Проверка подписи сертификатом пользователя в ЭДО 2026

Проверка подписи сертификатом пользователя в системах ЭДО подтверждает, что электронный документ подписал конкретный человек, а не подделка, и что содержимое не меняли после подписания. Без этой процедуры любой файл со штампиком подписи остаётся просто картинкой — юридической силы у него ноль. Разберём, что именно проверяет система ЭДО внутри сертификата, как читается цепочка доверия до головного удостоверяющего центра, зачем нужны штампы времени и ОЦСП-ответы, и почему распечатка с синеньким квадратиком подписи в суде не работает. Это часть большого материала про проверку электронной подписи на подлинность документа, где собран весь процесс — от выбора инструмента до разбора протокола проверки.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое сертификат пользователя и зачем его проверяют в ЭДО

Сертификат ключа проверки электронной подписи — это электронный документ, который связывает открытый ключ с владельцем. Внутри лежат фамилия, имя, отчество, СНИЛС, ИНН, для подписи от юрлица — название организации, должность, ОГРН. И сам ключ проверки. То есть число, по которому проверяющая сторона убеждается, что подпись поставлена парным закрытым ключом.

Тут важный момент, который путают почти все. Когда человек идёт в удостоверяющий центр, он получает вовсе не электронную подпись. Он получает сертификат ключа проверки. А сама подпись — это число, которое вычисляется в момент подписания на основе документа и закрытого ключа. В обиходе все говорят «пошёл получать ЭЦП», хотя термин ЭЦП ушёл из закона ещё в 2011 году, когда вступил в силу 63-ФЗ. По факту получают серт.

Зачем система ЭДО лезет в этот сертификат? Бизнес-практика — это про незнакомых контрагентов. Два юрлица обмениваются документами и должны друг другу доверять, хотя в глаза не видели. Сертификат и существует, чтобы идентифицировать лицо, подписавшее документ. А раз сам сертификат подписан электронной подписью удостоверяющего центра — центра доверия во всей системе — то ему доверяют все, кто работает по 63-ФЗ.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Самая частая ошибка, которую мы видим — люди думают, что проверка подписи это про сам файлик с подписью. Нет. Это в первую очередь про серт. Если закрытка скомпрометирована, а сертификат отозван, то любая подпись после отзыва летит в мусорку, какая бы красивая плашечка ни была нарисована на документе.»

Что именно проверяет система ЭДО при проверке подписи сертификатом

Проверка — это набор проверок, которые система прогоняет за доли секунды. Разложу по пунктам: выпадение любого делает подпись невалидной.

1. Целостность документа. Система вычисляет хэш от файла — длинное число, однозначно соответствующее содержимому, — и сравнивает с тем хэшем, что зашит в подпись. Совпали — документ не меняли после подписания. Изменился хоть один байт — подпись не валидна. Это защита от подмены: контрагент не дописал ноль к сумме в договоре после того, как вы подписали.

2. Авторство. По ключу проверки из сертификата система убеждается, что подпись поставлена именно тем закрытым ключом, который математически связан с этим сертификатом. Связь жёсткая и однозначная.

3. Действительность сертификата на момент подписания. У сертификата есть срок действия — «с» и «по». Подписывать можно только пока серт действителен. Раньше выдавали на 15 месяцев, сейчас бывает и на 12 лет. Но если на момент подписания серт уже протух или был отозван — подпись недействительна.

4. Цепочка доверия до головного УЦ. Сертификат конкретного человека подписан сертификатом удостоверяющего центра, тот — вышестоящим. На вершине стоит головной удостоверяющий центр Минцифры, который подписывает серты всех аккредитованных УЦ. Система выстраивает эту цепочку и проверяет каждое звено, как обычный документ.

5. Статус отзыва. Система обращается к списку отозванных сертификатов (CRL) или к службе онлайн-проверки статуса ОЦСП и убеждается, что серт не был отозван. Ссылки на загрузку списка отзыва зашиты в самом сертификате.

