Подписание договоров в личном кабинете клиента: простая и квалифицированная подпись — что разрешает закон и как это устроить

Короткий ответ: подписать договор в личном кабинете кодом из SMS можно — это простая электронная подпись (ПЭП), и она равна собственноручной, если стороны заранее заключили соглашение о ПЭП с правилами по ст. 9 закона № 63-ФЗ. Между компаниями, для счетов-фактур и документов, где закон требует квалифицированную подпись, нужна УКЭП — обычно через оператора ЭДО. Кабинет при этом обязан хранить доказательство: журнал действий и хеш подписанного файла.

Ниже — как это устроено юридически и технически, что спросить у юриста и что поручить разработчику. Статья не заменяет юриста: формулировки соглашения и список документов под ПЭП стоит согласовать с ним. Наша часть — сделать так, чтобы подпись в кабинете работала по этим правилам и её можно было доказать.

Какие бывают электронные подписи?

Закон знает три вида: простую (ПЭП) и две усиленные — неквалифицированную (УНЭП) и квалифицированную (УКЭП). ПЭП лишь подтверждает, что действие совершил определённый человек; усиленные основаны на криптографии и показывают, менялся ли документ после подписи.

Определения даны в ст. 5 закона № 63-ФЗ «Об электронной подписи». Простая подпись — это коды, пароли или иные средства, которые подтверждают, что подпись сформировал конкретный человек. Неквалифицированная получается криптографическим преобразованием с ключом подписи, определяет подписанта и позволяет обнаружить изменения документа. Квалифицированная — то же самое, но ключ проверки указан в квалифицированном сертификате аккредитованного удостоверяющего центра, а средства подписи сертифицированы.

Для заказчика кабинета разница практическая:

• ПЭП — встраивается в любой кабинет: клиент вошёл, открыл документ, получил код, ввёл его. Ничего не нужно устанавливать.
• УНЭП — уместна в закрытых системах, где все участники постоянные и ключи им выдаёт сама система или её оператор.
• УКЭП — у клиента должен быть сертификат: у руководителя организации и ИП его выдаёт удостоверяющий центр ФНС (ст. 17.2 и 17.3 закона), у сотрудника, который подписывает от имени компании, — ещё и машиночитаемая доверенность (ст. 17.5).

	Простая (ПЭП)	Усиленная неквалифицированная (УНЭП)	Усиленная квалифицированная (УКЭП)
Как выглядит для клиента	Код из SMS или письма, нажатие кнопки после входа по паролю	Ключ, выданный сервисом или удостоверяющим центром, подпись в приложении	Сертификат аккредитованного удостоверяющего центра на токене или в облаке
Что подтверждает	Что подписал определённый человек — по правилам, о которых договорились	Кто подписал и что документ не меняли после подписи (криптография)	То же, плюс сертификат и средства подписи признаны по закону
Равна ли бумаге с подписью	Только если это предусмотрено законом или соглашением сторон (ч. 2 ст. 6)	Так же — по закону или соглашению	Да, в любых отношениях, кроме случаев, где закон требует бумагу (ч. 1 ст. 6)
Типичный сценарий в кабинете	Договор оказания услуг, заявка, согласие с условиями, акт для частного клиента	Закрытые системы с постоянными участниками, где ключи выдаёт сама система	Договоры и первичка между компаниями, счета-фактуры, документы с требованием печати

Когда достаточно кода из SMS в кабинете?

Код из SMS в кабинете — это ПЭП, и она равна подписи на бумаге в двух случаях: так прямо сказано в законе или нормативном акте либо стороны заранее заключили соглашение об этом. Для договоров с вашими клиентами обычно работает второй путь — соглашение.

Это правило ч. 2 ст. 6 закона № 63-ФЗ. Его поддерживает Гражданский кодекс: по п. 1 ст. 160 ГК РФ письменная форма сделки соблюдена и при электронных средствах, если содержание можно воспроизвести без изменений, а подпись — любым способом, который достоверно определяет лицо; конкретный способ стороны вправе установить соглашением.

Сама ПЭП по ч. 1 ст. 9 закона признаётся подписью в одном из двух случаев: она содержится в самом документе либо ключ (у нас — код) применён по правилам информационной системы и в документе есть сведения, кто его подписал. Второй вариант — как раз про кабинет.

Сценарии, где кода из SMS обычно хватает:

• договор оказания услуг или поставки с частным клиентом, который заключается при оформлении заказа;
• дополнительные соглашения, заявки, спецификации и акты внутри уже действующего договора, где стороны договорились о ПЭП;
• согласие с изменением тарифа, условиями акции, графиком платежей;
• подтверждение получения документа или ознакомления с ним.

Не путайте вход по коду и подпись кодом. Код при входе в кабинет подтверждает личность для сессии; код подписи привязан к конкретному документу и показывается рядом с ним. Это должны быть разные коды с разным текстом сообщения: «Код для подписания договора 2026-015» вместо «Ваш код для входа». Как устроен сам вход и сколько стоят SMS, мы разбирали в статье о входе по SMS или звонку.

Что записать в соглашении о ПЭП?

