Сведения о сертификате электронной подписи — что это за документ

Кадровики и бухгалтеры сталкиваются с сертификатами электронной подписи ежедневно — при подписании кадровых документов в системе КЭДО, отправке отчётности в ФНС, оформлении трудовых договоров в электронном виде. Сертификат прикрепляется к каждой подписи, его данные мелькают в окнах КриптоПро и плагинах браузеров. Но что конкретно записано в этом файле? Какие поля там обязательны по закону, а какие добавлены для квалифицированных сертификатов? Почему сертификат иногда «не проходит проверку», хотя срок действия ещё не истёк? Ответы на эти вопросы напрямую влияют на работоспособность электронного документооборота в организации. Если вы ещё не знакомы с общей структурой и видами сертификатов ЭП, рекомендуем сначала прочитать обзорную статью о сертификатах электронной подписи — там разобраны базовые понятия, на которые мы будем опираться ниже.

Автор: Мария Ж, юрист со стажем более 20 лет, специализируется на кадровом делопроизводстве и внедрении КЭДО в организациях различного масштаба.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое сертификат ключа проверки электронной подписи

Федеральный закон № 63-ФЗ «Об электронной подписи» даёт чёткое определение в статье 2 (пункт 2): сертификат ключа проверки электронной подписи — это электронный документ или документ на бумажном носителе, выданный удостоверяющим центром либо доверенным лицом удостоверяющего центра. Этот документ подтверждает принадлежность ключа проверки электронной подписи владельцу сертификата.

Обратите внимание на два момента. Во-первых, сертификат существует в двух формах — электронной и бумажной. Электронная форма — это файл формата X.509 (обычно с расширением .cer или .crt), который хранится в реестре компьютера, на токене или в облачном хранилище удостоверяющего центра. Бумажная форма — распечатанный документ с печатью УЦ, который владелец получает при выдаче. Юридическую силу имеют обе формы.

Во-вторых, сертификат — это не сама электронная подпись. Подпись формируется закрытым ключом, а сертификат лишь подтверждает, кому принадлежит парный открытый ключ (ключ проверки). Разница принципиальная: подпись создаётся каждый раз заново для каждого документа, а сертификат выпускается один раз и действует определённый срок — обычно 12 или 15 месяцев.

Мария Ж, юрист: На практике путаница между понятиями «сертификат», «ключ» и «подпись» приводит к реальным проблемам. Сотрудник звонит в техподдержку и говорит: «У меня подпись истекла». Специалист проверяет — закрытый ключ в порядке, а истёк именно сертификат. Или другая ситуация: кадровик думает, что «переустановил подпись», а на самом деле переустановил только сертификат, а закрытый ключ остался на старом компьютере. Пока мы не разграничим эти три понятия, ошибки будут повторяться.

Проще всего представить это через аналогию. Закрытый ключ — это ваша личная подпись от руки, уникальный росчерк, который знаете только вы. Ключ проверки (открытый ключ) — это образец вашей подписи, который можно показать другим для сверки. А сертификат — это паспорт для электронной подписи: официальный документ, удостоверяющий, что данный образец подписи действительно принадлежит конкретному человеку или организации. Без «паспорта» подпись остаётся анонимной — проверить её принадлежность невозможно.

Что содержит сертификат ЭП по закону — статья 14 63-ФЗ

Состав сведений, которые обязательно включаются в сертификат ключа проверки электронной подписи, определён статьёй 14 Федерального закона № 63-ФЗ. Пункт 2 этой статьи содержит закрытый перечень обязательных полей. Каждый удостоверяющий центр — будь то ФНС, коммерческий аккредитованный УЦ или УЦ казначейства — обязан включить в сертификат все перечисленные ниже сведения.

Мария Ж, юрист: Для кадровика критически важны три поля: ФИО владельца, срок действия и наименование УЦ. Именно по ним вы определяете — тот ли человек подписал документ, не просрочен ли сертификат, и выдан ли он аккредитованным центром. Если хоть одно из этих полей вызывает сомнения — документ подписывать нельзя, а уже подписанный нуждается в дополнительной проверке.

