Защита электронной подписи работника от подделки в 2026

Защита электронной подписи работника от подделки держится на криптографии, а не на бдительности кадровика. Подделать усиленную подпись копированием картинки или сканом нельзя — за каждой такой подписью стоит закрытый ключ, метка времени и цифровой след, по которому видно любое изменение документа. Ниже разберём, чем ПЭП отличается от УНЭП и УКЭП по устойчивости к подделке, как работает проверка целостности документа, что делать работнику при компрометации ключа и почему УНЭП Госключа считают самым защищённым бесплатным вариантом для кадровых документов. Отдельно — про сроки действия сертификата, метки доверенного времени и типичные промахи, из-за которых чужую подпись действительно удаётся использовать.

Автор статьи — Юлия К, специалист по кадровому делопроизводству, трудовому праву и электронному документообороту с опытом более 10 лет. Имеет высшее юридическое образование (трудовое право), более 10 лет в кадровом консалтинге, практический опыт внедрения КЭДО и ЭЦП. Автор публикаций в профильных изданиях по HR.

Что защищает электронную подпись работника от подделки

Устойчивость подписи к подделке обеспечивают три вещи: закрытый ключ, который есть только у владельца, криптографическая привязка подписи к содержимому документа и проверяемость по открытому ключу. Простыми словами: подпись — это результат криптографического преобразования, а не картинка. Если кто-то поменяет в подписанном файле хотя бы один символ, проверка подписи сразу покажет нарушение целостности. Именно поэтому переписать сумму в допнике или дату в заявлении на увольнение задним числом после подписания не выйдет — «зелёная галочка» при проверке станет красной.

63-ФЗ, который профи между собой зовут «тройкой», делит подписи на три вида: ПЭП, УНЭП и УКЭП. Разница между ними — как раз в уровне защиты от подделки. ПЭП подтверждает факт формирования подписи конкретным лицом через логин, пароль или одноразовый код — «одноразку». Она не связана криптографически с содержимым документа, поэтому целостность после подписания ПЭП не гарантирует. Усиленные подписи, УНЭП и УКЭП, строятся на криптографии: закрытый ключ, открытый ключ — в народе «закрытка» и «открытка» — и сертификат, который связывает ключ проверки с конкретным человеком.

В практике Азбуха мы почти в каждом проекте внедрения сталкиваемся с путаницей: работодатель хочет подписывать трудовые договоры простой подписью, потому что так дешевле. По ст. 22.3 ТК РФ так нельзя. Трудовой договор, договор о материальной ответственности, ученический договор, согласие на перевод, заявление об увольнении — только усиленная подпись. ПЭП тут не проходит ни юридически, ни по защите.

Юлия К, специалист по ЭЦП и электронному документообороту:
«Главный миф, который приходится развеивать: мол, подпись — это тот синенький квадратик на PDF. Нет. Штампик на печатной версии — это визуализация, для человека. А защищает документ «сиг-файл», открепленная подпись, которую видит только машина. Подделать плашечку в фотошопе несложно, а вот подделать .sig — это уже другая история, тут криптография ГОСТ.»

Виды электронной подписи и их устойчивость к подделке

По устойчивости к подделке подписи выстраиваются в лестницу. Внизу — ПЭП, вверху — УКЭП. Между ними — УНЭП, у которой есть два подвида, и разница между ними критична для кадровика.

ПЭП (простая электронная подпись). Логин-пароль, код из СМС-эски или пуша. Подтверждает, что действие совершил конкретный аккаунт, но не защищает содержимое документа от изменения. Для внутренних уведомлений и ознакомлений — допустимо. Для документов из ст. 22.3 ТК РФ — нет.

УНЭП по соглашению сторон. Усиленная неквалифицированная подпись, порядок проверки которой стороны прописывают в соглашении. Криптографически защищает целостность документа. Но выпускается она часто у коммерческого оператора, и тут возникает больная тема — хранение ключа и его продление. При увольнении со скандалом или утере токена подпись приходится срочно отзывать.

УНЭП ИЭП (Госключа). Отдельный подвид — усиленная неквалифицированная подпись, выданная через инфраструктуру электронного правительства. Создаётся только через приложение Госключ, использует сертифицированные ФСБ России средства электронной подписи, обеспечивает гарантированную целостность и неизменность подписанного документа. По защищённости это уже совсем другой уровень, чем коммерческая УНЭП. По ст. 22.3 ТК РФ соглашение об использовании такой подписи с работником заключать не нужно — это ощутимо упрощает оформление.

УКЭП (усиленная квалифицированная). Наивысший уровень защиты, приравнивается к собственноручной подписи. Средства защиты сертифицированы ФСБ, закрытый ключ хранится на защищённом носителе — токене (Рутокен, JaCarta), а не на обычной «флешке». Сертификат выдаёт аккредитованный удостоверяющий центр или ФНС.

