Открепленная электронная подпись: что это

Файл с документом и отдельный небольшой файл с подписью — именно так выглядит открепленная электронная подпись. Она не встраивается в сам документ, а существует рядом с ним, и это влияет на то, как документ пересылают, хранят и проверяют. Ошибка в одном из двух файлов — и подпись перестает подтверждать документ, хотя визуально все может выглядеть нормально.

Разобраться стоит хотя бы потому, что открепленный формат встречается в договорах, отчетности и на госуслугах, а проверка подлинности требует понимания, что и с чем сверять. Ниже — чем открепленная подпись отличается от встроенной, как проверить ее и убедиться в подлинности файла, что делать, если подпись не подходит к документу, и как хранить оба файла, чтобы они не разошлись. Отдельно — куда обращаться, если есть подозрение на подмену файла или подписи.

Открепленная подпись — это подпись, хранящаяся отдельно от файла

Открепленная (detached) электронная подпись — это криптографический файл, который лежит рядом с подписанным документом, а не внутри него. Сам документ при этом остается в исходном виде: текст договора, таблица отчета или скан заявления не меняются ни на байт, а доказательство авторства и неизменности хранится в отдельном файле-контейнере. Именно поэтому такую подпись иногда называют «отсоединенной» или «отдельной».

Технически такой файл содержит два элемента: значение самой подписи, вычисленное по содержимому документа, и сведения о сертификате подписанта. При проверке программа заново пересчитывает хеш документа и сравнивает его с тем, что зашит в подписи. Совпало — документ подлинный и не правился после подписания; не совпало — файл меняли или подпись относится к другому документу. Расширения у таких файлов обычно .sig, .sgn или .p7s, и по одному расширению отличить открепленную подпись от встроенной нельзя — это определяется содержимым, а не именем.

Главное практическое следствие: открепленная подпись имеет смысл только в паре с конкретным файлом. Отдельно взятый .sig не подтверждает ничего — он подтверждает ровно тот документ, для которого был создан. Если документ пересохранили, отредактировали или подменили, подпись перестанет к нему подходить, даже если файл подписи остался прежним. Эта связка «файл + подпись» и есть предмет защиты, а не каждый элемент по отдельности.

Открепленный формат выбирают там, где важно сохранить документ в первозданном виде: подпись не встраивается в тело файла, не меняет его структуру и не мешает машинной обработке. Для бухгалтерии, судов и госорганов это удобно — исходник остался исходником, а доказательство лежит отдельно и проверяется независимо.

Чем открепленная подпись отличается от встроенной в документ

Встроенная (присоединенная) подпись физически находится внутри файла: подписанный PDF несет в себе и содержимое, и криптографический блок, а форматы вроде XML или документов офисных пакетов хранят подпись в специальном разделе контейнера. Открепленная подпись вынесена наружу. Отсюда вытекают различия, которые важны на практике.

Встроенная подпись удобнее для пересылки: один файл — и все внутри. Открепленная надежнее с точки зрения сохранности исходника, но требует дисциплины: два файла нужно держать вместе и передавать вместе. Именно на этом различии строится большинство бытовых проблем — человек отправляет контрагенту «документ», забывая, что доказательство подписи лежит в соседнем файле и осталось у отправителя.

Есть и юридический нюанс: обе разновидности равнозначны как доказательство, если проверка проходит успешно. Закон не отдает предпочтения ни одной из форм — важна действительность подписи и наличие сертификата, а не то, внутри файла она или снаружи. Поэтому выбор формата диктуется удобством документооборота, а не юридической силой.

Где встречается открепленная подпись: договоры, отчетность, госуслуги

Открепленный формат распространен там, где документ должен остаться неизменным, а подпись — проверяться отдельно. Типичные ситуации:

• Договоры и соглашения. Контрагент присылает текст договора и файл подписи отдельно, чтобы вы могли сверить редакцию до подписания и не «трогали» сам документ.
• Отчетность и документы для госорганов. Ряд систем принимает пакет «файл + подпись»: исходник обрабатывается автоматикой, а подпись проверяется отдельным модулем.
• Электронная почта и файлообмен. Вложения нередко приходят парой: документ и .sig. Это нормальная практика, но именно здесь чаще всего теряется второй файл.
• Архивы и внутренний документооборот. Компании хранят оригиналы в чистом виде, а подписи — в отдельном реестре, чтобы можно было перепроверить любой документ спустя годы.

