Сертификат электронной подписи с Госуслуг: как скачать в 2026 году

Сертификат электронной подписи с Госуслуг нужен для подписания кадровых документов, подачи отчётности, работы с торговыми площадками и участия в электронном документообороте. Разберём, как получить сертификат через личный кабинет портала, экспортировать его на компьютер и установить в КриптоПро CSP для дальнейшей работы. Если вас интересует более широкая тема — проверка электронной подписи рассмотрена в отдельном материале с разбором всех способов валидации.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Какие сертификаты ЭП доступны через Госуслуги

Портал Госуслуг работает с тремя типами электронных подписей, и каждый из них связан с определённым сертификатом — или с его отсутствием. Простая электронная подпись (ПЭП) не имеет сертификата в классическом понимании: это пара логин-пароль и код из СМС, которые подтверждают вход и действия на портале. Скачивать тут нечего.

Усиленная неквалифицированная подпись (УНЭП) выпускается через мобильное приложение Госключ. Сертификат УНЭП формируется прямо в приложении, привязан к подтверждённой учётной записи ЕСИА и хранится на устройстве. На текущий момент Госключ активировали более 41 миллиона раз, подписано свыше 50 миллионов документов — и число пользователей растёт примерно на 121% в год. Сертификат УНЭП нельзя экспортировать как файл .cer или .pfx — он привязан к конкретному устройству и криптографическому модулю приложения.

Усиленная квалифицированная подпись (УКЭП) — единственный тип, сертификат которого вы реально скачиваете, экспортируете и устанавливаете на компьютер. Квалифицированный сертификат выпускают аккредитованные удостоверяющие центры — в первую очередь УЦ ФНС России. С 1 января 2022 года ФНС выдаёт УКЭП для юридических лиц и индивидуальных предпринимателей бесплатно, а физлица получают через коммерческие УЦ или через Госключ с расширенной идентификацией.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Путаница возникает из-за того, что на Госуслугах работают разные подписи. ПЭП — это по сути ваша учётка, УНЭП живёт внутри Госключа, а УКЭП — это серт на флешке или в крипто-провайдере. Скачать с портала получится только открытую часть квалифицированного сертификата. Закрытка остаётся на токене.»

Где хранится сертификат и что можно экспортировать

Сертификат УКЭП состоит из двух частей: открытый ключ (файл .cer в формате X.509) и закрытый ключ, который записан на USB-токен — Рутокен, JaCarta, eSmart — или в программный контейнер КриптоПро CSP. Открытый ключ содержит данные о владельце, удостоверяющем центре, сроке действия и публичный ключ шифрования. Закрытый ключ никогда не покидает защищённое хранилище — его нельзя скачать, скопировать по сети или отправить по почте. По 63-ФЗ «Об электронной подписи», именно закрытый ключ обеспечивает неотказуемость, и его компрометация означает полную перевыпуск сертификата.

С портала Госуслуг вы скачиваете открытую часть — файл .cer. Он нужен для проверки вашей подписи контрагентами, для импорта в системы ЭДО, для настройки рабочего места. Закрытый ключ остаётся на токене или в контейнере.

В сервисе Добыто мы регулярно сталкиваемся с ситуацией, когда кадровик путает сертификат и ключ. Приходит запрос «пришлите мне мою подпись по почте» — а на деле нужно просто установить открытую часть серта в хранилище Windows или КриптоПро, а флешку с закрытым ключом воткнуть в USB.

Как скачать сертификат УКЭП через Госуслуги

Портал Госуслуг позволяет проверить сертификат и скачать его открытую часть. Процедура зависит от того, где именно хранится ваш ключ — на токене или в облачном контейнере.

Первый вариант — через раздел «Настройки» в личном кабинете Госуслуг. Авторизуйтесь на gosuslugi.ru, перейдите в профиль, найдите раздел «Электронная подпись». Если к вашей учётной записи привязан квалифицированный сертификат, вы увидите его данные: серийный номер, срок действия, удостоверяющий центр. Через кнопку «Скачать сертификат» портал отдаст файл .cer — это открытый ключ в формате DER или Base64.

