Открепленная УКЭП в формате SIG: как создать и проверить в 2026

Открепленная УКЭП в формате SIG — это усиленная квалифицированная электронная подпись, при которой криптографический отпечаток документа вместе с сертификатом подписанта складывается в отдельный файл с расширением .sig, а исходный документ остаётся неизменным. Такая связка «документ + .sig» принимается арбитражными судами, ЕИС закупок, Росреестром и Госуслугами как полный аналог собственноручной подписи по ст. 6 ФЗ № 63-ФЗ. Разберём, чем УКЭП в .sig отличается от НЭП и ПЭП, какие программы создают откреплённую подпись, как проверить её через Госуслуги и КриптоАРМ, сколько стоит выпуск сертификата и как избежать частых ошибок при работе с парой «оригинал + сиг-файл». Это часть большого материала про проверку электронной подписи на подлинность документа, где собраны все способы и сервисы верификации файла ЭП.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое УКЭП в формате SIG и чем она отличается от других видов подписи

УКЭП — усиленная квалифицированная электронная подпись. Это высший уровень ЭП по ФЗ № 63-ФЗ «Об электронной подписи», а на профессиональном жаргоне просто «тройка». Отличие от усиленной неквалифицированной (НЭП) и простой (ПЭП) — в технических требованиях: УКЭП формируется с использованием криптосредств, сертифицированных ФСБ России, и сертификат выдаётся аккредитованным удостоверяющим центром. Минимальный набор — флешка-токен с закрытым ключом (Рутокен, JaCarta), КриптоПро CSP с действующей лицензией и квалифицированный сертификат. Без этой связки никакой .sig у вас не появится, как ни крути.

Формат SIG — это контейнер CMS Signed Data по стандарту RFC 5652 (либо его расширенная версия CAdES). Внутри хранятся: хеш-сумма исходного документа, сертификат подписанта в base64, дата и время подписания, при наличии — штамп времени от УЦ. Размер обычно 4-8 КБ. Открыть его в блокноте можно, но смысла мало — там бинарный ASN.1, читать глазами бесполезно.

Откреплённый формат — это когда .sig живёт отдельным файлом рядом с документом. Подписали договор — получили dogovor.pdf и dogovor.pdf.sig. Сам PDF не меняется, в нём не появляется ни строки подписи, ни плашки с печатью. Подпись висит «снаружи». Альтернатива — присоединённая подпись, когда сертификат и хеш зашиваются внутрь документа (так делает КриптоПро Office Signature для Word и Excel или Adobe для PDF). У каждого формата свои сценарии применения.

Чем УКЭП в SIG отличается от НЭП и ПЭП в том же формате

Технически .sig — это контейнер. В него можно положить хеш и сертификат подписи любого уровня. То есть открепить можно и ПЭП, и НЭП, и УКЭП — формат файла будет одинаковый, расширение тоже. Разница — в содержимом сертификата и алгоритмах.

УКЭП в .sig содержит сертификат от аккредитованного УЦ, цепочка доверия которого восходит к корневому сертификату Минцифры (раньше Минкомсвязи). Алгоритмы — ГОСТ Р 34.10-2012 для подписи и ГОСТ Р 34.11-2012 для хеширования. Закрытый ключ хранится на сертифицированном носителе — токене или Госключе. Юридическая значимость — полная: документ с УКЭП по ст. 6 ФЗ № 63-ФЗ равнозначен бумажному с собственноручной подписью без всяких допсоглашений. Госорганы, суды, налоговая, ЕИС — все обязаны принимать.

НЭП в .sig тоже использует ГОСТ-алгоритмы, но УЦ может быть любой — корпоративный, удостоверяющий центр оператора ЭДО, личный кабинет налогоплательщика. Сертификат не аккредитованный. Юрсила — только при наличии соглашения сторон о признании НЭП равнозначной собственноручной (ст. 6 ч. 2 ФЗ № 63-ФЗ). В арбитраж не подашь, в ЕИС не загрузишь.

ПЭП в .sig встречается реже. Это код подтверждения через СМС или email-ссылка, упакованный в контейнер. Юрсила — только в рамках соглашения, и только при условии идентификации подписанта. В госсистемах не принимается вовсе.

Мария Ж, специалист по цифровой подписи и КЭДО:
«На приёмке документов от контрагентов через ЭДО половина проблем — из-за того что юрик решил сэкономить денежки на УКЭП и подписал важный договор НЭП в .sig. Файл выглядит точно так же, расширение то же, размер похожий. Но при первом же арбитраже выясняется, что эта подпись юридически ничего не доказывает — и контрагент уходит в отказ. УКЭП — не место для экономии, тут лучше переплатить за бумажечку с сертификатом, чем потом доказывать в суде.»

