Как конвертировать подпись P7S в формат SIG: способы 2026

Конвертация подписи P7S в формат SIG — задача, с которой сталкиваются кадровики, бухгалтеры и юристы при обмене документами с зарубежными контрагентами, при работе с PDF-документами от Adobe и при загрузке файлов в КЭДО-системы с фильтром по расширению. Внутри обоих файлов лежит CMS-контейнер по стандарту RFC 5652, и в большинстве сценариев конвертация сводится к простому переименованию за 5 секунд. Но есть нюанс: P7S может содержать как ГОСТ-подпись от КриптоПро, так и зарубежную RSA-подпись от Sectigo или DigiCert — и от этого зависит, пройдёт ли файл через российский валидатор. Покажу все рабочие способы и разберу ситуации, в которых переименование не помогает. Это часть большого материала про проверку электронной подписи на подлинность, где разобраны все методы и сервисы верификации подписи в одном месте.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Зачем конвертировать P7S в SIG

P7S — международное расширение для CMS-контейнера по стандарту PKCS#7 (RFC 2315). Появилось в начале 2000-х в утилитах OpenSSL и Microsoft CryptoAPI, прижилось в Adobe Reader, Acrobat и большинстве зарубежных решений. SIG — то же самое расширение для того же CMS-контейнера, только в российских сервисах: Госуслуги, Госключ, Контур Крипто, портал ФНС. Технически — один и тот же ASN.1-формат, та же структура SignedData с полями certificates, signerInfos и encapContentInfo.

Если контейнер один — почему вообще приходится конвертировать? Причины три, и каждая встречается в реальной кадровой и бухгалтерской практике.

1. Загрузка в российскую КЭДО-систему. Кадровый сервис принимает только .sig — так настроен фильтр на бэкенде. Контрагент прислал .p7s от Adobe Sign или от криптобиблиотеки на C#. Кадровик пытается приложить к карточке сотрудника — получает «формат файла не поддерживается» и идёт за разъяснениями к админу. Решение — переименовать .p7s в .sig до загрузки.

2. Передача в государственные сервисы РФ. Личный кабинет ФНС, портал Госуслуг, СМЭВ — почти везде стандарт .sig для откреплённой подписи. Если документ пришёл с расширением .p7s от международного УЦ, фильтр государственного сервиса просто не покажет его в окне выбора файла. Расширение нужно поменять.

3. Архивное хранение в едином формате. Юристы и бухгалтеры за 5-7 лет накапливают подписи разных форматов: от внутренних подписантов через КриптоПро (.sig), от иностранных партнёров (.p7s), от системы СУФД (.sgn). Когда архив переезжает на новое СХД или в новую DMS, обычно приводят всё к единому расширению. Это не обязательно для юрсилы, но удобно для индексирования и поиска.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Слово «конвертация» сбивает кадровиков с толку. Они представляют себе, что криптография как-то меняется внутри. Объясняю на пальцах: открытка и серт владельца внутри лежат те же, штампики времени на месте, OCSP-ответы тоже никуда не делись. Поменялось только три буквы после точки. Это переименование, не конвертация в строгом смысле слова. На юрсилу — ноль влияния. На байтовое содержимое файла — тоже ноль. Хеш SHA-256 от файла .p7s до и .sig после абсолютно идентичен.»

Проверить подлинность электронной подписи на Добыто

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Способ 1. Переименование вручную через Проводник

Простой и быстрый путь для разовых задач: 1-3 файла, нужно прямо сейчас, командной строкой пользоваться неохота. Подходит на любой ОС — Windows, macOS, Linux.

Алгоритм для Windows.

1. Откройте Проводник, найдите файл с расширением .p7s.
2. Если расширения не видны: вкладка «Вид» → галочка «Расширения имён файлов».
3. Правый клик на файле → «Переименовать» (или клавиша F2).
4. Замените .p7s на .sig в конце имени.
5. Жмите Enter. Windows покажет предупреждение «После изменения расширения файл может стать недоступен» — подтверждайте «Да», в нашем случае это безопасно.

Для macOS — правый клик → «Переименовать» → меняем расширение. Finder спросит «Использовать .sig» — подтверждаем. Для Linux в терминале одна команда: mv договор.p7s договор.sig. Никаких отличий от смены любого другого расширения нет.

