Как проверять сертификат электронной подписи
Проверка электронной подписи — это не просмотр картинки с отметкой «подписано». Нужно проверить сам электронный файл и сертификат: кому он выдан, кем, на какой срок, не прекращено ли его действие, есть ли ограничения и соответствует ли подпись требуемому виду. Для значимой сделки сохраните не только итог проверки, но и исходный подписанный файл, сертификат и сведения о времени проверки.
Что именно нужно получить для проверки
Запросите электронный документ в исходном формате вместе с присоединённой или отсоединённой подписью, если она используется отдельно. Нужен и сертификат ключа проверки подписи либо возможность извлечь его из контейнера подписи. Скриншот, распечатка или PDF с нарисованным штампом не позволяют полноценно проверить криптографическую связь с исходным документом. Уточните, кто должен подписывать документ по договору или закону и на каком основании это лицо действует. Если подпись принадлежит представителю организации, отдельно проверяются полномочия представителя; сам сертификат подтверждает принадлежность ключа, но не заменяет корпоративное решение, доверенность или иной источник полномочий.
Какие поля сертификата сопоставить с участником
Проверьте имя владельца и доступные идентификаторы, сведения об издателе сертификата, серийный номер, период действия и назначение ключа. Для подписи юридического лица или индивидуального предпринимателя сопоставляйте сведения сертификата с актуальными регистрационными данными и документом, который подписывается. Несовпадение имени, организации или роли нельзя объяснять предположением: нужно установить, почему подписал именно этот человек. Также смотрите ограничения использования сертификата, если они указаны. Сертификат может быть технически действительным, но конкретное действие всё равно может выходить за пределы полномочий подписанта или требовать другого вида электронной подписи.
Как проверить действительность подписи технически
Используйте доверенный сервис проверки, который работает с исходным электронным файлом и подписью, либо программное средство, предусмотренное вашим документооборотом. Результат должен показывать, что подпись криптографически соответствует документу и что документ после подписания не изменён. Для квалифицированной электронной подписи важно также проверить цепочку сертификатов и статус удостоверяющего центра. Государственная инфраструктура электронной подписи содержит инструменты и сведения для проверки сертификатов. Если сервис сообщает ошибку формата, неизвестный сертификат или невозможность построить цепочку, не заменяйте это визуальным подтверждением из другого файла — сначала установите техническую причину.
Почему срок сертификата проверяют на момент подписания
Текущая дата и дата подписания — разные точки проверки. Сертификат мог уже истечь сегодня, но быть действующим на момент создания подписи; возможна и обратная ситуация, когда файл представлен как подписанный раньше, однако достоверное время не подтверждено. Поэтому фиксируйте дату и время, содержащиеся в подписи, сведения о сертификате и, если применимо, доверенную метку времени. Отдельно проверяйте отзыв или прекращение сертификата и обстоятельства, при которых это произошло. Юридический вывод зависит от вида подписи и применимой процедуры, поэтому одна строка «сертификат действителен» без связи с моментом подписания и конкретным документом недостаточна.
Как связать сертификат с полномочиями подписанта
Даже корректная квалифицированная подпись не отвечает сама по себе на вопрос, мог ли владелец совершить конкретную сделку. Для руководителя сверяют сведения о лице, имеющем право действовать от имени организации без доверенности. Для представителя изучают машиночитаемую или иную доверенность в предусмотренной форме и объём полномочий. В корпоративной сделке могут дополнительно требоваться одобрения или согласия. Практически полезно сохранить связку: документ — подпись — сертификат — основание полномочий — регистрационные сведения на дату действия. Это уменьшает риск ситуации, когда техническая проверка пройдена, но правовое основание подписания осталось непроверенным.
Какие ошибки встречаются чаще всего
Распространённая ошибка — проверять только срок «с» и «по» и игнорировать отзыв сертификата. Другая — считать совпадение ФИО достаточным при наличии тёзок или изменении регистрационных данных. Ещё одна — доверять скриншоту из системы контрагента, не проверяя собственную копию файла. Риск возникает и при повторном сохранении документа: некоторые форматы меняют файл и делают исходную подпись непроверяемой. Поэтому архивируйте оригинальные байты подписанного документа и подписи отдельно от рабочих копий. Если документ пришёл через систему ЭДО, сохраняйте подтверждения оператора и служебные квитанции, предусмотренные этим документооборотом.
Что сохранить как доказательство проверки
Сохраните исходный электронный документ, файл подписи, сертификат, результат проверки с датой, сведения об удостоверяющем центре и документы о полномочиях. Для длительных отношений полезно вести журнал: какой файл проверялся, какой хеш или иной идентификатор ему соответствует, кем и через какой доверенный инструмент выполнена проверка. Это не превращает технический отчёт в гарантию действительности сделки, но помогает подтвердить, что проверялся именно тот файл, который затем использовался. Не публикуйте закрытый ключ и не просите контрагента передавать его: секретный ключ должен оставаться у владельца и не является материалом для проверки.
Когда нужна дополнительная правовая проверка
Дополнительный анализ нужен, если подпись поставлена представителем с ограниченной доверенностью, сертификат отозван, время подписания спорно, требуется нотариальная форма, есть иностранный элемент или стороны используют нестандартный вид электронной подписи. Также не стоит автоматически переносить правила одной информационной системы на другую: порядок признания простой или неквалифицированной подписи может зависеть от закона и соглашения сторон. До исполнения существенной сделки проверьте требования именно к этому документу и способу его подписания. При конфликте между техническим отчётом и сведениями о полномочиях нужно остановить расчёт и устранить противоречие документально.
Частые вопросы
Можно ли проверить электронную подпись по скриншоту?
Нет. Для технической проверки нужен исходный электронный документ и данные подписи. Скриншот может быть лишь иллюстрацией и не подтверждает неизменность файла.
Истёкший сегодня сертификат означает, что старая подпись недействительна?
Не обязательно. Значение имеет состояние сертификата и применимые правила на момент подписания, а также подтверждение времени. Это требует проверки конкретной подписи.
Сертификат подтверждает полномочия на любую сделку?
Нет. Он идентифицирует владельца ключа в пределах содержащихся сведений. Право подписать конкретный документ проверяют отдельно по должности, доверенности и применимым требованиям.