Verificare la firma digitale di un PDF
Un PDF firmato si apre da solo, e proprio per questo quasi nessuno controlla chi l'ha firmato. Ecco come farlo, e perché è un caso diverso dal .p7m.
Due modi di firmare, due file diversi
La stessa firma digitale può essere confezionata in due modi, e la differenza determina tutto il resto.
- CAdES — la firma avvolge il documento in una busta esterna, e il file prende l'estensione
.p7m. Il documento originale sta dentro. Nessun sistema operativo apre quella busta: serve un lettore. - PAdES — la firma viene incorporata dentro il PDF, in una struttura dedicata. Il file resta un PDF a tutti gli effetti e si apre con un doppio clic in qualunque lettore.
In Italia la pubblica amministrazione usa storicamente il CAdES, ed è il motivo per cui ti arrivano file .p7m che non si aprono. Il PAdES è più comune nei contratti aziendali e nelle piattaforme di firma internazionali.
Come si controlla la firma di un PDF
Poiché il file si apre da solo, il controllo va cercato: quasi nessuno lo fa, ed è il motivo per cui circolano PDF «firmati» che non lo sono affatto.
- Apri il PDF in un lettore che gestisca le firme. Non tutti lo fanno: molti visualizzatori leggeri ignorano del tutto il pannello delle firme, e mostrano il documento come se nulla fosse.
- Cerca il pannello delle firme. Nei lettori che lo supportano compare una barra in alto, oppure una voce dedicata nel menu, con l'elenco delle sottoscrizioni presenti.
- Leggi tre cose — chi ha firmato, con quale certificato e se il documento è stato modificato dopo la firma. Quest'ultima è la più importante e la meno guardata: un PDF può essere firmato e poi alterato, e un lettore serio te lo segnala.
Attenzione a non confondere due cose che si somigliano: l'immagine di una firma apposta sul PDF, che è un disegno e non prova nulla, e la firma digitale incorporata nella struttura del file, che è un oggetto crittografico. La prima si può copiare con uno screenshot.
Cosa apre il nostro lettore
Diciamolo chiaramente, perché è il motivo per cui potresti essere arrivato su questa pagina: il nostro lettore apre le buste CAdES, cioè i file .p7m, e non legge le firme incorporate nei PDF.
Se il tuo file ha estensione .pdf ed è firmato PAdES, qui non trovi quello che cerchi, e preferiamo dirtelo subito invece di fartelo scoprire dopo il caricamento. Se invece il file finisce per .pdf.p7m — il caso più frequente quando il mittente è una pubblica amministrazione italiana — sei nel posto giusto: dentro la busta c'è il PDF, e lo estraiamo insieme ai dati del firmatario.
Nel dubbio, guarda l'estensione completa: è l'unica cosa che distingue i due casi a colpo d'occhio.
Cosa controlliamo su un .p7m
Sui file che apriamo, la verifica avviene interamente nel browser e comprende:
- Chi ha firmato — nome, organizzazione e codice fiscale quando presenti nel certificato.
- Con quale certificato — ente emittente, numero di serie e periodo di validità.
- Se l'emittente è qualificato — confronto con l'elenco ufficiale dei prestatori di servizi fiduciari italiani e rumeni.
- Quando — la data di firma dichiarata, se presente nel file.
Non interroghiamo le liste di revoca del certificatore e non ricalcoliamo l'impronta crittografica del documento: entrambe le operazioni richiederebbero una connessione verso server esterni, incompatibile con la promessa per cui il file non lascia il tuo dispositivo. Per quei controlli servono i verificatori dei certificatori o quello del Notariato.
Domande frequenti
Posso caricare un PDF firmato sul vostro lettore?
Se il file ha estensione .pdf ed è firmato PAdES, la firma è incorporata nel PDF e il nostro lettore non la legge. Se invece è un .pdf.p7m, cioè un PDF dentro una busta CAdES, lo apriamo e mostriamo i dati del firmatario.
Come faccio a capire se il mio PDF è firmato?
Aprilo in un lettore che gestisca le firme e cerca il pannello dedicato. Se non compare nulla, o il file non è firmato, oppure il lettore che stai usando ignora le firme: provane un altro prima di concludere.
Un'immagine della firma sul PDF ha valore?
No. L'immagine di una firma è un disegno dentro il documento e chiunque può copiarla. La firma digitale è un oggetto crittografico incorporato nella struttura del file, che si verifica e non si imita.
PAdES e CAdES hanno lo stesso valore legale?
Sì: sono due formati della stessa firma elettronica qualificata, entrambi previsti dagli standard europei. Cambia come il file è confezionato, non l'efficacia della sottoscrizione.
Perché la pubblica amministrazione italiana usa il .p7m?
Per ragioni storiche: il CAdES si è affermato in Italia prima che il PAdES fosse diffuso, ed è rimasto lo standard di fatto per atti, bandi e comunicazioni. È anche il motivo per cui ogni anno molte persone si trovano davanti a un file che il computer non apre.
