Выполнение операций в командной строке#

Научитесь работать с командной строкой (CLI) КриптоАРМ: подписывать, шифровать, расшифровывать и проверять файлы. В этом руководстве собраны команды, параметры и практические примеры для Windows, Linux и macOS.

💡 Примечание: инструкция рассчитана на технических специалистов — тех, кто настраивает автоматическую обработку документов. Для повседневной работы командная строка не нужна: те же операции выполняются в окне приложения и из контекстного меню Проводника.

Содержание:

• Общая информация
• Список команд
• Подпись
• Шифрование
• Подпись и шифрование
• Архивирование
• Кодирование и декодирование файлов
• Расшифрование
• Проверка подписи
• Снятие подписи
• Сертификаты
• Работа с OpenPGP
• Результат и ошибки
• Смотрите также

Общая информация#

CLI (Command Line Interface, интерфейс командной строки) — это способ управления приложением с помощью текстовых команд, вводимых через терминал или консоль.

Команды определяют, какие операции выполнить, с какими параметрами и над какими файлами.

CLI также подходит для автоматизации — выполнения операций без участия пользователя в составе систем обмена и скриптов .bat и .sh.

Важные замечания#

• Перед использованием CLI убедитесь, что приложение готово к работе с электронной подписью: сертификат установлен, лицензия активирована.

🔍 Подробную информацию о подготовке можно найти в инструкции Начало работы.

• Для подписи, расшифрования и PAdES сертификатами КриптоПро требуется лицензия КриптоАРМ. Проверка подписи, просмотр сертификатов, перекодирование, снятие подписи и объединение подписей лицензии не требуют.
• Перед вводом команды указывается путь до исполняемого файла, затем через пробел — команда и её параметры.
• Недействительный сертификат останавливает операцию: подтверждения в командной строке не запрашиваются, согласие передаётся флагом --force.
• Если --pin не указан, КриптоПро может показать собственное системное окно ввода ПИН-кода.

Синтаксис команд#

Общий формат вызова:

cryptoarm-sign <команда> [параметры]

• команда пишется первой, после пути до исполняемого файла;
• <текст> — значение параметра: путь к файлу, серийный номер сертификата, адрес службы и т. п.;
• [текст] — необязательный параметр: если его не задать, используется значение по умолчанию;
• все команды и параметры пишутся через пробел.

Пути к исполняемым файлам#

Если каталог приложения не добавлен в PATH, укажите полный путь к исполняемому файлу:

Ввод и вывод#

Источник данных указывается одним из двух параметров:

Правила путей:

• --source-file и --source-folder нельзя указывать одновременно;
• обход папки не рекурсивный;
• путь может быть обычным путём или URL вида file://;
• папку результата и конкретный файл результата нельзя указывать вместе;
• конкретный файл результата возможен только с --source-file;
• недостающие папки результата создаются автоматически.

Общие параметры#

💡 Примечание: подробный лог для обращения в поддержку включается переменной окружения CRYPTOARM_TRACE=1 — отдельной настройки у CLI для этого нет.

Список команд#

Подпись#

Команда: sign или sig

Команда позволяет выполнить операцию подписи одного или нескольких файлов.

Если в качестве исходного файла указать уже подписанный документ — файл с расширением .sig, .p7s, .sgn, .sign, .bin или .pem, — к нему будет добавлена соподпись. Для отсоединённой подписи исходный документ должен лежать рядом с контейнером и определяться по его имени.

Синтаксис#

cryptoarm-sign sign --cert <идентификатор> [--detached] [--pin <PIN>] [--standard <стандарт> --tsp <адрес>] [--enc DER|PEM|BASE-64] [--ext <расширение>] --source-file <файл>|--source-folder <папка> [--signed-file-path <файл>|--folder-save-signed <папка>]

Описание команды#

Общие параметры подписи#

Если одновременно указаны --attached и --detached, используется --attached.

Архивирование результата#

--separate-archives используется только вместе с --archive.

Объединение подписей#

Подробнее про функцию Объединение подписей читайте в инструкции Подпись и шифрование.

Параметры подписи PDF (PAdES)#

--pades включает встроенную подпись для PDF-файлов и по умолчанию создаёт видимый штамп из данных сертификата. Остальные файлы в том же вызове подписываются обычной подписью CMS/CAdES.

⚠️ Ключ --overwrite-original-pdf изменяет исходный файл. Он работает только с --pades и --source-file, не сочетается с архивированием и указанием пути результата, а исходник заменяется лишь после успешного подписания.

Подписанный PDF сохраняет расширение исходного, поэтому имя результата задаёт --custom-suffix (документ_signed.pdf). Без суффикса результат рядом с исходником получает индекс — документ(1).pdf.

Содержимое генерируемого штампа:

Положение и оформление генерируемого штампа:

Без дополнительных --stamp-* параметров в штамп попадают реквизиты сертификата: имя владельца, серийный номер и срок действия. Реквизиты, которые не помещаются в заданную область, не обрезаются — штамп рисуется целиком и вписывается в неё, становясь мельче. Параметры содержания штампа нельзя сочетать с --pades-visible-image.