Виды подписи и что меняется при проверке каждого вида

Закон выделяет три вида: простая (ПЭП), усиленная неквалифицированная (УНЭП) и усиленная квалифицированная (УКЭП). Проверка каждого вида устроена по-разному.

ПЭП. У простой подписи нет сертификата в криптографическом смысле. Это коды, пароли, одноразки. Проверить целостность документа простой подписью невозможно — фиксируется только факт подписания. Поэтому при проверке ПЭП система опирается не на серт, а на регламент информационной системы: кто, когда, под какой учёткой совершил действие. Юридическая значимость держится на соглашении сторон и логировании.

УНЭП. Тут уже есть криптографическое преобразование и сертификат, выпущенный обычным удостоверяющим центром или Госуслугами. При проверке система строит цепочку, но короткую — в вершине стоит не Минцифра, а сам УЦ (Контур, Калуга и так далее). Важный затык: корневые сертификаты УНЭП по умолчанию на компьютер не ставятся. Если цепочка рвётся — крипто-провайдер ругается, что не найден корневой сертификат, и его приходится устанавливать как доверенный вручную.

УКЭП. Здесь всё строго. Нужен квалифицированный сертификат по форме из приказа ФСБ № 795, выпущенный аккредитованным УЦ. Для создания и проверки используются только сертифицированные ФСБ средства. Цепочка длинная — до головного УЦ Минцифры. Зато результат: УКЭП равнозначна собственноручной подписи по закону, без дополнительных соглашений. Для УКЭП цепочка сертификатов всегда доверенная и ставится на токен или компьютер автоматически при выпуске.

В практике Добыто мы видим это в каждом втором проекте: эйчары пытаются проверять документы с УНЭП так же, как с УКЭП, и упираются в разорванную цепочку сертификатов. Поэтому для кадровых документов мы заранее настраиваем доверенные корневые на стороне сервиса, чтобы кадровик не шарился по окнам в поисках, что куда установить.

Как проверить подпись сертификатом пользователя: пошаговая инструкция

Штамп времени и ОЦСП: почему без них подпись умирает через год

Вот сценарий, который ломает голову новичкам. Сертификат действует год. Документ подписали в марте. Через два года серт истёк. Как теперь проверить, что в марте подпись была действительной? И когда вообще документ подписали?

Само по себе обычная подпись на это не отвечает — в момент подписания нельзя однозначно сказать, в какую секунду это произошло. Тут на помощь приходит усовершенствованная электронная подпись, формат с дополнительными доказательствами подлинности.

Штамп времени. В момент подписания система обращается к доверенной службе штампов времени (протокол TSP). Служба формирует документ с точной меткой времени и хэшем подписываемого файла. Своя служба есть у налоговой и у всех удостоверяющих центров. Метка доказывает: подписание произошло именно тогда.

ОЦСП-ответ. Это ответ службы онлайн-проверки статуса сертификата. Он фиксирует, что на момент подписания серт не был отозван. Ведь сертификат можно отозвать заранее, и если подписать документ, не зная об отзыве, он окажется недействительным. ОЦСП-ответ закрывает этот риск.

Вместе штамп времени и ОЦСП превращают обычную подпись в усовершенствованную. По законодательству при проверке либо сам сертификат пользователя должен быть действителен на момент проверки, либо, если он истёк, должны быть эти доказательства, сформированные на момент подписания. Срок действия службы TSP — 3 года ключа плюс 15 лет действия сертификата, итого до 18 лет можно гарантировать проверяемость документа.

Мария Ж, судебный эксперт по трудовому праву:
«Если документ нужен для архива на 50 лет — кадровый, финансовый — без усовершенствованной подписи никак. Мы клиентам прямо говорим: накрутите эти плюшки от удостоверяющего центра, штамп времени и ОЦСП. Это другие денежки, но когда через семь лет уволенный сотрудник придёт в суд, у вас будет железное доказательство, что он подписал заявление тогда, а не задним числом.»