Отдельно стоит сказать про ситуации, где открепленная подпись маскируется под «проверку» или «подтверждение личности». Мошенники пользуются тем, что большинство людей не различают форматы: присылают файл, требуют «подписать» или «подтвердить» его, а по факту вынуждают человека совершить действие, которое к подписи отношения не имеет. Настоящая открепленная подпись создается только владельцем сертификата и его ключом — ее нельзя «запросить» у постороннего или получить по ссылке.

Показательный признак обмана: просьба назвать код из SMS, чтобы «подтвердить подпись» или «завершить проверку документа». Код из SMS — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Настоящие сотрудники банка коды никогда не спрашивают, и никакая проверка подписи кода из SMS не требует. Если речь зашла о коде — положите трубку и перезвоните по официальному номеру.

Как проверить открепленную подпись и убедиться в подлинности файла

Проверка открепленной подписи — это последовательность действий, а не одно нажатие. Порядок такой:

1. Убедитесь, что у вас оба файла. Документ и файл подписи должны быть от одного отправителя и относиться к одной отправке. Если пришел только документ — запросите подпись, без нее проверять нечего.
2. Не переименовывайте и не редактируйте документ. Любое пересохранение, даже «без изменений», может изменить байты и сломать проверку.
3. Откройте средство проверки. Это может быть модуль в программе для работы с подписью, плагин для браузера или отдельная утилита. Укажите документ и файл подписи по отдельности — программа свяжет их сама.
4. Проверьте статус сертификата. Подпись действительна, если сертификат на момент подписания был действующим и не отозван. Программа покажет и подписанта, и срок действия.
5. Сверьте подписанта с ожидаемым. Подпись может быть технически корректной, но принадлежать не тому человеку или организации. Смотрите на имя владельца сертификата, а не только на зеленую отметку «действительна».

Если проверка прошла — документ не менялся после подписания, и это подтверждается криптографически. Если проверка не прошла, не спешите винить отправителя: чаще всего причина в пересохраненном файле или в том, что подпись относится к другой редакции документа.

Отдельно о безопасной проверке. Не запускайте присланные «программы для проверки подписи» и не вводите данные сертификата на сторонних сайтах по ссылке из письма. Проверяйте локально или на официальном ресурсе, адрес которого вы набрали сами. Если для «проверки» у вас просят код из SMS или пароль от личного кабинета — это не проверка подписи, а попытка получить доступ. Код из SMS — аналог вашей подписи, и называть его нельзя никому.

Что делать, если открепленная подпись не подходит к документу

Сообщение «подпись не соответствует документу» означает одно: хеш файла не совпал с тем, что зафиксирован в подписи. Причины бывают безобидные и тревожные, и различать их нужно по шагам.

1. Проверьте, тот ли это файл. Убедитесь, что подпись и документ из одной отправки. Частая история — два файла с похожими именами, один из которых старая редакция.
2. Сравните версии документа. Запросите у отправителя исходный файл в том виде, в каком он подписывался, и сверьте контрольную сумму или размер. Если файл пересохраняли в другой программе, байты могли измениться.
3. Не «лечите» подпись пересохранением. Конвертация в другой формат и обратно почти гарантированно ломает связку. Работайте с оригиналом.
4. Зафиксируйте расхождение. Сохраните оба файла, скриншот ошибки и переписку с отправителем — это пригодится, если документ окажется подмененным.
5. Запросите повторную отправку. Корректный отправитель пришлет пару файлов заново. Если вместо этого начинают торопить, просят «подтвердить по телефону» или прислать код из SMS — прекращайте общение.

Тревожный сценарий — когда документ визуально «тот же», но подпись упорно не сходится, а отправитель настаивает на срочности. Это может быть признаком подмены: мошенник меняет реквизиты в договоре или счете и рассчитывает, что получатель не станет проверять подпись. В такой ситуации не переводите деньги и не подписывайте ничего повторно, пока не свяжетесь с контрагентом по известному вам каналу связи, а не по номеру из письма.

