Сертификат подписи в КЭДО лежит в том сервисе, который эту подпись выпустил: в приложении Госключ, в личном кабинете портала госуслуг, в удостоверяющем центре или на USB-токене. Кадровая система показывает результат проверки, а сам сертификат хранится за её пределами, и потому вопрос «где он» стабильно всплывает при первом же истекшем сроке. Разберём, где работник и кадровик видят карточку сертификата, как прочитать её состав, за сколько перевыпускается УНЭП после истечения и что происходит с документами, подписанными старым ключом.
Что такое сертификат электронной подписи и когда он вообще есть
Сертификат ключа проверки электронной подписи связывает криптографический ключ с конкретным человеком: в нём ФИО, СНИЛС и ИНН физического лица. Ч. 5 ст. 5 63-ФЗ допускает, что при неквалифицированной подписи сертификат может не создаваться вовсе, если признаки подписи обеспечиваются без него. В кадровом контуре он почти всегда есть, потому что без него нечем показать, что заявление подписал именно тот работник, чья фамилия стоит в шапке.
У простой электронной подписи сертификата нет в принципе. Логин, пароль и одноразка из СМС остаются реквизитами доступа, криптографического ключа за ними не стоит. Поэтому у вопроса «где посмотреть сертификат ПЭП» ответа не существует: смотреть надо журнал информационной системы, где зафиксированы логин, табельный номер, дата, время и IP-адрес операции. Формулировка «квалифицированный сертификат ПЭП», которая иногда заезжает в ЛНА, нормативного смысла не имеет.
Выпуск квалифицированного сертификата для кадровика, руководителя или ответственного за интеграцию начинается с бумажного основания: работник подписывает заявление на выпуск КЭП, кадровая служба прикладывает его к комплекту для удостоверяющего центра и держит в личном деле вместе с согласием на обработку персональных данных. Заявление пригодится и через год, когда серт нужно будет менять по плановому сроку.
Когда работник подписывает документы простой или неквалифицированной подписью информационной системы, до первого электронного документа с ним подписывают соглашение о применении ПЭП и НЭП. Ч. 2 ст. 9 63-ФЗ требует раскрыть в нём два условия: правила определения подписанта и обязанность хранить ключ в тайне. Под УНЭП Госключа соглашение не нужно, там равнозначность возникает нормативно, из постановления Правительства РФ от 01.12.2021 № 2152.
Где найти сертификат подписи работнику и кадровику
Мест ровно четыре, и они не заменяют друг друга. Работник видит свой сертификат там, где он выпущен. Кадровик видит отчёт о проверке подписи, приложенной к конкретному документу. Это разные окна, и половина обращений в поддержку идёт именно от смешения этих двух вещей.
Приложение Госключ и портал госуслуг
УНЭП и УКЭП, выпущенные в Госключе, живут внутри мобильного приложения: физического носителя у них нет, ключ хранится в защищённой области смартфона. Карточка сертификата со сроком действия открывается в самом приложении, а подписанный документ вместе с открепленным файлом подписи .sig попадает в ленту уведомлений портала госуслуг. Там же лежит справочная инструкция госуслуг о том, где посмотреть сертификат электронной подписи и какие сведения он содержит. С августа 2025 года Госключ работает внутри приложения Госуслуги, отдельную установку можно не делать, а с февраля 2026 года вход открывается по отпечатку пальца или изображению лица.
💡 Лайфхак: подписанный документ и файл .sig доступны работнику в ленте уведомлений портала госуслуг и в самом приложении, но хранить тот же комплект обязан работодатель в своей информационной системе. Госключ архивом не работает: платформу архивного хранения на ЕПГУ заявили только к 2027 году.
Личный кабинет системы КЭДО и 1С:Кабинет сотрудника
В личном кабинете системы КЭДО работник видит список своих документов и статусы подписания, а раздел с подписями показывает, какой вид ЭП ему назначен работодателем и активен ли он сейчас. Сертификат УНЭП Госключа в этом окне не отображается целиком: система хранит результат проверки и сам файл подписи. В сервисе 1С:Кабинет сотрудника работодатель подписывает УКЭП в кадровом приложении, работник выбирает из того, что ему настроили: УНЭП Госключа, Госключ либо ПЭП. УКЭП Госключа в этой схеме доступна только в процессе дистанционного приёма.