Проверка электронной подписи онлайн — сервис Добыто

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Требования для создания открепленной УКЭП в формате SIG

Чтобы сформировать .sig с УКЭП, нужны три обязательных элемента: квалифицированный сертификат, средство криптографической защиты информации (СКЗИ) и носитель закрытого ключа. Без любого из них файл с подписью не появится.

Квалифицированный сертификат от аккредитованного УЦ

С 2022 года для юридических лиц сертификат УКЭП выдаёт только удостоверяющий центр ФНС России (бесплатно, через территориальные отделения или доверенных лиц). Для физических лиц и ИП — аккредитованные коммерческие УЦ (Контур, СберКриптография, ИТК и другие) или тот же УЦ ФНС. Срок действия сертификата — 12 или 15 месяцев в зависимости от УЦ. После окончания нужно перевыпускать.

Стоимость для физлица или ИП — от 1 500 до 3 500 руб. за сертификат плюс носитель (токен) от 1 500 руб. Для юриков сертификат бесплатный, но токен и лицензию КриптоПро придётся купить отдельно. Не всегда нужна УКЭП с физическим токеном — для отдельных задач (например, госуслуги физлица) подойдёт мобильная подпись через Госключ.

Носитель закрытого ключа: токен и его настройка

Закрытка хранится на сертифицированном USB-токене — чаще всего Рутокен Lite, Рутокен ЭЦП 2.0, JaCarta-2 PKI/ГОСТ или эквиваленте. Это не обычная флешка с файлом, а устройство с защищённым чипом. Закрытый ключ из токена нельзя извлечь и скопировать — все криптооперации выполняются внутри чипа. Это и есть «подпись на борту».

Установка драйвера для токена — первое, с чего начинается настройка рабочего места. Драйверы Рутокен и JaCarta лежат на сайтах производителей, ставятся в один клик. После установки токен видится в Диспетчере устройств Windows, а сертификаты с него можно посмотреть через Персональный менеджер или КриптоПро CSP.

СКЗИ КриптоПро CSP с действующей лицензией

КриптоПро CSP — крипто-провайдер, который подключает токен к операционной системе и выполняет криптографические операции по ГОСТ. Без него никакой ГОСТ-подписи не будет — Windows и macOS родными средствами не умеют ГОСТ Р 34.10-2012. Лицензия КриптоПро CSP стоит 1 200 руб. на год для физлиц или 2 700 руб. бессрочная. Часто УЦ продаёт сертификат вместе со встроенной лицензией — тогда отдельно покупать ничего не нужно.

Для работы с браузерными сервисами (Госуслуги, ЕИС, Контур) дополнительно ставят КриптоПро ЭЦП Browser plug-in. Бесплатный, расширение для Chrome/Edge/Firefox, позволяет браузеру обращаться к токену через крипто-провайдера. Без плагина онлайн-сервисы будут писать «не удалось найти сертификат» и работать не станут.

Машиночитаемая доверенность для подписи от юрлица

С сентября 2023 года при подписании документов от имени юрлица через УКЭП сотрудника (не гендира) обязательно прикладывается МЧД — эмчедэшка с полномочиями подписанта. Без МЧД налоговая, банк или контрагент через ЭДО документ не примут, даже если УКЭП валидная. Сама МЧД — тоже электронный документ, подписанный УКЭП руководителя, лежит в реестре ФНС или у оператора ЭДО.

МЧД формируется один раз на конкретного сотрудника и конкретные полномочия (подписывать договоры до X миллионов, отправлять отчётность в ФНС, и так далее). Срок действия — до отзыва или до даты, указанной при создании. При смене должности или увольнении МЧД отзывается.

Как создать откреплённую УКЭП в формате SIG: программы и сервисы

Технически создание .sig — это вызов крипто-провайдера с двумя параметрами: какой документ подписать и каким сертификатом. На выходе получаем парный файл. Оболочек, которые умеют это делать, на рынке десятки. Разберём те, которыми пользуется большинство.

