Проверка крипто-плагина для ЭП: настройка и диагностика

Проверка крипто-плагина показывает, готов ли браузер создавать и проверять электронную подпись на веб-странице. Без рабочего плагина не открывается форма подписания, не подтягивается сертификат, кнопка «Подписать» просто не реагирует. Разберём, как за пару минут понять, установлен ли плагин и видит ли он сертификат, что проверить в браузере, какие версии КриптоПро CSP нужны и почему чаще всего возникает затык. Это часть большого материала про проверку электронной подписи, где собраны все способы убедиться в подлинности и работоспособности ЭП.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое крипто-плагин и зачем его проверять

Крипто-плагин — это расширение, через которое сайт обращается к криптографии на вашем компьютере. Самый распространённый в стране — КриптоПро ЭЦП Browser plug-in. Он бесплатный. Задача у него простая: дать веб-странице возможность сформировать подпись закрытым ключом и проверить чужую подпись прямо в окне браузера, без отдельной программы. На этом же механизме работает авторизация по сертификату на порталах закупок, в банк-клиентах и в системах кадрового документооборота.

И вот тут возникает путаница. Люди ставят КриптоПро CSP, втыкают флешку с подписью, открывают сайт — а он молчит. Потому что CSP это одно, а плагин — совсем другое. CSP это криптопровайдер, та самая «крипта», которая считает подпись. Плагин — прослойка между браузером и провайдером. Нет прослойки — браузер не достучится до ключа, даже если серт лежит на месте и токен подключён. Поэтому проверка крипто-плагина почти всегда первый шаг, когда подпись «вроде есть, но не работает».

Ещё нюанс в том, что плагин на самом деле состоит из двух частей. Первая — приложение, которое ставится в систему (Windows, Linux, macOS). Вторая — расширение в самом браузере, его включают отдельно через магазин расширений или вручную. Можно поставить приложение и забыть включить расширение. Снаружи это выглядит как «плагин не работает», хотя установлен он наполовину.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Половина обращений по теме «не подписывается» закрывается за минуту. Человек поставил КриптоПро, а расширение в браузере не включил. Заходишь, видишь — крипта стоит, серт на флешке читается, а плагин в браузере серый. Включаешь галочку, перезапускаешь браузер — и зелёная галочка на тестовой странице загорается.»

Из чего состоит рабочая связка для электронной подписи

Проверять плагин в отрыве от остального бессмысленно. Он работает только когда собрана вся цепочка. Перечислю, что должно стоять на рабочем месте, чтобы подпись формировалась в браузере без сбоев:

• Драйверы ключевого носителя — для Рутокен, JaCarta, eSmart. Без драйвера система не увидит «флешку» с ключом.
• КриптоПро CSP — криптопровайдер. Для актуального плагина нужна версия не ниже 5.0 R3; сам по себе плагин со старым CSP может вести себя непредсказуемо.
• КриптоПро ЭЦП Browser plug-in — то самое приложение-прослойка.
• Расширение крипто-плагина в браузере — вторая половина плагина, включается отдельно.
• Корневые сертификаты — Минцифры России и удостоверяющего центра, выпустившего вашу подпись. Без них цепочка доверия не выстроится и подпись будет считаться недоверенной.
• Личный сертификат — ваш серт с закрытым ключом на токене или в реестре.

Если убрать любое звено, плагин формально установлен, а подпись не идёт. Чаще всего выпадает либо расширение в браузере, либо корневые сертификаты. Реже — драйвер токена, обычно когда работают с новой моделью на старом компьютере.

Тип токена тоже влияет на результат проверки. Носители делятся на пассивные и активные. На пассивном (например, Рутокен Лайт) ключ извлекаемый: закрытый ключ ненадолго попадает в память компьютера во время подписания. На активном (Рутокен ЭЦП 3.0) ключ неизвлекаемый, подпись формируется «на борту» токена, ключ наружу не выходит. Для активных носителей и формата ФКН нужен КриптоПро CSP версии 5.0 R2 и выше. Поставите подпись с неизвлекаемым ключом на машину со старым провайдером — плагин её просто не увидит.

Как проверить, что крипто-плагин установлен и работает

Самый честный способ — тестовая страница самого КриптоПро. Она отдаёт реальный вердикт: видит браузер плагин или нет, доступны ли сертификаты, формируется ли подпись. Адрес страницы — cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html. На той же странице, где скачивают плагин, есть кнопка «Проверить работу плагина» — результат тот же.