А что делать, когда сменится поколение криптоалгоритмов и проверить старую подпись на новых средствах станет невозможно? Тут есть механизм, который программисты ласково зовут ухаживанием за электронной подписью: система мониторит сроки и при достижении предела переподписывает документ. А при смене поколения алгоритмов поверх кладётся новая подпись — архивариус, и цикл начинается заново. Так обеспечивается условно бесконечное хранение.

Образцы документов и инструкции по работе с электронной подписью

Присоединённая и отсоединённая подпись: как проверять каждую

Форматы контейнера подписи различаются, и от них зависит, что именно загружать в проверку. Присоединённая подпись включается внутрь документа — получается один sig-файл с документом и подписью. Отсоединённая лежит рядом, отдельным файликом, и для проверки нужны оба: исходный документ плюс файл подписи.

Формат контейнера — это CMS (он же PKCS#7) для классической подписи, либо усовершенствованные форматы CAdES, когда внутри есть штамп времени и доказательства. Для долговременного хранения используют CAdES-X Long или CAdES-A с архивной меткой. Сервис проверки умеет обрабатывать все эти форматы: загружаете sig, или документ с откреплённой подписью, или zip-архив с пачкой файлов.

Отдельная боль — визуализация. Когда документ подписан отсоединённой подписью, при просмотре исходника нет ощущения, что он подписан. Поэтому делают копию документа и добавляют в неё штампик с информацией о подписи. Целостность оригинала не трогают: проверяется именно оригинал, а копия со штампиком — для наглядного просмотра и печати. И вот тут горят даже опытные кадровики.

Почему распечатка со штампом подписи не имеет юридической силы

Распечатка PDF, где внизу нарисован синенький квадратик «документ подписан электронной подписью, сертификат №…», сама по себе не несёт юридической значимости. Этот штампик фактически нарисован, проверить подпись под такой бумагой невозможно. Юридическую значимость несёт электронный оригинал, подписанный электронной подписью, который можно проверить.

Практический вывод: при выездной проверке ГИТ или в суде нужно предоставлять не распечатки, а электронные оригиналы с файлами подписи. Все аккредитованные удостоверяющие центры обязаны предоставлять ключи проверки, и проверяющий может самостоятельно проверить любой электронный документ. А бумажка со штампиком только ознакомит с содержанием.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Когда мы выгружаем архив для клиента, мы всегда выгружаем именно оригиналы плюс файлы подписи, а не плашки с подписями. Эти штампики — визуализация для пользователя, в суде они ничего не значат. Выгружать надо скопом: документы, сиг-файлы, метки времени. Тогда любой эксперт построит цепочку и подтвердит подлинность.»

Судебная практика это подтверждает. В деле против одного крупного банка суд признал увольнение нелегитимным и взыскал компенсацию — в том числе потому, что проверялось авторство подписи и неизменность документа. В деле другого ритейлера работник-грузчик думал, что подписывает заявление на больничный, а по факту подписал увольнение по собственному. Суд встал на сторону работника: десятым пунктом в доказательствах шло подтверждение авторства — что именно этот работник и этот документ были подписаны и переданы в удостоверяющий центр.

Инструменты проверки подписи сертификатом пользователя

Инструментов на рынке хватает, и каждый заточен под свой сценарий. Пройдусь по основным, чтобы было понятно, что выбрать.

Портал Госуслуг. Бесплатный сервис проверки электронной подписи на Госуслугах для КЭП, НЭП, МЧД и сертификатов. Подходит для разовой проверки одного-двух документов: загружаете файл и подпись, получаете результат.

КриптоПро и КриптоАРМ. Десктопные приложения для подписания и проверки. КриптоАРМ ГОСТ 3 поддерживает CMS и усовершенствованный CAdES, проверку МЧД через сервис ФНС, визуализацию подписи в PDF и сертификацию документа после подписания.

КриптоАРМ Server. Серверное on-premise решение для автоматической проверки потока документов: ставится в контуре организации, проверяет пачками, сохраняет результаты в базу, формирует протоколы в PDF. Удобно, когда документов много и проверять вручную нереально.

