Как проверить срок действия сертификата цифровой подписи файла

Срок действия сертификата цифровой подписи — это период, в течение которого удостоверяющий центр подтверждает связь подписи с её владельцем. Проверить его можно прямо на компьютере: в свойствах файла, через криптопровайдер (например, КриптоПро CSP) или в специализированных утилитах. Главное правило: смотреть нужно не только даты «действителен с… по…», но и статус отзыва сертификата — даже непросроченный сертификат может быть аннулирован досрочно.

Ниже разобраны рабочие способы проверки для разных ситуаций, объяснено, почему «просроченная» подпись не всегда означает проблему, и что делать, если проверка показала ошибку.

Что именно вы проверяете и зачем

Цифровая подпись файла — это не просто отметка «файл подписан». Внутри неё зашит сертификат — электронный документ, который содержит:

• данные владельца (ФИО или название организации);
• срок действия сертификата: дату начала и окончания;
• отпечаток — уникальный идентификатор сертификата;
• реквизиты удостоверяющего центра, который сертификат выпустил;
• адрес списка отзыва (CRL) или службы проверки статуса (OCSP), где можно узнать, не аннулирован ли сертификат.

Когда вы проверяете подпись, программа сверяет три вещи: целостность файла (не изменён ли он после подписания), подлинность сертификата и его актуальность. Срок действия — лишь один из трёх элементов, но именно вокруг него чаще всего возникает путаница.

Ключевой нюанс: момент подписания важнее текущей даты

Распространённое заблуждение — считать подпись недействительной только потому, что срок сертификата уже истёк. На самом деле юридическая и техническая оценка строится иначе: важно, был ли сертификат действующим в момент создания подписи. Если файл подписали 10 января, а сертификат закончился 1 февраля, подпись остаётся корректной — при условии, что на 10 января сертификат не был отозван и файл после подписания не менялся.

Именно поэтому многие программы при проверке показывают две даты: время подписания и срок сертификата. Сравнивать нужно их между собой, а не с сегодняшним числом. Исключение — документы, где закон или регламент контрагента требует действующий на текущий момент сертификат (например, некоторые виды отчётности или внутренние регламенты компаний).

Способ 1. Свойства файла в Windows

Самый быстрый вариант, если файл подписан встроенными средствами Windows (это типично для исполняемых файлов программ, драйверов, скриптов).

1. Щёлкните по файлу правой кнопкой мыши и выберите «Свойства».
2. Перейдите на вкладку «Цифровые подписи». Если её нет — файл либо не подписан, либо подписан форматом, который проводник не показывает.
3. Выберите подпись в списке и нажмите «Сведения».
4. В открывшемся окне видно, действительна ли подпись, а также дата подписания. Кнопка «Просмотр сертификата» открывает вкладку «Общие», где указаны строки «Действителен с» и «Действителен по».
5. На вкладке «Состав» сертификата можно нажать «Просмотр списка отзыва» — система скачает CRL и покажет, не отозван ли сертификат.

Ограничение способа: проводник Windows хорошо работает с подписями формата Authenticode, но может не распознать российские квалифицированные электронные подписи (КЭП) в документах — для них нужны другие инструменты.

Способ 2. КриптоПро CSP и КриптоАРМ для российских подписей

Если речь о документах, подписанных по российским стандартам (файлы .sig, документы для налоговой, госуслуг, электронных торгов), понадобится криптопровайдер — программа, которая умеет работать с отечественной криптографией.

Через КриптоПро CSP

1. Откройте «КриптоПро CSP» через панель управления.
2. Перейдите на вкладку «Сервис» и нажмите «Просмотреть сертификаты в контейнере».
3. Выберите контейнер закрытого ключа — программа покажет сертификат со сроком действия.
4. Для проверки подписи в самом файле удобнее использовать отдельную утилиту из состава продукта или сторонний просмотрщик.

Этот путь показывает срок действия сертификата, установленного в контейнере, то есть личного сертификата подписанта. Он полезен перед отправкой документа: так вы убедитесь, что подписываете действующим сертификатом.

