Как подписать документ открепленной ЭЦП

Открепленная ЭЦП пугает многих: сертификат есть, документ готов, а куда нажимать — непонятно. В отличие от встроенной подписи, которая «живет» внутри файла, открепленная существует отдельным файлом .sig, и без него получатель не увидит, что документ подписан. Отсюда типичные проблемы: подпись «потерялась» при отправке, документ изменили после подписания, а проверка выдает ошибку.

Разберем, чем открепленная подпись отличается от встроенной и в каких ситуациях нужна именно она — на госуслугах, в судах, госзакупках и кадровом ЭДО. Покажем, что подготовить до подписания и как сформировать файл .sig в КриптоПро CSP, Word, PDF и на портале госзакупок. Отдельно остановимся на проверке подписи и на том, что делать, если файл не читается или сертификат не найден. В конце — как передать документ и .sig получателю, чтобы подпись не потерялась.

Что такое открепленная ЭЦП и чем она отличается от встроенной в документ

Открепленная электронная подпись — это подпись, которая хранится в отдельном файле, а не «вшита» внутрь самого документа. Исходный файл (договор, заявление, акт) остается в привычном формате — DOCX, PDF, XLSX — и открывается в любой программе без специального ПО. Рядом с ним лежит второй файл, чаще всего с расширением .sig, который содержит криптографический отпечаток документа и данные сертификата подписанта.

Встроенная, или присоединенная, подпись работает иначе: она добавляется внутрь файла и меняет его структуру. PDF после подписания перестает быть «обычным» PDF, а документ Word превращается в файл, для корректного открытия которого нужна поддержка формата подписи. Плюс встроенной подписи — все в одном файле, его сложно потерять. Минус — получатель без нужного программного обеспечения увидит нечитаемую «мешанину» вместо текста.

Открепленная подпись решает именно эту проблему совместимости: документ читают все, а подпись проверяют отдельно — через КриптоПро CSP, модуль проверки на портале или специализированный сервис. При этом юридическая сила у обоих вариантов одинаковая: и та, и другая подпись подтверждает, что документ подписан конкретным сертификатом и после подписания не менялся. Разница — исключительно в форме хранения.

Важно понимать связь между двумя файлами. Файл .sig не существует сам по себе: он привязан к конкретному содержимому документа побайтово. Если изменить в документе хотя бы один символ — поправить дату, заменить цифру, добавить абзац — старая подпись станет недействительной, и проверка покажет ошибку. Именно поэтому открепленную подпись нельзя «перенести» на другую версию файла: подписывать нужно ровно тот документ, который уйдет получателю.

Когда нужна именно открепленная подпись: госуслуги, суды, госзакупок, кадровый ЭДО

Выбор между открепленной и встроенной подписью диктуется не удобством, а требованиями площадки, которая принимает документ. Если система ждет отдельный файл .sig, встроенная подпись его не заменит — загрузка просто не пройдет проверку формата.

Типичные ситуации, где нужна именно открепленная подпись:

• Госуслуги и ведомственные порталы. Многие формы требуют загрузить документ и отдельно — файл подписи. Это касается заявлений, деклараций, обращений в налоговую и другие органы.
• Суды и системы электронного правосудия. Исковые заявления и приложения к ним подаются комплектом: сам документ плюс отдельный файл подписи, чтобы суд мог проверить авторство и целостность.
• Госзакупки. Заявки, контракты и документы об исполнении часто подписываются открепленной подписью — площадка проверяет ее автоматически при загрузке.
• Кадровый ЭДО. Приказы, уведомления, согласия, подписанные кадровым специалистом, нередко передаются как пара «документ + .sig», особенно если получатель работает в другой информационной системе.
• Электронная почта и файлообмен. Когда документ отправляют письмом, открепленная подпись позволяет получателю проверить его без установки дополнительного ПО для чтения «подписанных» форматов.

Обратная ситуация тоже встречается: часть систем, наоборот, принимает только встроенную подпись и отклоняет комплект из двух файлов. Поэтому перед подписанием стоит открыть инструкцию конкретной площадки и посмотреть, какой формат она ожидает. Универсального правила «всегда открепленная» не существует — есть требование конкретного получателя.

Отдельный нюанс — внутренние документы компании. Если регламент ЭДО не задает формат, разумно договориться с контрагентом заранее: как именно вы передаете подпись, чем ее проверяют и что делаете, если файл не открывается. Это избавляет от переписки «пришлите еще раз, у нас не читается».

Что подготовить до подписания: сертификат, файл подписи .sig, исходный документ

Подписание пройдет с первого раза, если заранее собрать все компоненты. Проверьте их по списку, прежде чем открывать программу.

