Creare un file p7m con la firma digitale di un PDF

Una firma digitale p7m non si ottiene per conversione: si ottiene per sottoscrizione. Dietro quel file c’è un certificato qualificato emesso da un prestatore di servizi fiduciari sotto la vigilanza di AgID, una chiave privata che genera la firma e un contenitore, la busta CAdES, che racchiude il documento senza toccarlo. Quando firmi un PDF con la firma digitale italiana, il risultato è documento.pdf.p7m. Questo sito serve dopo: apre quei file, non li crea.

Perché «convertire» un PDF non produce una firma

Un convertitore può fare due cose, e nessuna delle due è firmare.

• Può avvolgere il PDF in una struttura di contenitore che però non contiene alcuna firma: ottieni un file con l’estensione .p7m, mentre le regole tecniche italiane — articolo 21 della deliberazione CNIPA n. 45 del 21 maggio 2009 — impongono che la busta sia un oggetto signedData conforme a CAdES-BES, in cui il documento è imbustato nel formato originale e la firma con il certificato del sottoscrittore stanno dentro insieme a esso. Senza firma non c’è sottoscrizione: resta un contenitore con un’estensione che non attesta nulla.
• Può rigenerare il PDF (stamparlo, ricomprimerlo, cambiarne i metadati): in quel caso hai due documenti diversi, e nessuno dei due è firmato.

Il controllo è semplice: chi riceve il file prova ad aprirlo e non trova firmatari. A quel punto il documento non è «in p7m»: è un contenitore che non attesta alcuna firma, e la sottoscrizione va rifatta da capo con un certificato valido.

Cosa serve per una firma digitale in Italia

Il punto di partenza è il certificato qualificato: AgID scrive che chi vuole un dispositivo di firma digitale deve rivolgersi ai prestatori di servizi fiduciari accreditati, soggetti pubblici o privati che, sotto la vigilanza dell’agenzia, emettono certificati qualificati per la firma digitale e certificati di autenticazione per le carte nazionali dei servizi. La firma nasce da una coppia di chiavi asimmetriche: la chiave privata genera la firma, la chiave pubblica serve a chi la verifica.

Due cose utili da sapere prima di scegliere. La guida AgID sui soggetti cui richiedere la firma digitale afferma che giuridicamente non c’è differenza fra i dispositivi forniti dai diversi prestatori: si differenziano per l’offerta tecnologica (smart card, token USB, firma remota), per l’offerta commerciale e per le modalità con cui viene fatta l’identificazione del richiedente. E il certificato qualificato ha una validità nel tempo: una firma apposta con un certificato scaduto o revocato è un problema che emerge in fase di verifica, non in fase di creazione.

Si può creare un p7m gratis con la firma digitale?

La parte gratuita è quella che stai leggendo: con un account apri il file, vedi l’anteprima della prima pagina e chi ha firmato. La firma no: richiede il certificato qualificato di un prestatore, e AgID, nella sua pagina su come ottenere la firma elettronica, rimanda ai prestatori accreditati per ottenere il dispositivo di firma, senza indicare una strada gratuita. In ogni caso vale la regola di fondo: se non c’è un certificato qualificato e una chiave privata usata per firmare, non c’è una firma digitale, per quanto l’estensione sia .p7m. Se ti interessa il quadro completo dei tipi di firma, dal più semplice al più qualificato, è in tipi di firma elettronica.

Quale file ottieni: busta o PDF firmato

La stessa firma digitale può prendere due forme. Con il formato CAdES il PDF resta com’è e viene racchiuso in una busta: il nome diventa contratto.pdf.p7m, e chi lo riceve deve aprirlo con un visualizzatore o con il programma per aprire P7M. Con il formato PAdES la firma entra dentro il PDF, che resta .pdf e si apre con un lettore qualunque. Entrambi sono formati che le pubbliche amministrazioni dell’Unione devono riconoscere: il regolamento di esecuzione (UE) 2026/248 del 2 febbraio 2026, che sostituisce la decisione 2015/1506, elenca fra le specifiche da riconoscere il CAdES Baseline Profile (ETSI EN 319 122-1) e il PAdES Baseline Profile (ETSI EN 319 142-1), con applicazione dal 23 febbraio 2027; le firme create secondo i profili precedenti restano riconosciute se create prima del 23 febbraio 2028. La scelta, in genere, non è tua: la impone chi riceve. Il criterio per decidere è in CAdES o PAdES, mentre il singolo formato è descritto in firma CAdES.

In pratica: cosa fare, nell’ordine

1. Chiedi alla controparte quale formato vuole: una busta .p7m, un PDF con firma incorporata, o un contenitore firmato con marca temporale.
2. Se non ce l’hai, ottieni un certificato qualificato da un prestatore e scegli la via locale o remota.
3. Firma il PDF con l’applicazione di firma: il file esce come nome.pdf.p7m, con l’estensione aggiunta, non sostituita.
4. Aprilo nell’area in alto prima di spedirlo: verifichi che il documento interno sia quello giusto e che i firmatari elencati siano chi dici.
5. Conserva la busta e inviala integra, senza rinominarla. Se il destinatario non riesce ad aprirla, può orientarsi con la guida su come aprire un file pdf.p7m.

Firma fuori, controlla qui

Questa pagina apre i file firmati e non produce firme: nessuna conversione da PDF a P7M, nessuna chiave generata nel browser, nessun timbro di validità. Con l’account gratuito vedi il contenuto, i firmatari e i dati del certificato; il documento completo e il download dell’estratto si sbloccano file per file, e la busta non lascia il tuo dispositivo. Se devi firmare, usa la tua applicazione di firma, poi torna a controllare cosa è uscito.