КриптоПро CSP + плагин Office Signature

Сама по себе КриптоПро CSP — не приложение с интерфейсом, а служба. Подписывать документы из неё напрямую не получится. Но для пары «откреплённая подпись + любой файл» подойдёт встроенная утилита cryptcp — консольная программа из дистрибутива КриптоПро. Команда для создания .sig: cryptcp -signf -dn "имя сертификата" -nochain -der файл.pdf. На выходе — файл.pdf.sig в той же папке. Минус подхода — нужно знать командную строку, а кадровик-юрик с этим не знаком.

Для офисных документов КриптоПро предлагает плагин Office Signature — но он создаёт присоединённую подпись внутри Word/Excel, а не откреплённую .sig. Для .sig из Office нужны сторонние инструменты.

КриптоАРМ ГОСТ — универсальное решение для .sig

КриптоАРМ ГОСТ от компании «Цифровые Технологии» — самая распространённая программа для работы с открепленными подписями. Удобный интерфейс, поддержка всех ГОСТ-алгоритмов, работа с одиночными файлами и пакетами. Сертифицирована ФСБ России, действует на Windows, Linux, macOS и российских ОС.

Алгоритм создания .sig в КриптоАРМ простой: правый клик по файлу → «Подписать» → выбор сертификата → выбор формата (откреплённая) → нажать «Подписать». На выходе — парный .sig в той же папке. Можно подписывать пачку файлов разом — массовое подписание документов ЭЦП экономит часы при работе с архивами договоров. Поддерживается ухаживание за подписью — добавление штампов времени для архивного хранения.

Версия КриптоАРМ ГОСТ 3 — универсальная, со встроенным почтовым клиентом для трансграничного обмена. КриптоАРМ ГОСТ 5 — расширенная, с поддержкой МЧД и архивных подписей формата CAdES-A. Стоимость лицензии — от 2 500 руб. для одного рабочего места.

Контур.Крипто и онлайн-сервисы

Контур.Крипто — бесплатный веб-сервис от СКБ Контур для подписания и проверки .sig. Работает в браузере без установки локального ПО (нужен только КриптоПро ЭЦП Browser plug-in и токен). Поддерживает откреплённую и присоединённую подпись, работу с файлами любых форматов до 100 МБ, проверку чужих подписей. Удобно, когда нужно подписать единичный документ без полноценной установки КриптоАРМ.

Аналогичные сервисы есть у Тензора (Сабай.Крипто), у Калуги Астрал, у самой Минцифры (Госуслуги для физлиц — но там только проверка, не подписание). В практике Добыто мы наблюдаем, что для регулярной работы юрики берут платный КриптоАРМ или специализированный сервис ЭДО, а Контур.Крипто чаще используется для разовых операций.

Госключ для физлиц — мобильная альтернатива

Госключ — мобильное приложение от Минцифры, которое выпускает УКЭП на смартфон без флешки и КриптоПро. Закрытый ключ хранится в защищённом хранилище телефона. Подписать через Госключ можно отдельные категории документов — проекты договоров с госорганами, заявления через Госуслуги, документы у нотариуса. Для арбитражной подачи и ЕИС закупок мобильная подпись пока не подходит. Откреплённая подпись Госключа формируется в стандартном .sig формате.

Как подписать документ электронной подписью онлайн

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Когда мы подключаем компанию к КЭДО, на этапе обучения юриков и кадровиков всегда показываем разницу между .sig и встроенной подписью. Иначе на проде получается весело: юрист подписывает договор УКЭП в КриптоАРМ, отправляет контрагенту, а тот открывает PDF в Adobe и не видит никакой подписи. Идёт жалоба, приходится объяснять, что .sig лежит рядом — надо было прислать оба файла. Базовая вещь, но в первый месяц работы половина пользователей на ней спотыкается.»

Как проверить открепленную УКЭП в формате SIG

Проверка — это обратная операция. Берём пару «документ + .sig», скармливаем верифицирующему сервису, получаем вердикт: подпись валидна или нет, кто подписал, когда, не модифицировался ли документ после подписания. На рынке три типа инструментов: государственные порталы, локальные программы и онлайн-сервисы.

Через портал Госуслуг

На сайте gosuslugi.ru/eds работает бесплатный сервис проверки УКЭП. Загружаешь оригинал документа, рядом — .sig, нажимаешь «Проверить». Через несколько секунд приходит результат: валидна / невалидна, ФИО или название юрика, серийник сертификата, УЦ-эмитент, срок действия. Обработать может файлы до 100 МБ. Минус — принимает только УКЭП (квалифицированную). НЭП и ПЭП в .sig сервис проверять не будет, выдаст ошибку.

