Verifica della firma CAdES di un file P7M

«È valida questa firma?» è la domanda più frequente su un file .p7m. La risposta ha due livelli: uno tecnico, che lo strumento dà subito nel browser, e uno legale, che spetta ai verificatori ufficiali.

Cosa controlla la verifica

Per ogni firma del file, anche nelle buste annidate e nelle firme parallele, la verifica risponde a tre domande:

1. Chi ha firmato? Il firmatario: nome, codice fiscale e certificato, letti dalla firma.
2. Il certificato è affidabile? L’ente emittente deve essere un prestatore qualificato degli elenchi di fiducia UE, e il certificato valido e non revocato alla data di firma.
3. Il documento è integro? L’impronta del contenuto deve coincidere con quella firmata e la firma deve essere corretta per la chiave del certificato.

Firmatario, certificato, integrità: i tre controlli

Controllo	Domanda	Possibili esiti
Integrità	il documento è identico a quello firmato?	corrispondente / non corrispondente
Firma	la firma è corretta per la chiave del certificato?	valida / non valida / non verificabile
Date del certificato	era valido alla data di firma dichiarata?	segnalazione se fuori periodo o scaduto oggi
Elenchi di fiducia UE	viene da un prestatore qualificato, attivo alla data di firma?	qualificato / non attivo alla data / non presente
Revoca	era revocato o sospeso alla data di firma?	non revocato / revocato / non verificato
Marca temporale	quando esisteva la firma o il documento?	data, ora, TSA, impronta, firma della TSA

Sono supportati RSA ed ECDSA, anche sulle curve brainpool, con impronte SHA-2 e SHA-3 e i vecchi algoritmi di qualche anno fa. Nella scheda ogni firmatario ha un esito riassunto, Valida, Non valida o Da verificare; i singoli controlli sono in «Dettagli».

Quando una firma risulta non valida

• Certificato scaduto. Se è scaduto oggi è normale per i documenti firmati anni fa: conta lo stato alla data della firma, e una marca temporale la rende certa. Vedi P7M con certificato scaduto.
• Certificato revocato. L’autorità può revocarlo prima della scadenza, per esempio per un dispositivo smarrito. Se il file contiene già le risposte OCSP o le liste CRL (firme CAdES-X-L e CAdES-A) le verifichiamo anche offline; altrimenti premi «Verifica revoca online».
• Documento modificato dopo la firma. L’impronta non corrisponde: il contenuto è cambiato o il file è danneggiato. Non fidarti del documento.
• Non è una firma CAdES. Un PDF firmato PAdES porta la firma dentro il PDF (CAdES o PAdES); le fatture XML possono essere firmate XAdES (fattura elettronica P7M). Lo strumento verifica anche queste.

Altri esiti possibili: firma non verificabile (algoritmo non supportato o certificato mancante, la scheda dice perché), elenco UE non presente (CNS, certificato non qualificato o di un Paese fuori dall’UE), non attivo alla data (servizio del prestatore cessato o non ancora iscritto). Una revoca successiva a una marca temporale valida non toglie valore alla firma; senza marca la data è solo dichiarata, e la scheda lo segnala.

Elenchi di fiducia AgID ed europei

Ogni Paese dell’UE e dello Spazio economico europeo pubblica l’elenco dei suoi prestatori qualificati; per l’Italia è quello di AgID. Il sito ne include copie: prima di ogni aggiornamento verifichiamo la firma dell’elenco europeo che li indica e quella di ogni elenco nazionale, e la data delle copie è scritta sotto lo strumento. L’elenco italiano è sempre pronto, anche offline; quello di un altro Paese si carica la prima volta che serve. Gli stessi elenchi si consultano nel browser degli elenchi di fiducia della Commissione europea.

Marca temporale e firme multiple

La marca temporale fissa con certezza quando esisteva la firma o il documento: la scheda mostra data e ora, ente (TSA), impronta e firma dell’ente (P7M con marca temporale). Con più firmatari, firme parallele, annidate o controfirme, ogni firma ha il suo esito (P7M con più firme). Se non vedi la firma dove te l’aspetti, per esempio nel PDF estratto, vedi perché non vedo la firma.

Verifica tecnica e verifica con valore legale

Lo strumento non valuta i prestatori di Paesi fuori dall’UE (un certificato svizzero o statunitense risulta «non presente» anche se è valido nel suo Paese) né i limiti d’uso indicati nel certificato. Questi e gli altri controlli previsti dalle regole tecniche danno alla verifica valore legale: li eseguono i software dei certificatori e i verificatori online ufficiali, elencati sotto lo strumento in «Verifica con valore legale» e nell’elenco dei software di verifica di AgID.

Per leggere il documento basta il visualizzatore P7M della home; per salvarlo come PDF c’è la guida per convertire P7M in PDF, e il formato è spiegato in cos’è un file P7M.

Il rapporto di verifica in PDF

Con «Rapporto PDF» salvi un rapporto con gli esiti della verifica, creato nel browser senza caricare il file: utile da archiviare o da allegare a una pratica, ma resta un controllo tecnico. Per ora anche il rapporto si scarica gratis.

Offline e riservatezza

L’elaborazione avviene in un Web Worker del browser, con le funzioni crittografiche standard del browser stesso: dopo il caricamento della pagina puoi disconnetterti e verificare ugualmente. La pagina privacy mostra le regole che impediscono l’invio dei file a server.