Пароль электронной подписи: где взять и что делать, если забыли

«Не подходит пароль от ЭЦП» — обычно это три совершенно разные проблемы, и решаются они по-разному. Один пароль восстанавливается за две минуты бесплатно, второй не восстанавливается никогда, третий вообще заводской и записан в документации производителя.

Разберёмся, какой пароль у вас не подходит, и что с этим делать.

Три пароля, которые все называют «паролем от ЭЦП»

Определить свой случай проще всего по окну, в котором вас просят ввести пароль: у токена оно фирменное, у КриптоПро — с надписью «КриптоПро CSP», у налоговой — прямо в браузере на странице кабинета.

ПИН-код токена: сначала попробуйте заводской

Рутокен, JaCarta и другие защищённые носители приезжают из удостоверяющего центра с заводскими ПИН-кодами. У Рутокена это 12345678 для пользователя и 87654321 для администратора. Если при получении подписи вам не предлагали придумать свой ПИН — почти наверняка стоит заводской, и он подойдёт.

Если заводской не подходит, значит ПИН меняли: вы сами, ваш системный администратор или сотрудник УЦ. Пустым ПИН быть не может.

Количество попыток ограничено. Счётчик задаётся при инициализации носителя, и когда он обнуляется, ПИН пользователя блокируется. Разблокировать его можно ПИН-кодом администратора — в утилите «Панель управления Рутокен» на вкладке «Администрирование». Если заблокирован и администраторский ПИН, остаётся только форматирование носителя, а вместе с ним стирается и ключ подписи: понадобится перевыпуск сертификата.

Отсюда практическое правило: не перебирайте варианты вслепую. Каждая неудачная попытка приближает блокировку. Лучше остановиться, поискать записи и подключить того, кто настраивал подпись.

Удостоверяющий центр ваш ПИН не хранит и подсказать его не может — это не халатность, а требование к работе с ключами: центр физически не имеет доступа к вашему носителю.

Пароль контейнера в КриптоПро: восстановить нельзя

Контейнер — это папка с закрытым ключом. Пароль к ней задаётся в момент записи ключа и нигде не сохраняется в открытом виде. Если при вводе стояла галочка «Запомнить пароль», система подставляет его сама — и вы годами можете не знать, какой он.

Проверить, сохранён ли пароль, можно в КриптоПро CSP: вкладка Сервис → Удалить запомненные пароли. Если там есть записи — пароль закеширован, и подпись продолжит работать на этом компьютере. На другом компьютере она уже потребует ввод.

Забытый пароль контейнера означает перевыпуск сертификата. Обходных путей нет: подобрать пароль к контейнеру — это и есть взлом ключа, ради невозможности которого всё и построено.

Пароль НЭП в кабинете налогоплательщика: выпустите новый

Отдельная история — неквалифицированная подпись, которую физлицо создаёт прямо в личном кабинете на сайте ФНС. Ею подписывают 3-НДФЛ, заявления на вычет и другие обращения в налоговую. Никакого токена здесь нет, пароль вы придумываете сами при создании сертификата.

Если пароль забыт, восстанавливать нечего — сертификат отзывается и выпускается заново:

1. Войдите в личный кабинет налогоплательщика для физических лиц.
2. Откройте профиль и раздел с электронной подписью.
3. Отзовите действующий сертификат.
4. Сформируйте запрос на новый и задайте новый пароль.

Выпуск бесплатный и занимает от нескольких минут до суток — сертификат формируется на стороне ФНС. Срок действия — 15 месяцев. Единственное неудобство: декларация, начатая со старым сертификатом, потребует переподписания.

Короткий алгоритм

1. Посмотрите, какое окно просит пароль — от этого зависит всё остальное.
2. Токен: попробуйте заводской ПИН один раз, дальше — ПИН администратора.
3. КриптоПро: проверьте, не сохранён ли пароль на этом компьютере.
4. Кабинет ФНС: отзовите сертификат и выпустите новый.
5. Ничего не помогло — обратитесь в УЦ за перевыпуском. В удостоверяющем центре ФНС для ИП и руководителей организаций он бесплатный, в коммерческом УЦ — по прайсу.

Что делать с документами, пока подпись недоступна

Перевыпуск занимает от одного дня до недели, а документы ждать не будут. Здесь стоит честно ответить на вопрос: а нужна ли этому документу квалифицированная подпись вообще?

Отчётность в госорганы, госзакупки, регистрационные действия — да, только КЭП. Но счёт на оплату, коммерческое предложение, акт для контрагента, внутренний приказ, заявление в свою же бухгалтерию — это документы, которым достаточно подписи и печати на скане. Их можно оформить прямо в браузере: загрузить PDF, поставить подпись и печать и отправить контрагенту, не дожидаясь нового сертификата.

Подробнее о том, какие документы можно подписывать без КЭП, — в статье ПЭП, НЭП, КЭП: виды электронной подписи.

Как не попасть в это снова

• Менеджер паролей. ПИН токена и пароль контейнера — туда же, куда пароли от банка.
• Не меняйте заводской ПИН «на потом». Либо меняете и сразу записываете, либо не меняете вовсе.
• Копия контейнера на втором носителе, пока всё работает.
• Напоминание за месяц до окончания сертификата: перевыпуск при действующей подписи проходит дистанционно, а после истечения — только с визитом. Как это устроено, разобрано в статье Как продлить электронную подпись.

Частые вопросы

Может ли удостоверяющий центр восстановить мой пароль? Нет. УЦ не хранит ПИН-коды и пароли контейнеров. Он может только перевыпустить сертификат.

Поможет ли переустановка КриптоПро? Нет, а навредить может: при переустановке теряются запомненные пароли, и подпись, которая работала «сама», перестанет открываться.

Пароль от Госуслуг — это пароль от подписи? Нет. Это разные учётные данные. Подпись в приложении «Госключ» подтверждается ПИН-кодом самого приложения, а не паролем от портала.

Сколько стоит перевыпуск? В удостоверяющем центре ФНС для ИП и руководителей юрлиц — бесплатно, нужен только носитель. В коммерческом УЦ — по тарифу центра.

Можно ли снять ПИН с токена совсем? Нет. Пустой ПИН носитель не принимает — это часть требований к средствам криптозащиты.

Попробуйте подписать документ: Открыть редактор →