Коротко про головне

• Криптографічний ключ відновити «з нічого» неможливо. Якщо файл втрачено остаточно або став доступним стороннім — потрібно відкликати сертифікат і перевипустити КЕП.

• Перед цим варто швидко перевірити усі канали, де може бути резервна копія (Кошик, хмара, робочі бекапи).

• Якщо існує ризик компрометації (хтось міг скопіювати ваш ключ) — спочатку відкликаємо, потім розбираємось з відновленням.

1) Негайні дії (перші 10–15 хвилин)

1. Оцініть ризик компрометації

   • Ключ був на загальному комп’ютері/флешці, яка могла опинитися в інших руках?
     → Терміново подавайте запит на відкликання сертифіката у вашому АЦСК і блокуйте доступи (див. розділ 5).

   • Якщо це лише випадкове видалення на вашому ПК і ніхто інший не мав доступу → переходьте до пошуку/відновлення.

2. Припиніть дії, що перезаписують диск
   Не встановлюйте великі програми, не копіюйте файли на той самий диск — це підвищує шанс «перезаписати» втрачений ключ і унеможливити його відновлення утилітами.

2) Швидкий пошук і базове відновлення

2.1 Перевірте Кошик (Recycle Bin) / «Кошик» у macOS

• Якщо файл видалили нещодавно — відновіть у вихідну папку.

2.2 Пошук за розширеннями

Шукаємо файли КЕП за типовими масками:

• .dat, .zs2, .pfx, .jks (ключі)

• (Не плутати з .cer/.crt — це сертифікати, не ключі)

Windows (Провідник):
Відкрийте «Цей комп’ютер» → в полі пошуку наберіть
*.dat OR *.zs2 OR *.pfx OR *.jks

macOS (Finder):
⌘+F → тип пошуку «Ім’я» → «закінчується на» → по черзі: dat, zs2, pfx, jks.
Або критерій «Kind → Other → File extension».

Linux:
У файловому менеджері — аналогічно; у терміналі:
find ~ -type f \( -name "*.dat" -o -name "*.zs2" -o -name "*.pfx" -o -name "*.jks" \)

2.3 Типові місця зберігання

• Документи\КЕП, Документи\Keys, C:\Keys, Завантаження, Робочий стіл

• Робочі каталоги програм (М.E.Doc, СОТА), корпоративні мережеві папки

• Зовнішні носії: флешки, карти пам’яті, зовнішні диски

2.4 Перевірте хмарні сховища та історію версій

• OneDrive, Google Drive, Dropbox → «Версії» / «Видалені»

• E‑mail: інколи ключ надсилали собі/колезі (уникайте цього надалі, але для пошуку — перевірити)

2.5 «Попередні версії» у Windows

• Клік правою на папці, де зберігався ключ → Властивості → Попередні версії → відновити потрібну.

⚠️ Якщо ключ знайдено й ніхто сторонній до нього не мав доступу, роботу можна відновити. Якщо є сумнів — краще відкликати і перевипустити.

3) Поглиблене відновлення (за потреби)

Якщо в Кошику/хмарі немає — спробуйте утиліти відновлення (на власний ризик, краще — на копії диска):

• Recuva, R‑Studio, PhotoRec/TestDisk.
  Запускайте з окремого носія (флешка) і скануйте диск, на якому був ключ. Файли ключів зазвичай невеликі (3–50 КБ).

ℹ️ Будь-яке «відновлення по пам’яті» чи «відкрити без пароля» — міф. Якщо файл справді втрачено/пошкоджено — тільки бекап або перевипуск.

4) Особливі випадки: токени, смарт‑картки, ID‑картка

• Токен/смарт‑карта (eToken, SecureToken, Алмаз‑1К):
  Якщо втратили носій, це прирівнюється до компрометації. Негайно відкликайте сертифікат і оформлюйте новий носій/ключ.
  Якщо носій на місці, а видалено лише файл на ПК — перевірте, чи ключ взагалі був файловим, а не тільки на токені.

• ID‑картка з КЕП:
  Ключ у чипі. Якщо втрачено PIN/PUK — звертайтесь до ЦНАП/органу, що видавав, або перевипускайте. Якщо втрачено саму картку — відкликання і перевипуск.