Уникальный номер сертификата (Serial Number) присваивается удостоверяющим центром при выпуске и никогда не повторяется. Этот номер используется при проверке в списках отозванных сертификатов (CRL) — если сертификат скомпрометирован или владелец уволился, УЦ добавляет его серийный номер в CRL, и все подписи, сделанные после даты отзыва, считаются недействительными.

Дополнительные сведения в квалифицированном сертификате — статья 17 63-ФЗ

Квалифицированный сертификат электронной подписи содержит всё то же, что указано в статье 14, плюс расширенный набор сведений по статье 17 63-ФЗ. Именно эти дополнительные поля отличают квалифицированный сертификат от обычного и позволяют использовать квалифицированную электронную подпись для юридически значимого документооборота — подачи отчётности, подписания трудовых договоров, работы на госпорталах.

Среди обязательных дополнительных полей квалифицированного сертификата — СНИЛС владельца (записывается в расширение с идентификатором OID 1.2.643.100.3) и ИНН (для физического лица — OID 1.2.643.100.4, для юридического — OID 1.2.643.100.1). Эти идентификаторы однозначно привязывают сертификат к конкретному человеку или организации в государственных информационных системах. Без СНИЛС, например, невозможно подписать отчётность в СФР, а без ИНН — работать с личным кабинетом налогоплательщика.

Также указываются наименование средства криптографической защиты информации (СКЗИ), на котором сформирован ключ, и наименование средств удостоверяющего центра, использованных при выпуске сертификата. На практике это означает, что в сертификате прописано, например, «КриптоПро CSP версии 5.0 R3» и «КриптоПро УЦ 2.0». Эти сведения нужны для программной совместимости — если система получателя не поддерживает указанный алгоритм, подпись не пройдёт проверку.

Отдельное внимание заслуживают ограничения использования сертификата. УЦ вправе указать, что данный сертификат может применяться только для определённых целей — например, только для подписания документов на торговых площадках или только для работы с ФНС. Если ограничения установлены, использование сертификата за их рамками не будет иметь юридической силы.

С 1 сентября 2024 года вступил в силу Приказ ФСБ России № 50, который ввёл новое обязательное поле — срок действия ключа электронной подписи. Раньше срок действия ключа и срок действия сертификата часто совпадали, и путаница между ними не приводила к последствиям. Теперь эти сроки разнесены и фиксируются явно. Ключ может быть действителен, например, 18 месяцев, тогда как сертификат — только 15. После истечения срока действия ключа подписывать документы нельзя, даже если сертификат формально ещё активен.

Ещё одно грядущее изменение — с 1 сентября 2026 года СФР потребует наличия в квалифицированных сертификатах атрибутов keyAgreement, Data encipherment и Key encipherment. Эти расширения необходимы для защищённого обмена данными с фондом. Организациям, которые планируют перевыпуск сертификатов в 2026 году, стоит заранее уточнить у своего УЦ, включены ли эти атрибуты в шаблон выпуска.

Формат записи атрибутов в квалифицированном сертификате определяется Приказом ФСБ России № 795 (в редакции от 02.02.2024). Основные поля субъекта записываются в стандартных атрибутах X.509:

• CN (Common Name) — фамилия, имя, отчество владельца или наименование организации;
• O (Organization) — полное наименование юридического лица;
• OU (Organizational Unit) — подразделение (указывается по усмотрению УЦ);
• C (Country) — код страны, для российских сертификатов всегда «RU»;
• Subject — совокупность всех атрибутов, идентифицирующих владельца.

В расширениях (extensions) сертификата обязательно присутствуют Enhanced Key Usage (OID 2.5.29.37) — перечень допустимых способов использования ключа, и CRL Distribution Points (OID 2.5.29.31) — адреса, по которым можно скачать актуальный список отозванных сертификатов.

Цепочка сертификации — как работает доверие

Сам по себе сертификат — лишь набор данных и цифровая подпись удостоверяющего центра. Чтобы программа (КриптоПро, браузер, система КЭДО) могла доверять этому сертификату, она проверяет всю цепочку сертификации — от конечного сертификата пользователя до корневого сертификата, которому система доверяет безусловно.