Содержимое файла остаётся идентичным до байта. Размер совпадает. Хеш SHA-256 — тот же. Если открыть оба файла (исходный .p7s и переименованный .sig) в шестнадцатеричном редакторе вроде HxD или ImHex, разницы не будет ни в одном бите.

Способ 2. PowerShell для пакетного переименования

Когда речь о массиве в 500-2000 файлов — например, годовой архив подписанных PDF от международной юрлица для российского представительства — ручная работа уже не вариант. Помогает однострочник PowerShell.

Откройте PowerShell, перейдите в каталог через cd C:\путь\к\папке и выполните:

Get-ChildItem *.p7s | Rename-Item -NewName { $_.Name -replace '\.p7s$', '.sig' }

Команда находит все файлы с .p7s в текущем каталоге, заменяет .p7s на .sig в конце имени. На каждый файл тратится несколько миллисекунд, 1500 файлов отрабатываются за 2-3 секунды.

Для обратной конвертации (.sig в .p7s):

Get-ChildItem *.sig | Rename-Item -NewName { $_.Name -replace '\.sig$', '.p7s' }

Если архив разложен по подпапкам и нужна рекурсивная обработка, добавьте ключ -Recurse:

Get-ChildItem -Recurse *.p7s | Rename-Item -NewName { $_.Name -replace '\.p7s$', '.sig' }

Перед запуском в большом архиве рекомендую сначала прогнать «сухой» режим — просто посмотреть, какие файлы будут затронуты:

Get-ChildItem -Recurse *.p7s | ForEach-Object { Write-Host $_.FullName }

Команда выведет список всех .p7s в выбранной папке и подпапках, без переименования. Если список совпадает с ожиданиями — запускайте основную команду. Если нет — корректируйте путь или добавьте фильтрацию по дате/маске. И не забудьте про резервную копию папки перед массовой обработкой — на случай прерывания скрипта или конфликта имён.

Способ 3. Bash для Linux и macOS

Для Linux и macOS — аналог однострочника на bash. Запускается в любом терминале:

for f in *.p7s; do mv "$f" "${f%.p7s}.sig"; done

Команда проходит по всем .p7s-файлам в текущей папке и заменяет расширение на .sig. Для рекурсивной обработки используется find с обёрткой через sh -c:

find . -name "*.p7s" -exec sh -c 'mv "$1" "${1%.p7s}.sig"' _ {} \;

Конструкция работает в любой POSIX-совместимой системе — macOS, Ubuntu, Debian, RHEL, Astra Linux, FreeBSD. Скорость такая же — 1500 файлов за 2-3 секунды. На отечественных российских ОС работает идентично, потому что mv — стандартная утилита GNU coreutils.

Способ 4. Извлечение подписи P7S из PDF в отдельный SIG

Отдельная история — когда подпись P7S не лежит отдельным файлом, а встроена в PDF-документ. Adobe Acrobat, Adobe Sign, многие международные DMS подписывают по стандарту PAdES (PDF Advanced Electronic Signatures). Внутри PDF в отдельном объекте лежит CMS-контейнер — это и есть та самая P7S-подпись.

Если российская система требует именно отдельный .sig-файл (откреплённую подпись с документом отдельно), нужно сначала извлечь подпись из PDF, а уже потом переименовать. Способов несколько.

Вариант 1. Через Adobe Acrobat Pro. Откройте подписанный PDF, перейдите на вкладку «Подписи» в левой панели. Правый клик на подписи → «Сведения о подписи» → «Сохранить файл подписи». Acrobat выгрузит .p7s. Далее — переименование в .sig.

Вариант 2. Через OpenSSL. Если в системе установлен OpenSSL, можно вытащить подпись командой:

openssl pkcs7 -in document_signed.pdf -inform PEM -out signature.p7s

Это работает не для всех PDF — только для тех, где подпись хранится в формате PEM. Для DER-формата ключ -inform меняется на DER. На практике большинство PDF от Adobe Acrobat — в DER.

Вариант 3. Через КриптоАРМ ГОСТ 3 или 6. Откройте PDF в КриптоАРМ через «Файл» → «Открыть PDF». Программа покажет встроенные подписи, рядом будет кнопка «Экспортировать подпись». Сохраняете в нужном расширении сразу — .sig или .p7s по выбору.

