Firma CAdES o PAdES a confronto: estensioni, valore e usi

Scegli CAdES se devi firmare qualcosa che non è un PDF o vuoi conservare l’originale intatto dentro una busta; scegli PAdES se il documento è un PDF e chi lo riceve deve aprirlo senza software aggiuntivo. È tutta qui la decisione tra firma PAdES o CAdES: il valore legale dipende dal tipo di firma, non dal formato. Le differenze pratiche sono altre: estensione del file, modo di lettura, firme multiple, obblighi dello SdI sulla fattura elettronica.

Che cosa sono i due formati

CAdES sta per CMS Advanced Electronic Signatures: la firma viene applicata secondo la famiglia di norme europee ETSI EN 319 122 e produce una busta digitale che contiene il documento, i certificati e il valore crittografico della firma. La busta segue la sintassi CMS definita dallo standard IETF RFC 5652, pensata per firmare contenuto arbitrario: da qui il file .p7m che in Italia trovi su fatture, atti e documenti ricevuti via PEC.

PAdES (PDF Advanced Electronic Signatures, famiglia ETSI EN 319 142) fa l’opposto: non crea nessun involucro. La firma entra dentro il file PDF, nelle strutture di firma che il formato PDF definisce già. Il risultato è un normale .pdf, leggibile con qualunque lettore PDF.

Tabella a confronto

Firma PAdES o CAdES: quale scegliere

1. Il documento è un PDF e il destinatario deve aprirlo con un lettore qualunque, senza software che apra una busta? PAdES è la scelta comoda: un file solo, firmato dentro.
2. Devi firmare un XML, un archivio, un’immagine, o conservare l’originale esattamente com’è stato generato? Il CAdES avvolge il file senza toccarlo: l’interno resta identico byte per byte, e la busta aggiunge solo la prova della firma.
3. È una fattura elettronica da trasmettere allo SdI? La domanda non si pone: le regole per firmare la FatturaPA dell’Agenzia delle Entrate ammettono la firma CAdES-BES (file .xml.p7m) o la XAdES-BES (file .xml). Il PAdES non è tra i formati accettati, perché l’oggetto della fattura è un XML.

Un ultimo criterio, molto concreto: se la controparte ti chiede espressamente un p7m, consegnare un PDF firmato PAdES rischia di essere rifiutato, anche se la firma in sé è valida.

Prima di firmare: cinque controlli

• Chiedi al destinatario in che formato vuole il documento, prima di firmare: .pdf e .p7m sono due confezioni diverse e il nome del file consegnato lo dimostra.
• Verifica che il certificato di firma sia qualificato e, al momento della firma, non scaduto, revocato o sospeso: il CAD, all’articolo 24, equipara a mancata sottoscrizione la firma posta su un certificato in uno di questi stati.
• Sulla fattura non decidi tu il formato: il SdI accetta solo buste CAdES-BES o firme XAdES-BES incorporate nell’XML, come descritto nella pagina sulla fattura xml.p7m.
• Conserva sempre l’originale firmato, la busta o il PDF nativo: il PDF estratto per la lettura è una copia di cortesia.
• Se il documento ha due estensioni, contratto.pdf.p7m, o due buste, .p7m.p7m, controlla che ogni firmatario dichiarato corrisponda alla persona giusta.

La firma PAdES è un p7m?

No, e la confusione nasce dai nomi. Un contratto firmato PAdES si chiama contratto.pdf e resta un PDF. Un contratto firmato CAdES si chiama contratto.pdf.p7m: dentro c’è quel PDF più la busta. Rinominare l’uno nell’altro non converte nulla, produce solo un file che i programmi rifiutano. La differenza tecnica tra le due situazioni è nella pagina dedicata al .pdf.p7m.

Caso diverso, ma collegato: il PDF firmato PAdES non contiene nessuna busta .p7m. Questo sito lo apre come PDF normale, senza estrarre nulla, e non legge la firma incorporata al suo interno: per quel tipo di controllo serve un validatore. La guida PDF firmato digitalmente spiega quali strumenti fanno quella verifica.

Cambia il valore legale?

Il formato è una scelta tecnica, non una gerarchia di valore. L’articolo 20 del Codice dell’Amministrazione Digitale lega il rispetto della forma scritta e l’efficacia di scrittura privata al tipo di firma apposta, digitale o elettronica qualificata o avanzata, senza mai nominare CAdES o PAdES. E il regolamento eIDAS all’articolo 25 riconosce alla firma elettronica qualificata effetti giuridici equivalenti alla firma autografa, a prescindere dall’involucro.

Quindi: una firma digitale su un .xml.p7m vale quanto una firma digitale su un PDF PAdES, purché entrambe siano state create con certificato qualificato valido al momento della firma. La differenza sta nel contenitore: con CAdES documento e prova della firma restano oggetti distinti; con PAdES la firma sta dentro il file e ogni modifica ai byte protetti la invalida.

Gli errori più comuni

• Rinominare documento.pdf.p7m in documento.pdf per aprirlo: il file interno è ancora sigillato nella busta e il lettore si aspetta un PDF vero.
• Credere di convertire un PDF in p7M con un salvataggio: da PDF a P7M non si arriva per conversione ma per firma, con un certificato di firma qualificato.
• Fidarsi del nome del file: firmato.pdf potrebbe essere una busta CAdES mal rinominata. L’analisi parte dai byte reali, non dall’estensione: è quello che fa l’area in alto di questa pagina.
• Pensare che il p7m sia il “vecchio” formato e il PAdES il “nuovo”: convivono, e l’Agenzia delle Entrate sulla fattura continua ad ammettere il CAdES.
• Cercare su questo sito la verifica della firma PAdES dentro un PDF: la lettura delle buste CAdES è quello che fa, il pannello firme interno a un PDF non viene ispezionato.

Aprilo e guarda come è firmato

Trascina il file nell’area in alto: prima ancora di chiederti se hai a che fare con una firma PAdES o CAdES, guarda come è organizzato il file. Se è una busta CAdES compaiono subito firmatari, certificato emittente ed eventuale marca temporale: con l’account gratuito hai l’anteprima della prima pagina e la scheda dei firmatari, il documento completo è a pagamento. Se è un PDF con firma PAdES, qui lo vedrai come un semplice documento: la verifica di quella firma va fatta con un validatore dedicato, e le differenze tra i tipi di firma sono nella guida ai tipi di firma elettronica. Il file, in entrambi i casi, non lascia il tuo dispositivo.