Цепочка строится по иерархическому принципу и состоит из трёх уровней:

Корневой сертификат — Минцифры России. Это вершина иерархии доверия для всех российских квалифицированных сертификатов. Корневой сертификат Минцифры предустановлен в хранилище «Доверенные корневые центры сертификации» операционной системы. Именно от него начинается любая проверка. Если корневой сертификат отсутствует или повреждён — ни одна подпись не пройдёт валидацию.

Промежуточный сертификат — аккредитованный удостоверяющий центр. Это сертификат того УЦ, который непосредственно выдал ваш сертификат: УЦ ФНС России, СКБ Контур, Калуга Астрал, Такском, Тензор и другие. Промежуточный сертификат подписан корневым сертификатом Минцифры. Он должен находиться в хранилище «Промежуточные центры сертификации».

Сертификат конечного пользователя. Тот самый сертификат, который выдан конкретному сотруднику или руководителю. Он подписан промежуточным сертификатом УЦ. При проверке программа «поднимается» по цепочке: сертификат пользователя → промежуточный → корневой. Если на каждом уровне подпись верна — доверие установлено, подпись признаётся действительной.

Разрыв цепочки на любом уровне приводит к ошибке проверки. Самая частая ситуация — на компьютере не установлен промежуточный сертификат УЦ. Программа видит, что сертификат пользователя подписан неизвестным центром, и отказывается признавать подпись. Технически сертификат в полном порядке, ключ не скомпрометирован, срок действия не истёк — а подпись всё равно «недействительна». Вторая по частоте причина — устаревший корневой сертификат Минцифры, особенно на компьютерах с отключёнными обновлениями Windows.

Мария Ж, юрист: Когда ко мне обращаются с проблемой «подпись не работает» — первое, что я проверяю, это цепочку сертификации. В девяти случаях из десяти дело не в просроченном сертификате и не в сломанном токене, а в отсутствующем промежуточном сертификате УЦ. Установка занимает две минуты, а экономит часы нервов и переписки с техподдержкой.

Проверить цепочку можно несколькими способами. В КриптоПро CSP откройте нужный сертификат и перейдите на вкладку «Путь сертификации» — там отображается вся иерархия. Зелёная галочка на каждом уровне означает, что цепочка не нарушена. Красный крест или жёлтый треугольник указывают на проблему: отсутствующий промежуточный сертификат, истекший корневой или отозванный сертификат УЦ. В Windows также можно воспользоваться оснасткой certmgr.msc — она покажет содержимое всех хранилищ и позволит быстро определить, какие сертификаты установлены, а каких не хватает.

Где хранится сертификат и закрытый ключ

Усиленная электронная подпись состоит из трёх компонентов: сертификат, открытый ключ и закрытый (секретный) ключ. Сертификат — документ публичный, его можно свободно передавать контрагентам и загружать в информационные системы. А вот закрытый ключ требует надёжной защиты: именно он формирует криптографическую подпись под документом, и его компрометация равнозначна потере контроля над ЭП.

Существует несколько способов хранения закрытого ключа, каждый со своим уровнем безопасности:

• Аппаратный токен (Рутокен ЭЦП 2.0/3.0, JaCarta) — закрытый ключ генерируется непосредственно на устройстве и никогда не покидает его память. Такие ключи называются неизвлекаемыми: криптографические операции выполняются внутри чипа токена.
• Контейнер КриптоПро CSP на USB-накопителе — ключ хранится в программном контейнере на обычной флешке. Это извлекаемые ключи: файл можно скопировать, что снижает уровень защиты.
• Облачное хранение (Госключ, КриптоПро DSS) — закрытый ключ размещается на защищённом сервере удостоверяющего центра или в мобильном приложении. Подписание происходит дистанционно, без физического носителя.

Современные токены, например Рутокен ЭЦП 3.0, располагают памятью объёмом 128 КБ и способны хранить до 31 ключевого контейнера одновременно. Этого достаточно для нескольких сертификатов разного назначения на одном устройстве.

Выбор носителя напрямую зависит от задач. Для кадрового электронного документооборота сотрудникам часто достаточно облачного сертификата через Госключ, тогда как руководителю организации для работы с ФНС и торговыми площадками потребуется аппаратный токен с УКЭП.