Токен с УКЭП и хранилище сертификатов на компьютере
Коммерческая УКЭП от аккредитованного УЦ обычно живёт на юсби-токене, рутокене или JaCarta, и её сертификат виден в персональном менеджере сертификатов на рабочей машине либо через криптопровайдер. Здесь же лежит корневой сертификат удостоверяющего центра, без которого цепочка проверки не собирается и подпись показывается недействительной, хотя формально с ней всё в порядке. Обезличенный сертификат организации для интеграции с Госключом по API хранится отдельно, на стороне ИТ-службы, и доступа работников к нему нет.
Образцы документов для выпуска, замены и отзыва сертификата
Эти файлы закрывают три ситуации: сертификат нужно выпустить, получить за работника по доверенности или досрочно аннулировать. Формы рабочие, под конкретный удостоверяющий центр правится шапка и перечень приложений.
| Документ | Скачать |
|---|---|
| Заявление на аннулирование сертификата | Скачать |
| Доверенность на получение сертификата | Скачать |
| Согласие на обработку персональных данных для сертификата | Скачать |
| Приказ об утверждении Положения о КЭДО | Скачать |
Заявление на аннулирование держите заполненным наполовину и заранее: в момент утраты токена счёт идёт на часы. В проектах Азбуха мы заводим в положении о КЭДО отдельный пункт с тем, кто подписывает такое заявление в отсутствие руководителя, и этот пункт снимает половину заминок при инциденте.
Как посмотреть состав сертификата и срок его действия
Состав сертификата читается в отчёте о проверке подписи. Портал уполномоченного федерального органа даёт три отдельных проверки: квалифицированной подписи, неквалифицированной подписи и сертификата отдельным файлом. Для УНЭП Госключа подходит проверка неквалифицированной электронной подписи: загружаете исходный файл и файл .sig, получаете отчёт со всеми полями. Проверять надо документ без визуального штампа, потому что штамп рисует система КЭДО поверх, и файл со штампиком целостность уже не пройдёт.
| Поле карточки сертификата | Что в нём записано | На что смотреть |
|---|---|---|
| Издатель сертификата | «Госуслуги. Неквалифицированная электронная подпись» либо аккредитованный УЦ, УЦ ФНС, доверенное лицо УЦ ФНС | По издателю отличают УНЭП Госключа от УКЭП, не открывая ЛНА |
| Владелец сертификата | ФИО, СНИЛС, ИНН физического лица | Совпадение со сведениями в кадровой системе и в трудовом договоре |
| Серийный номер и отпечаток | Числовые идентификаторы конкретного сертификата | По ним сертификат ищут в реестре УЦ при отзыве и в споре |
| Действителен с и по | Срок действия сертификата | Дата подписания документа должна попадать внутрь интервала |
| Срок действия ключа подписи | Отдельная строка, может заканчиваться раньше сертификата | После этой даты новые подписи ключом не формируются |
| Штамп доверенного времени | Издатель штампа, его серийный номер и срок действия | Без штампа момент подписания подтвердить нечем |
Из шести полей в кадровом споре реально работают два: владелец и штамп времени. Первое отвечает на вопрос «кто», второе на вопрос «когда», и оба вопроса задаёт инспектор ГИТ, когда просит доступ к системе.
Юлия К, специалист по ЭЦП и электронному документообороту:
«Первое, что я прошу открыть на аудите, это даже не реестр документов, а любой sig-файл через проверку. По издателю сертификата за две секунды видно, чем на самом деле подписывали: УНЭП своей информационной системы или гусключ. В половине компаний в положении о КЭДО написано одно, а в сертификате стоит другое, и вот это расхождение потом и разбирают.»
Сколько действует сертификат электронной подписи по видам
Сроки заданы тем, кто сертификат выпустил, и в кадровом контуре разбегаются от «бессрочно» до одного года. Перед сборкой графика перевыпуска сверьте свою матрицу подписей с этой таблицей: у крупных компаний одновременно работают три или четыре строки из шести.
| Вид подписи | Сертификат | Срок действия | Где перевыпускается |
|---|---|---|---|
| ПЭП: логин, пароль, одноразка | Нет | Не ограничен, работает пока активна учётная запись | Новые реквизиты доступа выдаёт администратор системы |
| УНЭП информационной системы | Есть | Указан в самом сертификате, задаётся выпустившим УЦ | В той же системе или в коммерческом УЦ |
| УНЭП Госключа, она же УНЭП ЕСИА | Есть | 12 месяцев | Работник сам в приложении, занимает несколько минут |
| УКЭП Госключа | Есть | 12 месяцев | Приложение Госключ после идентификации по загранпаспорту, биометрии, в МФЦ или банке |
| УКЭП аккредитованного УЦ на токене | Есть | 12-15 месяцев, точная дата в сертификате | Обращение в УЦ, запись нового ключа на носитель |
| Обезличенный сертификат организации для интеграции по API | Есть | 1 год | Личный визит генерального директора в ФНС |
Верхние три строки закрывают массовый штат, нижняя закрывает инфраструктуру. Просрочка в нижней строке останавливает подписание по всей компании разом, просрочка в верхних тормозит одного человека.
