Пришёл договор, подписанный ЭЦП, и нужно убедиться, что подпись настоящая, — самый быстрый путь загрузить файл в онлайн-сервис проверки. А в корпоративном документообороте договор чаще приходит ссылкой: контрагент отправил его через сервис обмена документами, вы открываете договор там и там же подписываете — нажимаете «Подписать», NCALayer просит пароль. Обе ситуации привычные, и в обеих документ проходит через чужую систему, которой приходится доверять.
Разберём, чему именно вы доверяете в этот момент, чем это может обернуться и как проверять и подписывать документы, не выпуская их из своего контура.
📌 Коротко:
- Онлайн-проверка ЭЦП — это копия документа на чужом сервере: без содержимого подпись не проверить.
- «Мы шифруем файлы» дела не меняет: раз сервис показывает вам договор, он его уже расшифровал — ключ у него.
- При подписании в браузере NCALayer подписывает данные, которые ему передала страница. Новые версии NCALayer показывают перед подписью, что именно подписывается, — сверяйте документ в этом окне, а не на странице портала.
- Риск снижают свой контур и проверяемый результат: проверять и подписывать в системе своей организации, а подписанный файл хранить у себя.
- В DOC-V подпись проверяется на сервере организации через Kalkan, а подписывают через NCALayer и КриптоПро на компьютере сотрудника. Наружу уходит только запрос статуса сертификата в НУЦ РК.
- QR-подписание через eGov в эту схему не вписывается: документ уходит через сервис-посредник в приложение eGov — за пределы вашего контура.
🔍 Проверка онлайн: документ уходит вместе с подписью
Электронная подпись связана с конкретным содержимым. При проверке система заново вычисляет хэш документа и сравнивает его с тем, который был подписан. Поэтому сервису проверки мало файла подписи — ему нужен сам документ. А если подпись присоединённая (CMS с данными внутри) или встроена в PDF, документ и так целиком лежит в файле, который вы загружаете.
Дальше всё упирается в доверие. Сервис может честно не хранить файлы, но документ всё равно побывал на его сервере: в памяти, во временной папке, в журналах, в резервных копиях. Кроме владельцев сервиса, до него могут добраться администраторы, подрядчики или тот, кто взломает сервер.
Для многих документов это неважно. Но есть и другие: кадровые приказы с ИИН и адресами сотрудников, договоры с ценами и условиями, тендерные заявки, медицинские заключения. Их подлинность тоже нужно проверять, а показывать их посторонним не стоит. Для документов с персональными данными передача стороннему сервису — ещё и вопрос к тому, кто отвечает в организации за их защиту.
«Мы шифруем ваши файлы» — от кого?
Сервисы часто пишут, что хранят файлы в зашифрованном виде. Важно, кто шифрует и у кого ключ. Если файл шифрует сервер, ключ тоже у сервиса: он расшифровывает документ, когда нужно, — значит, может и прочитать. Нагляднее всего это в сервисе обмена документами: чтобы показать вам договор на экране, сервис его расшифровал. В открытом виде документ оказывается у сервиса каждый раз, когда его кто-то открывает. Такое шифрование защищает от кражи диска или утечки резервной копии, но не от самого сервиса и не от того, кто получил доступ к его серверам.
От владельца сервиса защищает только шифрование на стороне пользователя — в браузере, ключом, который есть только у вас. Но для проверки подписи и оно не поможет: чтобы сверить хэш, сервису нужно открытое содержимое. Хэш можно было бы вычислять в браузере и отправлять только его, но со стороны пользователя не видно, как устроен конкретный сервис. В итоге обещание «шифруем» сводится к тому же доверию: что сервис не станет смотреть ваши документы.
При этом извне для проверки по-настоящему нужно только одно — статус сертификата: не отозван ли он. Этот запрос (OCSP) уходит в НУЦ РК, и в нём серийный номер сертификата, без документа. Всё остальное можно делать у себя.
✍️ Подписание в браузере: подписывается то, что передала страница
В корпоративном секторе договор обычно приходит не файлом, а ссылкой на сервис обмена документами, который выбрал контрагент. Вы открываете договор на этом портале и там же подписываете. Подписание с NCALayer устроено так: страница в браузере передаёт данные приложению NCALayer на вашем компьютере, NCALayer просит выбрать ключ и ввести пароль и подписывает полученные данные. Ключ остаётся у вас — это хорошо.