Что показывает проверка. Если плагин на месте, страница выводит его версию и версию CSP, подтягивает список ваших сертификатов в выпадающем поле и даёт нажать «Подписать». Подпись сформировалась без ошибки — связка рабочая. Если же страница пишет, что плагин не загружен или расширение недоступно, значит либо приложение не установлено, либо расширение в браузере выключено, либо браузер не перезапускали после установки.

Проверить расширение в браузере можно и вручную. В Chrome и Яндекс.Браузере откройте меню расширений и убедитесь, что CryptoPro Extension for CAdES Browser Plug-in включён. Серая иконка или отсутствие расширения — первая причина, по которой «ничего не подписывается». После включения браузер обязательно перезапускают, иначе расширение не подхватится.

Как проверить крипто-плагин: пошаговая инструкция

Признаки, что крипто-плагин не работает

Поведение почти всегда одинаковое, и по симптому можно сразу прикинуть, где искать. Кнопка «Подписать» нажимается, но ничего не происходит — обычно расширение выключено или браузер не перезапустили. Выпадающий список сертификатов пустой — не видит токен либо личный сертификат не установлен в хранилище. Подпись формируется, но помечается как недоверенная — не хватает корневых сертификатов цепочки. Браузер показывает «не удалось загрузить плагин» — приложение в системе не установлено или повреждено.

Отдельная история — когда всё работало, а потом перестало. Тут чаще виноваты обновления. Браузер обновился и сбросил расширение, или CSP обновили, а плагин остался старый. Связка чувствительная, версии должны дружить между собой.

Мария Ж, специалист по электронной подписи:
«Когда подпись «не определена», не надо сразу сносить плагин и ставить заново. В девяти случаях из десяти затык в мелочи. Сначала шаримся по окнам: расширение в браузере, версия CSP, корневые серты. Если штампик подписи на документе серый, а не зелёный — почти всегда не подтянулась цепочка доверия, корневой сертификат УЦ забыли поставить.»

Почему крипто-плагин не работает: причины и решения

Соберу типичные причины по убыванию частоты, с короткими решениями.

• Расширение в браузере выключено. Самая частая причина. Включите расширение крипто-плагина и перезапустите браузер.
• Браузер не перезапускали. После установки плагина и включения расширения нужен полный перезапуск, не просто закрытие вкладки.
• Старая версия КриптоПро CSP. Актуальный плагин рассчитан на CSP не ниже 5.0 R3. Обновите провайдер, затем переустановите плагин.
• Нет корневых сертификатов. Поставьте корневой сертификат Минцифры в доверенные корневые центры и промежуточный сертификат вашего УЦ — подпись перестанет помечаться недоверенной.
• Система не видит токен. Поставьте свежий драйвер носителя (Рутокен, JaCarta), проверьте, горит ли индикатор на токене, попробуйте другой USB-порт.
• Конфликт браузера. Не все сборки браузеров корректно работают с расширением. Проверьте плагин в другом браузере — если там подпись идёт, проблема в конкретной сборке.
• Личный сертификат не установлен в хранилище. Через КриптоПро CSP, вкладка «Сервис», «Просмотреть сертификаты в контейнере», установите сертификат с токена в личное хранилище.

На практике в сервисе Добыто мы при подключении компании первым делом прогоняем рабочие места через эту же логику. Сотрудник не должен разбираться в провайдерах и расширениях — он должен открыть документ и подписать. Поэтому мы заранее проверяем связку и собираем короткую памятку под конкретный парк браузеров заказчика, чтобы массовое подписание не встало на первой же неделе.

Образцы документов для перехода на электронную подпись и КЭДО

Альтернативные плагины и проверка в разных браузерах

КриптоПро ЭЦП Browser plug-in — не единственный вариант. Для входа на Госуслуги и ряд госпорталов нужен отдельный плагин Госуслуг (IFCPlugin). Он ставится поверх КриптоПро CSP и проверяется так же — через расширение в браузере. Если у вас не открывается личный кабинет на госпортале, а коммерческие сайты подписывают нормально, дело обычно в плагине Госуслуг, а не в КриптоПро. Саму подпись под документом при этом проверяют онлайн на портале Госуслуг без регистрации.

Помимо браузерных плагинов, подпись и её проверку закрывают десктоп-программы. КриптоАРМ ГОСТ 3 — универсальное приложение со встроенным почтовым клиентом, сертифицировано ФСБ в составе КриптоПро CSP, сертификат действует до мая 2027 года. КриптоЭксперт умеет подписывать и проверять PDF, поддерживает машиночитаемые доверенности. Litoria Desktop ставится в один клик, совместима с Astra Linux. Gin Client от «Кода безопасности» показывает доверенную визуализацию документа перед подписанием. Эти программы не зависят от браузера и расширения, поэтому их удобно держать как запасной канал, когда плагин в браузере капризничает.