5) Відкликання сертифіката (якщо є ризик компрометації)

1. Зайдіть на сайт вашого АЦСК (ІІТ, ПриватБанк, Мін’юст тощо).

2. Розділ «Відкликання сертифіката» / «Скасування» / «Revoke».

3. Підготуйте ідентифікаційні дані (ІПН/ЄДРПОУ), кодове слово/фразу відкликання (якщо задавали), або зверніться особисто/через підтримку.

4. Переконайтесь, що статус у реєстрі змінився на «відкликаний».

5. Повідомте колег/бухгалтерію — старим ключем більше не підписуємо.

🔒 Це критично: наявність копії вашого файлу у сторонніх — ризик зловживання. Відкликання миттєво робить підпис недійсним.

6) Перевипуск КЕП (новий ключ)

6.1 Для фізичних осіб/ФОП

• Необхідно: паспорт, РНОКПП (ІПН), інколи — Дія/BankID для онлайн‑ідентифікації.

• На сайті АЦСК оберіть «Отримати/Переоформити КЕП», згенеруйте новий ключ (файловий або на токен), задайте новий пароль.

• Завантажте сертифікат (.cer) і ключ (.dat/.zs2/.pfx), збережіть у захищеній папці.

6.2 Для юридичних осіб

• Підготуйте: витяг з ЄДР, статутні документи, паспорт/ІПН підписанта, наказ про призначення.

• Оформіть заявку у вашому АЦСК (офлайн чи онлайн з менеджером).

• Отримайте нові ключі для підписанта(ів) та печатки (за потреби).

6.3 Після отримання нового КЕП

• Оновіть КЕП у всіх системах: М.E.Doc, СОТА, ДПС, Приват24 для бізнесу, Дія, електронний документообіг.

• Видаліть старий запис користувача/сертифікат у програмах, додайте новий.

• Перевірте підпис тестового документу.

7) Перевірка, що все працює

• Онлайн‑перевірка сертифіката на сайті АЦСК: статус «чинний», дати дії коректні.

• Підписання тестового PDF/XML → перевірка підпису (будь‑який валідатор або вбудований модуль програми).

• Авторизація у потрібних порталах із новим КЕП.

8) Профілактика на майбутнє (щоб більше не втрачати)

Правило 3‑2‑1 для бекапів:

• 3 копії: робоча + 2 резервні;

• на 2 різних носіях (наприклад, диск ПК + флешка);

• 1 копія — офлайн/поза офісом (зашифрована флешка в сейфі).

Практичні поради:

• Створіть папку: КЕП_ПІБ_YYYY і зберігайте там ключ + сертифікат.

• Ведіть журнал ключів: хто, коли, який тип (.dat/.zs2/.pfx), термін дії.

• Зберігайте паролі/PIN у менеджері паролів (Bitwarden, 1Password тощо) або в захищеному паперовому конверті.

• Налаштуйте OneDrive/Google Drive з версійністю для робочої папки (або корпоративний бекап).

• Для критичних ролей майте резервний спосіб підпису (наприклад, Дія.Підпис).

• Не пересилайте ключі поштою/месенджерами; не зберігайте на загальних дисках.

• Не перейменовуйте/не міняйте розширення файлу ключа.

9) Швидкий чек‑лист прийняття рішення

1. Чи є ризик, що ключ потрапив стороннім?
   Так → Відкликати негайно → Перевипуск.
   Ні → шукаємо/відновлюємо.

2. Чи є бекап у Кошику/хмарі/бекап‑системі?
   Так → відновити, перевірити → продовжувати роботу.
   Ні → спробувати утиліти відновлення → якщо безрезультатно → Перевипуск.

3. Після будь‑якого сценарію:
   Налаштувати резервування та облік ключів на майбутнє.

Підсумок

• Втрату файлу КЕП часто можна розв’язати швидким відновленням із бекапу.

• Якщо є хоча б мінімальний ризик компрометації — відкликайте сертифікат без зволікань.

• Ключ не відновлюється «зі стелі»: коли остаточно втрачений — оформлюйте новий КЕП у своєму АЦСК.

• Налаштуйте системну профілактику (3‑2‑1, менеджер паролів, резервний метод підпису), і така ситуація більше не стане критичною.