Связь между тем, что вы видите на странице портала, и тем, что уходит на подпись, держится только на коде страницы. В добросовестной системе это одно и то же. Но код пишет, размещает и обновляет владелец системы — в случае сервиса обмена это оператор, а не вы и даже не контрагент. Если владелец недобросовестен, если систему взломали или вы попали на поддельный портал, на подпись может уйти другой документ, а на странице будет знакомая форма. При QR-подписании через eGov Mobile данные на подпись тоже готовит система, которая запросила подпись.
Поэтому смотрите не на страницу, а в окно NCALayer: новые версии перед подписью показывают, что именно подписывается. Это окно рисует приложение на вашем компьютере, а не портал. Но оно помогает, только если в него действительно смотреть, — и только если сервис передаёт на подпись сам документ. Если в NCALayer уходит лишь хэш документа, показать содержимое нечего, и остаётся верить странице.
Документ, подписанный ЭЦП, равнозначен подписанному собственноручно. Поэтому подпись в чужой системе — это доверие к её коду, администраторам и защите, а цена ошибки та же, что у подписи ручкой под документом, который вы не прочитали.
🛡️ Как снизить риск
- Проверяйте подписи там, где документ и так хранится — в своей системе, на сервере организации. Наружу — только запрос статуса сертификата.
- Подписывайте в системе, которую контролирует ваша организация, и ключом на компьютере сотрудника — через NCALayer или КриптоПро. Код, обновления, учётные записи и журнал действий — под вашим управлением, а не чужой компании.
- Сверяйте, что подписываете. Держите NCALayer обновлённым и перед подписью сверяйте документ в его окне, а после убедитесь, что подписан именно он: подпись PAdES встроена в PDF и видна в обычном просмотрщике.
- Храните подписанный оригинал у себя. Копия в чужом сервисе — не замена своему архиву.
- Не подписывайте ЭЦП на незнакомых сайтах и никому не передавайте ключ и пароль от него.
🏢 Как это устроено в DOC-V
DOC-V устанавливается на сервер организации — в её сети или в закрытом контуре. Документы, файлы и подписи хранятся в вашей базе данных. Обмен с контрагентами тоже можно вести через собственный портал на DOC-V: договоры хранятся у вас, а не у оператора обмена. Для контрагента это по-прежнему чужая система, но третьего участника, у которого лежат договоры всех его клиентов, в схеме нет.
- Проверка подписи — на вашем сервере. Действие «ЭЦП (Kalkan KZ)» проверяет подписи библиотекой KalkanCrypt на сервере DOC-V: каждую подпись в файле и сертификат подписанта — выдан ли он НУЦ РК и не отозван ли. Пользователь видит отчёт по каждому подписанту: ФИО, организацию, время подписи, серийный номер и срок действия сертификата. ИИН и БИН из сертификата можно записать в поля документа, а дальше документ идёт по маршруту в зависимости от результата.
- Наружу — только запрос статуса. Отзыв сертификата проверяется по OCSP НУЦ РК: в запросе только данные сертификата, а документ и подпись остаются на сервере. Если служба OCSP недоступна, проверка не пройдёт. В контуре без интернета проверку отзыва можно выключить параметром
[Network] KalkanOCSP = off— но тогда отзыв не проверяется. - Подписание — на компьютере сотрудника. NCALayer и КриптоПро подписывают на компьютере пользователя: браузер передаёт им файлы из карточки документа, а ключ не покидает компьютер или токен. В NCALayer уходят сами файлы, а не их хэш, — так что ему есть что показать перед подписью. Каждый файл можно открыть до подписи, а подпись через NCALayer — ограничить ключом с нужным ИИН. Кто и когда подписал, DOC-V записывает в ход работы документа.
- Подпись PAdES — внутри PDF. С версии 8.5.10 подпись встраивается в PDF вместе с видимым штампом: подписанный файл открывается в любом просмотрщике PDF, отдельный файл подписи не нужен. Для метки времени в НУЦ РК уходит только хэш документа.
- Проверка сразу после подписи. В типовой конфигурации исходящий документ, подписанный через NCALayer, сначала проходит проверку подписи и только потом уходит на отправку.
- Шифрование — тоже на вашем сервере. Файлы можно шифровать сервисом шифрования платформы, а ключи хранить отдельно от базы данных, например в HashiCorp Vault. Это такое же серверное шифрование, как у сервисов, — только сервер, сама система и ключи принадлежат вашей организации. Сторонней компании, которая могла бы заглянуть в документы, здесь нет: кто их открывает, решаете вы.
