Электронная подпись не читается чаще всего из-за трёх вещей: на компьютере не настроено криптографическое программное обеспечение, истёк или отозван сертификат, либо сервис проверки получил не тот файл. Здесь разберём, как за несколько минут понять, что именно сломалось — подпись, документ, сертификат или сама программа — и какими бесплатными сервисами проверить файл, не устанавливая ничего лишнего. Материал входит в большой раздел про проверку электронной подписи, где собраны способы проверки через Госуслуги, КриптоПро и онлайн-сервисы.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Что значит «подпись не читается» и какие бывают симптомы
Фраза «не читается подпись» скрывает совершенно разные поломки. Иногда программа вообще не видит файл подписи. Иногда видит, но пишет «подпись недействительна». А иногда серт есть, документ открывается, но кнопка «Подписать» серая и не нажимается. Это три разных диагноза, и лечатся они по-разному.
Перечислю типовые сообщения, с которыми приходят чаще всего. «Не удалось построить цепочку сертификатов для доверенного корневого центра» — проблема в корневых сертификатах. «Сертификат отозван» или «срок действия истёк» — проблема в самом сертификате. «Входные данные не являются подписанным сообщением» — вы загрузили не тот файл. «Плагин не загружен» или пустой список сертификатов в браузере — проблема в крипто-плагине. «Закрытый ключ не найден» — система не видит контейнер на токене. Каждое из этих сообщений указывает на конкретный узел, и дальше я пройдусь по ним по очереди.
Важная развилка в самом начале. Подпись бывает присоединённая (всё в одном файле, обычно с расширением .sig или внутри PDF) и отсоединённая — тогда подписи лежит в отдельном файле .sig рядом с документом. Если вы пытаетесь проверить отсоединённую подпись, а загружаете только документ без файла .sig — сервис честно скажет, что подписи он не нашёл. Это не поломка, это неправильный комплект файлов.
Почему не читается электронная подпись: разбор по узлам
Подпись — это цепочка из четырёх звеньев: криптопровайдер на компьютере, контейнер с закрытым ключом (обычно на флешке-токене), сертификат и сам подписанный файл. Рвётся одно звено — не работает вся цепь. Идём по звеньям.
Не установлен или не работает криптопровайдер
Криптопровайдер — это программа, которая выполняет саму криптографию. В России это почти всегда КриптоПро CSP. Если его нет, компьютер физически не умеет ни создать, ни проверить подпись по ГОСТ Р 34.10-2012. Симптом простой: токен в порту, серт виден глазами на флешке, а ни одна программа его не подхватывает.
Отдельная засада — истёкшая лицензия КриптоПро. После установки даётся демо-период на три месяца, дальше нужна лицензия. Нюанс: если лицензия вшита внутрь сертификата (так делает удостоверяющий центр ФНС), то даже на машине с истёкшей лицензией CSP подпись этим ключом работает — провайдер подхватывает лицензию из сертификата при подписании. А вот чужим ключом на той же машине подписать уже не выйдет, нужна полная лицензия.
Мария Ж, специалист по цифровой подписи и КЭДО:
«Половина обращений в духе «не работает крипта» — это банально не установленный или слетевший после обновления винды крипто-провайдер. Прежде чем грешить на серт, проверьте, стоит ли вообще КриптоПро и не сдохла ли лицензия. Это две минуты, а нервов экономит вагон.»
Система не видит контейнер на токене
Закрытый ключ — закрытка — хранится в контейнере. Чаще всего на юсби-токене (рутокен, JaCarta). Чтобы система его увидела, нужен драйвер носителя. Нет драйвера — флешка вставлена, индикатор горит, а в списке сертификатов пусто.
Дальше тонкость про типы ключей. Ключи бывают извлекаемые (программные, копируются в реестр или другой контейнер) и неизвлекаемые — такие генерируются внутри крипто-ядра токена и наружу не выходят никогда. С неизвлекаемыми ключами формата ФКН закрытка вообще не покидает память токена, подпись формируется на борту. Это безопаснее, но и капризнее: если у вас на машине стоит старый КриптоПро CSP версии 4.0, он умеет работать только с извлекаемыми (пассивными) ключами. Активный токен с ФКН он просто не увидит. Лечится обновлением CSP до версии 5.0 R2 и выше.
Бывает и совсем бытовое. Контейнеров на токене несколько (например, вы продлевали подпись), и система берёт не тот — старый, с истёкшим сроком. В персональном менеджере сертификатов это видно по дате: смотрите на самую свежую и выбираете её.
Проблема в сертификате: истёк, отозван, нет цепочки
Это самый частый диагноз для сообщения «подпись недействительна». Тут три отдельных сценария.
Первый — истёк срок действия. Раньше сертификаты выдавали на 15 месяцев, сейчас срок может доходить до 12 лет. Истёк — подпись новым документом этим ключом не поставить, нужен перевыпуск.