📌 Факт: сертификаты УНЭП и УКЭП в Госключе действуют 12 месяцев. Напоминания об окончании приходят за 30 календарных дней пуш-уведомлением, за 14 дней на портале госуслуг и за 7 дней в самом приложении.
Постоянно вести реестр сроков работодателю не требуется. При отправке документа на подписание Госключ сам вернёт статус о том, что сертификат истёк и его нужно выпустить заново, а система КЭДО покажет это кадровику в карточке. Мы в Азбуха всё равно ставим напоминание за 30 дней по группе подписантов со стороны работодателя: у кадровика и гендиректора просрочка стоит дороже, чем у рядового сотрудника, потому что на них завязаны маршруты согласования.
Как продлить и перевыпустить сертификат подписи
Термин «продление» в 63-ФЗ отсутствует. Технически всегда выпускается новый сертификат с новым серийным номером, старый просто доживает свой срок. Порядок отличается по видам подписи, и работнику важно понимать: за УНЭП Госключа он отвечает сам, за коммерческую УКЭП платит и организует процесс работодатель.
Как перевыпустить сертификат УНЭП в Госключе: пошаговая инструкция
- Шаг 1. Откройте приложение Госключ или блок Госключа внутри приложения Госуслуги и авторизуйтесь по паролю, отпечатку пальца или изображению лица.
- Шаг 2. Проверьте карточку действующего сертификата: издателя, срок действия и дату окончания. Если срок закончился, приложение покажет это в статусе.
- Шаг 3. Пройдите аутентификацию в ЕСИА и подтвердите передачу персональных данных в Госключ.
- Шаг 4. Примите условия лицензионного соглашения и подтвердите пароль доступа к ключу.
- Шаг 5. Выпустите новый сертификат УНЭП. Операция занимает несколько минут, обращаться к кадровику или в удостоверяющий центр не нужно.
- Шаг 6. Вернитесь в личный кабинет КЭДО и подпишите документ, который висел неподписанным. Если срок в 24 часа на подписание истёк, кадровая служба направит документ повторно.
Коммерческая УКЭП на токене меняется иначе. Плановая смена квалифицированного сертификата в УЦ ФНС описана на сайте ведомства в разделе про плановую смену квалифицированного сертификата электронной подписи, и там же указано, когда смена доступна дистанционно через личный кабинет, а когда придётся ехать лично. У коммерческих аккредитованных УЦ порядок свой: заявление, иногда личная явка или доверенность, запись нового ключа на носитель. На это закладывают от нескольких дней, а не часов.
ℹ️ Полезно знать: обезличенный сертификат для самостоятельной интеграции с Госключом по API выпускает лично генеральный директор и только на 1 год, с ежегодным личным визитом в ФНС. Несколько юрлиц одной группы, работающих в общей информационной системе, вправе использовать один API-ключ и один такой сертификат.
Юлия К, специалист по внедрению КЭДО:
«Про обезличенный серт вспоминают за неделю до окончания, когда гендир уже в отпуске. Мы этот срок ставим в календарь ИТ-службы и кадровой одновременно, потому что подписание встанет у всех, а разбираться придёт кадровик. Тут даже не про грабли внедрения речь, а про обычную дисциплину: один визит в ФНС раз в год закрывает вопрос.»
Что делать, если сертификат истёк или ключ скомпрометирован
Истечение срока и компрометация ключа разводятся по последствиям. Истёк срок: работник выпускает новый сертификат, документы, подписанные раньше, силу сохраняют. Скомпрометирован ключ: сертификат отзывается, и здесь включаются сроки из 63-ФЗ.
Ст. 10 63-ФЗ обязывает уведомить удостоверяющий центр о нарушении конфиденциальности ключа в срок не более одного рабочего дня и не использовать ключ при обоснованном подозрении. По ст. 14 запись о прекращении действия сертификата вносится в реестр УЦ в течение одного рабочего дня со дня наступления обстоятельств, и действие прекращается с момента внесения записи, а не с момента подачи заявления. До этой отметки подпись формально проходит проверку, поэтому первым действием идёт блокировка учётной записи в КЭДО и смежных сервисах, включая 1С:ЗУП и корпоративную почту.