Через КриптоАРМ или КриптоПро

Локальная проверка через КриптоАРМ ГОСТ — самый надёжный вариант, если у вас уже есть установленное ПО. Открываешь приложение, вкладка «Проверить», добавляешь документ и .sig, жмёшь «Проверить подпись». На выходе — детальный отчёт со всеми атрибутами: алгоритмы, цепочка сертификатов, статус через CRL и OCSP, наличие штампа времени. Подходит для любого вида подписи — УКЭП, НЭП и даже неГОСТ-вых сертификатов RSA.

В КриптоПро встроенная проверка работает через утилиту cryptcp: cryptcp -verify -nochain -dir папка файл.pdf файл.pdf.sig. Командная строка, для админов и разработчиков. Юрику-гендиру проще через КриптоАРМ.

Через онлайн-сервис Добыто

Сервис Добыто.Подпись — бесплатный браузерный валидатор. Регистрация не нужна, локальное ПО ставить не надо. Загружаешь документ и .sig, ставишь галку про обработку персональных данных, жмёшь «Проверить». Через 2-3 секунды получаешь статус подписи и сведения о сертификате. Удобно для разовых проверок и для случаев, когда КриптоАРМ под рукой нет (другой компьютер, телефон, гостевая машина). Файлы на сервере не сохраняются.

Образцы документов и инструкции по работе с УКЭП

Где применяется откреплённая УКЭП в формате SIG

Список систем, где приём идёт только в виде «документ + .sig», довольно длинный. Вот основные.

Арбитражные суды через «Мой Арбитр» — подача исковых заявлений, ходатайств, жалоб. К каждому документу прикладывается парный .sig. Без этого канцелярия документ не примет, выдаст ошибку «отсутствует электронная подпись».

ГАС «Правосудие» — подача документов в суды общей юрисдикции. Аналогично «Мой Арбитр», но интерфейс другой.

ЕИС закупок (zakupki.gov.ru) — подача заявок, контрактов, обеспечений. Поставщики и заказчики обязаны подписывать УКЭП.

Росреестр — выписки из ЕГРН, кадастровые сведения. Документы из Росреестра приходят с открепленной .sig от ведомственного УЦ.

ФНС — подача отчётности, справок, заявлений на возврат, регистрационные документы. По многим формам открепленная подпись обязательна.

Операторы ЭДО (Диадок, СБИС, 1С-ЭДО) — обмен формализованными и неформализованными документами с контрагентами. Большинство операторов хранят .sig отдельно.

КЭДО-системы для кадровых документов — трудовые договоры, приказы, заявления. В Добыто часть документов формируется с открепленной подписью для подачи в ГИТ при проверке.

Внутренний документооборот юрика — утверждение ЛНА, согласование договоров, подписание актов. Тут .sig используется как универсальный формат, который потом легко проверить эксперту.

Мария Ж, судебный эксперт по корпоративному и трудовому праву:
«В арбитражном процессе, где документ оспаривается, .sig — это не просто файл, а доказательство. Эксперт открывает пару «документ + .sig» в КриптоАРМ, проверяет подпись, фиксирует результат. Если подпись валидна и хеш сходится — документ признаётся подлинным. Если нет — он не существует с точки зрения процесса. Поэтому хранить .sig вместе с оригиналом нужно так же бережно, как хранить бумажный договор. Потеряли .sig — потеряли подпись.»

Срок действия УКЭП и ухаживание за подписью

Сертификат УКЭП действует 12-15 месяцев. После истечения — подпись невалидна для новых документов. А что со старыми? Тут начинается отдельная история, которую профи называют «ухаживание за подписью» или работа с архивной подписью.

Когда вы подписали договор УКЭП с сертификатом до 2026-12-15, а в 2027 году спор дошёл до суда — суд будет проверять подпись на дату подписания, а не на дату проверки. Для этого нужны два механизма: штамп времени (Time-Stamp) и подтверждение действительности сертификата на момент подписи (CRL/OCSP).

Штамп времени — это услуга УЦ. К .sig добавляется доверенная метка времени, подписанная самим УЦ. Срок действия штампа — до 30 лет, в зависимости от тарифа УЦ. Без штампа времени .sig после истечения сертификата подписанта становится «протухшей подписью» — технически проверить нельзя.

Архивные форматы CAdES-A и CAdES-XL расширяют .sig до самодостаточного контейнера, в котором лежат: подпись, штамп времени, информация о статусе сертификата на момент подписи (CRL), цепочка УЦ. Такой архивариус живёт десятилетиями. Используется в банках, госструктурах, длинных контрактах.

