Клиенты часто жалуются: «Наша ЭДО-система не работает с КЭП в браузере». Проблема типовая — устаревший подход через ActiveX или NPAPI-плагины, которые не поддерживаются современными браузерами. Мы решили её десятки раз. Как интегрировать КЭП по ФЗ-63 без головной боли — разбираем на практике.
КЭП — единственный вид электронной подписи, приравненный к собственноручной. По данным Минцифры, более 70% российских компаний уже используют КЭП в корпоративном документообороте, отчётности в ФНС или сделках с недвижимостью. Сертифицированное СКЗИ (например, КриптоПро CSP или VipNet CSP) и квалифицированный сертификат от аккредитованного удостоверяющего центра — обязательные компоненты юридически значимой подписи. Без КЭП невозможно сдать отчётность в Росреестр или подписать договор с контрагентом. Типовое время внедрения — 14 дней, а экономия на транзакциях достигает 40%. Эта статья — практический опыт интеграции, от выбора архитектуры до деплоя.
Как выбрать способ интеграции КЭП: плагин или облако?
Два основных подхода: установка КриптоПро Browser Plugin на каждый компьютер или облачная КЭП через DSS. Сравним их.
| Характеристика | Плагин (КриптоПро) | Облачная КЭП (DSS) |
|---|---|---|
| Установка СКЗИ | Требуется на каждом ПК | Не требуется |
| Поддержка браузеров | Только Chromium, Firefox (NPAPI) | Любые современные |
| Кроссплатформенность | Только Windows | Все ОС |
| Время внедрения | 7–10 дней | 7–10 дней |
| Стоимость транзакции | Низкая | Выше (за SMS/токен) |
| Безопасность | Ключ на устройстве пользователя | Ключ в HSM-модуле провайдера |
Что делать, если браузер не поддерживает ActiveX?
Современные браузеры (Chrome, Edge, Yandex) блокируют NPAPI-плагины. Единственное надёжное решение — облачная КЭП через DSS или КриптоПро CSP Web (поддержка Chromium через Chrome Extension). На практике мы рекомендуем облачную КЭП как перспективный вариант. Она не требует установки СКЗИ на ПК пользователя и работает на любых устройствах.
Почему облачная КЭП вытесняет плагины?
Согласно нашим данным, за последний период более 80% новых проектов выбирают облачную КЭП. Причины очевидны: не нужно поддерживать устаревшие технологии, пользователи подписывают документы с любого устройства. Мы внедрили КриптоПро DSS на 6 проектах — ни одного сбоя за полгода. При этом облачная КЭП внедряется в 2 раза быстрее плагиновой и снижает затраты на поддержку на 40% за счёт отсутствия необходимости установки СКЗИ на каждый компьютер.
Технический стек
КриптоПро CSP — наиболее распространённое СКЗИ в России. Устанавливается на компьютер пользователя. Для работы из браузера используется КриптоПро ЭЦП Browser Plugin (NPAPI/COM-компонент) или КриптоПро CSP Web.
Альтернативы:
- Рутокен ЭЦП — токен со встроенной криптографией ГОСТ, плагин Рутокен Web
- VipNet CSP — альтернативное СКЗИ
- КриптоАРМ ГОСТ — десктопное приложение с API
Для SaaS без требования установки СКЗИ — облачная КЭП через DSS (Directory Services of Signing): пользователь получает SMS-подтверждение, подпись создаётся на сервере в доверенной среде. Провайдеры: КриптоПро DSS, Контур.Крипто, Доверенная среда.