Второй вариант — через сервис проверки электронной подписи на Госуслугах. На странице проверки загрузите файл, подписанный вашей ЭП, и портал отобразит сведения о сертификате подписанта. Из этих сведений также доступна загрузка файла сертификата.

Как скачать сертификат УНЭП из Госключа

Тут всё сложнее. Приложение Госключ хранит ключи внутри защищённого модуля на устройстве. По замыслу разработчиков, ни закрытый, ни открытый ключ УНЭП из Госключа экспортировать нельзя — подписание происходит только внутри приложения. Сертификат УНЭП в Госключе привязан к конкретному смартфону и учётной записи ЕСИА. Если вы потеряете телефон или удалите приложение, сертификат придётся выпустить заново — занимает 2 минуты.

Для систем КЭДО, которые интегрированы с Госключом, это не проблема: документ отправляется через API ЕПГУ прямо в приложение, сотрудник подписывает пушем или по deep-link, и подписанный файл возвращается в систему. Никакого ручного экспорта сертификата не требуется.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Госключ закрыт по дизайну — и правильно. Для КЭДО это даже удобнее: кадровик отправляет документ, сотрудник получает пуш, подписывает за 30 секунд — и всё. Не нужно шариться по окнам certmgr.msc, не нужно вспоминать пароль от контейнера. Для массового подписания кадровых документов это рабочая история.»

Образцы документов для работы с электронной подписью

Экспорт сертификата через КриптоПро CSP

Если сертификат записан на USB-токен или в программный контейнер КриптоПро, экспорт происходит через КриптоПро CSP — версии 5.0 R2 или R3 (build 12500+). Порядок действий: откройте КриптоПро CSP через «Пуск» — «КРИПТО-ПРО» — «КриптоПро CSP», перейдите на вкладку «Сервис», нажмите «Просмотреть сертификат в контейнере», кнопка «Обзор» покажет список доступных контейнеров. Выберите нужный контейнер, нажмите «Ок», затем «Далее». В окне отобразится информация о сертификате: владелец, срок действия, серийный номер. Кнопка «Свойства» откроет системный диалог сертификата, где на вкладке «Состав» есть кнопка «Копировать в файл». Мастер экспорта предложит выбрать формат: DER X.509 (.cer) или Base64 X.509 (.cer). Для большинства задач подходит DER.

Контейнер с закрытым ключом при экспорте не копируется. Для переноса ключевой пары целиком нужен формат .pfx (PKCS#12) — но КриптоПро CSP разрешает это только для извлекаемых ключей. Ключи на Рутокен ЭЦП 2.0/3.0 в режиме ФКН не извлекаются — они не покидают память токена.

Экспорт через системное хранилище Windows (certmgr.msc)

Альтернативный способ — через менеджер сертификатов Windows. Нажмите Win+R, введите certmgr.msc, Enter. В дереве слева откройте «Личное» — «Сертификаты». Если ваш сертификат был установлен в хранилище (через КриптоПро или вручную), он появится в списке. Кликните правой кнопкой — «Все задачи» — «Экспорт». Мастер предложит выбрать, экспортировать ли закрытый ключ — для квалифицированных сертификатов КриптоПро эта опция обычно неактивна, экспортируется только открытая часть.

Формат на выбор: DER (.cer), Base64 (.cer) или PKCS #7 (.p7b). Для отправки контрагенту или загрузки в систему ЭДО берите DER — он компактнее. Base64 нужен, если система принимает только текстовый формат. PKCS #7 содержит цепочку сертификатов — полезно, когда нужно передать и корневые сертификаты УЦ ФНС.

Мария Ж, юрист со стажем более 20 лет:
«certmgr.msc — это персональный менеджер, который показывает только сертификаты текущего пользователя. Если серт устанавливал админ в хранилище компьютера, ищите через certlm.msc. Я видела, как эйчары по 40 минут не могли найти подпись — оказалось, она была в другом хранилище.»

Как экспортировать сертификат ЭП с Госуслуг: пошаговая инструкция

Установка скачанного сертификата на новый компьютер

Скачанный файл .cer — это открытая часть сертификата. Чтобы использовать его для подписания, нужно: а) установить .cer в хранилище Windows, б) подключить токен с закрытым ключом, в) установить КриптоПро CSP с действующей лицензией. Без закрытого ключа файл .cer позволяет только проверять чужие подписи, но не создавать свои.

