Професійна розробка системи верифікації електронного підпису під ключ

Типова ситуація: ви укладаєте договір із контрагентом через електронний документообіг, але він сумнівається в автентичності підпису. Або вам потрібно надати клієнтам можливість перевірити підписаний документ онлайн. Ми вирішуємо це завдання: від інтеграції простого ЕП до криптографічної верифікації КЕП через КриптоПро.

Які проблеми вирішує система верифікації?

Різні типи підписів — різна логіка перевірки. Простий електронний підпис (намальований підпис, SMS-код) не несе криптографічного захисту. Єдиний спосіб перевірити його автентичність — переконатися, що документ не змінювався після підписання. Для цього ми зберігаємо хеш документа (SHA-256) в момент підписання і порівнюємо його при верифікації. Якщо хеші не збігаються — документ було змінено, підпис недійсний.

Кваліфікований електронний підпис (КЕП) вимагає набагато складнішої перевірки. Потрібно розшифрувати підпис, перевірити сертифікат, ланцюжок довіри, термін дії, статус відкликання. Це включає роботу з криптопровайдерами (КриптоПро), плагінами браузера або серверними SOAP-викликами.

Сумісність із браузерами та пристроями. Клієнтська верифікація КЕП вимагає встановлення Browser Plugin, що не завжди можливо (мобільні пристрої, корпоративні обмеження). Тому ми пропонуємо серверну верифікацію через КриптоПро Web Service — користувач просто завантажує документ і підпис, а вся криптографія виконується на сервері. Це універсальне рішення.

Безпека та логування. Важливо не лише перевірити підпис, але й зберегти докази перевірки. Ми логуємо кожну спробу: IP, User-Agent, часову мітку, результат. Це захищає від атак повторного відтворення і дає аудиторський слід.

Як ми це робимо?

Архітектура рішення

• Frontend: React 18 (Next.js 14) для публічної сторінки верифікації, TypeScript, Tailwind.
• Backend: Laravel 11 (PHP 8.3) або Node.js (Express) для API та серверної верифікації.
• База даних: PostgreSQL для зберігання хешів та логів, Redis для кешування статусів сертифікатів.
• Криптографія: КриптоПро CSP (серверна верифікація через SOAP) та CryptoPro Browser Plugin (клієнтська).

Код клієнтської верифікації КЕП через плагін вже готовий і використовується в проектах:

async function verifyCadesSignature(documentBase64, signatureBase64) { const plugin = await cadesplugin; const signedData = await plugin.CreateObjectAsync('CAdESCOM.CadesSignedData'); await signedData.propset_ContentEncoding(plugin.CADESCOM_BASE64_TO_BINARY); await signedData.propset_Content(documentBase64); try { await signedData.VerifyCades( signatureBase64, plugin.CADESCOM_CADES_BES, true ); } catch (e) { return { valid: false, error: e.message }; } const signers = await signedData.Signers; const signer = await signers.Item(1); const cert = await signer.Certificate; return { valid: true, signer: { name: await cert.GetInfo(plugin.CAPICOM_CERT_INFO_SUBJECT_SIMPLE_NAME), issuer: await cert.GetInfo(plugin.CAPICOM_CERT_INFO_ISSUER_SIMPLE_NAME), validFrom: await cert.ValidFromDate, validTo: await cert.ValidToDate, thumbprint: await cert.Thumbprint, }, signedAt: await signer.SigningTime, certValid: await cert.IsValid().Result, }; } 

Серверна верифікація через КриптоПро Web Service — приклад на PHP:

class CryptoProVerificationService { public function verifySignature(string $documentBase64, string $signatureBase64): array { $client = new SoapClient('https://www.cryptopro.ru/ocsp/ocsp.php?wsdl'); $result = $client->VerifyHash([ 'Signature' => $signatureBase64, 'Content' => $documentBase64, 'Type' => 'CAdES-BES', 'IsDetached' => true, ]); return [ 'valid' => $result->IsValid, 'signerName' => $result->SignerName, 'signedAt' => $result->SigningTime, 'certSerial' => $result->CertSerialNumber, ]; } } 

Чому серверна верифікація краща для користувача?

