Как проверить электронную подпись на документе

Электронная подпись юридически равна собственноручной, но только пока подтверждается её действительность. Изменённый после подписания файл, истёкший сертификат или подделка с чужими реквизитами превращают документ в бесполезную бумажку — а иногда и в инструмент мошенничества. Проверить подпись можно за пару минут: встроенными средствами Adobe Reader, через КриптоПро или прямо на Госуслугах, без установки программ. Важно понимать, что именно сверяет программа: хеш файла, открытый ключ из сертификата и цепочку удостоверяющих центров. Тогда отметка «подпись недействительна» перестанет быть загадкой, а зелёная галочка — безосновательным доверием. Ниже — пошаговые инструкции для компьютера и смартфона, разбор типичных причин ошибки, признаки подделки с чужой подписью и порядок действий, если подпись так и не подтвердилась.

Что именно проверяет программа, когда подтверждает подпись

Многие думают, что галочка «подпись верна» подтверждает сам документ. На своём опыте убедился, что это не так: программа проверяет криптографию и цепочку сертификатов, но не смысл бумаги. Если приказ о вашем увольнении подписан настоящим ключом директора — подпись будет «верной», даже если вы с приказом категорически не согласны. Это первое, что стоит держать в голове.

По сути проверка складывается из нескольких независимых слоёв, и каждый может дать сбой отдельно:

• Целостность. Из файла и подписи вычисляется хеш — короткий «отпечаток» содержимого. Если в документе поменяли хоть один символ после подписания, отпечаток перестанет совпадать, и проверка провалится.
• Подлинность ключа. Проверяется, что подпись действительно создана закрытым ключом, соответствующим открытому ключу из сертификата. Подделать это без закрытого ключа практически невозможно.
• Действительность сертификата. Программа смотрит срок действия, статус (не отозван ли) и не истёк ли он на момент подписания.
• Цепочка доверия. Сертификат подписанта должен выстраиваться до корневого сертификата удостоверяющего центра, которому доверяет ваша система.
• Момент подписания. Если есть штамп доверенного времени, проверяется, что подпись поставлена, пока сертификат был действителен.

Важный нюанс: проверка не отвечает на вопрос «имел ли право этот человек подписывать этот документ». Полномочия подтверждаются отдельно — доверенностью, приказом, выпиской из ЕГРЮЛ. Подпись лишь доказывает, что файл не менялся и исходит от владельца конкретного ключа.

Второй слой, который часто упускают, — что именно подписано. Файл может содержать вложение, а подпись относиться только к конверту. Поэтому после проверки всегда открывайте сам документ и читайте его содержимое, а не ограничивайтесь зелёной плашкой.

Проверка подписи в Adobe Reader и КриптоПро: пошаговый порядок действий

Для PDF с квалифицированной подписью удобнее всего Adobe Reader (или бесплатный Acrobat Reader), для файлов .sig и .sgn — КриптоПро CSP с плагином для браузера. Порядок в Adobe Reader:

1. Откройте PDF и найдите панель подписи — обычно справа или вверху, в зависимости от версии.
2. Нажмите на строку с подписью и выберите «Показать подпись» или «Свойства подписи».
3. В открывшемся окне смотрите строку состояния: «Подпись действительна» — хорошо; «Действительность подписи неизвестна» — не хватает корневого сертификата УЦ в хранилище доверенных.
4. Разверните вкладку «Отображаемая подпись» и «Сведения о сертификате»: проверьте ФИО, организацию, срок действия и издателя.
5. Если статус «неизвестна», установите корневой сертификат УЦ из официального источника и повторите проверку.

В КриптоПро CSP порядок другой — там проверяется не сам PDF, а отсоединённая подпись:

1. Убедитесь, что установлены КриптоПро CSP и плагин для браузера, а сертификат подписанта добавлен в личное хранилище.
2. Для файла .sig откройте его двойным щелчком — запустится мастер проверки, либо используйте «КриптоПро CSP» → вкладка «Сервис» → «Проверить подпись».
3. Укажите исходный документ и файл подписи, если они лежат отдельно.
4. В результате смотрите две вещи: «Подпись верна» и «Сертификат действителен». Одно без другого — повод разбираться.
5. Проверьте, что сертификат не отозван: в свойствах есть ссылка на списки отзыва (CRL) или запрос по OCSP.

Типичная моя ошибка на старте: я проверял подпись, не установив корневой сертификат УЦ, и получал «неизвестна», хотя документ был в полном порядке. Ставьте корневые сертификаты аккредитованных УЦ заранее — это экономит нервы.