Установка .cer происходит через двойной клик по файлу — «Установить сертификат» — выбор хранилища «Личное» — «Готово». КриптоПро CSP при подключении токена сам находит соответствие между открытым сертификатом в хранилище и закрытым ключом на устройстве. Если контейнер и серт совпадают, рядом с сертификатом в certmgr.msc появляется иконка с ключиком — это означает, что подписание доступно.

Нюанс с лицензиями КриптоПро CSP: бесплатная лицензия по программе ФНС встроена в сертификат и работает, пока сертификат действителен (обычно 15 месяцев). Если сертификат истёк, а новый ещё не получен — КриптоПро CSP перестаёт работать до обновления лицензии. Коммерческая бессрочная лицензия CSP 5.0 решает проблему, но стоит денежек.

Получение УКЭП через Госключ

С 2023 года через Госключ доступна не только УНЭП, но и полноценная УКЭП для физических лиц. Для выпуска УКЭП требуется дополнительная идентификация — через загранпаспорт нового образца с биометрическим чипом, через действующий УКЭП, очно в отделении ФНС или в одном из 3300+ МФЦ в 87 регионах (или в 9400+ банковских отделениях в 89 регионах). После идентификации сертификат УКЭП формируется в приложении Госключ и хранится так же, как УНЭП — на устройстве, без возможности экспорта.

Для работы с КЭДО-системами сертификат из Госключа не нужно скачивать отдельно. Подписание происходит через API ЕПГУ или СМЭВ: система КЭДО отправляет документ, Госключ показывает содержимое, сотрудник подтверждает — подпись формируется внутри приложения. Интеграция занимает до 30 дней и не требует от сотрудника устанавливать КриптоПро CSP, покупать токен или настраивать рабочее место.

Мария Ж, HR-эксперт с 13-летним стажем:
«За время работы с клиентами мы видели, как компании с 2500 сотрудниками экономили порядка миллиона рублей в год, отказавшись от коммерческих УКЭП в пользу Госключа. Без токенов, без лицензий, без бумажечки в пакетике. Сотрудник скачивает приложение, подтверждает учётку ЕСИА — и через 2 минуты подписывает трудовой договор. Мы закладываем на весь процесс от установки приложения до первого подписания не больше 10 минут.»

Форматы сертификатов и совместимость

При экспорте вы столкнётесь с несколькими форматами файлов. DER (.cer) — бинарный формат X.509, компактный, подходит для импорта в Windows и КриптоПро. Base64 (.cer) — текстовый формат, начинается с ——BEGIN CERTIFICATE——, используется в веб-приложениях и Linux-системах. PKCS#12 (.pfx, .p12) — контейнер, который может содержать и сертификат, и закрытый ключ, но для УКЭП экспорт закрытого ключа обычно заблокирован. PKCS#7 (.p7b) — контейнер с цепочкой сертификатов без ключей.

Совместимость зависит от криптопровайдера. КриптоПро CSP 5.0 R2 и R3 работают со всеми перечисленными форматами. Рутокен Lite работает только в пассивном режиме, а Рутокен ЭЦП 2.0 и 3.0 поддерживают и пассивный, и активный (ФКН) режимы. Для программ подписания документов ЭЦП выбор формата влияет на возможность проверки подписи получателем.

Типичные проблемы при скачивании и установке сертификата

Первая и самая частая — «сертификат не виден в системе». Причин три: не установлены драйверы токена, КриптоПро CSP не распознал контейнер, сертификат не привязан к контейнеру. Решение: откройте КриптоПро CSP — «Сервис» — «Протестировать контейнер закрытого ключа». Если контейнер найден, но сертификат не отображается в certmgr.msc — нажмите «Установить сертификат» в окне просмотра контейнера.

Вторая проблема — «сертификат недействителен» или «цепочка сертификатов не проверена». Это значит, что не установлены корневые сертификаты УЦ ФНС. Скачайте их с http://uc.nalog.ru/crt и установите в хранилище «Доверенные корневые центры сертификации».

