Verifica di un file p7m: cosa mostra il browser e cosa serve altrove

Verificare un file .p7m vuol dire due cose diverse, e confonderle è l’errore più comune. La prima: controllare cosa il file dichiara e se il suo contenuto coincide con l’impronta che porta con sé — è un lavoro che si può fare sul tuo dispositivo, in un browser, ed è quello che mostra l’area in alto. La seconda: stabilire se quella firma ha valore di legge, se il certificato era valido e non è stato revocato — e questa risposta può darla solo una validazione qualificata, non un visualizzatore. Qui trovi cosa ottieni aprendo un p7m e dove finiscono i controlli che puoi fare da solo.

Cosa controlli in un minuto sul tuo file

Trascina il p7m nell’area in alto e la scheda dei firmatari elenca, per ogni firma trovata: nome e organizzazione del firmatario, autorità che ha emesso il certificato, periodo di validità, tempo di firma e marca temporale se presente, livello dichiarato. Sono i dati che la busta si porta dentro: il certificato del firmatario di solito è incluso nella busta stessa, quindi non devi installarlo da nessuna parte.

Oltre ai dati dichiarati, il file viene sottoposto a controlli fattuali:

• hash del contenuto: l’impronta conservata nella busta viene ricalcolata sul documento presente; se non corrisponde, qualcosa è stato tagliato o alterato dopo la firma;
• valore della firma: ricalcolato nel browser sul contenuto della busta;
• scadenze: la data di firma dichiarata viene confrontata con il periodo di validità del certificato;
• algoritmi: se la busta usa firme deboli, la pagina lo segnala.

Cosa nessuna di queste schermate può dirti

Questi limiti vanno detti con chiarezza. Questa verifica non consulta gli elenchi di fiducia, non controlla se il certificato è stato revocato o sospeso, non produce un report valido come prova legale. Il motivo è strutturale: la risposta “firma valida” dipende da informazioni esterne al file — liste di certificati affidabili aggiornate, stato del certificato oggi, politiche di validazione — che un programma nel browser non interroga. Un giudizio di validità dato senza queste fonti non è supportato da alcun controllo.

Tabella: chi risponde a quale domanda

Per i casi in cui ti serve un test con un validatore vero, esiste la versione dimostrativa del validatore DSS della Commissione europea: gestisce anche i formati CAdES, ma la pagina stessa avvisa che l’uso è limitato a fini di test e che i file vengono trasmessi all’infrastruttura della Commissione — quindi non caricare atti sensibili. In Italia alcuni prestatori pubblicano propri verificatori, come il certificatore del Notariato (guida qui) o le pagine di Poste (guida qui).

Firma doppia, firma che arriva dopo un’altra firma

I file .p7m.p7m non sono un errore: è un documento già firmato che è stato firmato di nuovo, in genere per una controfirma o per aggiungere una seconda firma. L’apertura della busta esterna rivela una firma il cui documento è a sua volta una busta. La verifica in questo caso serve a due controlli: che tutte le firme siano elencate una per una — e qui il pannello le mostra tutte — e che il documento annidato sia integro fino all’ultima riga, non solo nella busta più esterna. Se invece ricevi una firma separata accanto al documento, il discorso è diverso: guarda cos’è un file p7s.

Il certificato è scaduto: che fine fa la firma?

È la domanda legittima sui file di qualche anno fa. La sequenza di verifiche sensata è questa: quando risulta apposta la firma secondo la busta; se una marca temporale certifica il riferimento temporale del documento; se il periodo di validità del certificato copre quell’istante. I primi due elementi li trovi aprendo il file; la conclusione giuridica spetta alla validazione qualificata. Il ruolo della marca temporale in questo percorso è trattato nella guida marca temporale.

Passi, nell’ordine giusto

1. Scarica il p7m vero (se viene da una PEC, segui la mappa degli allegati della busta di trasporto: la firma del gestore non è il documento).
2. Aprilo nell’area in alto e leggi i firmatari, uno per uno.
3. Confronta data di firma e validità del certificato; verifica se c’è marca temporale.
4. Se il contenuto ti basta per leggere, chiudi pure qui; se ti serve una validazione legale, usa i servizi che abbiamo indicato sopra.
5. Conserva il file originale: è la prova, non il PDF estratto.

Cosa resta sul tuo dispositivo

Se la tua domanda su una firma cercava una risposta concreta e non una spunta, l’area in alto è il posto giusto: con l’account gratuito hai anteprima, dati dei firmatari e controlli; il documento completo e il download si aggiungono a pagamento. Nessuna parte del file viene caricata: la busta si apre sul tuo dispositivo.