Реализация квалифицированной электронной подписи (КЭП) на сайте

Реализация квалифицированной электронной подписи (КЭП) на сайте

Квалифицированная электронная подпись (КЭП) — единственный вид ЭП, равнозначный собственноручной подписи по российскому законодательству (ФЗ-63). Это не визуальная подпись и не простая ЭП: КЭП создаётся с помощью квалифицированного сертификата (выдаётся аккредитованными УЦ) и криптографического программного обеспечения (СКЗИ).

Технический стек

КриптоПро CSP — наиболее распространённое СКЗИ в России. Устанавливается на компьютер пользователя. Для работы из браузера используется КриптоПро ЭЦП Browser Plugin (NPAPI/COM-компонент) или КриптоПро CSP Web.

Альтернативы:

• Рутокен ЭЦП — токен со встроенной криптографией ГОСТ, плагин Рутокен Web
• VipNet CSP — альтернативное СКЗИ
• КриптоАРМ ГОСТ — десктопное приложение с API

Для SaaS без требования установки СКЗИ — облачная КЭП через DSS (Directory Services of Signing): пользователь получает SMS-подтверждение, подпись создаётся на сервере в доверенной среде. Провайдеры: КриптоПро DSS, Контур.Крипто, Доверенная среда.

Архитектура подписания через КриптоПро Browser Plugin

// Проверка наличия плагина
async function checkCryptoProPlugin() {
  try {
    const plugin = await cadesplugin;  // cadesplugin - глобальный объект после загрузки плагина
    return true;
  } catch (e) {
    return false;
  }
}

// Получение списка сертификатов пользователя
async function getUserCertificates() {
  const plugin = await cadesplugin;
  const store = await plugin.CreateObjectAsync('CAdESCOM.Store');
  await store.Open(
    plugin.CADESCOM_CONTAINER_STORE,  // Из хранилища контейнеров
    plugin.CAPICOM_MY_STORE,          // "Личные" сертификаты
    plugin.CAPICOM_STORE_OPEN_MAXIMUM_ALLOWED
  );

  const certs = await store.Certificates;
  const validCerts = await certs.Find(plugin.CAPICOM_CERTIFICATE_FIND_TIME_VALID);
  const result = [];

  for (let i = 1; i <= await validCerts.Count; i++) {
    const cert = await validCerts.Item(i);
    const subjectName = await cert.SubjectName;
    const validTo = await cert.ValidToDate;
    result.push({ index: i, subjectName, validTo, cert });
  }

  await store.Close();
  return result;
}

// Создание подписи CAdES-BES (присоединённая)
async function signDocumentCAdES(documentBase64, certificateItem) {
  const plugin = await cadesplugin;
  const signer = await plugin.CreateObjectAsync('CAdESCOM.CPSigner');
  await signer.propset_Certificate(certificateItem.cert);
  await signer.propset_CheckCertificate(true);

  const signedData = await plugin.CreateObjectAsync('CAdESCOM.CadesSignedData');
  await signedData.propset_ContentEncoding(plugin.CADESCOM_BASE64_TO_BINARY);
  await signedData.propset_Content(documentBase64);

  const signature = await signedData.SignCades(
    signer,
    plugin.CADESCOM_CADES_BES,  // BES = без метки времени
    true  // detached = отсоединённая подпись
  );

  return signature;
}

Форматы подписи

Облачная КЭП через КриптоПро DSS

Не требует установки СКЗИ на компьютер пользователя:

// Инициализация подписания через DSS API
async function initDssSignature(documentHash, userPhone) {
  const response = await fetch('https://dss.cryptopro.ru/SignServer/rest/api/CreateTransactionHash', {
    method: 'POST',
    headers: {
      'Authorization': `Bearer ${process.env.DSS_ACCESS_TOKEN}`,
      'Content-Type': 'application/json',
    },
    body: JSON.stringify({
      Signature: {
        Parameters: {
          CadesType: 1,  // CAdES-BES
          HashAlgorithm: 'GOST3411-2012-256',
        },
        Content: { IsDetached: true, HashValue: documentHash },
      },
      OperationID: crypto.randomUUID(),
    }),
  });

  const { TransactionID } = await response.json();

  // Отправить SMS с кодом подтверждения
  await sendConfirmationSms(userPhone, TransactionID);

  return TransactionID;
}

// Подтверждение SMS-кодом
async function confirmDssSignature(transactionId, smsCode) {
  const response = await fetch('https://dss.cryptopro.ru/SignServer/rest/api/ConfirmSignature', {
    method: 'POST',
    body: JSON.stringify({ TransactionID: transactionId, ConfirmationCode: smsCode }),
  });

  const { Signature } = await response.json();
  return Signature; // base64 подпись
}

Верификация подписи

// Проверка через КриптоПро WebService
async function verifySignature(documentBytes, signatureBase64) {
  const plugin = await cadesplugin;
  const signedData = await plugin.CreateObjectAsync('CAdESCOM.CadesSignedData');
  await signedData.propset_ContentEncoding(plugin.CADESCOM_BASE64_TO_BINARY);
  await signedData.propset_Content(Buffer.from(documentBytes).toString('base64'));

  await signedData.VerifyCades(signatureBase64, plugin.CADESCOM_CADES_BES, true);

  const signers = await signedData.Signers;
  const signer = await signers.Item(1);
  const cert = await signer.Certificate;
  const certInfo = await cert.SubjectName;

  return {
    valid: true,
    signerName: certInfo,
    signedAt: await signer.SigningTime,
  };
}

Юридические требования

• Сертификат должен быть выдан аккредитованным УЦ (реестр на сайте Минцифры)
• СКЗИ должно быть сертифицировано ФСБ
• Для сделок с недвижимостью, нотариальных действий — дополнительные требования
• Хранение документов с КЭП — не менее срока исковой давности (3–10 лет)

Сроки

Интеграция с КриптоПро Browser Plugin: UI, список сертификатов, подписание CAdES-BES — 7–10 дней. Облачная КЭП через КриптоПро DSS с SMS-подтверждением — 7–10 дней. Верификация подписей с проверкой сертификата — 3–5 дней.