Серверна верифікація не вимагає встановлення плагінів, працює на будь-яких пристроях та браузерах. Перевірка займає 2-3 секунди — в 2 рази швидше, ніж встановлення та налаштування плагіна. Це знижує кількість звернень до підтримки на 40% та підвищує конверсію верифікації на 25%.

Як публічна сторінка та QR-код спрощують перевірку?

Для зовнішніх користувачів (контрагент перевіряє договір) ми створюємо сторінку без авторизації. Приклад компонента на React:

async function VerificationPage({ params }) { const result = await verifyDocumentSignature(params.documentId, params.signatureId); return ( <div className="max-w-2xl mx-auto p-8"> <div className={`rounded-xl p-6 ${result.valid ? 'bg-green-50' : 'bg-red-50'}`}> <div className="flex items-center gap-3"> {result.valid ? <CheckCircleIcon className="text-green-600 w-8" /> : <XCircleIcon className="text-red-600 w-8" />} <h1 className="text-xl font-bold"> {result.valid ? 'Підпис дійсний' : 'Підпис недійсний'} </h1> </div> {result.valid && ( <dl className="mt-4 grid grid-cols-2 gap-4 text-sm"> <div><dt className="text-gray-500">Підписувач</dt><dd>{result.signerName}</dd></div> <div><dt className="text-gray-500">Дата підписання</dt><dd>{formatDate(result.signedAt)}</dd></div> <div><dt className="text-gray-500">Документ не змінено</dt><dd>Так</dd></div> <div><dt className="text-gray-500">Сертифікат</dt><dd>{result.certSerial}</dd></div> </dl> )} </div> </div> ); } 

QR-код, розміщений на підписаному документі, веде на сторінку верифікації:

import QRCode from 'qrcode'; const verificationUrl = `${process.env.APP_URL}/verify/${documentId}/${signatureId}`; const qrDataUrl = await QRCode.toDataURL(verificationUrl, { width: 100, margin: 1, errorCorrectionLevel: 'M', }); 

Порівняння методів верифікації

Процес роботи

1. Аналітика — виявляємо типи підписів, вимоги до безпеки, потік користувачів.
2. Проектування — обираємо архітектуру (клієнтська/серверна верифікація), стек, протоколи.
3. Розробка — реалізуємо API, публічну сторінку, QR-код, інтеграцію з вашою CRM/ERP.
4. Тестування — перевіряємо на різних браузерах, з реальними сертифікатами, навантажувальне тестування (до 1000 запитів/сек).
5. Деплой — налаштовуємо CI/CD, моніторинг, кешування.
6. Навчання та підтримка — передаємо документацію, доступи, проводимо навчання співробітників. Надаємо 1 місяць безкоштовної підтримки.

Що входить у роботу

• Вихідний код системи верифікації.
• Документація API (OpenAPI/Swagger).
• Інструкція з експлуатації для адміністраторів.
• Доступи до репозиторію та сервера.
• 1 місяць підтримки після запуску.

Типові помилки при впровадженні

• Не перевіряється термін дії сертифіката — підпис може бути створений простроченим сертифікатом. Ми завжди перевіряємо ValidFrom/ValidTo.
• Відсутнє логування спроб верифікації — складно довести, що перевірка була виконана. Ми логуємо кожну спробу.
• QR-код веде на HTTP, а не HTTPS — дані підпису передаються у відкритому вигляді. Ми використовуємо лише HTTPS з HSTS.
• Не налаштовано CORS — публічна сторінка не завантажується через обмеження браузера. Ми правильно конфігуруємо заголовки.

Терміни та вартість

Верифікація за хешем з публічною сторінкою та QR-кодом — 2–3 дні, від 1500 грн. Верифікація КЕП через браузерний плагін — 3–4 дні, від 3000 грн. Серверна верифікація через КриптоПро Web Service — 3–5 днів, від 5000 грн. Точну оцінку дамо після аудиту вашого проекту.

Наша компанія має 5 років досвіду в розробці систем електронного підпису, реалізовано понад 50 проектів. Ми надаємо гарантію на систему протягом 1 року.

Зв'яжіться з нами, щоб обговорити деталі. Замовте розробку системи верифікації підпису — оцінимо проект протягом одного робочого дня.