⚖️ Честно об ограничениях
- QR-подписание — не для документов, которые должны остаться у вас. При подписании через eGov Mobile и eGov Business сервер DOC-V передаёт содержимое подписываемых файлов внешнему сервису-посреднику, а приложение eGov забирает их оттуда. Документ уходит в инфраструктуру, которую организация не контролирует, — пусть даже государственную. QR-подписание удобно, когда документ и так не секрет; во всех остальных случаях подписывайте только через NCALayer или КриптоПро.
- Своя система снижает риск, но не исключает его. NCALayer по-прежнему подписывает то, что передала страница, — только страница теперь ваша. Остаются права доступа, своевременные обновления и контроль за теми, кто администрирует сервер.
- Юридическую значимость документооборота и соответствие процессов требованиям законодательства оценивает сама организация: платформа даёт инструменты, а не гарантии.
💰 И за каждую подпись платить не нужно
В сервисах обмена документами тариф обычно — годовая подписка, которая растёт с числом пользователей и документов: чем больше людей и договоров, тем больше счёт, и платить его нужно каждый год. В DOC-V подписание через NCALayer и КриптоПро и проверка через Kalkan — дополнительные модули. До 5 000 документов они бесплатны, а дальше на модуль покупается бессрочная лицензия: один раз, без ежегодной подписки — и подписей сколько нужно. Само приложение NCALayer и ключ ЭЦП от НУЦ РК бесплатны. Подробнее — на странице цен и в статье «Почему DOC-V выгоднее аренды лицензий».
❓ Часто задаваемые вопросы (FAQ)
Можно ли проверить ЭЦП, не загружая документ в онлайн-сервис?
Да — в системе, которая работает на сервере вашей организации. В DOC-V подписи CMS проверяет действие «ЭЦП (Kalkan KZ)» библиотекой KalkanCrypt на сервере DOC-V; наружу уходит только запрос статуса сертификата по OCSP в НУЦ РК. Чтобы проверять файлы подписи от контрагентов (.cms, .p7s), настройте тип документа с полем для такого файла и этим действием.
Сервис шифрует файлы — значит, документ в безопасности?
Только от части угроз. Если файл шифрует сервер, ключ хранится у сервиса, и сервис может документ расшифровать — а раз он показывает вам договор на экране, значит, уже расшифровал. Такое шифрование защищает от кражи диска или резервной копии, но не от самого сервиса. К тому же для проверки подписи сервису нужно открытое содержимое документа. В DOC-V шифрование тоже серверное, но и система, и ключи находятся на сервере вашей организации.
Что уходит наружу при проверке подписи в DOC-V?
Только запрос OCSP в НУЦ РК (ocsp.pki.gov.kz) о том, не отозван ли сертификат. Документ и подпись остаются на вашем сервере. Если служба OCSP недоступна, проверка не пройдёт; в контуре без интернета проверку отзыва можно выключить параметром [Network] KalkanOCSP = off.
Может ли при подписании через NCALayer уйти не тот документ?
NCALayer подписывает данные, которые ему передала страница. Новые версии NCALayer перед подписью показывают, что именно подписывается, — сверяйте документ в этом окне, а не на странице портала. Если же сервис передаёт на подпись только хэш, содержимое не показать, и остаётся доверять странице. В системе на сервере вашей организации код, обновления и администраторы под вашим контролем — риск ниже, чем на чужом портале, хотя и не нулевой.
Как убедиться, что подписан именно тот документ?
Откройте файл в карточке документа до подписи. При подписи PAdES подпись встраивается в сам PDF: после подписи вы открываете именно подписанный файл со штампом, без отдельного файла подписи, который нужно сопоставлять с документом.
Нужно ли платить за каждую подпись в DOC-V?
Нет. Подписание через NCALayer и КриптоПро и проверка через Kalkan — дополнительные модули: до 5 000 документов они бесплатны, дальше на модуль покупается бессрочная лицензия — один раз, без ежегодной подписки и без оплаты за подписи.
Документ покидает организацию при QR-подписании через eGov?
Да. Сервер DOC-V передаёт содержимое подписываемых файлов внешнему сервису-посреднику, а приложение eGov забирает их оттуда, — документ уходит в инфраструктуру, которую организация не контролирует. Если документ не должен выходить за пределы организации, подписывайте его только через NCALayer или КриптоПро: тогда подпись ставится на компьютере сотрудника.