Как да подпишете PDF с КЕП: Acrobat Reader, LibreOffice и Okular

PDF е най-удобният формат за подписан документ: подписът се вгражда в самия файл и получателят го отваря с обикновен четец за PDF. Тук са стъпките за трите най-разпространени безплатни програми: Adobe Acrobat Reader под Windows и macOS, LibreOffice под всички системи и Okular под Linux. Менютата са дадени така, както ги описват помощните страници на програмите и инструкциите на доставчиците към 28.10.2026; в по-нова версия етикетите може да се различават.

Преди да започнете, КЕП трябва да работи на компютъра: четец, софтуер за картата и удостоверителни вериги. Ако не сте стигнали дотам, започнете от софтуера и драйверите за КЕП.

Видим и невидим подпис, PAdES

Подписът в PDF се пази вътре във файла. Документацията на Европейската комисия за библиотеката DSS нарича този формат PAdES (PDF Advanced Electronic Signatures) и посочва стандарта ETSI EN 319 142. Evrotrust описва същото като „прикрепен“ подпис за PDF и XML, а за други файлове (JPG, ZIP, XLSX) — отделен файл с подписа. При StampIT отделният подпис е във формат p7s, а програмата DSTool създава и p7m.

Видимият подпис е правоъгълник на страницата с името на подписващия и датата. В Acrobat Reader и Okular го чертаете с мишката. Невидимият подпис няма поле на страницата; вижда се само в панела с подписите на четеца. И в двата случая проверката става по криптографските данни, а не по картинката: поле с име, което няма подпис зад себе си, не доказва нищо.

Adobe Acrobat Reader (Windows и macOS)

Помощните страници на Adobe не бяха достъпни при проверката ни, затова стъпките са по инструкцията на B-Trust за Acrobat DC под Windows. Подобни инструкции за macOS дават B-Trust, InfoNotary и StampIT.

Еднократни настройки:

1. Инсталирайте удостоверителните вериги на доставчика си.
2. Отворете Preferences → Categories: Signatures → Creation & Appearance → More… и прегледайте настройките за създаване на подпис.
3. В Categories: Trust Manager, при Automatic European Union Trusted List (EUTL) update, натиснете „Update Now“ и изчакайте съобщението, че настройките за сигурност са обновени.

Подписване:

1. Отворете документа. От Tools / All tools изберете Certificates / Use a certificate (според версията на интерфейса).
2. Изберете Digitally Sign.
3. С мишката очертайте мястото на подписа.
4. Посочете сертификата си и натиснете Continue.
5. Прегледайте данните и натиснете Sign.
6. Изберете къде и с какво име да се запише подписаният файл и въведете ПИН, когато бъде поискан.

В записания файл се виждат името на подписващия и датата и часът. Горе вляво Acrobat показва, че документът е подписан и подписът е валиден. За по-старите карти Siemens и Cryptovision B-Trust описва допълнителна настройка: Identities & Trust Certificates → PKCS#11 Modules and Tokens → Attach Module и зареждане на библиотеката на картата.

LibreOffice (Windows, macOS, Linux)

LibreOffice използва сертификатите от хранилището на системата под Windows, а под Linux и macOS — тези на Firefox или Thunderbird. Профилът се избира от Tools → Options → LibreOffice → Security → Certificate Path. Картата трябва вече да е настроена там (за Firefox вижте софтуера и драйверите).

Нов документ, подписан при експорт в PDF:

1. В Writer изберете File → Export As → Export as PDF и отворете раздела Digital Signatures.
2. При „Use this X.509 certificate to digitally sign PDF documents“ натиснете „Select“ и изберете сертификата. Може да бъдете попитани за ПИН.
3. В „Certificate password“ въведете ПИН-а на картата.
4. По желание попълнете Location, Contact information и Reason. Те се записват в подписа и всеки ги вижда.
5. При Time Stamp Authority изберете сървър за удостоверяване на времето, ако имате такъв. Без него подписът получава часа на вашия компютър.
6. Експортирайте. Тук не чертаете поле.

Готов PDF:

1. Изберете File → Digital Signatures → Sign Existing PDF. Файлът се отваря в LibreOffice Draw само за четене.
2. Подпишете по обичайния начин: в диалога Digital Signatures натиснете Add, изберете сертификата в Select Certificate и потвърдете с OK.

Ако подписът е наред, в лентата на състоянието се появява икона на сертификат. Според помощната страница на LibreOffice подпис върху само част от PDF го прави невалиден.

Okular (Linux)

Okular подписва само PDF файлове и изисква Poppler 21.01 или по-нов. Сертификатите идват от NSS, като програмата търси подред: хранилището на Firefox, /etc/pki/nssdb и $HOME/.pki/nssdb. Друго хранилище се задава в диалога Configure Okular…, в настройките на PDF модула, раздел „PDF Digital Signature Certificates“.

Стъпките по инструкцията на B-Trust (проверена с Ubuntu 22.04 и Okular 21.12.3):

1. Инсталирайте Okular: sudo apt install okular.
2. Проверете дали модулът на картата е в NSS базата: modutil -dbdir sql:$HOME/.pki/nssdb -list. Ако липсва, извадете картата, инсталирайте libnss3-tools, създайте папката $HOME/.pki/nssdb и добавете модула с modutil -add. За SafeNet библиотеката е libeTPkcs11.so.
3. Поставете картата и отворете PDF файла в Okular.
4. Изберете Tools → Digitally Sign…
5. Очертайте правоъгълник за подписа.
6. Въведете ПИН-а и изберете сертификата от картата.
7. Запишете подписания файл.

Ако не стане, B-Trust съветва в настройките за сертификати да изберете Custom с пътя /home/[потребител]/.pki/nssdb/ вместо базата на Firefox и да рестартирате Okular.

Програми на доставчиците

Някои доставчици дават свои програми за подписване на файлове. B-Trust Desktop Signer работи под Windows и macOS. InfoNotary e-Doc Signer подписва в PAdES, CAdES и XAdES под Windows, macOS и Linux. StampIT DSTool създава p7m и p7s. С облачния подпис на Evrotrust PDF се подписва в мобилното приложение. Кое кога е по-удобно, зависи от доставчика; вижте сравнението на доставчиците.

Как получателят проверява подписа

1. В четеца за PDF. Acrobat Reader и Okular показват панел с подписите. LibreOffice различава валиден подпис, подпис, при който „сертификатът не може да бъде валидиран“, и невалиден подпис. При второто файлът е цял, но програмата не е успяла да потвърди сертификата; една честа причина е, че веригата на доставчика липсва в хранилището, от което LibreOffice проверява.
2. В нашата проверка на подпис. Файлът се проверява в браузъра, без да се качва: цялост, данни на сертификата, дати, дали е квалифициран и дали издателят е в българския доверителен списък. Проверката не следи отмяна на сертификата и дългосрочна валидност.
3. В демо валидатора на ЕК. DSS Demonstration WebApp дава подробен отчет. Комисията го описва като инструмент само за тестове: файлът се изпраща към нейните сървъри, затова не качвайте поверителни документи.
4. В услугата за валидиране на доставчика. B-Trust например препраща към своята квалифицирана услуга за валидиране.

Ако получателят вижда грешка, причините и проверките са в честите грешки с КЕП. Ако подписвате фактури, вижте и как се изпраща е-фактура.