Порядок отзыва отличается по видам: УНЭП Госключа работник отзывает через личный кабинет портала госуслуг и тут же выпускает новую, УКЭП на токене отзывается заявлением в выдавший УЦ с физическим выводом носителя из оборота, УКЭП руководителя от УЦ ФНС чаще всего требует личного обращения. Отзыв не действует задним числом: документы, подписанные в период действия сертификата, юридическую силу сохраняют. Госключ возвращает подпись в формате CAdES-T со штампом доверенного времени, что позволяет проверять её и после прекращения действия сертификата, а информационная система работодателя расширяет формат до архивного CAdES-A.
На проектах Азбуха мы отдельно фиксируем момент обнаружения инцидента служебной запиской с точным временем: эта отметка задаёт границу спорного периода, а документы внутри него выгружаются вместе с sig-файлами и штампами времени. Без такой границы разбор превращается в спор о том, кто когда что заметил.
Юлия К, эксперт по трудовому праву:
«Работники приходят с одним и тем же вопросом: подпись отозвали, значит, заявление на отпуск, подписанное в марте, теперь недействительное? Нет. Сертификат действовал на момент подписания, штампик времени это фиксирует, документ живой. Отзыв закрывает будущее, прошлое он не трогает.»
Ошибки кадровой службы при работе с сертификатами и цена ошибки
Четыре ошибки повторяются чаще остальных, и каждая имеет счётное выражение в деньгах или во времени.
- Расходы на выпуск и перевыпуск подписи перекладывают на работника. Так делают ради экономии на массовом штате: 500 руб. в год на человека при УНЭП информационной системы и от 2 до 5 тыс. руб. при коммерческой УКЭП выглядят заметной строкой бюджета. Ч. 12 ст. 22.2 ТК РФ относит эти расходы на работодателя, а перечень удержаний из зарплаты в ст. 137 ТК РФ закрытый. Цена ошибки: штраф по ст. 5.27 КоАП РФ для организации от 30 000 до 50 000 руб. плюс возврат удержанных сумм.
- Вид подписи в положении о КЭДО расходится с тем, что записано в сертификате. Мотив обычно технический: подписи настраивали ИТ, а ЛНА писала кадровая служба, и сверку никто не проводил. Цена ошибки: документы из закрытого перечня ст. 22.3 ТК РФ, подписанные неподходящей подписью, оспариваются работником, а восстановление комплекта по уволенному сотруднику занимает недели.
- Проверяют документ со штампом подписи вместо исходного файла. Печатная форма с плашкой выглядит убедительнее, её и отдают инспектору. Целостность проходит исходный файл, а обогащённый штампом документ проверку не проходит и создаёт видимость проблемы там, где её нет.
- Учётная запись уволенного администратора КЭДО остаётся живой. Причина простая: блокировку делают по ИТ-заявке, а заявку никто не создал в день увольнения. Через эту учётку сохраняется доступ к интеграционному ключу, и любое подписание из-под неё придётся разбирать отдельно.
⚠️ Внимание: расходы на получение и использование работником электронной подписи несёт работодатель по ч. 12 ст. 22.2 ТК РФ, и перевыпуск после компрометации входит сюда же. Удержать стоимость из зарплаты нельзя: перечень удержаний в ст. 137 ТК РФ закрытый.
Юлия К, консультант по кадровым процессам:
«Частый затык у эйчаров сидит даже не в законе, а в матрице подписей. Заводим таблицу: документ, кто подписывает, каким видом ЭП, где выпущен сертификат, какой срок. Четыре столбца, полдня работы. После этого перестают спрашивать, чем подписывать допник, и перестают путать серт работодателя с сертом работника.»
Стоимость перехода на КЭДО с электронной подписью: тарифы
Стоимость складывается из численности штата, выбранного тарифа и набора модулей. УНЭП Госключа для работника бесплатна и для работодателя тоже: платить приходится за саму систему КЭДО, где документы создаются, маршрутизируются и хранятся.
| Тариф или услуга | Стоимость | Условия |
|---|---|---|
| Лайт: базовый КЭДО, подписание через УНЭП, веб- и мобильная версия | 490 руб. за сотрудника в год | Компании до 70 человек |
| Стандарт: конструктор шаблонов, маршруты согласования, интеграция с 1С:ЗУП, модуль ЛНА | 390 руб. за сотрудника в год | Компании от 70 до 500 человек |
| Корпоративный: on-premise, УКЭП, двухфакторная аутентификация, доказательная база для разбора конфликтов | от 290 руб. за сотрудника в год | Компании от 500 человек |
| Азбука.КЭДО отдельным модулем | от 290 руб. за сотрудника в год | Пробный период 30 дней |
| Азбука.HCM Старт: подбор, КЭДО, адаптация | от 8 900 руб. в месяц | От 50 сотрудников |
| Азбука.HCM Бизнес: подбор, КЭДО, адаптация, обучение, пульс-опросы | от 24 900 руб. в месяц | От 100 сотрудников |
Итоговая сумма зависит от численности персонала, набора подключаемых модулей и того, нужна ли компании УКЭП с двухфакторной аутентификацией или хватает УНЭП Госключа. Сориентироваться по позициям помогут актуальные тарифы сервиса Азбуха с разбивкой по модулям и пробным периодам.