1. Действующий сертификат. Убедитесь, что срок его действия не истек и он не отозван. Просроченный сертификат не даст поставить подпись, а если срок истекает в ближайшие дни — подписывайте документы сейчас, а не в последний момент.
2. Контейнер закрытого ключа. Он должен быть доступен на токене, флешке или в хранилище компьютера, а вы — знать пароль от него. Без закрытого ключа подпись сформировать невозможно, сертификат сам по себе для этого не годится.
3. КриптоПро CSP. Программа должна быть установлена и лицензирована. Проверьте, что она видит ваш носитель: если ключ не отображается в списке контейнеров, подписание не начнется.
4. Исходный документ в финальной версии. Это тот самый файл, который уйдет получателю. Любая правка после подписания обесценит подпись, поэтому сначала согласуйте текст, потом подписывайте.
5. Понимание формата. Уточните у получателя или в инструкции площадки, нужен ли отдельный файл .sig, какой формат подписи (например, PKCS#7) и какие расширения принимаются.

Отдельно проверьте, что документ не защищен паролем и не открыт в другой программе — это частая причина ошибок при сохранении файла подписи. Также стоит заранее создать папку, куда вы сложите документ и .sig вместе, чтобы при отправке не перепутать версии.

Если сертификат хранится на токене, держите его подключенным до конца операции: извлечение носителя в момент формирования подписи прерывает процесс. И не подписывайте документы на чужом компьютере, где вы не контролируете установленное ПО, — неизвестные программы теоретически могут получить доступ к ключу.

Как подписать документ открепленной ЭЦП в КриптоПро CSP

КриптоПро CSP — базовый инструмент, через который формируется открепленная подпись в формате PKCS#7. Процедура занимает несколько минут, если все компоненты на месте.

1. Подключите носитель с ключом (токен или флешку) и дождитесь, пока система его определит.
2. Откройте КриптоПро CSP и перейдите в раздел работы с подписью — в интерфейсе это пункт «Подписать» или аналогичный, в зависимости от версии программы.
3. В поле «Документ» укажите путь к исходному файлу, который нужно подписать.
4. Выберите сертификат из списка. Если нужного нет — проверьте, видит ли программа контейнер, и при необходимости добавьте его вручную.
5. Введите пароль от контейнера закрытого ключа.
6. Укажите тип подписи — открепленная (отдельный файл), а не встроенная в документ.
7. Задайте имя и папку для файла .sig, нажмите «Подписать» и дождитесь сообщения об успехе.

После завершения рядом с документом появится файл с расширением .sig (иногда .p7s — это тот же формат PKCS#7). Он и есть ваша подпись. Не переименовывайте его произвольно: некоторые площадки ориентируются на расширение и могут не принять файл с другим именем.

Если в интерфейсе нет нужного пункта, подпись можно сформировать через контекстное меню файла в проводнике — опция «КриптоПро CSP» → «Подписать». Результат тот же. Главное — не закрывать программу и не отключать носитель до появления сообщения об успешном завершении.

Ошибка, которую допускают чаще всего: подписывают не тот файл, который в итоге отправляют. Например, правят документ после подписания или отправляют старую версию из другой папки. Держите документ и .sig в одной папке и отправляйте именно эту пару — тогда получатель проверит ровно то, что вы подписали.

Как сформировать отдельный файл подписи в Word, PDF и на портале госзакупок

В разных программах открепленная подпись создается по-разному, и это важно учитывать, чтобы не получить встроенную подпись там, где нужна отдельная.

Word и другие офисные документы. Сам Word не умеет создавать отдельный файл .sig — его встроенная функция подписи добавляет подпись внутрь документа. Поэтому для открепленной подписи DOCX или XLSX используют внешний инструмент: КриптоПро CSP или модуль подписи на портале. Сначала сохраните документ в финальном виде, закройте его, а затем подпишите через программу — так подпись будет гарантированно привязана к сохраненному файлу.

PDF. Здесь есть развилка. Встроенная подпись в PDF добавляется прямо в файл и видна как штамп в документе. Открепленная — создается отдельным файлом .sig через КриптоПро или сервис проверки. Если площадка требует именно отдельный файл, не пользуйтесь функцией «Подписать PDF» в просмотрщике: она даст встроенную подпись, и загрузка не пройдет.

Портал госзакупок. Здесь подпись обычно формируется средствами самой площадки или через подключенный криптопровайдер. Порядок такой:

1. Загрузите документ в нужный раздел площадки.
2. Выберите действие «Подписать» и укажите сертификат.
3. Подтвердите операцию и дождитесь статуса «Подписано».
4. Скачайте сформированный файл подписи, если площадка его отдает отдельно, и сохраните вместе с документом.

Общее правило для всех случаев: сначала финальная версия документа, потом подпись. Не редактируйте файл после подписания и не «конвертируйте» его в другой формат — при конвертации меняется содержимое, и подпись перестанет совпадать.

Как проверить открепленную подпись и убедиться, что документ не изменен

Проверка — обязательный шаг, особенно если документ уходит в суд, на госзакупки или контрагенту. Она показывает две вещи: подпись действительна и документ не менялся после подписания.