Стоимость выпуска и поддержки УКЭП в формате SIG

Сама по себе откреплённая подпись бесплатна — формат — это просто способ хранения. Реальные расходы — на сертификат, токен, лицензию КриптоПро и сервис, в котором вы будете подписывать. Для организаций, которые работают с УКЭП регулярно (кадровый ЭДО, обмен с контрагентами, подача в госорганы), удобнее платить фиксированную плату за рабочее место в КЭДО-системе и не считать поштучно.

Итоговая сумма зависит от численности персонала, выбранного тарифа и набора подключаемых модулей. К стоимости КЭДО-сервиса прибавляются разовые затраты на сертификаты УКЭП (физлицам — 1 500-3 500 руб. в УЦ за штуку, юрликам — бесплатно в УЦ ФНС) и на токены (1 500-2 500 руб. за устройство). Точный расчёт под параметры конкретной компании удобно собирать на странице с актуальными тарифами Добыто КЭДО — там же видны включённые в каждый тариф модули.

Типовые ошибки при создании и проверке УКЭП в формате SIG

Опыт показывает: 80% проблем с открепленной подписью — не криптографические, а организационные. Перечислю самые распространённые грабли.

Подмена документа после подписания. Юрик подписал договор v1, потом «уточнил формулировку», пересохранил — и .sig потерял связь с файлом. Хеш-сумма изменилась, проверка валится с ошибкой «документ модифицирован». Правило: после подписания файл становится read-only, любое изменение требует пересоздания .sig.

Передача только .sig без оригинала. Юрист отправил контрагенту только файл подписи — и тот не может ничего проверить. .sig сам по себе бесполезен, нужны оба файла. Лучше всего паковать пару в ZIP и так передавать.

Несоответствие форматов. Получили от контрагента файл .sig, а у себя пытаемся проверить как присоединённую подпись. Сервис ругается. Решение — явно выбрать «откреплённая» в проверяющей программе.

Истёкший сертификат без штампа времени. Подписали в 2025 году, в 2027 нашли документ для проверки — сертификат уже истёк, штампа времени нет. Подпись юридически валидна (была создана в период действия), но техническая проверка через КриптоАРМ показывает «срок сертификата истёк». Для длинных хранений нужен архивариус.

Подписание по доверенности без МЧД. Кадровик подписал приказ от имени гендира своей УКЭП — и приказ юридически невалиден, хотя подпись валидная. Для подписи от чужого лица нужна МЧД, привязанная к сертификату подписанта. Без эмчедэшки — грабли.

Подписание архива ZIP вместо отдельных файлов. Кажется логичным: один .sig на ZIP с десятью файлами. Технически работает, но любая распаковка-перепаковка ZIP меняет хеш и ломает подпись. Лучше подписывать каждый файл отдельной .sig.

Хранение .sig отдельно от документа. Кадровый отдел хранит подписанные приказы в одной папке, файлы подписей — в другой. Через полгода найти парные файлы становится квестом. Правило: .sig живёт рядом с оригиналом и называется так же, только с расширением .sig.

Выводы по работе с открепленной УКЭП в формате SIG

УКЭП в формате SIG — это пара «документ + .sig», в которой сам файл не меняется, а подпись хранится отдельным контейнером CMS. Юридическая значимость по ст. 6 ФЗ № 63-ФЗ полная, без всяких допсоглашений. Для создания нужны три обязательных компонента: квалифицированный сертификат от аккредитованного УЦ, USB-токен с закрытым ключом и КриптоПро CSP с лицензией. Без любого из них .sig не сформируется.

На практике рекомендую закрывать рабочее место юрика и кадровика связкой КриптоАРМ + браузерный плагин КриптоПро + токен. Так один человек закроет и арбитражные подачи, и работу с ЕИС, и обмен с контрагентами через ЭДО. Документ и парный .sig храните рядом в одной папке, переименование одного без другого запрещайте на уровне регламента. Для архивных документов — подключайте штамп времени и формат CAdES-A, иначе через два года подпись «протухнет» технически.

В 2026 году требования к УКЭП ужесточаются для проектной документации в строительстве (изменения в Градкодекс с 1 марта 2026), а МЧД становится обязательной для всех корпоративных подписей. Выбирайте УЦ с поддержкой архивных подписей и штампов времени, чтобы не переделывать инфраструктуру через год. Для регулярных подписаний от десятков сотрудников разумнее один раз настроить КЭДО-систему, чем гонять каждого по КриптоАРМ.

Часто задаваемые вопросы