Через программы проверки подписи

Для проверки уже подписанного файла подходят специализированные приложения (например, КриптоАРМ и аналогичные). Общий порядок такой:

1. Установите программу и рабочий криптопровайдер.
2. Откройте функцию «Проверить подпись» и укажите файл.
3. Программа покажет результат: целостность файла, данные подписанта, дату подписания, срок действия сертификата и статус проверки цепочки доверия.
4. Обратите внимание на строку статуса отзыва: если программа пишет «статус отзыва проверить не удалось», это не подтверждение действительности, а признак того, что нужно настроить доступ к спискам отзыва или проверить вручную.

Способ 3. Онлайн-сервисы проверки

Госструктуры и разработчики криптопрограмм предлагают веб-сервисы, где можно загрузить файл и получить отчёт о подписи. Такие сервисы обычно показывают: результат проверки целостности, сведения о сертификате, срок его действия и статус по спискам отзыва.

Практические ограничения, о которых стоит помнить:

• Загружать конфиденциальные документы (договоры, персональные данные, коммерческую тайну) в сторонний онлайн-сервис разумно только если вы готовы к тому, что файл покидает ваш компьютер. Для чувствительных файлов лучше локальные средства.
• Онлайн-проверка требует, чтобы сервис поддерживал нужный формат подписи и тип сертификата. Российские квалифицированные подписи поддерживают далеко не все универсальные сервисы.
• Результат стоит воспринимать как справку: для юридически значимых решений опирайтесь на проверку средствами, которые признаёт ваш контрагент или регулятор.

Как читать результаты проверки

Типовой отчёт о проверке содержит несколько строк, и путать их между собой — самая частая ошибка. Ориентир для самопроверки:

Строка результата	Что означает	Что делать
«Подпись действительна»	Файл не менялся, сертификат был действующим на момент подписания, отзыв не обнаружен	Документ можно принимать
«Сертификат недействителен / истёк» без даты подписания	Программа сравнила срок с текущей датой, а не с моментом подписания	Посмотрите дату подписания: если она внутри срока сертификата, подпись может быть корректной
«Файл изменён после подписания»	Нарушена целостность: содержимое отличается от того, что было подписано	Запросите файл заново у отправителя; принимать такой документ нельзя
«Не удалось построить цепочку сертификатов»	На компьютере нет корневого сертификата удостоверяющего центра	Установите корневые сертификаты УЦ или выполните проверку на другой машине/в другом сервисе
«Сертификат отозван»	УЦ аннулировал сертификат до окончания срока	Подпись после момента отзыва недействительна; уточните причину отзыва у подписанта
«Статус отзыва неизвестен»	Нет доступа к CRL/OCSP или список устарел	Это не подтверждение действительности; настройте проверку отзыва и повторите

Почему подпись «сломалась», хотя раньше работала

Если вчера файл проверялся нормально, а сегодня программа выдаёт ошибку, чаще всего причина одна из этих:

• Истёк корневой сертификат удостоверяющего центра. Цепочка доверия строится до корня, и если корень устарел, вся проверка падает, хотя сама подпись цела. Решение — обновить корневые сертификаты.
• Устарел список отзыва. Программа не смогла скачать свежий CRL и пометила статус как неопределённый. Проверьте интернет-соединение и настройки прокси.
• Изменился сам файл. Пересохранение, перекодировка, добавление вложений в архив или даже копирование с изменением атрибутов в некоторых форматах ломают целостность.
• Обновление криптопровайдера. После обновления ПО иногда требуется заново установить сертификаты или перезапустить службу.

Что делать, если сертификат просрочен

Действия зависят от вашей роли в ситуации.

Вы получатель документа

• Сравните дату подписания со сроком сертификата. Подпись, сделанная внутри срока, обычно сохраняет силу — это соответствует общему принципу оценки электронных подписей.
• Если регламент вашего контрагента или ведомства требует «свежий» сертификат, запросите документ, подписанный повторно действующим сертификатом.
• При сомнениях в моменте подписания попросите отправителя подтвердить его меткой времени (tsp-меткой) — она независимо фиксирует время создания подписи.