Второй — сертификат отозван. Владелец или удостоверяющий центр могли отозвать серт досрочно. Проверяется это через список отозванных сертификатов — СОС, он же CRL. При проверке программа подтягивает актуальный СОС и сверяет, нет ли в нём вашего сертификата. Если интернета нет или СОС не обновился — может вылезти ошибка, хотя серт на самом деле живой.
Третий и самый частый на практике — не строится цепочка доверия. Сертификат конкретного человека подписан удостоверяющим центром, тот — вышестоящим, а на вершине стоит головной удостоверяющий центр Минцифры, который подписывает сертификаты всех аккредитованных УЦ. Если на вашем компьютере не установлены корневые сертификаты этой цепочки — программа честно скажет, что не может построить путь до доверенного корня. Лечится установкой корневых и промежуточных сертификатов УЦ в нужное хранилище.
Мария Ж, судебный эксперт в сфере трудового права:
«Когда вижу «не удалось построить цепочку» — сразу понятно, человек поставил свой серт, а корневые сертификаты УЦ забыл. Без корня крипта не понимает, кому доверять. Ставите корневой и промежуточный — и зелёная галочка появляется сама.»
Не работает крипто-плагин в браузере
Отдельная история — подпись на сайтах: Госуслуги, личные кабинеты ФНС и Росреестра, торговые площадки, кадровые сервисы. Там за подпись отвечает КриптоПро ЭЦП Browser plug-in — браузерное расширение, через которое страница достукивается до CSP на вашем компьютере. Сама крипта работает не в браузере, а в провайдере, плагин — это посредник, крипто-плагин.
Симптомы поломки: список сертификатов в окне выбора пустой, кнопка «Подписать» серая, или сайт пишет «плагин не загружен». Причины обычно две. Либо плагин установлен, но расширение в браузере не включено — его надо активировать вручную в настройках расширений (ищите CryptoPro Extension for CAdES Browser Plug-in). Либо площадка не добавлена в доверенные узлы плагина. Проверить работоспособность плагина можно на диагностической тестовой странице самого КриптоПро — там вы выбираете серт, жмёте «Подписать», и если подпись формируется, плагин жив.
Как диагностировать проблему: пошаговый алгоритм
Чтобы не гадать, идите от простого к сложному. Каждый шаг отсекает один узел и сужает круг.
Показать пошаговую инструкцию диагностики
- Шаг 1. Определите тип подписи. Если файл один (.sig или подписанный PDF) — подпись присоединённая. Если рядом с документом лежит отдельный .sig — отсоединённая, и для проверки нужны оба файла.
- Шаг 2. Прогоните файл через онлайн-сервис проверки, который не требует установки программ. Это сразу покажет, проблема в файле или в вашем компьютере. Если онлайн подпись читается, а локально нет — значит, дело в настройке вашей машины.
- Шаг 3. Проверьте криптопровайдер. Откройте КриптоПро CSP, посмотрите, не истекла ли лицензия, виден ли ваш сертификат в личном хранилище.
- Шаг 4. Проверьте токен. Вставьте флешку, убедитесь, что установлен драйвер носителя и в списке контейнеров виден нужный — со свежей датой.
- Шаг 5. Проверьте сертификат: срок действия, статус отзыва (по СОС) и цепочку до корневого центра. Доустановите корневые и промежуточные сертификаты УЦ, если их нет.
- Шаг 6. Для подписи на сайтах проверьте крипто-плагин на тестовой странице КриптоПро и включите расширение в браузере.
На втором шаге удобно использовать сервис, который работает прямо в браузере. В сервисе Добыто Подпись проверка идёт без установки криптопровайдера: загружаете файл подписи (или пару документ + .sig для отсоединённой), сервис проверяет целостность и показывает данные сертификата. Поддерживаются оба типа подписи и больше сотни форматов — PDF, DOC, DOCX, XLS и другие. Файлы на сервере не сохраняются.
Проверка электронной подписи онлайн — сервис Добыто
Проверка электронной подписи
Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.
1 Выберите тип подписи:
Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.
2 Загрузите документ и подпись:
Документ
Файл подписи
Если на шаге с цепочкой сертификатов или токеном вы зависли и не понимаете, какой именно корневой сертификат доустановить — это нормальная ситуация, тут легко закопаться в хранилищах и реестре. Мы в Добыто настраиваем рабочее место под подпись и проверку каждый день и видим эти грабли в типовых конфигурациях, поэтому диагностируем причину за один сеанс, а не методом тыка.
Какими сервисами проверить подпись, если ничего не читается
Когда нужно быстро понять, живая подпись или нет, не обязательно чинить свой компьютер — достаточно прогнать файл через сторонний сервис. Их несколько, и у каждого свои ограничения.