Выводы
Сертификат подписи хранится там, где его выпустили: в Госключе, в удостоверяющем центре или на токене, а система КЭДО показывает результат проверки. Читать сертификат достаточно по двум полям: владелец отвечает на вопрос «кто», штамп доверенного времени на вопрос «когда». Сертификаты Госключа живут 12 месяцев и перевыпускаются работником самостоятельно за несколько минут, коммерческая УКЭП требует обращения в УЦ, а обезличенный сертификат организации меняет лично гендиректор раз в год. Документы, подписанные до истечения или отзыва, силу не теряют.
Сервис Азбуха настраивает КЭДО так, чтобы матрица подписей, сроки сертификатов и порядок реакции на инцидент были описаны до запуска, а не восстанавливались задним числом при первой проверке.
Часто задаваемые вопросы
Действует ли один сертификат Госключа сразу у нескольких работодателей?
Да. Сертификат УНЭП или УКЭП в Госключе выпускается на физическое лицо и к конкретному работодателю не привязан. Работник с двумя работодателями подписывает документы обоих одним сертификатом, документы приходят от разных информационных систем и группируются в приложении по системе-отправителю. Ограничение другое: в одном пакете на подпись уходит до 50 файлов, а на подписание отводится 24 часа, после чего информационная система получает статус и отправляет документ повторно.
Какой сертификат доступен иностранному работнику?
Иностранный гражданин получает УНЭП в инфраструктуре электронного правительства, если у него подтверждённая учётная запись на портале госуслуг и в личном кабинете указаны данные СНИЛС. УКЭП в Госключе доступна только гражданам РФ. Для документов из закрытого перечня ст. 22.3 ТК РФ иностранцу подойдёт УНЭП ЕСИА либо УКЭП аккредитованного УЦ, которую он получает на общих основаниях с российским работником.
Как подписывать документы, если у сотрудника кнопочный телефон без Госключа?
В регионах доля работников с кнопочными телефонами доходит до 10-15 %. До конца 2026 года заявлена версия Госключа для персональных компьютеров под Windows 10, Astra Linux Special Edition 1.7 и 1.8 и Debian 12 с подписанием в среде создания документа. До её появления рабочий вариант один: абз. 4 ч. 3 ст. 22.2 ТК РФ позволяет работодателю утвердить исключительные случаи, при которых документы оформляются на бумажном носителе, и такой перечень закрепляют в положении о КЭДО.
Можно ли перевыпустить обезличенный сертификат организации без визита в ФНС?
Пока нет, получение и перевыпуск обезличенного сертификата ключа проверки требуют личного посещения ФНС России. Основание порядка: ч. 3 ст. 14 и пп. 5 ч. 1 ст. 17.2 63-ФЗ. Ключ электронной подписи при этом разрешено сформировать самостоятельно сертифицированным средством криптографической защиты, вроде КриптоПро CSP или ViPNet CSP, и обратиться в ФНС с готовым запросом на сертификат в формате pkcs#10.
Что происходит с сертификатами и подписями при переходе к другому оператору КЭДО?
Сертификаты работников при смене оператора не меняются: УНЭП Госключа выпущена в инфраструктуре электронного правительства и от системы КЭДО не зависит, УКЭП на токене тоже остаётся у владельца. Переносить нужно документы вместе с открепленными файлами подписи и штампами времени, иначе проверить подпись на новой площадке будет нечем. Формат CAdES-T позволяет проверять подпись после истечения срока действия сертификата, поэтому выгрузка архива без sig-файлов обесценивает всю доказательную базу.
Почему в карточке сертификата два срока: срок действия сертификата и срок действия ключа подписи?
Это два разных параметра. Срок действия сертификата определяет период, в течение которого подпись признаётся проверяемой по нему, а срок действия ключа подписи ограничивает период, когда этим ключом формируются новые подписи. Ключ может закончиться раньше сертификата: тогда подписать документ уже нельзя, а проверить ранее подписанные документы всё ещё можно. При выпуске нового сертификата обе даты обновляются, серийный номер и отпечаток становятся другими.