Машиночитаемая доверенность#

Без --archive файлы МЧД копируются рядом с результатом подписи, с общим архивом — помещаются внутрь него.

Сетевые параметры#

Для стандартов cades-t, cades-xlt1 и cades-a параметр --tsp обязателен.

Ввод и вывод#

Практические примеры#

Пример 1: Подпись со штампом на последней странице#

В этом примере подписывается PDF-файл со штампом размером 100 × 30 мм, расположенным в 20 мм от левого и нижнего края последней страницы.

"C:\Program Files\cryptoarm-sign\cryptoarm-sign.exe" sign ^
  --source-file "C:\Doc\Пример.pdf" ^
  --cert "5883d78e000300093ab6" ^
  --pin "12345678" ^
  --pades ^
  --stamp-width 100 ^
  --stamp-height 30 ^
  --stamp-padding-left 20 ^
  --stamp-padding-bottom 20

Пример 2: Подпись со штампом красного цвета на всех страницах#

"C:\Program Files\cryptoarm-sign\cryptoarm-sign.exe" sign ^
  --source-file "C:\Doc\Пример.pdf" ^
  --cert "5883d78e000300093ab6" ^
  --pin "12345678" ^
  --pades ^
  --stamp-width 80 ^
  --stamp-height 30 ^
  --stamp-padding-left 110 ^
  --stamp-padding-bottom 10 ^
  --stamp-color "#FF0000" ^
  --stamp-on-all-pages

Пример 3: Подпись документа с меткой времени#

В этом примере файл подписывается по стандарту CAdES-T, который включает штамп времени. Результат сохраняется с расширением .p7s в кодировке BASE-64.

"C:\Program Files\cryptoarm-sign\cryptoarm-sign.exe" sign ^
  --source-file "C:\Documents\Example.pdf" ^
  --cert "5883d78e000300093ab6" ^
  --pin "12345678" ^
  --standard "cades-t" ^
  --tsp "https://example.com/tsp/tsp.srf" ^
  --enc "BASE-64" ^
  --ext "p7s"

Шифрование#

Команды: encrypt или enc

Команда позволяет выполнить шифрование одного или нескольких файлов в адрес одного или нескольких сертификатов.

Синтаксис#

cryptoarm-sign encrypt --cert <получатель...> [--alg <алгоритм>] [--enc DER|PEM|BASE-64] [--ext <расширение>] [--delete-source] --source-file <файл>|--source-folder <папка> [--encrypted-file-path <файл>|--folder-save-encrypted <папка>]

Описание команды#

Поддерживаемые имена алгоритмов: gost-28147, gost-2015-magma, gost-2015-kuznyechik, aes-256-cbc, des3-cbc. Также принимаются OID — например, 1.2.643.2.2.21 для ГОСТ 28147.

Перед шифрованием файлы можно упаковать в архив параметрами --archive, --separate-archives и --custom-suffix.

Практический пример#

В этом примере шифруется файл Example.txt в адрес сертификата с серийным номером 5883d78e000300093ab6. Результат сохраняется в файл Encrypted_Example.enc, исходный файл удаляется.

"C:\Program Files\cryptoarm-sign\cryptoarm-sign.exe" encrypt ^
  --cert "5883d78e000300093ab6" ^
  --alg "gost-2015-kuznyechik" ^
  --enc "DER" ^
  --ext "enc" ^
  --delete-source ^
  --source-file "C:\Documents\Example.txt" ^
  --encrypted-file-path "C:\Documents\Encrypted_Example.enc"

Подпись и шифрование#

Команды: sign-encrypt или se

Команда подписывает, а затем шифрует файл или папку за один вызов.

Синтаксис#

cryptoarm-sign sign-encrypt --sign-cert <подписант> --recipient-cert <получатель...> --source-file <файл>|--source-folder <папка> [--folder-save-encrypted <папка>]

Описание команды#

Остальные параметры — подписи, шифрования, PAdES, МЧД, TSP, прокси и архивирования — те же, что у отдельных команд, и с теми же значениями по умолчанию.

Архивирование#

Команды: archive или arc

Команда создаёт ZIP-архив без подписи и шифрования.

cryptoarm-sign archive \
  --source-folder ./docs \
  --folder-save-archive ./out

Кодирование и декодирование файлов#

Для команд sign (файлы подписи), certificates (сертификаты и запросы на сертификат) и encrypt (сертификаты и запросы) доступны параметры кодирования и декодирования. Они преобразуют двоичные данные в текстовый формат BASE-64 и обратно.

Кодирование удобно использовать, если файл нужно передать в текстовом виде — например, через системы, которые не поддерживают двоичные данные.

cryptoarm-sign sign --decode ./document.sig
cryptoarm-sign certificates --encode ./request.pem

Расшифрование#

Команды: decrypt или dec

Команда позволяет расшифровать один или несколько зашифрованных файлов.