Госуслуги. На портале есть раздел подтверждения подлинности подписи — он проверяет отсоединённую подпись (документ плюс файл .sig) и присоединённую в формате PKCS#7. Важный нюанс, на который натыкаются постоянно: Госуслуги не читают подпись, встроенную внутрь PDF. Загрузите такой PDF — получите «входные данные не являются подписанным сообщением». Это не значит, что подпись плохая, просто сервис заточен под другой формат.
Тестовая служба КриптоПро. Даёт результат проверки, но сами разработчики помечают, что результаты носят ознакомительный характер. Удобно для быстрой прикидки.
КриптоАРМ и десктопные программы. Дают развёрнутый отчёт: формат подписи (CAdES BES, T, X Long Type 1, A), метки времени, OCSP-ответы, всю цепочку сертификации. Это нужно бухгалтерам, юристам и тем, кто работает с архивами — там важны доказательства подлинности. Если вам нужно не просто увидеть зелёную галочку, а получить протокол проверки в PDF для суда или ГИТ — это сюда.
Добыто Подпись. Браузерный вариант без установки, удобен, когда чужой компьютер или нет прав администратора, чтобы поставить КриптоПро. Если вы только подбираете инструмент под задачу, есть отдельный разбор программ для подписания документов ЭЦП с их сильными и слабыми сторонами.
Официальный сервис проверки на портале Госуслуг доступен на странице подтверждения подлинности электронной подписи — там же лежит справочная информация по проверке в PDF.
Мария Ж, юрист со стажем более 20 лет:
«Часто слышу: «подпись не читается на Госуслугах, значит документ битый». А по факту человек грузит PDF с встроенным штампиком, который портал просто не умеет смотреть. Возьмите КриптоАРМ или браузерный сервис — и та же подпись прекрасно читается. Не путайте ограничение сервиса с поломкой подписи.»
Подпись не читается из-за истёкшего сертификата: что с архивными документами
Отдельная и болезненная тема — старые подписанные документы. Сертификат действовал, скажем, год, документ подписали, серт давно истёк. Через несколько лет открываете архив — а подпись не проходит проверку, потому что сертификат уже недействителен.
Решение — усовершенствованная подпись. При подписании к ней добавляют доказательства подлинности: штамп времени от доверенной службы (фиксирует точный момент подписания) и OCSP-ответ (подтверждает, что на момент подписания сертификат не был отозван). Поверх со временем накладывают архивную метку, которая заверяет предыдущие. На профессиональном сленге это называется ухаживание за подписью — её периодически продлевают метками времени, чтобы документ оставался проверяемым десятилетиями. Без этих меток подпись после истечения сертификата проверку не пройдёт, и в споре доказать момент подписания будет нечем.
Для кадровых документов это критично: сроки хранения доходят до 50 лет. В практике Добыто мы при настройке архива сразу закладываем усовершенствование подписи метками времени, чтобы через 10-15 лет трудовой договор или приказ не превратился в нечитаемый файл с мёртвой подписью.
Образцы документов и памятки по работе с электронной подписью
Открыть список документов
Частые ошибки, из-за которых подпись «не читается» на ровном месте
Многие проблемы создаёт не техника, а действия пользователя. Разберу те, что встречаются чаще всего, и во что они обходятся.
Ошибка первая — проверять отсоединённую подпись без файла подписи. Человек грузит в сервис только документ, забыв про .sig, и делает вывод, что подпись битая. Делают так от незнания, что подпись лежит отдельно. Цена ошибки — потерянное время и ложный вывод о недействительности нормального документа, иногда с последствиями вроде отказа принять документ у контрагента. Про то, как устроен файл с откреплённой УКЭП заявителя, есть отдельный разбор — там видно, какой комплект файлов нужен для проверки.
Ошибка вторая — тянуть до последнего дня с перевыпуском сертификата. Серт истекает, а его продлением никто не занимался, потому что «вроде же работало». В итоге в день сдачи отчётности подпись мёртвая, перевыпуск занимает время, а дедлайн горит. Цена — сорванные сроки сдачи документов и реальные штрафы за просрочку.
Ошибка третья — ставить КриптоПро на компьютер, где криптографией заведует другая программа. Два крипто-провайдера в системе начинают конфликтовать, и подпись перестаёт читаться в обоих. Делают это, не разобравшись, какой провайдер уже стоит. Цена ошибки — полная переустановка и потерянный рабочий день, а в худшем случае переустановка системы начисто.
Ошибка четвёртая — копировать неэкспортируемый контейнер. Закрытка с флага «не экспортируемый» (так выдаёт УЦ ФНС для безопасности) скопировать нельзя в принципе. Человек копирует, копия не работает, и он думает, что подпись сломалась. Цена — паника на ровном месте и обращение в техподдержку там, где всё работало изначально.
