Allegato smime.p7s: cos'è la firma S/MIME della tua posta

smime.p7s è la firma digitale del messaggio di posta, scritta nel formato che lo standard S/MIME usa per trasportare le firme: lo trovi di solito come allegato che non si apre, in cima o in coda a un’email. Non contiene il testo della mail, non è un documento da leggere e non è un programma. Qui vedi perché si chiama così, perché a volte sparisce e a volte no, cosa dicono le regole tecniche italiane per la PEC e quando ha senso aprirlo davvero.

Perché si chiama proprio smime.p7s

Lo standard S/MIME 4.0 (RFC 8551) assegna l’estensione .p7s ai messaggi solo-firma di tipo application/pkcs7-signature e suggerisce esplicitamente la base di nome smime per gli oggetti legati a S/MIME: da lì nasce il binomio smime.p7s, che infatti compare tale e quale negli esempi dello stesso RFC. Cosa c’è dentro è definito con precisione: un unico oggetto CMS SignedData il cui campo eContent — il contenuto firmato — deve essere assente. Tradotto: la firma sì, il messaggio no. Il messaggio è l’email che stai leggendo: la firma si riferisce a quello, non a un file allegato. È la cosiddetta firma separata, la stessa costruzione di un .p7s abbinato a un documento.

Perché a volte non lo vedi e a volte sì

La firma viaggia come parte MIME accanto al testo. Se il client la gestisce, la elabora in automatico: il messaggio ti appare con l’indicazione che è firmato, e l’allegato non compare. Se non la gestisce — o se il messaggio è inoltrato da un sistema che non conosce S/MIME, o se il certificato non è configurato — la parte di firma resta visibile a tutti gli effetti come allegato. Lo standard descrive anche il meccanismo: un gateway che non riconosce gli oggetti S/MIME li declassa a un semplice allegato generico (application/octet-stream) e perde l’informazione sul tipo. Microsoft documenta il supporto alle firme S/MIME nei suoi ambienti di posta nella pagina S/MIME in Exchange Online; fuori da quegli scenari il risultato pratico è quello che vedi: un file con nome strano tra gli allegati, in mezzo al messaggio.

smime.p7s nella PEC italiana

Se ricevi molta PEC, di file di firma ne vedi in quantità: il motivo sta nelle regole tecniche. Il decreto sulle regole tecniche della PEC (testo del 2 novembre 2005 pubblicato su agid.gov.it) descrive il messaggio firmato come composto da due parti MIME: la prima è il messaggio scritto dal mittente, la seconda contiene i dati di firma, tipicamente di tipo application/pkcs7-signature, e testualmente “deve essere lasciata inalterata per non compromettere la struttura complessiva del messaggio”. Le ricevute della PEC, inoltre, sono firmate con la chiave del gestore. Regola pratica: se un tuo messaggio passa attraverso programmi di archiviazione o client che separano gli allegati, quella parte non va modificata né ricodificata. Per l’anatomia completa dei messaggi certificati e dei documenti che viaggiano dentro, la guida di riferimento è p7m ricevuto via PEC.

Cosa farne: tre casi, una scelta

In caso di dubbio, la regola è una: smime.p7s non è il file che nasconde il documento, è il file che indica chi ha firmato. Dentro non c’è testo: solo il valore della firma, il certificato e poco altro, in un oggetto CMS. Non serve aprirlo per leggere la mail, e non serve convertirlo per conservarla: la consultazione e l’archiviazione spettano al tuo client, insieme al messaggio intero. Il file di firma merita attenzione solo quando vuoi sapere chi c’è dietro quel certificato.

Per il secondo caso: salva l’allegato dove vuoi, sul computer o sul telefono, poi caricalo nell’area in alto di questa pagina. Il sito riconosce la firma separata dai byte, mostra i dati del firmatario e, se aggiungi l’oggetto firmato originale, ricontrolla l’impronta dei contenuti nel browser. Nel caso di smime.p7s l’originale è il corpo del messaggio: non è un file che puoi allegare, quindi vedrai i dati della firma senza il testo; il testo ce l’hai già nella posta.

Meglio non confonderlo con…

• Il documento con la firma dentro: è la busta .p7m della firma digitale italiana; da quella si estrae il file, come raccontato in estrarre il PDF da un p7m.
• La marca temporale: prova che un documento esisteva a una certa ora; sta in contenitori dedicati come .tsd e .m7m, guidati in file TSD e M7M.
• Un equivoco frequente: se il messaggio sembra un tentativo di phishing, la firma da sola non ti dice se il mittente è affidabile: questo sito mostra cosa il certificato dichiara, non convalida nulla contro elenchi di fiducia o liste di revoca. Per i controlli con valore ufficiale usa la guida verifica firma digitale.

Apri la firma del tuo messaggio

Se smime.p7s ti incuriosisce o ti serve capire chi ha firmato davvero quel messaggio, l’operazione è breve: estrai l’allegato, trascinalo nell’area in alto e con l’account gratuito leggi i dati del certificato. Nessuna installazione, e nessun file che lasci il tuo dispositivo.