Как с помощью ЭЦП подписать документ PDF

PDF — один из самых распространенных форматов для договоров, заявлений и отчетов, но просто прикрепить файл к письму недостаточно: юридическую силу ему придает электронная подпись. С ЭЦП документ становится равнозначным бумажному с собственноручной подписью и печатью, а проверяющая сторона может убедиться, что после подписания в файл не вносили изменений. Разница лишь в том, каким инструментом и каким форматом подписи вы пользуетесь.

Ниже — практический порядок действий: чем встроенная подпись отличается от открепленной, какие форматы PDF поддерживают каждый вариант, что подготовить заранее и как поставить штамп прямо в КриптоПро CSP. Отдельно разберем подписание в Adobe Acrobat и Word, на Госуслугах и в банковских сервисах, а также проверку подписи и типичные ошибки, из-за которых PDF не подписывается или штамп не отображается.

Почему PDF с ЭЦП требует отдельного порядка подписания

PDF — не «родной» формат для российской электронной подписи. В отличие от документов Word, где подпись встраивается в структуру файла относительно просто, PDF изначально проектировался как формат фиксированной вёрстки для печати. Его внутренняя структура — дерево объектов, а не линейный поток текста. Поэтому подпись в PDF ставится не «поверх» содержимого, а в специально предусмотренную для этого область — словарь /Sig и виджет подписи /Widget с полем /FT /Sig. Если положить подпись любым другим способом, документ откроется, но проверка покажет: подпись недействительна либо отсутствует.

Вторая причина отдельного порядка — целостность. PDF позволяет менять документ после подписания: добавлять комментарии, заполнять формы, вставлять страницы. Каждое такое изменение фиксируется в инкрементальном обновлении файла. Квалифицированная подпись «закрывает» ту версию байтов, которая существовала на момент её создания. Всё, что добавлено позже, формально находится вне подписанного среза. Отсюда практическое правило: подписывайте финальную версию PDF — ту, которую больше не планируете править. Если после подписания нужно исправить опечатку, подпись придётся ставить заново, а прежнюю — считать недействительной.

Третий нюанс — визуализация. В PDF подпись может быть видимой (штамп с ФИО, должностью, датой, оттиском) и невидимой (только криптографический контейнер). Для внутреннего ЭДО часто достаточно невидимой, а для договоров, актов, заявлений в госорганы и суды нужен читаемый штамп — его отсутствие иногда становится причиной возврата документа. Наконец, PDF — формат, где легко «сломать» подпись конвертацией: пересохранение через онлайн-редактор, печать в PDF, сжатие картинок уничтожают исходные байты, и подпись перестаёт проверяться. Поэтому все действия с подписанным PDF — только просмотр и передача как есть, без промежуточных редакторов.

Какие форматы PDF поддерживают встроенную и открепленную подпись

Не каждый PDF одинаково пригоден для подписи. Различают две техники: встроенная (присоединённая) подпись — криптоконтейнер физически находится внутри PDF-файла, и открепленная (detached) — подпись лежит отдельным файлом рядом с документом (обычно расширение .sig или .p7s). Выбор зависит от того, куда вы подаёте документ.

Отдельно стоит стандарт PDF/A — архивная версия формата, где запрещены внешние зависимости. Встроенная подпись в PDF/A допустима, но некоторые генераторы PDF/A вырезают поля подписи при конвертации. Если документ изначально создавался как PDF/A (например, для долгого хранения), проверьте, что поле подписи сохранилось, прежде чем подписывать.

Есть и третья категория — PAdES, профиль подписи PDF, ориентированный на долгосрочное хранение. Он предполагает встроенную подпись с меткой времени, чтобы подтвердить момент подписания спустя годы, когда сертификат уже истёк. Для обычного документооборота достаточно стандартной встроенной подписи КриптоПро; PAdES нужен там, где документ должен оставаться юридически значимым через 5–10 лет. Уточняйте у принимающей стороны, какой профиль она ожидает: иногда в регламенте прямо указано «подпись в формате PAdES» или «отсоединённая подпись .sig».

Что подготовить до подписания PDF: сертификат, КриптоПро, сам файл

Подписание PDF срывается чаще всего не из-за криптографии, а из-за неподготовленного рабочего места. Пройдите по списку до того, как откроете документ.