Как проверить подпись на портале Госуслуг без установки программ

Когда под рукой чужой компьютер или телефон, а установить КриптоПро нет возможности, выручает сервис проверки электронной подписи на портале Госуслуг. Он не требует установки криптопровайдера и работает прямо в браузере — на своём опыте убедился, что для быстрой проверки «на бегу» это самый удобный путь.

Порядок действий:

1. Войдите в личный кабинет Госуслуг — без авторизации сервис недоступен.
2. Найдите раздел с электронной подписью и выберите проверку подписи (файл и подпись загружаются в форму).
3. Загрузите документ и файл подписи (или один PDF с встроенной подписью).
4. Дождитесь результата: портал покажет, кем подписан документ, каким сертификатом и действителен ли он.

Что важно понимать про этот способ. Во-первых, сервис проверяет подпись, выданную аккредитованным удостоверяющим центром, — самоподписанные или иностранные сертификаты он не подтвердит. Во-вторых, загружая документ, вы передаёте его содержимое на портал: для конфиденциальных бумаг это стоит учитывать. В-третьих, портал покажет действительность сертификата на текущий момент, но не всегда даст развёрнутую информацию о моменте подписания.

Если сервис говорит «подпись недействительна», не спешите паниковать. Чаще всего причина бытовая: истёк срок сертификата, документ отредактировали после подписания или подпись отсоединённая, а вы загрузили только сам файл. Проверьте, что приложили оба файла, и повторите.

Этот способ хорош как экспресс-проверка подлинности перед тем, как принимать важное решение по документу. Для юридически значимых разбирательств всё же лучше сохранить протокол проверки из специализированного средства — он пригодится как доказательство.

Почему подпись помечается недействительной: цепочка сертификатов и сроки

Красная плашка «подпись недействительна» пугает, но далеко не всегда означает подделку. На своём опыте я разобрал несколько типовых причин — и почти все они решаются без паники.

• Истёк срок сертификата. Ключи выпускаются на ограниченный срок. Если документ подписан, пока сертификат был действителен, подпись юридически остаётся в силе — но программа без штампа доверенного времени покажет «истёк».
• Сертификат отозван. УЦ может отозвать сертификат при компрометации ключа или по заявлению владельца. Тогда все подписи, поставленные после отзыва, недействительны.
• Нет корневого сертификата УЦ. Самая частая причина «неизвестной» действительности: система не доверяет издателю, потому что его корневой сертификат не установлен.
• Документ изменён после подписания. Любая правка — даже пересохранение PDF некоторыми редакторами — ломает хеш.
• Неверные часы на компьютере. Сбитая дата ломает проверку сроков; проверьте системное время.

Отдельно про цепочку доверия. Сертификат подписанта выдан промежуточным УЦ, тот — корневым. Если выпадает любое звено, проверка не проходит. Иногда достаточно доустановить промежуточный сертификат, который обычно прилагается к самому файлу подписи или лежит на сайте УЦ.

Практический вывод: прежде чем объявлять документ подделкой, пройдите по цепочке сверху вниз — установите корневой и промежуточный сертификаты, проверьте часы, убедитесь, что открываете именно тот файл, который подписывали. И только если после этого подпись «ломается» на самом хеше — это серьёзный сигнал.

Как отличить подлинный файл от подделки с чужой подписью

Здесь начинается самое интересное и самое опасное. Мошенники всё чаще присылают документы с «красивой» подписью, которая на поверку оказывается либо чужой, либо скопированной с другого файла. Разберу, на что смотреть.

Первый признак подделки — подпись «верна», но данные в сертификате не бьются с ситуацией. Например, договор от имени крупной компании подписан сертификатом физического лица или ИП, не имеющего к ней отношения. Всегда сверяйте ФИО и организацию в сертификате с теми, кто реально должен подписывать такой документ.

Второй признак — подпись перенесена с другого файла. Технически скопировать блок подписи в новый PDF можно, но при проверке хеш не совпадёт, и статус станет «недействительна». Если вам присылают PDF, где подпись выглядит как картинка и не кликается — это не электронная подпись вовсе, а изображение штампа.

Третий признак — отсутствие штампа доверенного времени при «свежих» датах. Если документ якобы подписан год назад, а метки времени нет, стоит насторожиться.