Вариант 4. Через сервис dobyto.ru/sign. Загружаете подписанный PDF, сервис показывает сведения о подписи и позволяет скачать её отдельным файлом. В практике Добыто этот сценарий приходит каждый месяц — юристы из российских филиалов международных корпораций получают PDF с подписями от Adobe Sign и приводят их к российскому формату для архива.

Как извлечь подпись P7S из PDF и переименовать в SIG: пошаговая инструкция

Образцы документов и инструкции для работы с электронной подписью

Способ 5. Перенастройка КриптоАРМ на нужный формат

Если ваша инфраструктура регулярно подписывает документы и получатель всегда требует .sig (или наоборот — .p7s), проще не конвертировать постфактум, а сразу настроить КриптоАРМ на нужное расширение по умолчанию.

1. Откройте КриптоАРМ ГОСТ 3 или КриптоАРМ 6.
2. Меню «Сервис» → «Настройки» → раздел «Подпись».
3. Найдите пункт «Расширение файла подписи».
4. Выберите .sig или .p7s по выбору.
5. Сохраните настройки.

Дальше при подписании через «Файл» → «Подписать» программа будет создавать файлы сразу с нужным расширением. Альтернатива — в окне самого подписания, в диалоге «Параметры подписи», задать расширение для конкретной операции, не меняя глобальную настройку. Подробнее про программы для подписания документов ЭЦП с разбором фич, лицензий ФСБ и поддержки форматов — в отдельном материале.

Когда переименование P7S в SIG не сработает

В большинстве случаев переименование решает задачу за 5 секунд. Но есть пограничные ситуации, в которых переименование бесполезно — и важно понимать, чем они вызваны, чтобы не тратить часы на тщетные попытки.

1. Внутри P7S лежит RSA-подпись от международного УЦ. Если документ подписан зарубежным сертификатом от Sectigo, DigiCert, Comodo, GlobalSign — подпись построена по алгоритмам RSA + SHA-256. Российские валидаторы под КриптоПро по умолчанию настроены на ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012. После переименования файл откроется, но валидатор покажет «алгоритм не поддерживается» или «цепочка доверия не построена». Для российских госсистем такая подпись юридически не значима по 63-ФЗ. Решение — либо подписать заново российским сертификатом, либо использовать сервис трансграничной доверенной третьей стороны (ДТС).

2. Контейнер повреждён. Битый файл (потеря данных при копировании, неполная загрузка по FTP, сбой диска) переименование не оживит. Признак — сервис проверки выдаёт «невозможно прочитать ASN.1» или «повреждённый CMS». Решение — запросить новую копию у автора или восстановить из бэкапа.

3. Серт подписанта истёк, нет штампа времени. P7S в формате CAdES-BES (базовая подпись без меток) теряет проверяемость после истечения серта. Переименование не сделает серт действующим. Решение — переподписать актуальным сертом или попросить автора сделать улучшенную подпись CAdES-T с штампом времени.

4. Корневой серт не установлен в системе. Если P7S подписан российским сертификатом от УЦ, а корни от Минцифры или УЦ ФНС не установлены на машине проверяющего — валидатор скажет «цепочка доверия не построена». Это не зависит от расширения. Решение — установить корневые серты через e-trust.gosuslugi.ru (Единый портал ЭП).

5. Документ изменён после подписания. Если содержимое документа модифицировано хоть на байт после подписания (даже служебная правка метаданных в Word), хеш не сойдётся. Подпись станет невалидной. Переименование .p7s в .sig не влияет на хеш документа. Решение — найти оригинальный неизменённый документ или подписать заново.

6. Подпись присоединённая, а используется как откреплённая. В P7S подпись может быть присоединённой (документ внутри файла подписи) или откреплённой (отдельно от документа). Если контейнер с присоединённой подписью грузить как откреплённую и при этом отдельно прикладывать оригинал документа — валидатор выдаст ошибку «хеш не совпадает». Это не про расширение, но часто путается с ним. Решение — определить тип подписи через сервис проверки и работать в правильном режиме.

Мария Ж, юрист со стажем более 20 лет:
«Самая частая ошибка кадровиков и юристов с зарубежными контрагентами — принимают .p7s от иностранного УЦ как российскую подпись. Переименовывают в .sig, грузят в КЭДО — получают «цепочка доверия не построена». Идут переделывать. На дату написания статьи трансграничная доверенная третья сторона между РФ и ЕС не работает в полном объёме. Если документ нужен в российском правовом поле, единственно надёжный путь — переподписать через российскую УКЭП. Расширение тут вторично, первичны криптоалгоритмы.»

