Проверка электронной подписи

Технический сервис проверки российской ЭП (ГОСТ Р 34.10-2012)

Что делает сервис

Принимает документ и его электронную подпись и проверяет, что подпись подлинная, кем и когда поставлена, действовал ли сертификат и можно ли доверять выпустившему его удостоверяющему центру. Поддерживает одиночную и массовую (пакетную) проверку.

Поддерживаемые форматы

Отделённая подпись (CMS/CAdES, файлы .sig, .p7s, .sgn) — документ и подпись отдельными файлами.
Совмещённая (attached/enveloping) — документ внутри файла подписи.
PAdES — PDF со встроенной подписью (один файл).
XAdES — подпись, встроенная в XML (XML-DSig).
Пакет — много файлов или ZIP-архив; пары «документ + подпись» сопоставляются по имени.

Что именно проверяется (5 слоёв)

Слой	Проверка
1	Криптография: хеш документа (Стрибог, ГОСТ Р 34.11-2012) совпал с подписанным, подпись верна по ключу (ГОСТ Р 34.10-2012)
2	Сертификат подписанта: срок действия, поля (ФИО, ИНН, СНИЛС, ОГРН, организация, должность)
3	Цепочка доверия до корневого УЦ РФ (Минцифры ГУЦ), с автодостройкой по AIA
4	Отзыв сертификата по спискам CRL и службе OCSP
5	Метка доверенного времени (TSP / RFC 3161) — когда поставлена подпись

Вердикт

Действительна — крипто верно, сертификат действует, не отозван.
Действительна на момент подписания — подпись верна, но срок сертификата истёк; если документ подписан в период действия сертификата, тогда она была действительна.
Недействительна — подпись не сошлась (документ изменён) или сертификат отозван.

Цепочка доверия и метка времени — информационные: не делают вердикт отрицательным, но показываются.

Архитектура

Backend: FastAPI (Python 3.11). Криптография — openssl + gost-engine (эталонная реализация ГОСТ). Разбор контейнеров — asn1crypto, XML — lxml.
Frontend: одностраничный интерфейс (без сборки), отдаётся backend'ом.
Trust store: корни Минцифры ГУЦ и Russian Trusted Root CA; промежуточные сертификаты УЦ дотягиваются по AIA caIssuers (как браузеры).
Сеть: проверки отзыва (CRL/OCSP) и достройка цепочки идут к внешним УЦ через фильтр SSRF (только публичные адреса). XML-парсер защищён от XXE.
API-first: весь функционал доступен по REST API для интеграции из других сервисов — см. документацию API.
Мониторинг: ошибки отправляются в GlitchTip (без содержимого документов).