Реализация электронной подписи документов на сайте

Реализация электронного подписания документов

Недавно к нам обратился fintech-стартап: их система подписания договоров с клиентами состояла из простого SMS-кода без соглашения об ЭП. После аудита выяснилось, что юридическая сила таких подписей — ноль, а все договоры под угрозой ничтожности. Мы оперативно внедрили полный цикл: от SMS-кода до КЭП через СБИС. Рассказываем, как избежать подобных ошибок и реализовать юридически значимую электронную подпись на сайте.

Различают три типа ЭП: простая (ПЭП — логин/пароль/SMS-код), усиленная неквалифицированная (НЭП — криптография, сертификат ключа проверки), квалифицированная (КЭП — только через удостоверяющий центр, приравнивается к собственноручной). Выбор зависит от требований к юридической значимости и бюджета. Сравним их ключевые характеристики:

Почему простая ЭП без соглашения — это ловушка?

Без отдельного соглашения об использовании простой ЭП (оферты или договора присоединения) подпись не имеет юридической силы. Согласно 63-ФЗ, простая ЭП признаётся равнозначной собственноручной подписи только при наличии соглашения между сторонами. Мы всегда фиксируем факт акцепта соглашения через отдельный чекбокс и храним аудит-лог. Иначе даже при успешном SMS-подтверждении документ можно оспорить в суде.

Когда без квалифицированной подписи не обойтись?

КЭП обязательна для госзакупок (44-ФЗ, 223-ФЗ), отчётности в ФНС, Росреестр и сделок с недвижимостью. Юридическая сила КЭП в сотни раз выше, чем у простой ЭП — она подтверждается сертификатом УЦ и ключом ФСБ. Ошибка при выборе может привести к штрафам до 500 000 рублей и признанию сделок недействительными.

Как работает простая ЭП: SMS-подписание договора

Наиболее распространённый подход для B2C: пользователь получает код по SMS, вводит его, мы фиксируем отметку времени, IP, fingerprint и хэш документа. Юридически значима как простая ЭП только при наличии отдельного соглашения об использовании ЭП. Без него — просто подтверждение действия.

// Модель документа с аудитом подписания class Document extends Model { protected $casts = [ 'signing_metadata' => 'array', 'signed_at' => 'datetime', ]; } // Сервис подписания class DocumentSigningService { public function initiateSignin(Document $document, User $user): void { // Генерация и отправка кода $code = str_pad(random_int(0, 999999), 6, '0', STR_PAD_LEFT); Cache::put("signing_code:{$document->id}:{$user->id}", bcrypt($code), now()->addMinutes(15)); $user->notify(new DocumentSigningCodeNotification($code, $document)); } public function confirmSigning(Document $document, User $user, string $code, Request $request): void { $cached = Cache::get("signing_code:{$document->id}:{$user->id}"); if (!$cached || !Hash::check($code, $cached)) { throw new InvalidSigningCodeException('Неверный или истёкший код подтверждения'); } // Создать хэш текущей версии документа $documentHash = hash('sha256', Storage::disk('s3')->get($document->path)); $document->update([ 'status' => 'signed', 'signed_at' => now(), 'signed_by' => $user->id, 'document_hash' => $documentHash, 'signing_metadata' => [ 'ip' => $request->ip(), 'user_agent' => $request->userAgent(), 'fingerprint' => $request->header('X-Client-Fingerprint'), 'method' => 'sms_code', 'phone_last4' => substr($user->phone, -4), 'code_sent_at' => Cache::get("signing_code_sent_at:{$document->id}:{$user->id}"), 'signed_at_iso' => now()->toIso8601String(), 'timezone' => $request->header('X-Timezone', 'UTC'), ], ]); // Зафиксировать подпись в аудит-логе AuditLog::create([ 'action' => 'document.signed', 'user_id' => $user->id, 'document_id' => $document->id, 'metadata' => $document->signing_metadata, ]); Cache::forget("signing_code:{$document->id}:{$user->id}"); // Отправить подписанную копию на email $user->notify(new DocumentSignedNotification($document)); } } 

Как встроить визуальную подпись в PDF и не потерять юридическую силу?