Стоимость работы с форматами подписи в КЭДО Добыто

Универсальная обработка форматов .p7s, .sig, .sgn — базовая функциональность валидатора в современных КЭДО-сервисах. Никаких отдельных оплат за конвертацию форматов нет, потому что конвертация как таковая не нужна — сервис читает контейнер по сигнатуре. Тариф КЭДО Добыто рассчитывается за сотрудника в месяц, без скрытых модулей под отдельные форматы.

Итоговая сумма зависит от численности персонала, выбранного тарифа и набора подключаемых модулей — актуальные тарифы сервиса Добыто помогут сориентироваться точнее. Поддержка всех форматов CMS-контейнера входит в тариф Бизнес и Корпорация без отдельных доплат.

Юридическая значимость P7S после переименования в SIG

Это вопрос, который чаще всего задают юристы корпоративного блока и руководители кадровых служб. Ответ короткий: переименование .p7s в .sig (или обратно) на юридическую силу не влияет ни в одном правовом сценарии, при условии, что внутри лежит подпись с соответствующими криптоалгоритмами.

ФЗ-63 «Об электронной подписи» — тройка для специалистов — в статьях 5 и 6 не упоминает расширений файлов вообще. Закон оперирует категориями «квалифицированный сертификат», «квалифицированная электронная подпись», «признание юридической силы», «аккредитованный удостоверяющий центр». Расширение — техническая деталь имени файла, не правовая категория. Подзаконка от Минцифры и ФСБ — приказы 795, 117, 584 — тоже работает на уровне форматов CAdES-BES, CAdES-T, XAdES, без упоминания .sig, .p7s, .sgn.

На publication.pravo.gov.ru опубликованы все приказы Минцифры по форматам ЭП — проверить можно самостоятельно. В тексте требований — криптоалгоритмы по ГОСТу, профили подписи по CAdES, нормативы хранения сертов и ключей. Расширения как самостоятельная категория в нормативке не появляются.

В трудовых судах, в арбитраже, в гражданских делах формат файла подписи никогда не был основанием для отказа в признании юрсилы. Дело Винлаба (увольнение через подделку подписи), дело Сбера (оспаривание ЭП на соглашении сторон), дело Магнита (электронные ЛНА) — в каждом суд назначал техэкспертизу содержимого CMS-контейнера, расширение не учитывалось. У меня в практике несколько раз ответчик пытался «придраться» к формату — попытки разбивались об экспертизу за 5 минут заседания.

Мария Ж, судебный эксперт по трудовому праву:
«Когда судят кадровый спор, где сторона оспаривает электронную подпись — первое, что назначает суд, это техэкспертиза CMS-контейнера. Эксперт открывает .p7s или .sig (одинаково), вытаскивает данные подписанта, серт, метку времени, OCSP-ответ — и составляет заключение. Расширение в заключении даже не упоминается, потому что криптографически оно ничего не значит. Юрсила определяется содержимым контейнера, не строкой после точки. Поэтому переименование в любую сторону безопасно с правовой точки зрения. Главное — чтобы внутри лежал валидный российский серт, если документ должен работать в правовом поле РФ.»

Типичные ошибки при конвертации P7S в SIG

На пилотах и проектах внедрения за последние 2 года в Добыто накопился список повторяющихся ошибок. Большинство связано с непониманием простой природы конвертации — что это переименование, не пересоздание подписи.

Ошибка 1. Принимают P7S от международного УЦ как российскую подпись. Кадровик получает .p7s от Adobe Sign, переименовывает в .sig, загружает в российскую КЭДО и удивляется ошибке «цепочка доверия не построена». Внутри лежит RSA + SHA-256 от Sectigo, российский валидатор её не принимает. Решение — перепроверить алгоритм подписи через сервис верификации до конвертации. Если внутри RSA — просить контрагента подписать заново российской УКЭП.

Ошибка 2. Идут переподписывать вместо переименования. Получили .p7s, нужно .sig. Идут к подписанту с просьбой «переподписать в правильном формате». Это занимает 1-3 рабочих дня и стоит времени двух человек. Решение — правый клик и переименование за 5 секунд (если внутри ГОСТ-подпись).