Если подпись относится к другому документу, а вам присылают «правильный» файл без подписи — это тоже сигнал. Открепленная подпись без документа и документ без подписи одинаково бесполезны как доказательство, и подменять один элемент другим нельзя.

Как хранить файл и подпись, чтобы они не разошлись

Открепленная подпись уязвима ровно в одном месте — в моменте, когда два файла разделяются. Задача хранения — не дать им разойтись и не потерять возможность перепроверки спустя годы. Рабочая схема:

• Храните пару в одной папке. Имя файла подписи должно повторять имя документа — так связь видна без открытия. Не переименовывайте один элемент пары отдельно.
• Ведите реестр. Простая таблица с датой, отправителем, именем файла и статусом проверки избавит от «а какой из этих .sig к какому договору».
• Дублируйте в резервную копию. Копия должна включать оба файла. Восстановление из бэкапа только документа — частая причина потери доказательства.
• Не редактируйте архивные оригиналы. Если нужна правка — создавайте новую версию с новой подписью, а старую пару оставляйте нетронутой.
• Проверяйте при каждом обращении. Перед тем как отправить документ дальше, прогоните проверку заново: подпись могла перестать подходить из-за случайного пересохранения.

Отдельный риск — хранение на устройствах, к которым есть доступ у посторонних, и в облачных папках с общим доступом. Подмена файла при сохраненной подписи обнаружится только при проверке, поэтому доступ к папке с документами должен быть ограничен, а изменения — фиксироваться.

Полезно заранее позаботиться о том, чтобы на ваше имя не оформлялись лишние номера и аккаунты: чужая симка на ваше имя — инструмент мошенников, в том числе для перехвата кодов подтверждения. На одного человека можно оформить не более 20 сим-карт у всех операторов суммарно (ФЗ-303 от 08.08.2024): с 1 апреля 2025 года новые сверх лимита не оформляют, с 1 ноября 2025 года лишние блокируются. Проверить оформленные на вас номера можно на Госуслугах и отключить те, которыми вы не пользуетесь.

Куда обращаться при подмене файла или подписи

Если вы обнаружили, что документ подменен или подпись не соответствует файлу, действовать нужно быстро и по порядку — от фиксации факта к официальным обращениям.

1. Остановите операции. Не переводите деньги по спорному счету, не подписывайте повторно, не пересылайте документ дальше. Если платеж уже ушел — сразу свяжитесь с банком по номеру с обратной стороны карты.
2. Сохраните доказательства. Оба файла, скриншоты ошибки проверки, письма и сообщения, данные отправителя. Не удаляйте переписку.
3. Свяжитесь с контрагентом напрямую. По телефону или адресу, которые вы знаете независимо от подозрительного письма. Подтвердите, отправляли ли вам документ и в какой редакции.
4. Обратитесь в полицию. Заявление о мошенничестве подается в территориальный орган по месту жительства или по месту совершения деяния; приложите собранные доказательства. Зафиксируйте номер и дату принятия заявления.
5. Сообщите в банк и оператору связи, если в схеме фигурировали платежи или коды подтверждения. Запросите блокировку подозрительных операций и проверьте, не оформлены ли на вас лишние номера.
6. Уведомьте удостоверяющий центр, выдавший сертификат, если есть подозрение на компрометацию ключа. Они подскажут порядок отзыва и дальнейших действий.

Если в процессе вам звонили «из банка», «из удостоверяющего центра» или «из службы проверки подписи» и просили код из SMS — это мошенники. Код из SMS — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Настоящие сотрудники банка коды никогда не спрашивают. Положите трубку и перезвоните по официальному номеру.

Не пытайтесь «договориться» с отправителем подозрительного документа и не платите за «разблокировку» или «перепроверку подписи». Легальные процедуры проверки бесплатны и не требуют переводов. Чем раньше зафиксирован факт подмены и подано заявление, тем выше шансы восстановить документы и остановить дальнейшие попытки.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.