Онлайн-сервисы провайдеров. Демосервисы и боты, где подпись проверяется через веб-интерфейс или Telegram-бота: загрузил документ — получил статус и протокол.

За время работы сервиса Добыто мы подключили проверку подписи внутрь самой платформы КЭДО, чтобы кадровику не приходилось гонять документы во внешние сервисы. Подпись проверяется в момент открытия документа, статус виден сразу. Перед запуском на всю компанию мы откатываем это на пилотной группе — ловим затыки с корневыми сертификатами до промки.

При выборе вида подписи и инструмента полезно заранее понимать, чем отличается файл с откреплённой УКЭП и как его проверить — от этого зависит, что грузить в сервис: один файл или пару из документа и подписи.

Типичные ошибки при проверке подписи и цена каждой

Ошибка 1. Принимают распечатку со штампиком за доказательство. Так делают, потому что бумага привычнее. Цена: в суде или при проверке ГИТ документ не примут как доказательство подписания. Если речь об увольнении — восстановление работника, средний заработок за вынужденный прогул, компенсация морального вреда. Сотни тысяч рублей по одному делу.

Ошибка 2. Игнорируют статус отзыва сертификата. Проверяют только срок действия, но не лезут в список отзыва, ради скорости. Цена: подпись, поставленная отозванным сертификатом, недействительна, и документ теряет силу целиком. Особенно опасно при увольнении сотрудника, у которого серт остался в реестре с действующей МЧД.

Ошибка 3. Не настраивают штамп времени для архивных документов. Экономят, считая, что обычной подписи хватит. Цена: через год-два сертификат истекает, и доказать, что подписание было в срок, уже нельзя. Кадровый документ с пятидесятилетним сроком хранения превращается в недоказуемый.

Ошибка 4. Возлагают расходы на ЭП на работника. Это прямо запрещено: работодатель обеспечивает работника подписью за свой счёт. Цена: нарушение ТК РФ и риск предписания при проверке.

Стоимость подключения сервиса КЭДО с проверкой подписи

Стоимость зависит от численности персонала, выбранного тарифа и набора подключаемых функций — видов подписи, интеграций, электронного архива. Цена считается за рабочее место в месяц, без скрытых модулей.

*Минимальная оплата по тарифу Бизнес — 50 сотрудников за 30 000 ₽ в год. Итоговая сумма зависит от численности штата, набора подписей и подключаемых модулей вроде электронного архива со штампами времени — актуальные тарифы сервиса Добыто помогут сориентироваться по конкретной компании.

Проверка электронной подписи онлайн — сервис Добыто

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Выводы: что важно запомнить о проверке подписи сертификатом пользователя

Проверка подписи сертификатом пользователя в системе ЭДО состоит из пяти связанных проверок: целостности документа, авторства, действительности сертификата на момент подписания, построения цепочки доверия до головного УЦ Минцифры и статуса отзыва через CRL или ОЦСП. Выпадение любого звена делает подпись невалидной. Для каждого вида подписи процедура своя: у ПЭП криптографической цепочки нет вовсе, у УНЭП цепочка короткая и требует ручной установки доверенных корневых, у УКЭП — полная цепочка и сертифицированные ФСБ средства, равнозначность собственноручной подписи по закону.

На практике главное правило простое: храните и предъявляйте электронные оригиналы с файлами подписи, а не распечатки со штампиком. Штамп — это визуализация, юридической силы у него нет, и суды это подтверждают. Для документов длительного хранения сразу закладывайте усовершенствованную подпись со штампом времени и ОЦСП-ответом, иначе через год после истечения сертификата доказать факт и время подписания будет нечем. И не забывайте про отзыв сертификата при увольнении — серт в реестре с действующей МЧД остаётся рабочим, пока его не отозвали через УЦ или ФНС.

В ближайшие годы тренд один — переход на усовершенствованные форматы и долговременное хранение с механизмом переподписания при смене криптоалгоритмов. Кто строит архив кадровых документов сегодня, тому стоит сразу проектировать его под штампы времени и проверяемость на десятилетия вперёд, а не латать потом.

Часто задаваемые вопросы