Стоимость подключения и обслуживания электронной подписи в КЭДО
Когда подпись постоянно «не читается» из-за зоопарка программ на разных компьютерах, имеет смысл уйти от ручной настройки каждого рабочего места к сервису, где подпись и проверка работают из одного окна. Стоимость зависит от численности штата, выбранного тарифа и набора подключаемых модулей — вида подписи, интеграции с 1С, электронного архива.
| Тариф | Стоимость | Условия |
|---|---|---|
| Старт — для небольших компаний, начинающих переход на КЭДО (ПЭП и УНЭП, базовые шаблоны, email-поддержка) | от 30 ₽ за сотрудника / мес | до 25 сотрудников |
| Бизнес — для среднего бизнеса (ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив, приоритетная поддержка) | от 50 ₽ за сотрудника / мес | от 50 сотрудников, 30 000 ₽ в год минимум |
| Корпорация — для крупного бизнеса (всё из Бизнеса, выделенный сервер, SLA 99.9%, персональный менеджер, API) | по запросу | расширенные требования и SLA |
Итоговая сумма складывается из численности персонала, выбранного вида подписи и набора модулей — на тарифе Бизнес подключается УКЭП и электронный архив, а это уже совсем другие денюжки для работодателя, чем базовый Старт. Сориентироваться точнее помогут актуальные тарифы сервиса Добыто с детализацией по модулям.
Выводы: что делать, когда электронная подпись не читается
Сообщение «подпись не читается» почти всегда указывает на конкретный узел, а не на безнадёжную поломку. Сначала определите тип подписи — присоединённая или отсоединённая — и убедитесь, что в сервис проверки уходит правильный комплект файлов: для отсоединённой нужны и документ, и файл .sig. Затем прогоните файл через онлайн-сервис: если он читает подпись, а ваш компьютер нет — проблема локальная, в настройке, а не в самом документе.
Дальше идите по цепочке: криптопровайдер и его лицензия, драйвер токена и выбор свежего контейнера, сертификат с его сроком, статусом отзыва по СОС и цепочкой до корневого центра, а для сайтов — крипто-плагин и доверенные узлы. Большинство ошибок «не удалось построить цепочку» лечится установкой корневых и промежуточных сертификатов удостоверяющего центра. Истёкший сертификат требует перевыпуска, и не тяните с ним до дедлайна. Для архивных документов закладывайте усовершенствованную подпись со штампами времени и OCSP — без них через годы подпись станет непроверяемой.
Помните про ограничения сервисов проверки: Госуслуги не читают подпись, встроенную в PDF, и это не повод считать документ битым. Для развёрнутого протокола с метками времени и цепочкой берите КриптоАРМ или браузерный сервис, который выдаёт отчёт. Правильная диагностика занимает минуты, если идти от простого к сложному, а не переустанавливать всё подряд.
Часто задаваемые вопросы
Что значит ошибка «не удалось построить цепочку сертификатов»?
Почему Госуслуги пишут «входные данные не являются подписанным сообщением»?
Что делать, если в браузере пустой список сертификатов при подписании?
Как проверить, не отозван ли сертификат?
Почему подпись не читается на старом архивном документе?
Можно ли проверить подпись без установки КриптоПро?
Токен вставлен, а сертификат не виден — в чём причина?
Что такое извлекаемые и неизвлекаемые ключи и при чём тут чтение подписи?
Подпись не работает после истечения лицензии КриптоПро — что делать?
Почему скопированный с токена контейнер не работает?
Какой срок действия у сертификата электронной подписи?
Чем отличается присоединённая подпись от отсоединённой при проверке?
Когда подпись регулярно «не читается» то на одном компьютере, то на другом, а кадровик тратит часы на переустановку драйверов и поиск корневых сертификатов — проще перевести подписание и проверку в единый сервис. В Добыто подпись, проверка и хранение документов работают из одного интерфейса, без ручной настройки каждого рабочего места под КриптоПро.
Сервис поддерживает работу со штатными сотрудниками, самозанятыми и ГПХ, ведёт всю цепочку подписей с отметками времени и сохраняет документы в электронном архиве — это снимает большинство причин, по которым подпись перестаёт читаться через годы.
- Поддержка всех трёх видов подписей — ПЭП, УНЭП, УКЭП — для любого кадрового процесса
- Проверка присоединённой и отсоединённой подписи в браузере, без установки криптопровайдера
- Вся цепочка подписей фиксируется с отметками времени — защита при проверках ГИТ и в суде
- Хранение документов до 50 лет с сохранением проверяемости подписи
- Готовый коннектор с 1С (ЗУП, КА, ERP) — ставится без привлечения разработчиков
- Мобильное приложение для подписания с телефона — в командировке, в отпуске, без похода в отдел кадров
- Юридическая значимость по 63-ФЗ и 377-ФЗ — электронный документ равносилен бумажному