Файл .sig — это подпись, а не документ

Файл .sig приходит вместе с договором или выпиской и не открывается ничем привычным. Это нормально: внутри не документ, а электронная подпись к нему. Ниже что там лежит, как это увидеть и чего по такому файлу узнать нельзя.

Почему она лежит отдельным файлом#

Закон допускает оба варианта. Пункт 1 статьи 2 Федерального закона № 63-ФЗ «Об электронной подписи» определяет подпись так:

электронная подпись — информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию

«Присоединена» — это когда заверение лежит внутри самого документа. «Иным образом связана» — как раз наш случай: документ отдельно, .sig отдельно. Отсюда и двойное расширение вида договор.pdf.sig: подписан договор.pdf, а файл заверения лежит рядом.

Практическое следствие: подавать нужно оба файла. Один без другого бесполезен: по .sig нельзя восстановить документ, а документ сам по себе никем не заверен.

Замер: один договор, заверенный двумя способами#

Мы заверили один и тот же файл двумя способами и прогнали результат своим разборщиком. Замер 3 сентября 2026 года.

Разница в 92 байта — это и есть вложенный документ вместе с обёрткой: в одном варианте он внутри, в другом его нет вовсе. Восемьдесят восемь байт договора против тысячи шестисот — заверение почти всегда тяжелее того, что заверено, и это не ошибка.

Сам договор разборщик заверением не признал и сказал об этом прямо, а не попытался угадать. Признак простой: такой файл в кодировке DER всегда начинается с байта 0x30 — это открывающая структура ASN.1. Ни один текстовый файл или PDF так не начинается.

Как открыть sig файл и что в нём видно#

По нашему замеру движок вытаскивает оттуда:

• отделённое заверение или вложенное — то есть нужен ли к нему документ;
• алгоритм и отдельным признаком то, российский он или нет;
• время, которое указал подписант;
• кому выдан сертификат — имя и организация, как записаны в нём;
• сколько заверений в файле — сторон бывает несколько.

Разбор идёт у вас в браузере, файл никуда не отправляется.

Чего по такому файлу узнать нельзя#

Здесь мы говорим прямо, потому что на этом чаще всего и обманывают.

Действительность таким разбором не подтверждается. Чтобы сказать «верна», нужно посчитать криптографию по ГОСТ и пройти цепочку доверия до аккредитованного удостоверяющего центра. Ни того, ни другого в браузере нет. Мы читаем и называем то, что записано в файле, — не больше.

Времени верить как доказательству нельзя. Его указывает сам подписант: это поле внутри файла, а не независимая отметка.

Признак «по ГОСТ» — не формальность. В нашем замере алгоритм RSA: файл читается, владелец виден, всё на месте — но сделано это не по ГОСТ Р 34.10-2012, и там, где ждут усиленную квалифицированную, такое не примут. Самая частая причина отказа — не испорченный файл, а не тот вид заверения. Поэтому движок помечает это первой же строкой.

По видам и по тому, какое где нужно, есть отдельный разбор с цитатами закона.

Что делать с полученным .sig#

• Не переименовывайте и не «чините» расширение. договор.pdf.sig — это правильное имя, а не ошибка отправителя.
• Храните и подавайте оба файла вместе. Это комплект, а не копия.
• Посмотрите, что внутри, прежде чем спорить с отправителем. Разбор файла покажет вид, алгоритм и владельца за один прогон.
• Для юридической проверки нужны средства с криптографией по ГОСТ. Их выдаёт удостоверяющий центр вместе с сертификатом; браузерный разбор их не заменяет и не притворяется заменой.
• Если требуется скан, а не документ с подписью — это другая история, и разница между образом и электронным документом разобрана отдельно.