Как посмотреть сведения о сертификате — 3 способа

Проверить содержимое сертификата электронной подписи можно несколькими путями. Ниже — три наиболее распространённых.

Через КриптоПро CSP

Откройте приложение КриптоПро CSP и перейдите на вкладку «Сервис». Нажмите кнопку «Просмотреть сертификаты в контейнере», выберите нужный ключевой контейнер и нажмите «Далее». В открывшемся окне кликните «Свойства» — появится стандартное окно сертификата Windows с тремя вкладками:

• Общие — кому и кем выдан сертификат, период действия;
• Состав — полный перечень полей: серийный номер, алгоритм подписи, OID, точки распространения списков отзыва;
• Путь сертификации — цепочка доверия от корневого сертификата Минцифры до конечного сертификата владельца.

Через оснастку certmgr.msc

Нажмите комбинацию Win+R, введите certmgr.msc и нажмите Enter. В левой панели раскройте папку «Личное» → «Сертификаты». Здесь отображаются все сертификаты, установленные в хранилище текущего пользователя. Двойной клик по нужному сертификату откроет то же окно свойств с тремя вкладками. Этот способ удобен, когда КриптоПро CSP не установлен или нужно быстро проверить сертификат без запуска дополнительного ПО.

Онлайн на портале Госуслуг

На портале Госуслуг доступен сервис проверки электронной подписи. Перейдите в соответствующий раздел, загрузите файл сертификата (обычно с расширением .cer или .crt), и система покажет основные сведения: владельца, издателя, срок действия и статус — действителен сертификат или отозван. Способ не требует установки программ и работает из любого браузера.

Виды сертификатов в зависимости от типа подписи

Тип сертификата определяется видом электронной подписи, для которой он выпущен. От этого зависят юридическая сила подписанных документов, область применения и стоимость получения.

Приложение Госключ, запущенное Минцифры, уже превысило отметку в 41,2 млн активаций с выпущенными сертификатами, а количество подписанных через него документов достигло 50,4 млн. Эти цифры демонстрируют стремительный рост облачных подписей — особенно УНЭП, которая стала основным инструментом для кадрового ЭДО. Более 3 200 организаций уже используют Госключ, из них свыше 1 000 — именно для КЭДО.

Мария Ж, юрист-кадровик: Для КЭДО в большинстве случаев сотруднику достаточно сертификата УНЭП — он бесплатен через Госключ и подходит для подписания заявлений, ознакомлений с локальными нормативными актами, табелей. УКЭП нужна реже: при заключении и расторжении трудового договора, подписании соглашения о материальной ответственности и ещё нескольких документов по статье 22.3 ТК РФ.

Подробнее о том, как работает Госключ и как с его помощью подписывать документы, мы рассказали в отдельном материале.

Автоматизация работы с сертификатами в КЭДО

Сервис Добыто.КЭДО берёт на себя рутину, связанную с управлением сертификатами сотрудников: отслеживает сроки действия, напоминает о необходимости перевыпуска и поддерживает подписание документов как с помощью УНЭП, так и УКЭП. Платформа интегрируется с 1С, что позволяет вести кадровый электронный документооборот без дублирования данных. Тарифы начинаются от 30 руб. за сотрудника в месяц (тариф «Старт»), для крупных организаций предусмотрен корпоративный тариф по запросу. Ознакомиться с полным перечнем тарифов можно на странице тарифов Добыто.КЭДО.

Заключение

Сертификат электронной подписи — не просто технический файл, а юридически значимый документ, от корректности которого зависит действительность каждой проставленной подписи. Знание его структуры, понимание различий между типами сертификатов и правильный выбор способа хранения закрытого ключа помогают избежать проблем при работе с электронным документооборотом. Периодически проверяйте срок действия своих сертификатов и заблаговременно обращайтесь за перевыпуском, чтобы не прерывать рабочие процессы. Больше материалов о сертификатах, видах электронных подписей и их практическом применении — в нашем разделе об электронных подписях и сертификатах.

Вопросы и ответы