1. Убедитесь, что документ и файл .sig лежат рядом и вы проверяете именно эту пару.
2. Откройте КриптоПро CSP или воспользуйтесь функцией проверки подписи в проводнике (контекстное меню файла .sig).
3. Укажите исходный документ, к которому относится подпись, если программа запрашивает его отдельно.
4. Дождитесь результата: программа покажет статус подписи, данные сертификата и сведения о том, кем и когда документ подписан.
5. Проверьте срок действия сертификата на момент подписания и отсутствие отметки об отзыве.

Хороший результат — сообщение о том, что подпись верна, а документ не изменен. Плохой — предупреждение о несоответствии: это значит, что либо файл документа отредактировали после подписания, либо .sig относится к другой версии файла, либо подпись повреждена при передаче.

Если проверка идет на стороне получателя, он увидит те же данные: кто подписал, каким сертификатом и когда. Поэтому не стоит пытаться «подправить» документ после подписания — расхождение обнаружится сразу. Единственный корректный путь при необходимости правок: внести изменения, сохранить новую версию и подписать ее заново.

Отдельно проверяйте подпись после пересылки по почте или через мессенджеры: некоторые сервисы сжимают и преобразуют вложения. Если после скачивания подпись перестала проверяться, попросите отправителя передать файлы архивом или через файлообменник без обработки.

Что делать, если файл подписи не читается или сертификат не найден

Ошибки при работе с открепленной подписью почти всегда связаны с одним из четырех компонентов: программой, носителем, сертификатом или самим файлом. Действуйте по шагам, чтобы найти причину.

КриптоПро не видит сертификат. Проверьте, подключен ли носитель и определяется ли он системой. Убедитесь, что установлен драйвер токена и КриптоПро CSP запущена. Если сертификат хранится в контейнере, проверьте, что выбран правильный контейнер и введен верный пароль. Просроченный или отозванный сертификат тоже не отобразится для подписания — в этом случае нужен новый сертификат.

Файл .sig не открывается или не читается. Сначала проверьте расширение: .sig и .p7s — это формат PKCS#7, его открывает КриптоПро. Если файл пришел по почте, скачайте его заново — возможно, он поврежден при передаче. Убедитесь, что рядом лежит исходный документ: без него проверка невозможна, а некоторые программы при открытии .sig отдельно показывают ошибку именно из-за отсутствия документа.

Подпись не проходит проверку. Самая частая причина — документ изменили после подписания или подписали одну версию файла, а отправили другую. Сверьте, что документ и .sig относятся к одной операции, и при необходимости подпишите финальную версию заново.

Не хватает корневого сертификата удостоверяющего центра. Тогда проверка покажет, что цепочка не выстроена. Установите корневой и промежуточные сертификаты УЦ — их обычно можно скачать на сайте удостоверяющего центра.

Если проблема на стороне портала, а не вашей программы, обратитесь в поддержку площадки. Для портала Госуслуги служба поддержки работает по телефону 8-800-100-70-10, звонок по России бесплатный. При обращении опишите, на каком шаге возникает ошибка и какой текст она выдает, — так помогут быстрее.

И главное правило безопасности: сотрудники поддержки и банков никогда не спрашивают коды из SMS и пароли от контейнеров. Код из SMS — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию. Если звонящий просит такой код или пароль от ключа, положите трубку.

Как передать документ и файл .sig получателю, чтобы подпись не потерялась

Открепленная подпись живет только в паре с документом. Задача при передаче — сохранить эту пару неразрывной и не дать файлам измениться по дороге.

1. Сложите документ и файл .sig в одну папку с понятными именами, например «Договор_Иванов.docx» и «Договор_Иванов.docx.sig».
2. Упакуйте папку в архив (ZIP) — это защищает файлы от преобразования почтовыми сервисами.
3. Отправьте архив одним вложением или через файлообменник, если размер большой.
4. В письме укажите, каким сертификатом подписано и как проверить подпись, — это сэкономит получателю время.
5. Попросите получателя подтвердить, что подпись проверяется, — так вы убедитесь, что пара дошла в целости.

Почему архив, а не два отдельных файла: некоторые почтовые программы и мессенджеры сжимают вложения или меняют кодировку, и файл .sig после этого может перестать проверяться. Архив сохраняет содержимое байт в байт. Если получатель говорит, что подпись не читается, первым делом попросите его скачать вложение заново и распаковать архив, а не открывать файлы прямо из письма.

Не переименовывайте файл .sig произвольно и не редактируйте документ после подписания — любое изменение содержимого делает подпись недействительной. Если нужно внести правки, подпишите новую версию и передайте новый комплект, а старый удалите, чтобы не возникло путаницы с версиями.

Для конфиденциальных документов выбирайте защищенный канал передачи и не пересылайте файлы подписи через открытые ссылки без ограничения доступа. Пароль от контейнера закрытого ключа получателю передавать не нужно — для проверки подписи он не требуется. Держите резервную копию комплекта «документ + .sig» до подтверждения получения: если файл потеряется, восстановить подпись к уже отправленному документу без повторного подписания не получится.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.