Что делать, чтобы не попасться:

1. Проверьте подпись программой или через Госуслуги — не доверяйте визуальному виду.
2. Сверьте владельца сертификата с ожидаемым подписантом.
3. Позвоните в компанию по официальному номеру с сайта (не по номеру из письма) и уточните, действительно ли они отправляли документ.
4. Проверьте саму компанию: лицензию банка, страховщика, брокера или МФО можно проверить в официальных реестрах на сайте Банка России (cbr.ru, раздел «Реестры»). Компании нет в реестре — значит, она работает нелегально и передавать ей деньги нельзя.
5. Загляните в «Список компаний с выявленными признаками нелегальной деятельности» на сайте Банка России — туда попадают финансовые пирамиды, нелегальные кредиторы и псевдоброкеры; список пополняется постоянно.

И железное правило, которое я усвоил: код из SMS — аналог вашей подписи. Назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Настоящие сотрудники банка коды никогда не спрашивают. Если «проверка подписи» на стороннем сайте просит код из SMS — это фишинг, а не проверка.

Проверка подписи на смартфоне и в мобильных приложениях банков

Со смартфона полноценно проверить квалифицированную подпись сложнее, чем с компьютера: криптопровайдеры под мобильные ОС есть, но настроены они не у всех. На своём опыте убедился, что на телефоне реально работают три пути.

Первый — мобильная версия портала Госуслуг. Тот же сервис проверки подписи открывается в браузере телефона, нужен только вход в аккаунт. Это самый надёжный способ «на ходу».

Второй — приложения банков. Крупные банки дают проверить подпись на документах в рамках своих сервисов для бизнеса и документооборота, но обычно только для подписей, выпущенных через этот же банк или его партнёра. Универсальной проверки чужой подписи от любого УЦ там, как правило, нет — не рассчитывайте на это.

Третий — специализированные мобильные приложения УЦ и операторов ЭДО. Они умеют проверять подпись, если сертификат уже установлен в приложение.

Что учитывать на телефоне:

• Не устанавливайте сертификаты и «корневые ключи» из непроверенных источников — только с сайта УЦ или Госуслуг.
• Остерегайтесь приложений-«проверялок» из магазинов: под видом проверки они могут собирать данные документов.
• Проверяйте, что приложение официальное — по разработчику и отзывам, а не по названию.
• Для конфиденциальных бумаг мобильная проверка через сторонний сервис — лишний риск утечки.

Отдельно про сим-карты, ведь на номер часто завязан доступ к аккаунтам и подтверждению операций. На одного человека можно оформить не более 20 сим-карт у всех операторов суммарно (ФЗ-303 от 08.08.2024, поправки в закон «О связи»): с 1 апреля 2025 года новые сверх лимита не оформляют, с 1 ноября 2025 года лишние блокируются. Проверить оформленные на вас номера можно на Госуслугах — чужая симка на ваше имя это инструмент мошенников. Если на ваше имя висит незнакомый номер, через который могут перехватить SMS, — это прямой риск для проверки подписи и подтверждения операций.

Что сохранить и куда обратиться, если подпись не подтверждается

Когда подпись не подтверждается, главное — не удалять ничего и зафиксировать результат проверки. На своём опыте убедился: доказательства потом собрать гораздо сложнее, чем сохранить сразу.

Что сохранить:

1. Сам документ и файл подписи в исходном виде — не пересохраняйте и не редактируйте их.
2. Скриншот или протокол проверки с указанием статуса подписи, сертификата и даты проверки.
3. Сведения о сертификате подписанта: ФИО, организация, издатель, серийный номер, срок действия.
4. Переписку, в которой вам прислали документ, — с адресами, датами и вложениями.
5. Чек или подтверждение оплаты, если по документу уже переводили деньги.

Куда обращаться — зависит от ситуации:

• Документ от компании-контрагента. Сначала запросите у них повторную высылку и уточните, каким сертификатом подписан файл. Часто проблема в том, что вам прислали не тот файл или не приложили сертификат.
• Подозрение на подделку или мошенничество. Обратитесь в полицию с сохранёнными доказательствами; для финансовых схем дополнительно проверьте компанию в реестрах и «Списке компаний с выявленными признаками нелегальной деятельности» на сайте Банка России.
• Проблема с сертификатом. В удостоверяющий центр, выдавший сертификат: уточните статус, причину отзыва и порядок получения корневых сертификатов.
• Списание денег после подписания. Немедленно в банк — заблокировать операции и оспорить платёж, приложив протокол проверки.

И последнее, что я бы посоветовал самому себе год назад: не принимайте важных решений по документу, пока не увидели своими глазами статус «подпись верна» и «сертификат действителен» одновременно. Одна зелёная плашка без второго условия — ещё не гарантия. А если проверка упорно не проходит, а контрагент торопит и давит на сроки — это само по себе повод насторожиться и перепроверить всё ещё раз.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.