Закон требует от соглашения два обязательных пункта: правила, по которым определяют подписанта по его ПЭП, и обязанность клиента хранить ключ, то есть код, в тайне. Остальное — практичные условия, без которых спор будет сложнее выиграть.

Обязательные положения перечислены в ч. 2 ст. 9 закона № 63-ФЗ. Чек-лист для юриста, который готовит текст:

1. Что считается ПЭП. Например: одноразовый код, отправленный на подтверждённый номер телефона клиента и введённый в кабинете на странице документа.
2. Как определяется подписант. По учётной записи, номеру телефона, указанному в договоре или профиле, и данным, которые система вписывает в подписанный документ.
3. Обязанность хранить код в тайне и сообщать о потере телефона или доступа к почте.
4. Какие документы подписываются ПЭП — перечнем или по признаку: «все документы в рамках договора, кроме…».
5. Что делать при смене номера — как клиент меняет номер и с какого момента новый номер считается действующим.
6. Как и где хранятся подписанные документы и как клиент получает свой экземпляр.
7. Что признаётся доказательством — записи журнала системы о подписании.
8. Порядок изменения соглашения — как вы уведомите клиентов о новой редакции.

Соглашение можно оформить отдельным документом, разделом договора или частью пользовательского соглашения, которое клиент принимает при регистрации. Последний вариант удобен, но тогда кабинет должен записывать сам акцепт: кто, когда и какую версию текста принял. Без этой записи вся цепочка доказательств начинается с пробела.

Когда без УКЭП не обойтись?

Квалифицированная подпись нужна, когда её прямо требует закон, когда документ должен быть заверен печатью, когда контрагент не подписывает соглашение о ПЭП и когда документ уходит в налоговый или иной обмен с жёстким форматом. Типичный пример — обмен первичкой и счетами-фактурами между компаниями.

Ориентиры по закону и практике:

• Документ должен быть с печатью. По ч. 3 ст. 6 закона № 63-ФЗ к бумажному документу с подписью и печатью приравнивается электронный документ с усиленной подписью — УКЭП или УНЭП, если ту признали по соглашению. ПЭП такого эффекта не даёт.
• Электронный счёт-фактура. По п. 6 ст. 169 НК РФ его подписывают УКЭП руководителя или уполномоченного лица.
• Контрагент — компания со своим документооборотом. Крупные заказчики, как правило, подписывают только через оператора ЭДО и не принимают документы, подписанные кодом на чужом сайте.
• Нет соглашения о ПЭП. Если клиент его не принимал, договор, «подписанный» кодом, придётся доказывать иными средствами, и исход не предсказуем.
• Государственная тайна. ПЭП запрещена прямо — ч. 4 ст. 9.

Чтобы подписывать УКЭП из кабинета, обычно не пишут криптографию с нуля, а подключают оператора электронного документооборота или сервис облачной подписи по их API. Кабинет готовит файл, передаёт его на подпись, получает подписанный пакет и статус. Договор с оператором и его тарифы — на вас, разработчик отвечает за связку. Когда нужен свой контур документооборота, а когда готовая система, — в статье об электронном документообороте на заказ.

Как кабинет хранит доказательство подписи?

Доказательство — это не сам код, а цепочка записей: кто вошёл, какой файл открыл, какой хеш у этого файла, когда отправлен и введён код, какую версию соглашения клиент принял. Подписанный файл кладут в хранилище, где его нельзя перезаписать.

Сам код из SMS после использования ничего не доказывает: он одноразовый, и хранить его в открытом виде незачем. Доказывает журнал. Как его устроить:

• Фиксируйте документ до подписи. В момент отправки кода система считает хеш файла и записывает его. Если после подписи файл изменится хотя бы на байт, хеш не совпадёт — это видно сразу.
• Впечатывайте отметку о подписании. В итоговый PDF добавляют блок: кто подписал, дата и время, номер телефона в маске, идентификатор записи журнала, хеш исходного файла.
• Не давайте редактировать подписанное. Изменения — только новым документом, например допсоглашением, со своей подписью.
• Отдавайте клиенту экземпляр — письмом или в разделе документов кабинета. Это и требование хорошей практики, и аргумент в споре.
• Ограничьте попытки ввода кода и срок его действия, записывайте неудачные попытки.
• Делайте резервные копии журнала отдельно от основной базы.

Телефон, IP-адрес, ФИО в журнале — персональные данные. Срок их хранения и цели обработки должны быть описаны в вашей политике обработки персональных данных. Что ещё учесть по данным клиентов в кабинете, мы собрали в статье о том, что должно быть в личном кабинете клиента.

Пример из нашей практики, без юридической подписи: в клиентском портале Roboweb.team заказчик сам переводит задачу из «На проверке» в «Готово» или возвращает на доработку, а команда получает уведомление. Это приёмка, а не подписание документа, но принцип тот же: каждое действие клиента записывается с автором и временем, и его можно восстановить.

Когда подписание в кабинете вам не нужно?

Если документов мало и подписывают их раз в квартал, проще остаться на бумаге или подписывать через готовый сервис оператора ЭДО без своей разработки. Встраивать подписание стоит, когда документы идут потоком и задержка подписи тормозит деньги.