За время работы сервиса Азбуха мы помогли сотням компаний с кадровыми процессами, и почти всегда выбор вида подписи упирается не в защиту, а в удобство для сотрудника. Тут нюанс в том, что самый защищённый вариант — УНЭП Госключа — оказывается ещё и самым простым для работника: нужен только смартфон.

Юлия К, специалист по внедрению КЭДО:
«Когда спорят, какая подпись лучше защищена, я всегда напоминаю: коммерческая УНЭП вызывает много тревог и возражений, и не зря. Низкие стандарты защиты информации у некоторых операторов — это реальный риск компрометации подписей для сотрудников. УНЭП Госключа этот вопрос закрывает на уровне государственной инфраструктуры. За неё отвечает Минцифры, а не непонятный УЦ.»

Сравнение видов подписи удобно держать перед глазами при выборе — применимость и юридическая сила у них разные.

Как устроена криптографическая защита документа

Механика простая на словах и сложная внутри. Работник подписывает документ — в этот момент его закрытый ключ формирует подпись, привязанную к точному содержимому файла. Проверяющая сторона берёт открытый ключ из сертификата и проверяет: соответствует ли подпись документу и не менялся ли документ после подписания. Если хоть байт изменён — проверка проваливается. Применение усиленной электронной подписи обеспечивает сохранение цифрового следа и невозможность корректировки документа. Это и есть защита от подделки в чистом виде.

При передаче документы идут по зашифрованному каналу — это исключает перехват или фальсификацию данных на пути от работодателя к работнику и обратно. То есть подделать нельзя ни сам подписанный файл, ни подпись, ни данные в канале связи.

Отдельная история — метки доверенного времени, «штампики» времени. Госключ возвращает подпись в формате CAdES-T с меткой доверенного времени. Это позволяет проверить подпись даже после того, как срок действия сертификата истёк. Для кадровых документов это критично: трудовой договор хранится годами, а сертификат живёт 12 месяцев. Без метки времени через пару лет вы бы не смогли доказать, что в момент подписания сертификат был действителен. Информационная система работодателя может расширить формат до CAdES-A — это уже «ухаживание за подписью», продление её проверяемости для архивного хранения.

Мы в Азбуха при внедрении сразу закладываем в архив хранение открепленных подписей вместе с документами. Это не прихоть: по ч. 8 ст. 22.1 ТК РФ обязанность архивного хранения кадровых документов лежит на работодателе. Если подпись хранится отдельно и с метками времени, то через пять лет при трудовом споре вы спокойно докажете подлинность.

Юлия К, специалист по кадровому делопроизводству:
«Частый затык у клиентов: подписали в Госключе, документ ушёл, а .sig нигде не сохранили. Госключ — это инструмент подписания, а не архив. Открепленную подпись обязательно надо залить в свою систему. Не сохранил «сиг-файл» — считай, доказательной базы нет, и вся защита от подделки летит к чертям при первом же споре.»

Компрометация ключа работника: что это и что делать

Компрометация — это когда закрытый ключ мог стать доступен постороннему. Классические случаи: утеря или кража токена, увольнение сотрудника, у которого был доступ к ключевому носителю, несанкционированное копирование ключа, подозрение на утечку. Даже если вы просто не можете достоверно сказать, что случилось с токеном — это уже основание считать ключ скомпрометированным.

Опасность в том, что ответственность за подпись несёт её владелец. Судебная практика показывает: доказать непричастность при компрометации ключа крайне сложно. Если чужой подписью подписали документ, а вы вовремя не отозвали сертификат, разбираться придётся именно вам. Поэтому 63-ФЗ прямо обязывает владельца ключа: обеспечивать конфиденциальность, не использовать ключ при подозрении на компрометацию и уведомить удостоверяющий центр о нарушении конфиденциальности не позднее одного рабочего дня со дня, когда стало известно о проблеме.

Как отозвать скомпрометированную электронную подпись: пошаговая инструкция

Сертификаты УНЭП и УКЭП в Госключе действуют 12 месяцев. Напоминания об окончании срока приходят заранее: за 30 календарных дней пушем (если включены уведомления), за 14 дней — на Госуслуги, за 7 дней — в само приложение Госключ. Контролировать сроки вручную работодателю не нужно — в момент подписания система сама покажет, что сертификат истёк и его надо перевыпустить.

Образцы документов для выпуска и защиты электронной подписи

Ошибки, из-за которых подпись работника подделывают

Подделка усиленной подписи «в лоб» технически невозможна. Но её можно использовать чужим, и почти всегда виноваты организационные промахи, а не слабая криптография.

Ошибка 1. Запись ключа на обычную «флешку». Так делают ради экономии — защищённый токен стоит «денюжек». Цена ошибки: ключ с обычного носителя копируется без следов, и подписать им может кто угодно. Для УКЭП запись ключей на неспециализированный носитель прямо запрещена, нужен токен, сертифицированный ФСТЭК или ФСБ — Рутокен, JaCarta.

