La firma CAdES produce spesso un file con estensione .p7m: il documento firmato è racchiuso in un contenitore. La firma PAdES, invece, è applicata direttamente al PDF. Non basta che il file si apra o che mostri un riquadro grafico: l'immagine di una firma non dimostra da sola che il contenuto sia stato firmato digitalmente.
Perché è importante
- La verifica tecnica controlla la firma e la catena di certificazione secondo le regole applicabili; il risultato non sostituisce una valutazione giuridica del documento.
- Un file .p7m può contenere un documento firmato in formato CAdES, mentre una firma PAdES è incorporata nel PDF e può essere controllata con un lettore compatibile.
- Un esito va letto insieme a identità del firmatario, validità del certificato al momento della firma, integrità del contenuto e informazioni temporali disponibili.
Riconosci il formato prima di aprire il documento
Usa il verificatore del tuo prestatore di servizi fiduciari o un programma compatibile con le regole tecniche. AgID mantiene informazioni e riferimenti sulla verifica delle firme; le istruzioni operative del servizio scelto aiutano a caricare il file e a salvare il rapporto. Evita strumenti casuali che non spiegano dove venga elaborato il documento, soprattutto se contiene dati riservati.
Leggi ogni voce del rapporto
Controlla innanzitutto il nome del firmatario e il certificato associato. Poi verifica il risultato complessivo e le eventuali avvertenze: certificato scaduto o revocato, catena non disponibile, formato non riconosciuto o impossibilità di stabilire il momento della firma. Alcuni verificatori distinguono la validità attuale del certificato dalla sua validità al momento della sottoscrizione; leggi la spiegazione del software invece di fermarti al colore verde o rosso.
Verifica anche che il documento estratto sia quello atteso e che non risultino modifiche successive incompatibili con la firma. Se è presente una marca temporale, controlla che il rapporto ne confermi la validazione. Una data digitata nel testo o nei metadati non equivale a una marca temporale qualificata.
Cosa puoi farci concretamente
- Lavora su una copia del file ricevuto e usa un verificatore aggiornato che dichiari supporto al formato; non rinominare un .p7m per tentare di trasformarlo in PDF.
- Apri il rapporto completo e annota separatamente esito della firma, certificato, eventuali revoche o anomalie, documento contenuto e marca temporale.
- Se il rapporto segnala un problema o il documento ha effetti importanti, conserva file originale e rapporto e chiedi chiarimento al mittente o a un professionista qualificato.
Conserva le prove e gestisci le anomalie
Salva il file originale senza sovrascriverlo e conserva il rapporto di verifica con data e nome dello strumento utilizzato. Se un controllo fallisce, ripeti solo dopo aver controllato che il file sia completo e che il programma supporti quel formato; non modificare il documento per far scomparire l'avviso.
La verifica tecnica non decide da sola se il contenuto sia corretto, se il firmatario avesse potere di rappresentanza o se il documento produca uno specifico effetto legale. Per contratti, scadenze o contestazioni, chiedi una valutazione adeguata e conserva anche la comunicazione con cui il file è stato ricevuto.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