Третья — «неверный пароль от контейнера». При записи на токен через УЦ ФНС вам выдали PIN-код (по умолчанию для Рутокен — 12345678, для JaCarta — 11111111). Если PIN менялся и забыт — только перевыпуск сертификата. В практике Добыто это случается регулярно — кадровики теряют PIN через 3-4 месяца. Рекомендуем сразу записывать его в защищённый менеджер паролей.

Мария Ж, судебный эксперт по трудовому праву:
«Основная причина обращений в техподдержку по ЭП — потерянные пин-коды. Не пароль от Госуслуг, не от 1С, а именно PIN токена. Рутокен после 10 неверных попыток блокируется, JaCarta — после 15. После блокировки — только перевыпуск. Храните PIN отдельно от токена.»

Использование сертификата ЭП в системах КЭДО

После скачивания и установки сертификата его можно использовать в системе кадрового электронного документооборота. Для КЭДО на базе УКЭП сотрудник подписывает документы через КриптоПро браузерный плагин или через десктопное приложение. Работодатель обязан подписывать определённые документы УКЭП по ст. 22.3 ТК РФ — это трудовые договоры, приказы об увольнении, акты о несчастных случаях и ещё ряд категорий.

Для сотрудников 377-ФЗ разрешает три варианта: ПЭП (логин-пароль в личном кабинете КЭДО), УНЭП через Госключ и УКЭП. На практике около 80% кадровых документов подписываются УНЭП или ПЭП — заявления на отпуск, ознакомление с ЛНА, расчётные листки. УКЭП от сотрудника нужна при подписании трудового договора и допсоглашений с существенными условиями.

Наши специалисты в Добыто настраивают маршрутизацию так, чтобы система сама определяла, какой тип подписи нужен для конкретного документа. Кадровик отправляет документ — система проверяет категорию, выбирает тип ЭП и направляет на подписание. Это исключает ситуацию, когда заявление на отпуск подписывают УКЭП (избыточно), а трудовой договор — ПЭП (недопустимо).

Стоимость сертификатов ЭП и сервиса КЭДО в 2026 году

Сам квалифицированный сертификат от УЦ ФНС для юридических лиц и ИП — бесплатный. Затраты складываются из стоимости токена (Рутокен ЭЦП 2.0 стоит от 1500 до 3000 руб.), лицензии КриптоПро CSP (бесплатно по программе ФНС или от 2700 руб. за коммерческую) и обслуживания инфраструктуры. Для сотрудников, использующих УНЭП через Госключ, затраты на стороне работника — ноль рублей.

Итоговая стоимость подключения к КЭДО зависит от численности персонала, выбранного тарифа и набора подписей. Для точного расчёта под вашу компанию — актуальные тарифы сервиса Добыто с калькулятором стоимости и детализацией по модулям.

Выводы: сертификат ЭП с Госуслуг — что запомнить

Скачать с Госуслуг в виде файла можно только открытую часть квалифицированного сертификата (.cer). Закрытый ключ остаётся на USB-токене или в контейнере КриптоПро CSP и экспорту не подлежит. УНЭП из Госключа не экспортируется — подписание происходит только внутри приложения. Для установки сертификата на новый компьютер потребуются КриптоПро CSP (версия 5.0 R2/R3), драйверы токена и корневые сертификаты УЦ ФНС с uc.nalog.ru/crt. Без этих компонентов подпись работать не будет.

При работе с КЭДО тип сертификата определяет юридическую силу подписи. Работодатель подписывает ключевые документы УКЭП, сотрудники — УНЭП через Госключ или ПЭП для внутренних документов. Госключ интегрируется с КЭДО-системами через API ЕПГУ без установки криптопровайдера на рабочих местах. Если токен заблокирован из-за неверного PIN — только перевыпуск, восстановление невозможно.

Тренд 2026 года — переход от токенов к мобильным подписям. Госключ охватывает более 3200 компаний, из которых больше 1000 используют его для КЭДО. Рутокен CP 3.0 с NFC позволяет подписывать через смартфон без проводного подключения.

Частые вопросы о сертификатах ЭП и Госуслугах