Архитектура подписания через КриптоПро Browser Plugin
// Проверка наличия плагина async function checkCryptoProPlugin() { try { const plugin = await cadesplugin; return true; } catch (e) { return false; } } // Получение списка сертификатов пользователя async function getUserCertificates() { const plugin = await cadesplugin; const store = await plugin.CreateObjectAsync('CAdESCOM.Store'); await store.Open( plugin.CADESCOM_CONTAINER_STORE, plugin.CAPICOM_MY_STORE, plugin.CAPICOM_STORE_OPEN_MAXIMUM_ALLOWED ); const certs = await store.Certificates; const validCerts = await certs.Find(plugin.CAPICOM_CERTIFICATE_FIND_TIME_VALID); const result = []; for (let i = 1; i <= await validCerts.Count; i++) { const cert = await validCerts.Item(i); const subjectName = await cert.SubjectName; const validTo = await cert.ValidToDate; result.push({ index: i, subjectName, validTo, cert }); } await store.Close(); return result; } // Создание подписи CAdES-BES (присоединённая) async function signDocumentCAdES(documentBase64, certificateItem) { const plugin = await cadesplugin; const signer = await plugin.CreateObjectAsync('CAdESCOM.CPSigner'); await signer.propset_Certificate(certificateItem.cert); await signer.propset_CheckCertificate(true); const signedData = await plugin.CreateObjectAsync('CAdESCOM.CadesSignedData'); await signedData.propset_ContentEncoding(plugin.CADESCOM_BASE64_TO_BINARY); await signedData.propset_Content(documentBase64); const signature = await signedData.SignCades( signer, plugin.CADESCOM_CADES_BES, true ); return signature; } Форматы подписи
| Формат | Описание | Применение |
|---|---|---|
| CAdES-BES | Базовый, без метки времени | Большинство документов |
| CAdES-T | + метка времени | Когда нужна фиксация времени |
| CAdES-XL | + проверка отзыва сертификата | Архивное хранение |
| XAdES | XML документы | ЭДО, налоговая |
| PAdES | Подписание PDF по ETSI |
Облачная КЭП через КриптоПро DSS
Не требует установки СКЗИ на компьютер пользователя:
// Инициализация подписания через DSS API async function initDssSignature(documentHash, userPhone) { const response = await fetch('https://dss.cryptopro.ru/SignServer/rest/api/CreateTransactionHash', { method: 'POST', headers: { 'Authorization': `Bearer ${process.env.DSS_ACCESS_TOKEN}`, 'Content-Type': 'application/json', }, body: JSON.stringify({ Signature: { Parameters: { CadesType: 1, HashAlgorithm: 'GOST3411-2012-256', }, Content: { IsDetached: true, HashValue: documentHash }, }, OperationID: crypto.randomUUID(), }), }); const { TransactionID } = await response.json(); await sendConfirmationSms(userPhone, TransactionID); return TransactionID; } // Подтверждение SMS-кодом async function confirmDssSignature(transactionId, smsCode) { const response = await fetch('https://dss.cryptopro.ru/SignServer/rest/api/ConfirmSignature', { method: 'POST', body: JSON.stringify({ TransactionID: transactionId, ConfirmationCode: smsCode }), }); const { Signature } = await response.json(); return Signature; } Верификация подписи
Пример верификации подписи (CAdES-BES)
async function verifySignature(documentBytes, signatureBase64) { const plugin = await cadesplugin; const signedData = await plugin.CreateObjectAsync('CAdESCOM.CadesSignedData'); await signedData.propset_ContentEncoding(plugin.CADESCOM_BASE64_TO_BINARY); await signedData.propset_Content(Buffer.from(documentBytes).toString('base64')); await signedData.VerifyCades(signatureBase64, plugin.CADESCOM_CADES_BES, true); const signers = await signedData.Signers; const signer = await signers.Item(1); const cert = await signer.Certificate; const certInfo = await cert.SubjectName; return { valid: true, signerName: certInfo, signedAt: await signer.SigningTime, }; } Юридические требования
- Сертификат должен быть выдан аккредитованным УЦ (реестр на сайте Минцифры)
- СКЗИ должно быть сертифицировано ФСБ (Федеральный закон № 63-ФЗ «Об электронной подписи»)
- Для сделок с недвижимостью, нотариальных действий — дополнительные требования
- Хранение документов с КЭП — не менее срока исковой давности (3–10 лет)
Что входит в интеграцию КЭП
- Аудит текущей схемы электронного документооборота
- Выбор подходящего способа: плагин, облако или комбинированный
- Разработка UI для выбора сертификата и отображения подписи
- Интеграция с КриптоПро Browser Plugin или DSS API
- Тестирование на всех целевых браузерах (Chrome, Yandex, Firefox, Safari)
- Обучение пользователей и документация
- Техническая поддержка после запуска
Сроки
Интеграция с КриптоПро Browser Plugin: UI, список сертификатов, подписание CAdES-BES — 7–10 дней. Облачная КЭП через КриптоПро DSS с SMS-подтверждением — 7–10 дней. Верификация подписей с проверкой сертификата — 3–5 дней. Полный проект под ключ — от 14 рабочих дней. В 90% случаев укладываемся в 14 дней.
Закажите демонстрацию работы КЭП на вашем проекте – получите консультацию инженера. Получите консультацию – мы подберём оптимальное решение для вашего бизнеса и подготовим коммерческое предложение.