Признаки, что с подписанием стоит подождать:

• клиенты — в основном компании, которые и так работают через операторов ЭДО: им удобнее получать документы там, а не в вашем кабинете;
• в месяц подписывается несколько договоров, и сотрудник отправляет их за полчаса;
• юрист ещё не определился, какие документы допустимо подписывать ПЭП;
• в кабинете пока нет подтверждённого телефона или почты клиента — тогда сначала нужна проверка контакта.

Частые ошибки, которые мы видим в чужих реализациях:

• галочка «Согласен» вместо подписи: нет кода, нет привязки к файлу, нет журнала;
• один и тот же код для входа и для подписи — потом невозможно доказать, что клиент подписывал именно этот документ;
• подписанный файл хранится там же, где черновики, и его можно заменить;
• соглашение о ПЭП есть, но не записано, когда и в какой редакции клиент его принял;
• подпись кодом используют для документов, где нужна УКЭП, например для счетов-фактур.

Поле	Зачем	Где хранится
Хеш файла документа (например, SHA-256)	Показать, что подписан именно этот файл и его не меняли	В записи подписания и рядом с файлом
Учётная запись и подтверждённый телефон или почта	Связать подпись с конкретным человеком по правилам соглашения	В профиле и в записи подписания
Время отправки кода и время ввода	Восстановить последовательность действий	В журнале, время сервера
IP-адрес и сведения о браузере	Дополнительное подтверждение, что действие совершено из сессии клиента	В журнале, с ограниченным сроком хранения
Версия соглашения о ПЭП и отметка о его принятии	Показать, по каким правилам подписан документ	В профиле клиента, с датой принятия
Итоговый файл с отметкой о подписании	Отдать клиенту и суду читаемый экземпляр	В хранилище только для чтения

Сколько стоит встроить подписание?

Личный кабинет у нас делается по тарифу «Веб-приложение / SaaS» — от 160 000 ₽ и от 10 дней. Подписание кодом и связка с оператором ЭДО в тарифе не названы, поэтому их объём и цену мы называем после брифа и фиксируем в договоре до старта.

В базовый объём личного кабинета по прайсу уже входят кабинеты с правами по ролям, регистрация, вход и восстановление пароля, email-уведомления, база данных и API, приём оплаты и одна-две внешние интеграции. Юрдокументы в тариф не входят, поэтому текст соглашения о ПЭП готовит ваш юрист. Подписание добавляет к этому модуль кодов, генерацию итогового файла с отметкой, журнал и хранилище, а для УКЭП — интеграцию с выбранным оператором.

Отдельно от разработки вы платите напрямую поставщикам: SMS-агрегатору за сообщения с кодами, оператору ЭДО или сервису облачной подписи — по их тарифам, удостоверяющему центру — за сертификаты, если они нужны вашим сотрудникам. После запуска 14 дней поддержки бесплатно, дальше — абонентское обслуживание от 7 900 ₽ в месяц или разовые задачи.

Что подготовить к брифу, чтобы оценка была точной:

1. список документов, которые клиенты должны подписывать, и образцы;
2. кто подписывает: частные лица, ИП, компании;
3. сколько документов в месяц и нужна ли подпись с вашей стороны;
4. согласованный с юристом текст соглашения о ПЭП или хотя бы его пункты;
5. работаете ли вы уже с оператором ЭДО и с каким.

Короткие ответы на частые вопросы

Имеет ли юридическую силу договор, подписанный кодом из SMS?

Да, если стороны заранее договорились считать такой код простой электронной подписью и в соглашении есть правила определения подписанта и обязанность хранить код в тайне. Это требования ч. 2 ст. 6 и ст. 9 закона № 63-ФЗ.

Можно ли включить соглашение о простой электронной подписи в пользовательское соглашение?

Можно: часто его делают отдельным разделом условий, которые клиент принимает при регистрации. Важно, чтобы принятие условий было записано в системе с датой и версией текста, иначе потом трудно доказать, что правила подписи вообще действовали.

Что нельзя подписывать простой электронной подписью?

Документы с государственной тайной — это прямо запрещено ч. 4 ст. 9 закона № 63-ФЗ. Кроме того, ПЭП не подходит там, где закон требует квалифицированную подпись или бумажный документ: например, электронный счёт-фактура по п. 6 ст. 169 НК РФ подписывается УКЭП.

Нужна ли клиенту-физлицу квалифицированная подпись, чтобы подписать договор онлайн?

Для большинства договоров с частными клиентами — нет: хватает ПЭП по соглашению сторон. УКЭП физлица нужна, когда её прямо требует закон или контрагент не готов признавать простую подпись.

Сколько стоит подписание документов в личном кабинете?

Сам кабинет по тарифу «Веб-приложение / SaaS» стоит от 160 000 ₽ и делается от 10 дней. Подписание кодом и подключение оператора ЭДО в тариф не входят — объём и цену называем после брифа; SMS и услуги оператора вы оплачиваете им напрямую.

Услуги и кейсы по теме: разработка личного кабинета · кейс: сайт студии и клиентский кабинет · цены и сроки