Для интерфейсов, где пользователь рисует подпись стилусом или мышью, подключаем библиотеку react-signature-canvas (Canvas API). Важно: сама по себе растровая подпись не имеет юридической силы — её нужно привязать к документу через хэш и метаданные. Мы используем два шага: сначала сохраняем изображение подписи и инициируем сессию, затем подтверждаем SMS-кодом.

import SignatureCanvas from 'react-signature-canvas'; import { useRef, useState } from 'react'; function DocumentSigner({ documentId }: { documentId: number }) { const sigCanvas = useRef<SignatureCanvas>(null); const [step, setStep] = useState<'draw' | 'confirm' | 'sms'>('draw'); const [smsCode, setSmsCode] = useState(''); const handleDrawComplete = async () => { if (sigCanvas.current?.isEmpty()) return; const signatureData = sigCanvas.current!.toDataURL('image/png'); // Сохранить изображение подписи, перейти к SMS-подтверждению await api.post(`/documents/${documentId}/initiate`, { signature_image: signatureData }); setStep('sms'); }; const handleSmsConfirm = async () => { await api.post(`/documents/${documentId}/confirm`, { code: smsCode }); setStep('confirm'); }; return ( <div> {step === 'draw' && ( <> <p>Нарисуйте вашу подпись:</p> <div style={{ border: '1px solid #e5e7eb', borderRadius: 8 }}> <SignatureCanvas ref={sigCanvas} penColor="#1a1a1a" canvasProps={{ width: 500, height: 200, className: 'signature-canvas' }} /> </div> <button onClick={() => sigCanvas.current?.clear()}>Очистить</button> <button onClick={handleDrawComplete}>Далее</button> </> )} {step === 'sms' && ( <> <p>Введите код из SMS для подтверждения подписи:</p> <input type="text" inputMode="numeric" maxLength={6} value={smsCode} onChange={e => setSmsCode(e.target.value)} /> <button onClick={handleSmsConfirm}>Подписать</button> </> )} {step === 'confirm' && ( <p>Документ успешно подписан. Копия отправлена на ваш email.</p> )} </div> ); } 

КЭП через СБИС / КриптоПро: максимальная юридическая сила

Для B2B и госзаказа внедряем квалифицированную электронную подпись. Подключение к СБИС или КриптоПро занимает 5–7 дней. Подписание происходит на стороне УЦ — мы только передаём документ и получаем подпись.

// Интеграция со СБИС API (подписание на стороне УЦ) class SbisSigningService { public function sign(string $documentBase64, int $signatoryId): string { $response = Http::withToken($this->getToken()) ->post('https://online.sbis.ru/service/sbis.Signature.Sign', [ 'jsonrpc' => '2.0', 'method' => 'СБИС.ПодписатьДокумент', 'params' => [ 'Документ' => $documentBase64, 'Подписывающий' => $signatoryId, ], ]); return $response->json('result.Подпись'); } } 

Хранение и проверка подписанных документов

// Верификация подписи — проверить, что документ не изменён после подписания public function verify(Document $document): bool { $currentHash = hash('sha256', Storage::disk('s3')->get($document->path)); return hash_equals($document->document_hash, $currentHash); } 

Подписанные документы храним с неизменяемыми правами (S3 Object Lock) — это предотвращает фальсификацию даже при компрометации аккаунта. Дополнительно настраиваем retention policy на 5 лет (срок исковой давности).

Что входит в реализацию под ключ

Оценка точной стоимости и сроков — индивидуально после аудита текущей архитектуры. Получите консультацию по выбору типа подписи для вашего бизнеса — свяжитесь с нами.

Почему стоит заказать реализацию у нас

За 7 лет мы реализовали ЭП для 20+ проектов — от финтех-стартапов до госпорталов. Гарантируем юридическую чистоту и соответствие 63-ФЗ, 149-ФЗ и 152-ФЗ. Передаём полную документацию и доступ к исходному коду. Опыт работы с сертифицированными УЦ (СБИС, КриптоПро, Контур) подтверждён сертификатами.

Закажите аудит текущей системы подписания — мы найдём уязвимости и предложим оптимальное решение.