Синтаксис#

cryptoarm-sign decrypt [--pin <PIN>] [--enc DER|PEM|BASE-64] --source-file <файл>|--source-folder <папка> [--decrypted-file-path <файл>|--folder-save-decrypted <папка>]

Описание команды#

Практический пример#

"C:\Program Files\cryptoarm-sign\cryptoarm-sign.exe" decrypt ^
  --pin "12345678" ^
  --source-file "C:\Documents\Encrypted_Example.enc" ^
  --decrypted-file-path "C:\Documents\Decrypted_Example.txt"

Проверка подписи#

Команды:

• verify или ver;
• verify_ts или vts — проверка штампов времени из подписи.

Команда позволяет проверить одну или несколько подписей либо штампы времени в файле подписи. Отчёт о проверке можно сохранить в формате PDF или JSON.

Синтаксис#

cryptoarm-sign verify --source-file <файл>|--source-folder <папка> [--document <исходный файл>] [-r-pdf [папка]] [-r-pdf-m [папка]] [-r-json [путь]]

cryptoarm-sign verify_ts --source-file <файл> [--document <исходный файл>] [-r [путь]]

Описание команды#

Для присоединённой подписи достаточно указать файл подписи; для отсоединённой дополнительно указывается документ.

При --source-folder проверяются только файлы .sig, .p7s, .sgn, .sign, .bin, .pem и .pdf.

Без указания пути отчёты сохраняются рядом с проверяемыми файлами: отдельные PDF — как <файл>_report.pdf, общий — как merged_report_<дата и время>.pdf, JSON — как <файл>.verify-report.json. Существующие файлы не перезаписываются, а пути созданных отчётов возвращаются в итоговом JSON.

С --unsign подпись сначала проверяется, и только после успешной проверки извлекается исходный документ.

С --visual-copy для каждого проверенного PDF рядом с ним сохраняется печатная форма <файл>_штамп.pdf: документ без электронной подписи со штампом каждого подписанта. Подходит для PDF с PAdES-подписью, присоединённой подписи PDF и отсоединённой подписи, если в --document передан PDF. Вид штампа задают те же параметры --stamp-*, что и при подписи.

Недействительная подпись возвращает статус Error и ненулевой код завершения; отчёт при этом всё равно сохраняется.

Практический пример#

В этом примере проверяются подписи файлов в папке C:\Foldername, а отчёты сохраняются в папку C:\Reports.

"C:\Program Files\cryptoarm-sign\cryptoarm-sign.exe" verify ^
  --source-folder "C:\Foldername" ^
  --save-report-pdf "C:\Reports" ^
  --save-report-pdf-merged "C:\Reports"

Снятие подписи#

Команда: unsign

Команда извлекает исходный документ из присоединённой подписи.

cryptoarm-sign unsign \
  --source-file ./document.txt.sig \
  --unsigned-file-path ./out/document.txt

Снять можно только присоединённую подпись. Для отсоединённой исходный документ и так лежит отдельным файлом — проверить его можно командой verify --document.

Сертификаты#

Команды: certificates или cer

Команда выводит список сертификатов в формате JSON — из него берутся идентификаторы для параметров --cert, --sign-cert и --recipient-cert.

cryptoarm-sign certificates
cryptoarm-sign certificates --provider pgp

Та же команда перекодирует сертификаты и запросы на сертификат — см. Кодирование и декодирование файлов.

Работа с OpenPGP#

Для OpenPGP в каждой команде указывается --provider pgp, а сертификаты задаются отпечатками:

cryptoarm-sign sign \
  --provider pgp \
  --cert <отпечаток> \
  --source-file ./document.txt \
  --folder-save-signed ./out

Пароль закрытого ключа нужен для sign, sign-encrypt и decrypt. Способы передачи:

--passphrase "secret"
--passphrase-file ./passphrase.txt
CRYPTOARM_PGP_PASSPHRASE="secret" cryptoarm-sign sign --provider pgp ...

Если пароль не передан, а команда запущена в интерактивном терминале, приложение запросит его. Для encrypt и verify пароль не нужен и не запрашивается.

Отдельной команды archive для OpenPGP нет.

Результат и ошибки#

Результат выводится в stdout в формате JSON. Диагностика, запрос пароля и журналы идут в stderr.

Успешное выполнение:

{
  "method": "signAndEncrypt.outDirectResults",
  "status": "Completed",
  "results": [{ "id": "document.txt", "path": "/path/to/result.sig" }]
}

Ошибка:

{
  "method": "cli.error",
  "status": "Error",
  "error": {
    "code": "AMBIGUOUS_SOURCE",
    "message": "Specify only one of --source-file or --source-folder"
  }
}

При ошибке процесс возвращает ненулевой код завершения — его удобно проверять в скриптах.

Коды ошибок:

Смотрите также#

• Подпись и шифрование — те же операции в интерфейсе.
• Проверка и расшифрование — проверка подписей и расшифрование в приложении.
• Контекстное меню Проводника — запуск операций из Проводника.
• Активация лицензии — лицензии КриптоАРМ и КриптоПро CSP.
• API КриптоАРМ — вызов операций из внешних систем.