Вы подписант

• Проверьте свой сертификат заранее, а не в день сдачи отчётности или подачи заявки: срок действия виден в свойствах контейнера ключа.
• Помните, что продление — это выпуск нового сертификата: старый не «продлевается», а заменяется. Документы, подписанные старым сертификатом внутри его срока, остаются корректными.
• Если сертификат отозван (например, скомпрометирован ключ), все подписи, сделанные после отзыва, теряют силу — такие документы придётся переподписывать.

Типичные ошибки при проверке

• Сравнение срока сертификата с сегодняшней датой вместо даты подписания — приводит к ложным выводам о недействительности.
• Игнорирование статуса отзыва: непросроченный сертификат может быть аннулирован досрочно, и формально «зелёная» галочка без проверки CRL ничего не гарантирует.
• Проверка неподходящим инструментом: попытка открыть российскую КЭП обычными средствами Windows часто даёт ложную ошибку просто потому, что формат не поддерживается.
• Доверие одному индикатору: надёжнее смотреть весь отчёт — целостность, цепочку доверия, срок и отзыв вместе.
• Отправка конфиденциальных файлов в онлайн-сервисы без оценки рисков утечки.

Быстрый алгоритм проверки

1. Определите тип подписи: встроенная подпись программы (Authenticode) или документ с электронной подписью (.sig, PDF, XML).
2. Для первого случая откройте «Свойства → Цифровые подписи»; для второго используйте криптопровайдер или профильную программу проверки.
3. Зафиксируйте три значения: дату подписания, срок действия сертификата, статус отзыва.
4. Убедитесь, что файл не изменялся после подписания.
5. Если есть сомнения в цепочке доверия — установите корневые сертификаты удостоверяющего центра и повторите проверку.
6. Для юридически значимых решений сохраните отчёт о проверке: он пригодится как доказательство добросовестности приёма документа.

Частые вопросы

Можно ли проверить подпись без установки программ?

Да, если подпись встроенного типа — через свойства файла в Windows. Для российских квалифицированных подписей без криптопровайдера обычно не обойтись, хотя часть онлайн-сервисов позволяет проверить файл без установки ПО.

Подпись действительна, если сертификат уже истёк?

Как правило, да — если подпись создана внутри срока действия сертификата, файл не изменён, а сертификат не был отозван на момент подписания. Но отдельные регламенты могут требовать действующий на текущий момент сертификат, поэтому ориентируйтесь на требования конкретного получателя.

Где взять корневые сертификаты удостоверяющего центра?

Удостоверяющие центры публикуют корневые и промежуточные сертификаты на своих официальных ресурсах. Для российских квалифицированных подписей также используются общедоступные наборы корневых сертификатов аккредитованных УЦ — их состав периодически обновляется, поэтому скачивайте актуальную версию на дату проверки.

Что означает «подпись действительна, но статус отзыва проверить не удалось»?

Программа подтвердила целостность файла и срок, но не смогла получить список отзыва. Это промежуточный результат: он не доказывает отзыв, но и не исключает его. Стоит обеспечить доступ к CRL/OCSP и повторить проверку.

Что запомнить

Главный принцип проверки: оценивайте подпись комплексно — целостность файла, цепочку доверия, срок сертификата на момент подписания и отсутствие отзыва. Перед важными операциями заранее проверьте собственный сертификат, чтобы не столкнуться с отказом в последний день. А при разборе чужого документа сначала ищите дату подписания: она определяет, применимы ли вообще претензии к истёкшему сроку.

Материал носит информационный характер и описывает общий порядок проверки. Требования к электронным подписям, форматы и правила их приёма различаются в зависимости от страны, типа документа и регламента получателя — при юридически значимых решениях уточняйте актуальные требования у удостоверяющего центра или профильного специалиста.