Для кадровых задач выбор подписи отдельная тема. Если в компании внедряют КЭДО, проще не гонять каждого сотрудника через установку плагина, а подобрать подходящий вид электронной подписи для КЭДО — часть из них вообще не требует локальной криптографии на устройстве работника.

Например, подписание через приложение Госключ идёт с телефона, без CSP и браузерного плагина на стороне сотрудника. Сотрудник ставит подпись прямо в мобильном, а работодатель получает юридически значимый документ.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Когда раскатываешь подписание на всю компанию, плагин на рабочих местах — это головняк на ровном месте. У сотрудника винда, у другого Linux, у третьего вообще корпоративный ноут с заблокированными расширениями. Мы поэтому держим несколько каналов подписи в одной учётке: где-то браузерный плагин, где-то Госключ, где-то мобильное приложение. Из коробки, без танцев с настройкой у каждого.»

Проверка крипто-плагина в задачах КЭДО

В кадровом документообороте плагин нужен прежде всего работодателю. Кадровик подписывает приказы и договоры усиленной квалифицированной подписью, а УКЭП почти всегда живёт на токене и требует КриптоПро CSP с плагином. Сотрудник же со своей стороны может подписывать проще — ПЭП, УНЭП, УНЭП через Госключ, в зависимости от того, что закреплено в локальном нормативном акте о КЭДО.

Юридическая значимость подписи держится на 63-ФЗ («тройка») и статьях 22.1-22.3 ТК РФ. Для трудового договора работник вправе использовать УКЭП или УНЭП, в том числе УНЭП из Госключа. Но любая из этих подписей бесполезна, если на рабочем месте кадровика не собрана связка для подписания. Поэтому проверка плагина у того, кто подписывает массово, экономит недели. Один неработающий плагин у кадровика останавливает оформление по всей компании.

Вопросы информационной безопасности тоже завязаны на эту связку. Сертифицированный провайдер, доверенные носители, защищённый канал между токеном и криптопровайдером — всё это часть требований к информационной безопасности в ЭДО. За время работы сервиса Добыто мы подключили более 500 компаний, и почти в каждом проекте этап настройки подписи занимал больше времени, чем закладывал заказчик. Не из-за сложности самой подписи, а из-за разнобоя в рабочих местах.

Проверка электронной подписи онлайн — сервис Добыто

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

После того как плагин собран и подпись формируется, имеет смысл проверить уже готовый документ — что подпись валидна, сертификат действует, цепочка доверия выстроена. Это можно сделать онлайн, без установки дополнительных программ.

Стоимость внедрения КЭДО с настроенной электронной подписью

Стоимость зависит от численности персонала, выбранного тарифа и набора подключаемых модулей. Подписание, проверка подписи и настройка плагинов на рабочих местах входят в сопровождение, отдельной строкой за каждую проверку платить не нужно. Ниже основные тарифы сервиса КЭДО Добыто.

Итоговая сумма зависит от размера штата и того, какие подписи и интеграции подключаете. Тариф Бизнес рассчитывается от минимальной оплаты 50 сотрудников за 30 000 ₽ в год. Свериться по составу пакетов помогут актуальные тарифы сервиса Добыто.

Выводы: проверка крипто-плагина для электронной подписи

Крипто-плагин в браузере работает только в связке: криптопровайдер КриптоПро CSP не ниже 5.0 R3, само приложение плагина, включённое расширение в браузере, драйверы токена и установленные корневые сертификаты. Если выпадает хотя бы одно звено, подпись не формируется, хотя плагин формально стоит. Быстрее всего проверять связку на тестовой странице КриптоПро: она показывает версию плагина и провайдера, подтягивает сертификаты и даёт сформировать пробную подпись.

Большинство сбоев решаются без переустановки. Сначала проверьте расширение в браузере и перезапустите его, затем версию CSP, потом корневые сертификаты и видимость токена. Пустой список сертификатов означает проблему с носителем или хранилищем, недоверенная подпись — нехватку корневого сертификата УЦ. Для входа на госпорталы держите в уме отдельный плагин Госуслуг, а как запасной канал — десктоп-программы вроде КриптоАРМ или КриптоЭксперт, они не зависят от браузера.

В кадровом документообороте критична проверка подписи у того, кто подписывает массово — у кадровика с УКЭП. Один неработающий плагин на его рабочем месте останавливает оформление по всей компании, поэтому связку имеет смысл проверять до старта, а не в момент аврала. Часть сотрудников при этом можно вообще увести с локального плагина на Госключ или мобильное подписание, где криптография на устройстве не нужна.

Часто задаваемые вопросы