Зміст

Перевірити наявність електронного підпису (ЕЦП/КЕП) у документі можна двома шляхами: візуально через спеціальні графічні мітки або технічно за допомогою сервісів перевірки, як-от портал «Дія» чи веб-ресурси центрів сертифікації ключів. Якщо перед вами звичайний PDF без «синього штампа», це ще не означає відсутність юридичної сили, адже справжній підпис — це не картинка, а зашифрований набір байтів, прихований у метаданих файлу. Довіряти очам у цифрову епоху необачно; довіряти алгоритмам хешування — єдиний спосіб вижити в бюрократичному морі.

Цифрова генетика: чому ми досі шукаємо «мокру» печатку там, де її немає

Український бізнес та державний сектор зробили карколомний стрибок у диджиталізацію, проте ментальна прив’язаність до паперових артефактів залишається непохитною. Ми шукаємо очима знайомий закарлючку-автограф на моніторі, хоча за своєю природою КЕП (кваліфікований електронний підпис) — це математична абстракція. Це криптографічна оболонка. Коли ви накладаєте підпис, спеціалізований софт створює унікальний хеш-код документа, який «приклеюється» до файлу за допомогою вашого закритого ключа. Будь-яка спроба змінити бодай кому в тексті після підписання миттєво руйнує цю цілісність, роблячи підпис недійсним.

Важливо розрізняти візуальний образ підпису та сам цифровий сертифікат. Часто розробники систем документообігу додають на сторінку «факсиміле» — картинку, що імітує реальний розчерк пера. Це робиться виключно для психологічного комфорту користувача. Справжня валідація відбувається на рівні бінарного коду. Розуміння цієї дихотомії між видимим та реальним є фундаментом цифрової грамотності. Без сертифіката від акредитованого центру сертифікації ключів (АЦСК) будь-яка картинка в PDF залишається просто малюнком, позбавленим будь-яких правових наслідків у суді чи банку.

Анатомія перевірки: від розширення файлу до криптографічного звіту

Перший маркер, на який варто звернути увагу — це розширення файлу. Якщо ви отримали архів з розширенням .p7s, вітаю, ви тримаєте в руках «від’єднаний» підпис. Це специфічний контейнер, який зберігає інформацію про підписанта та час операції окремо від основного тіла документа. Проте сучасний стандарт — це формат CAdES або XAdES, де підпис «зашитий» всередину самого документа, зазвичай у форматі PDF. Відкриваючи такий файл у професійних редакторах, ви можете побачити панель Signature Panel, яка сповіщає про валідність сертифікатів.

Проте справжній експертний аналіз починається на незалежних майданчиках. Використання державного сервісу перевірки підписів на порталі czo.gov.ua або в «Дії» — це золотий стандарт. Завантажуючи туди файл, ви запускаєте процес звірки хеш-сум. Система звертається до реєстру АЦСК, перевіряє, чи не був ключ відкликаний на момент підписання, чи належить він саме тій особі, яка вказана в реквізитах, і чи є цей підпис кваліфікованим (що прирівнює його до власноручного). Якщо система видає помилку «Цілісність даних порушена», документ можна сміливо відправляти в кошик — він був відредагований після того, як його підписали.

Практичні наслідки: як не підписати «кота в мішку»

Ігнорування технічної перевірки підпису несе в собі колосальні юридичні ризики. Уявіть ситуацію: ви отримуєте договір оренди, бачите внизу гарний штамп «Підписано ЕЦП», заспокоюєтесь і перераховуєте кошти. Згодом з’ясовується, що підпис накладено звичайним «удосконаленим» ключем, а не кваліфікованим, або термін дії сертифіката закінчився ще торік. У судовому спорі такий документ може бути визнаний неналежним доказом, оскільки він не відповідає вимогам Закону України «Про електронні довірчі послуги».

Особливу увагу слід приділяти часовій мітці (Timestamp). Це критичний елемент КЕП, який фіксує точний час підписання через сервер точного часу, а не за годинником комп’ютера підписанта. Без часової мітки довести, що документ був підписаний саме до моменту закінчення дії контракту або до смерті підписанта (бувають і такі випадки), практично неможливо. Тому, аналізуючи електронний документ, ви завжди повинні бачити не просто прізвище, а й статус підпису, тип носія (захищений токен чи хмарне сховище) та підтвердження від довіреного центру. Тільки такий комплексний підхід гарантує безпеку ваших транзакцій у безпаперовому світі.

Поширені помилки та поради експертів

На практиці користувачі часто стикаються з ситуаціями, коли перевірка підпису видає помилку або статус «недійсний». Найпоширеніша причина — використання застарілих кореневих сертифікатів або спроба перевірити файл, який було змінено після підписання. Навіть один зайвий пробіл або зміна назви файлу (у випадку з від’єднаним підписом) анулює технічну цілісність документа. Експерти рекомендують завжди зберігати оригінальну структуру файлів: якщо ви отримали архів із документом та файлом розширення .p7s, не розділяйте їх.

Ще одна критична помилка — ігнорування мітки часу. Без неї неможливо довести, що підпис був накладений у період дії сертифіката. Для довгострокового зберігання документів використовуйте формати CAdES-X Long або ASiC-S, які включають усі дані для верифікації навіть через роки. Також пам'ятайте, що візуальна картинка «штампа» на PDF-файлі — це лише декоративний елемент. Справжню юридичну силу має лише математичний хеш, прихований у метаданих, тому перевірка через офіційні сервіси (наприклад, портал Дія або сервіси ЦЗО) є обов’язковою процедурою для бізнесу.

Часті запитання (FAQ)

1. Чи можна перевірити підпис без доступу до інтернету?

Для повноцінної верифікації доступ до мережі необхідний. Веб-сервіси повинні звернутися до списків відкликаних сертифікатів (CRL) або використати протокол OCSP, щоб переконатися, що ключ підписувача не був анульований або заблокований на момент перевірки. Офлайн-перевірка можлива лише за умови попереднього завантаження всіх актуальних списків відкликання, що технічно складно для пересічного користувача.

2. Що робити, якщо сервіс пише «Підпис підтверджено», але термін дії сертифіката закінчився?

Це нормальна ситуація, якщо документ був підписаний під час дії сертифіката і це підтверджено міткою часу. Юридична сила такого документа зберігається. Проблеми виникають лише тоді, коли підпис накладено вже після закінчення терміну дії або якщо мітка часу відсутня — у такому разі документ вважається недійсним.

3. У чому різниця між внутрішнім та зовнішнім (від’єднаним) підписом?

Внутрішній підпис «зашитий» безпосередньо у файл (зазвичай це PDF або XML), що зручно для пересилання. Зовнішній підпис створюється як окремий файл (наприклад, document.pdf.p7s). При перевірці зовнішнього підпису вам потрібно завантажити в сервіс обидва файли одночасно, інакше система не зможе зіставити математичний код із вмістом документа.

Вердикт редакції

Розуміння того, як працює електронний підпис, сьогодні є базовою цифровою грамотністю. Ми вважаємо, що найбільш надійним методом перевірки для українських користувачів залишається державний портал Дія або офіційні сайти акредитованих центрів сертифікації ключі (АЦСК). Головне правило: ніколи не довіряйте лише візуальним позначкам на папері чи екрані. Справжність ЕЦП — це завжди цифрова перевірка, яка гарантує, що документ не був підроблений, а підписувач — саме той, за кого себе видає.