1. Действующий сертификат. Проверьте срок действия — истёкший сертификат не даст поставить юридически значимую подпись. Убедитесь, что сертификат выпущен аккредитованным УЦ и подходит для нужной цели (например, для торгов или для работы с порталами госорганов).
2. Закрытый ключ. Он должен быть доступен — на токене (Рутокен, JaCarta), на флешке или в защищённом хранилище КриптоПро CSP. Держите под рукой PIN-код; при нескольких попытках ввода неверного PIN токен может заблокироваться.
3. КриптоПро CSP. Установленная и активированная (лицензия действует) версия. Без неё ни КриптоПро, ни большинство банковских и портальных сервисов подпись PDF не сформируют.
4. Корневые сертификаты УЦ. Установите цепочку сертификатов вашего УЦ и корневые сертификаты Минцифры — иначе проверка подписи будет показывать «цепочка не построена».
5. Сам PDF. Финальная версия, без правок после подписания. Проверьте, что файл не защищён паролем на редактирование — некоторые функции подписи в защищённых PDF недоступны.
6. Штамп подписи. Если нужен видимый оттиск — заранее подготовьте картинку штампа (ФИО, должность, организация) или настройте поля вручную в редакторе.

Отдельно проверьте, что на компьютере нет конфликтующих криптопровайдеров и что системное время верное: расхождение часов с реальным временем — частая причина ошибки «сертификат ещё не действует» или «срок действия истёк». Если работаете с токена, установите драйверы производителя (Рутокен, JaCarta) — без них КриптоПро не увидит контейнер.

Как подписать PDF в КриптоПро CSP с видимым штампом подписи

КриптоПро CSP — базовый инструмент, который умеет ставить встроенную подпись в PDF напрямую, без сторонних редакторов. Порядок такой:

1. Откройте КриптоПро CSP и убедитесь, что сертификат виден в разделе «Сертификаты» и контейнер закрытого ключа доступен.
2. Запустите подписывание PDF через меню работы с документами (в разных сборках пункт называется по-разному — «Подписать документ», «Электронная подпись»). Укажите путь к PDF.
3. Выберите сертификат из списка. Если сертификатов несколько, ориентируйтесь на срок действия и назначение.
4. Включите опцию видимой подписи и настройте штамп: ФИО, должность, организация, дата, при необходимости — графическое изображение. Разместите штамп на странице, чтобы он не перекрывал текст и реквизиты.
5. Подтвердите операцию, введите PIN-код токена. Дождитесь сообщения об успешном подписании.
6. Сохраните файл под новым именем — так исходник останется нетронутым, а подписанная версия будет отдельно.

Штамп — это визуальный слой, его можно двигать и оформлять, но юридическую силу несёт криптоконтейнер, а не картинка. Поэтому не путайте: подпись, нарисованная в графическом редакторе, — не ЭЦП. Если после подписания вы откроете PDF в редакторе и пересохраните его, подпись может перестать проверяться — работайте с подписанным файлом только на просмотр.

Для документов с несколькими подписантами (например, договор, который подписывают две стороны) используйте последовательное подписание: каждый следующий подписант ставит свою подпись поверх уже подписанного файла. Проверьте, что принимающая сторона поддерживает множественные подписи — не все сервисы их корректно отображают.

Как поставить открепленную подпись под PDF в Adobe Acrobat и Word

Открепленная подпись нужна, когда принимающая сторона просит отдельный файл .sig рядом с PDF. В Adobe Acrobat (полная версия) это делается так:

1. Откройте PDF в Acrobat, перейдите в раздел инструментов подписи (обычно «Сертификаты» или «Подписи»).
2. Выберите «Подписать цифровой подписью» и укажите сертификат из хранилища КриптоПро (Acrobat должен видеть российский криптопровайдер через плагин).
3. В настройках подписи выберите формат открепленной подписи (detached) и укажите, куда сохранить файл .sig.
4. Подтвердите PIN-кодом и сохраните результат.

Важно: Acrobat по умолчанию работает с западными стандартами подписи. Для российского сертификата нужен установленный плагин интеграции КриптоПро с Acrobat — без него Acrobat не увидит ваш сертификат. Если плагина нет, проще подписать через КриптоПро CSP или через сервис, который поддерживает .sig «из коробки».

В Word открепленную подпись под PDF напрямую не поставить — Word работает с DOCX. Но можно пойти обходным путём: подготовить документ в Word, экспортировать в PDF, а затем подписать PDF в КриптоПро или в сервисе ЭДО. Некоторые банковские и операторские сервисы позволяют загрузить PDF и получить .sig через веб-интерфейс — это удобно, когда под рукой нет настроенного Acrobat. Главное — после получения .sig не пересохранять PDF: любая правка байтов сделает открепленную подпись недействительной, потому что она привязана к хешу исходного файла.

Как подписать PDF на портале Госуслуг и в банковских сервисах

Портальные сервисы удобны тем, что не требуют настройки Acrobat и плагинов: криптография работает через браузерный плагин. На Госуслугах подписание PDF доступно в разделах, где требуется приложить документ (заявления, обращения, документы в личном кабинете). Порядок:

1. Войдите в личный кабинет, откройте нужную услугу или форму подачи документа.
2. Загрузите PDF и нажмите «Подписать» — плагин обратится к сертификату.
3. Выберите сертификат, подтвердите PIN-код.
4. Дождитесь статуса «Подписано» и сохраните квитанцию или номер обращения.

