными правилами блокирует запрос с длинным телом или нестандартным заголовком и возвращает ответ, который приложение читает как неавторизованный. Корпоративный прокси с собственной обработкой cookie перезаписывает атрибуты и ломает привязку сессии.
Управление мобильными устройствами добавляет свои ограничения: политика может запрещать сохранение данных приложения, чистить хранилище при блокировке экрана или закрывать фоновые процессы, из-за чего мобильное приложение теряет токен обновления и при возврате показывает форму входа. Ограничение доступа по списку адресов даёт вылет у сотрудников, у которых внешний адрес меняется: мобильный интернет, домашний провайдер с динамическим адресом, VPN с разделением трафика.
Разделительный признак простой. Если вылет воспроизводится на устройстве вне корпоративной сети и без корпоративного профиля, дальше разбирается система. Если не воспроизводится, разбирается инфраструктура, и запрос уходит не вендору, а сетевой службе и службе информационной безопасности. В Добыто разбор обращения начинается ровно с этих двух вопросов: воспроизводится ли вылет за периметром и что менялось в инфраструктуре за сутки до первого случая.
Во что обходится неверная диагностика
Цена ошибки считается не часами администратора. Пока сотрудники не могут войти, останавливается подписание: приказы об отпуске, ознакомление с локальными нормативными актами, оформление приёма и перевода. По статье 22.3 ТК РФ работодатель обязан выдать работнику по его заявлению бумажную копию электронного документа в течение трёх рабочих дней, и при массовом сбое кадровая служба возвращается к ручной выдаче копий на весь период простоя. Нарушение трудового законодательства по части 1 статьи 5.27 КоАП РФ влечёт для юридического лица штраф от 30 000 до 50 000 рублей, и срыв сроков ознакомления с документами попадает в эту норму независимо от технической причины.
Отдельно считается риск при проверке: если работник не ознакомился с документом в срок, работодателю приходится подтверждать не факт сбоя, а факт направления и доступности документа. Журналы системы с отметками о направлении, статусах и попытках входа закрывают этот вопрос, поэтому выгрузку журналов за период инцидента делают сразу, а не после запроса инспекции.
Мария Ж, судебный эксперт по трудовому праву: «Технический сбой сам по себе не освобождает работодателя от сроков по трудовому законодательству. Мы советуем в день инцидента выгружать журнал направления и подписания документов за весь период недоступности и фиксировать время начала и окончания сбоя служебной запиской. Этот комплект закрывает вопрос о том, был ли документ доведён до работника».
Стоимость подключения и сопровождения КЭДО в Добыто
Стоимость зависит от численности сотрудников, набора видов подписи и потребности в интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, email-поддержка | от 30 ₽ за сотрудника / мес | подключение 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, приоритетная поддержка | от 50 ₽ за сотрудника / мес | подключение 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | рассчитывается индивидуально |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | 1 день |
Для администратора при разборе инцидентов различается канал поддержки: на тарифе «Старт» это поддержка по электронной почте, на «Бизнесе» — приоритетная поддержка, на «Корпорации» добавляются персональный менеджер и соглашение об уровне сервиса. Полный состав функций каждого пакета и условия перехода между ними приведены на странице тарифов ДОБЫТО КЭДО: повысить или понизить тариф можно в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Мгновенный выход из кабинета после успешного входа сводится к четырём слоям: cookie и политики браузера, расхождение часов и параметры токена, привязка сессии к узлу кластера, состав ролей и признак активности учётной записи. Порядок разбора идёт от дешёвого к дорогому: приватное окно и другой браузер, затем устройство вне корпоративной сети, затем время на серверах, затем карточка пользователя и обмен с учётной системой. Вид электронной подписи вмешивается в вход только при авторизации по сертификату, во всех остальных конфигурациях ПЭП, УНЭП и УКЭП работают на этапе подписания.
Мы в Добыто настраиваем вход, роли и обмен с 1С:ЗУП на старте проекта и держим журналы направления и подписания документов в форме, пригодной для выгрузки за произвольный период. Такой набор закрывает и разбор технического инцидента, и вопросы проверяющих о том, был ли документ доведён до работника.
Частые вопросы
Вылетает только в мобильном приложении, в браузере на том же телефоне всё работает
Браузер и приложение держат токены в разных хранилищах, поэтому проверяются три вещи. Первая: политика управления мобильными устройствами может чистить данные приложения при блокировке экрана или закрывать фоновые процессы, из-за чего теряется токен обновления. Вторая: системное время на телефоне при отключённой автоматической синхронизации уводит проверку токена за допустимое окно. Третья: версия приложения ниже минимально поддерживаемой сервером — сервер отвечает отказом, а приложение показывает форму входа без пояснения.
В карточке сотрудника стоит «тип подписи: УКЭП». Есть ли у УКЭП единица измерения и что там настраивается
Единицы измерения у электронной подписи нет: это не количественная величина. В карточке настраивается вид подписи, которым сотруднику разрешено подписывать документы, и с ним связаны три параметра — сертификат с серийным номером и издателем, срок действия сертификата и носитель ключа: токен, облако удостоверяющего центра или Госключ. Алгоритмы подписи и хэширования задаются по ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012 и в карточке не выбираются.
У единоличного исполнительного органа в системе выдана только ПЭП. Он сможет подписывать трудовые договоры
Нет. По статье 22.3 ТК РФ работодатель подписывает трудовой договор, договор о материальной ответственности, ученический договор, договор на получение образования, приказ о применении дисциплинарного взыскания и уведомление об изменении определённых сторонами условий трудового договора только усиленной квалифицированной электронной подписью. ПЭП руководителя годится для внутренних документов, по которым закон не требует усиленной подписи. Для перечисленных документов на руководителя выпускается УКЭП в аккредитованном удостоверяющем центре.
Пользователя выбрасывает ровно через один и тот же интервал после входа. Это дефект системы
Воспроизводимый интервал указывает на настройку. Проверьте два параметра в разделе безопасности: тайм-аут неактивности и предельное время жизни сессии. Первый закрывает сессию, если пользователь не совершал действий, второй срабатывает независимо от активности. Отдельно посмотрите, не считает ли система активностью только запросы к серверу: при работе с длинной формой обращений к серверу нет, и тайм-аут срабатывает при активном пользователе.
Сотрудник перестал заходить после перевода в другое подразделение
Перевод меняет привязку карточки к подразделению, а роли часто выданы через группу прежнего подразделения. После обмена с учётной системой пользователь остаётся активным, но без разрешений, и система возвращает его на страницу входа. Проверьте набор ролей в карточке, дату последнего обмена и правило назначения ролей для нового подразделения. Та же картина возникает при смене фамилии, если сопоставление с внешним провайдером входа идёт по устаревшему атрибуту, а не по неизменному идентификатору.
Сессия оборвалась в момент подписания. Нужно ли переподписывать документ
Смотрите статус документа в журнале, а не в интерфейсе пользователя. Если операция подписания завершилась на сервере и файл подписи создан, документ подписан, и повторное подписание создаст второй файл подписи к тому же документу. Если операция прервалась до создания файла подписи, документ остаётся неподписанным и уходит на повторное подписание с новой отметкой времени. Проверить результат можно по протоколу проверки подписи: он показывает подписанта, издателя сертификата, алгоритм и время подписания.