Ошибка 3. Используют сторонние «конвертеры» из интернета. Загружают файл с УКЭП на сомнительный онлайн-сайт «конвертер p7s в sig». Это не конвертация (она не требуется), а потенциальная утечка данных подписи. Закрытка остаётся у владельца, но открытка, серт и данные владельца уходят на чужой сервер. Решение — использовать только проверенные сервисы (Контур, Госуслуги, Добыто) или локальные инструменты.

Ошибка 4. Боятся переименовать УКЭП «чтобы не повредить». Думают, что переименование изменит криптографию. Это не так — содержимое файла остаётся побайтово идентичным. Хеш SHA-256 от .p7s до и .sig после абсолютно одинаков. Если переживаете — сохраните копию исходного файла перед переименованием.

Ошибка 5. Конвертируют в спешке без бэкапа. Запускают PowerShell-однострочник на архиве в 2000 файлов без копии исходных данных. Если что-то пойдёт не так (ошибка в шаблоне, прерывание скрипта посередине, конфликт имён), часть файлов окажется в промежуточном состоянии. Решение — копия папки перед массовой обработкой обязательна.

Ошибка 6. Конвертируют файл подписи, теряют исходный документ. Переименовали .p7s в .sig, но забыли, что подпись откреплённая — и для проверки нужен ещё исходный .pdf, .docx, .xls. Без обоих файлов проверка невозможна, никакое переименование не поможет. Решение — всегда хранить пару «документ + подпись» в одной папке или одном архиве.

Ошибка 7. Ставят .sig на файл, который не CMS-контейнер. Из-за путаницы переименовывают в .sig обычные файлы (.txt с настройками, бинарник, JSON-конфигурация). Валидатор открывает — получает «не CMS-контейнер». Решение — проверить, что исходный файл действительно подпись, через онлайн-сервис до переименования.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«На внедрении в каждом втором проекте всплывает зоопарк форматов подписи: бухгалтерия гонит .sgn от cryptcp, юристы получают .p7s от международных контрагентов, кадровая служба пишет .sig через КриптоАРМ. Универсальный валидатор закрывает это за один день: коробка читает CMS-контейнер по сигнатуре, расширение игнорируется полностью. На одном из наших проектов (компания на 2400 сотрудников, дочка международной группы) этот сценарий встречался каждую неделю. Закрыли на пилоте за 2-3 дня — дальше кадровики работали без переключения между интерфейсами и без скриптов конвертации в фоне.»

Выводы: как правильно конвертировать P7S в SIG

Конвертация .p7s в .sig (и обратно) — это переименование файла, не криптографическая операция. Содержимое CMS-контейнера от расширения не зависит, юридическая сила сохраняется в полном объёме при условии, что внутри валидная подпись с поддерживаемыми криптоалгоритмами. Для разовых задач достаточно правого клика в Проводнике или mv в терминале. Для пакетной обработки — однострочник в PowerShell или Bash, который перерабатывает тысячи файлов за пару секунд. Если P7S встроен в PDF (стандарт PAdES от Adobe), сначала извлеките подпись через Acrobat Pro, КриптоАРМ или OpenSSL, потом переименуйте.

Главный практический ориентир. Перед переименованием проверяйте, что внутри P7S лежит подпись с алгоритмами, которые принимает целевая система. Если документ от международного контрагента подписан RSA + SHA-256, а нужна юрсила в российском правовом поле — переименование не поможет, нужна переподпись через российскую УКЭП. Если внутри уже ГОСТ-подпись от КриптоПро или КриптоАРМ — переименование решает задачу за 5 секунд без потери валидности. Современные валидаторы определяют формат по сигнатуре первых байт ASN.1, не по строке после точки — так что в большинстве сценариев конвертация формата вообще не требуется, если поток подписей идёт через универсальный сервис.

В перспективе ближайших 1-2 лет ожидается развитие трансграничной доверенной третьей стороны (ДТС) для взаимного признания подписей между РФ и странами ЕАЭС — это снизит количество ситуаций, в которых .p7s от иностранного УЦ приходится переподписывать заново. До этого момента основной маршрут работы с международными подписями — через переподпись или через ДТС-шлюзы тех УЦ, которые уже подключены.

Часто задаваемые вопросы