Ошибка 2. Не отозвали подпись при увольнении. Сотрудник ушёл, а его ключ на корпоративной подписи остался живым. Так делают по невнимательности — кадровая просто забывает про ЭП в общей запарке увольнения. Цена ошибки: уволенный или получивший доступ к его токену человек подписывает документы от имени компании, а разбираться с последствиями будет работодатель. Именно поэтому УНЭП Госключа удобнее — при смене кадров компания не несёт расходов на ЭП и не держит «живые» чужие ключи.

Ошибка 3. Хранят закрытый ключ и пароль вместе. Пароль на стикере под клавиатурой рядом с токеном — классика. Мотив простой: чтобы не забыть. Цена ошибки: компрометация ключа со всеми вытекающими, вплоть до подписания документов задним числом.

Ошибка 4. Не сохранили открепленную подпись. Подписали, а .sig нигде не лежит. Цена ошибки: при споре нечем подтвердить подлинность и целостность документа — фактически защита от подделки обнуляется, хотя технически всё было сделано правильно.

Юлия К, эксперт по трудовому праву:
«Больше всего разбирательств рождается не из-за взлома криптографии — её никто не ломает. Рождаются они из-за того, что подпись уволенного «айтишника» месяцами висит активной, потому что кадровая про неё забыла. Отзыв подписи при увольнении надо вшить в чек-лист расчёта, иначе рано или поздно прилетит.»

Госключ как способ снизить риск подделки

УНЭП ИЭП, которую выпускают через Госключ, закрывает сразу несколько рисков подделки. Ключ создаётся и хранится в защищённой инфраструктуре, использует сертифицированные ФСБ России средства электронной подписи и обеспечивает гарантированную целостность и неизменность документа. Подписание идёт «на борту» — внутри приложения на смартфоне работника, отдельный токен не нужен, а значит его нельзя потерять или скопировать. Это снимает целый пласт «грабель» с физическими носителями.

Подпись через Госключ выпускается дистанционно за пару минут, авторизация — через Госуслуги. С февраля 2026 года в приложении есть вход по отпечатку пальца или изображению лица (TouchID/FaceID) — это дополнительный барьер против использования подписи посторонним, даже если он получил доступ к телефону. Для кадровых документов работник по ст. 22.3 ТК РФ может применять УНЭП ЕСИА без отдельного соглашения об использовании подписи.

При внедрении в Азбуха мы обычно идём от простого к сложному: сначала пилотная группа, потом раскатывание на всю компанию. Это экономит клиенту время на устранении ошибок и защищает от ситуации, когда половина штата не разобралась с приложением и начала слать документы по-старому, на бумаге. Отдельно закладываем базу знаний о Госключе — публикации, короткие ролики процесса подписания. Люди перестают бояться, и «самоходов» с бумажными заявлениями становится меньше.

Юлия К, HR-эксперт с 10-летним стажем:
«Работник приходит и говорит: у меня кнопочный телефон, как я подпишу. Отвечаю честно: пока никак, но до конца 2026 года Минцифры обещает версию Госключа для Windows и Linux. А для основной массы сотрудников «гусключ» на смартфоне — это самый защищённый и при этом бесплатный вариант. Плюс работодатель не платит за выпуск и продление подписей.»

Стоимость подключения защищённого КЭДО в компании

Стоимость зависит от численности штата, выбранного тарифа и того, нужны ли вам УКЭП, двухфакторная аутентификация и доказательная база для разбора конфликтов. Сама подпись Госключа для работника бесплатна — платите вы за систему КЭДО, которая корректно хранит открепленные подписи, метки времени и архив. Ниже — тарифы на модуль Азбуха.КЭДО.

Минимальная сумма договора по тарифу «Лайт» на 70 сотрудников — 34 300 руб. в год. Для защиты от подделки принципиально важен тариф с доказательной базой и двухфакторной аутентификацией, поэтому крупным компаниям стоит смотреть на «Корпоративный». Точную цифру под вашу численность и набор модулей удобно прикинуть по актуальным тарифам сервиса Азбуха, там же есть онлайн-калькулятор.

Заключение

Защита электронной подписи работника от подделки — это связка криптографии и дисциплины. Криптография закрывает подделку самого документа: усиленная подпись фиксирует целостность, метки доверенного времени продлевают проверяемость на годы вперёд, а зашифрованный канал исключает подмену данных. Дисциплина закрывает всё остальное: вовремя отозвать скомпрометированный ключ, не хранить пароль рядом с токеном, снимать подпись при увольнении, сохранять открепленные .sig в архив. УНЭП Госключа снимает часть этих рисков технически — ключ живёт в защищённой инфраструктуре, а не на носителе, который легко потерять.

Проверить, какой вид подписи нужен конкретно вашим документам и как выстроить хранение доказательной базы, всегда полезно на этапе внедрения — справочную информацию по видам подписи и сертификатам должностного лица можно посмотреть на портале Госуслуги в разделе о Госключе.

Часто задаваемые вопросы