Если подпись не проходит, проверьте, что браузерный плагин КриптоПро актуален и что сертификат действителен. По техническим вопросам портала работает служба поддержки — 8-800-100-70-10, звонок по России бесплатный (номер указан на официальном сайте). Оператор не попросит у вас код из SMS или PIN токена: код из SMS — аналог вашей подписи, назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Настоящие сотрудники банка и портала коды никогда не спрашивают. Если звонящий представляется «службой поддержки» и просит код или PIN — положите трубку и перезвоните по официальному номеру.

В банковских сервисах подписание PDF обычно встроено в раздел документооборота для бизнеса: загружаете файл, выбираете сертификат, ставите подпись. Проверьте, поддерживает ли сервис видимый штамп — иногда он ставится только невидимой подписью. После подписания скачайте файл и убедитесь, что он открывается и подпись отображается в свойствах документа.

Как проверить подпись PDF и убедиться, что документ не изменен

Проверка — обязательный шаг, даже если подпись только что поставлена вами. Порядок:

1. Откройте PDF в программе, которая умеет читать подписи (КриптоПро, Acrobat с плагином, портальный сервис проверки).
2. Найдите панель подписей или свойства документа — там отображается статус: «подпись действительна», «документ изменён после подписания», «сертификат не найден».
3. Проверьте цепочку сертификатов: должна строиться до корневого сертификата УЦ. Если цепочка не строится — установите корневые сертификаты.
4. Сверьте, что подпись стоит на финальной версии файла: если после подписания добавлялись страницы или комментарии, статус может быть «действительна с оговорками».
5. Для открепленной подписи убедитесь, что файл .sig относится именно к этому PDF — при несовпадении хеша проверка покажет ошибку.

Типичные статусы и что они значат: «подпись действительна» — всё в порядке; «документ изменён» — после подписания файл правили, подпись недействительна; «сертификат отозван» — проверьте, не отозван ли сертификат в реестре УЦ; «не удалось построить цепочку» — не хватает корневых сертификатов. Не игнорируйте статус «действительна с оговорками»: он означает, что подпись формально верна, но в файле есть изменения после неё.

Если вы получили подписанный PDF от контрагента, проверьте подпись до того, как подписывать самому. Не открывайте подозрительные файлы из непроверенных писем: подписанный PDF может содержать вредоносные вложения. Сверяйте отправителя и, если документ неожиданный, уточните у контрагента по другому каналу связи.

Что делать, если PDF не подписывается или подпись не отображается

Ошибки при подписании PDF делятся на три группы: проблемы с сертификатом, с программой и с самим файлом. Разберите по порядку.

• «Сертификат не найден» — проверьте, что токен подключён и драйвер установлен, что КриптоПро видит контейнер. Переустановите корневые сертификаты УЦ.
• «Срок действия сертификата истёк» — нужен новый сертификат; подписать старым юридически значимый документ не получится. Проверьте системное время: расхождение часов даёт ложную ошибку.
• «Неверный PIN» — аккуратно введите PIN; при нескольких ошибках токен блокируется, и разблокировка требует обращения в УЦ.
• Подпись не отображается визуально — включите опцию видимого штампа в настройках подписания; некоторые сервисы ставят только невидимую подпись.
• «Документ защищён паролем» — снимите защиту на редактирование (если есть право) или запросите незащищённую версию у отправителя.
• Подпись «слетает» после сохранения — файл пересохранён редактором; подпишите заново и больше не редактируйте PDF.

Если ошибка не из этой группы, проверьте совместимость версии КриптоПро с вашей ОС и браузером. Для портальных сервисов обновите браузерный плагин. По техническим вопросам портала Госуслуг звоните в поддержку — 8-800-100-70-10, звонок по России бесплатный (номер указан на официальном сайте). Помните: код из SMS — аналог вашей подписи, и настоящие сотрудники поддержки его не спрашивают. Если вам звонят и просят код или PIN под предлогом «помощи с подписью» — положите трубку и перезвоните по официальному номеру сами. Никогда не диктуйте PIN токена и коды подтверждения посторонним, даже если они представляются сотрудниками банка или портала.

Если документ нужно подписать срочно, а рабочее место не настроено, используйте резервный канал: подпишите PDF через банковский сервис или портал, где криптография уже настроена. Сохраните копию подписанного файла и квитанцию — они пригодятся, если принимающая сторона заявит, что подпись не читается.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.