Firma PAdES: la firma digitale che vive dentro il PDF

La firma PAdES è la firma digitale che sta dentro il PDF invece che intorno: nessun contenitore aggiuntivo, nessuna estensione .p7m, il documento si apre come sempre e la prova della firma vive in un campo firma incorporato nel file. È lo standard usato quando firmi un contratto PDF con l’app del tuo certificatore e il destinatario riceve un semplice .pdf. Chi lo definisce è la serie ETSI EN 319 142, pubblicata in tre parti: la prima fissa i profili baseline, la seconda aggiunge profili ulteriori, la terza è una specifica tecnica dedicata al time-stamp del documento.

Cosa dice lo standard: PDF più CMS

Le firme PAdES si costruiscono sopra le firme PDF definite nella norma ISO 32000-1, con una codifica alternativa che rende il contenuto della firma equivalente a una firma CAdES: dentro il campo firma del PDF finisce una struttura CMS — la stessa della firma CAdES — con attributi firmati e non firmati, certificato del firmatario e timestamp. Nel dizionario della firma, la chiave SubFilter dichiara il formato come ETSI.CAdES.detached, mentre il campo ByteRange indica quali porzioni del file la firma protegge: per questo una modifica ai byte coperti viene segnalata dal reader come documento modificato dopo la firma.

Un vantaggio operativo che il PDF ha sulla busta: chiunque apra il file legge il documento senza strumenti speciali. La verifica della firma, invece, richiede un software che sappia aprire il pannello firme: Adobe Acrobat Reader lo ha, e la sua documentazione dichiara il rispetto degli standard ETSI, PAdES e CAdES per le funzioni di firma digitale.

Visibile o invisibile: due modi di apparire

La firma PAdES può presentarsi come campo firma disegnato sulla pagina — segno grafico con nome, data, motivo della firma — oppure restare invisibile: il token è nel file, il reader lo elenca, ma sulla carta non compare nulla. La scelta è di presentazione, non di valore: ciò che conta per l’efficacia è certificato qualificato e dispositivo sicuro, cioè una firma elettronica qualificata, che la normativa europea equipara alla firma autografa a prescindere da come si presenta. Il confine con le firme che digitali non sono — l’immagine della firma scansionata, la spunta su una piattaforma — è spiegato nella guida ai tipi di firma elettronica.

Più persone firmano lo stesso PDF

Il vantaggio di firmare dentro il file si vede nei casi con più sottoscrittori: un contratto tra quattro parti resta un unico .pdf, e ogni firma viene aggiunta in sequenza, senza toccare quelle già apposte. Adobe, nella sua guida alle firme digitali, distingue il firmare come approvazione dal certificare il documento: la certificazione va applicata prima di ogni altra firma e determina quali modifiche resteranno ammesse. AgID, da parte sua, spiega nel documento «L’apposizione di firme e informazioni su documenti firmati» che il PDF gestisce le firme successive tramite nuove versioni del file, che conservano integre e verificabili quelle precedenti.

I quattro livelli della firma PAdES

Come la CAdES, anche la PAdES baseline si articola in quattro livelli crescenti definiti dalla EN 319 142-1:

Il B-T risolve il problema più frequente: senza marca temporale, l’unico orologio è quello dichiarato dal firmatario. Le marche nelle firme — token della TSA, attributi, document time-stamp — sono il soggetto della guida alla marca temporale. I livelli alti (LT e LTA) incorporano nel PDF i dati che servono a convalidare la firma anche quando le liste online saranno cambiate: per documenti destinati a durare (contratti, attestazioni, atti giudiziari) sono la condizione perché la firma resti verificabile a distanza di anni.

Riconoscere un PDF firmato

Quando ricevi un documento, tre segnali rapidi:

• l’estensione è .pdf e il reader, aprendolo, mostra un pannello firme popolato: la firma è PAdES;
• il file si chiama documento.pdf.p7m: la firma non è dentro il PDF, è la busta CAdES intorno, e il percorso giusto è un estrattore come l’area in alto — l’anatomia del doppio file è nella pagina dedicata .pdf.p7m;
• sul foglio c’è un segno grafico di penna: attenzione, un’immagine di firma non è una firma digitale; nel PDF firmato il segno, se c’è, è collegato a un token nel file.

La scelta tra i due contenitori — firma nel PDF o busta fuori — merita un criterio pratico: la pagina su CAdES o PAdES li confronta caso per caso, inclusa la questione ricorrente «la firma PAdES è p7m?».

Cosa fa (e non fa) aprirep7m.app con le PAdES

Se trascini un PDF con firma PAdES nell’area qui sopra, aprirep7m.app lo apre come PDF — pagine leggibili e consultazione — ma non legge le firme incorporate: le PAdES non sono tra i formati che il sito sa interpretare. Le firme le legge dove le trova: nelle buste CAdES .p7m, nei contenitori con marca .tsd e .m7m e nelle firme separate .p7s, sempre con il documento originale accanto. Per firmare un PDF in PAdES servono un software di firma e un certificato qualificato: il percorso da PDF a file firmato è in Da PDF a P7M, che chiarisce perché non si «converte» ma si firma. Per la convalida con valore legale, in qualsiasi formato: la guida alla verifica della firma digitale indica validatori ufficiali europei e italiani.

Prova i due casi

Prendi i file che hai sul computer: un PDF con firma PAdES e, se c’è, un .pdf.p7m. Il secondo trascinalo qui: con l’account gratuito la busta mostra firmatari, marca temporale e anteprima della prima pagina, il documento completo e il download si sbloccano a pagamento e il file non lascia il dispositivo. Il primo aprilo nel tuo reader e cerca il pannello Firme: sono due contenitori diversi per la stessa firma digitale, e ora sai riconoscerli entrambi.