Come verificare una firma digitale e quando serve un validatore ufficiale

Verifica firma digitale non significa una cosa sola. Significa rispondere a cinque domande precise — il documento non è cambiato, chi ha firmato è chi dice di essere, il certificato è affidabile, non è stato revocato, la firma esiste da un certo momento — e sapere che strumenti diversi rispondono a esigenze diverse. Un conto è controllare l’impronta di un file nel browser, un altro è ottenere un parere con valore legale in una controversia. Qui sotto trovi i cinque controlli, chi li fa e come non confonderli.

Quali controlli affronti quando verifichi una firma digitale

Ogni verifica, dal validatore di una pubblica amministrazione a quello di un’azienda, ripete gli stessi passaggi. Cambia chi li esegue e con quali elenchi di radici fidate.

I primi due controlli sono matematici: o l’impronta corrisponde o non corrisponde. Gli altri tre dipendono dalle informazioni a disposizione di chi verifica, ed è qui che gli strumenti si distinguono: il tuo lettore PDF si fida delle radici installate sul tuo computer, un validatore qualificato si fida delle liste ufficiali.

Perché la validità va giudicata alla data della firma

Il regolamento europeo eIDAS all’articolo 32 elenca cosa deve confermare la convalida di una firma elettronica qualificata: tra l’altro che il certificato che sostiene la firma fosse un certificato qualificato, emesso da un prestatore qualificato e valido al momento della firma. Scadenza e revoca successive, di per sé, non cancellano una firma apposta quando tutto era in regola; ma per dimostrarlo serve una marca temporale o un altro riferimento temporale che fissi quell’istante. Le marche temporali e il loro funzionamento sono spiegati nella guida su come funziona una marca temporale.

Dove sta la lista di fiducia

Chi verifica ha bisogno di sapere quali autorità di certificazione sono qualificate per firmare. In base all’eIDAS ogni Stato membro pubblica una propria lista di fiducia: quella italiana raccoglie i prestatori di servizi fiduciari qualificati vigilati da AgID, nell’elenco pubblico sul sito dell’agenzia (Aruba, InfoCert, Namirial, Poste, il Notariato e altri). A livello europeo la Commissione raccoglie le liste nazionali in un elenco dell’Unione e mette a disposizione un TL Browser per consultarlo. Un validatore aggiornato alla lista di fiducia riconosce i certificati; un programma con le radici obsolete ti darà errori di catena anche su firme perfette.

Dove fare la verifica firma digitale con valore legale

Per un documento destinato a un contenzioso, a una gara o a una pubblica amministrazione non basta controllare l’impronta: serve una validazione condotta su liste di fiducia ufficiali, come quelle previste dal regolamento eIDAS.

• Validatore DSS della Commissione europea: carica il file (firmato o marcato temporalmente) e restituisce un rapporto di validazione. La pagina avvisa che si tratta di una dimostrazione della libreria DSS, destinata a scopi di test, e che i file vengono trasmessi all’infrastruttura europea: meglio non usarlo con documenti riservati.
• Verificatore On Line (VOL) della Certification Authority del Notariato: applicazione web che, come descritto dalla CA del Notariato, verifica firme digitali e marche temporali rilasciate da qualunque certificatore accreditato presso AgID e da qualunque prestatore europeo; con le firme separate chiede anche il documento originale.
• Servizi di validazione qualificati dei certificatori: la convalida di firme e sigilli qualificati deve produrre i risultati elencati dall’articolo 32 eIDAS. Se hai un contratto con un certificatore, il suo validatore è di solito il canale più diretto.

La differenza tra firma elettronica semplice, avanzata e qualificata — e quindi tra le verifiche che valgono per ciascuna — è trattata nella mappa dei tipi di firma elettronica.

Cosa verifica questo sito e cosa non verifica

Trascinando il file nell’area in alto, aprirep7m.app legge la busta e ti mostra cosa il file stesso dichiara: firmatario, organizzazione, autorità emittente, periodo di validità del certificato, orario di firma, marca temporale se presente. Accanto ai dati, fa controlli fattuali sul file: ricalcola l’impronta del contenuto e il valore di firma nel browser, confronta i timestamp, segnala certificati scaduti o algoritmi deboli. Il file non lascia mai il tuo dispositivo.

Cosa non fa, ed è bene saperlo prima:

• non consulta le liste di fiducia e non risale le radici fino alle liste ufficiali;
• non interroga CRL o OCSP, quindi non sa se un certificato è stato revocato;
• non mostra un bollino «firma valida» e non produce un rapporto di validazione con valore legale.

Per quel tipo di giudizio ci sono gli strumenti ufficiali qui sopra. Per il lato operativo, ogni formato ha la sua guida: il controllo di un file p7m, la firma in busta CAdES e quella incorporata nel PDF. Se il tuo documento è un PDF con firma dentro, leggi come riconoscere un PDF firmato digitalmente: lì cambia il contenitore, non i controlli.

Quale verifica per quale scopo

Fai la tua parte, poi passa al validatore

Se hai il file sottomano, inizia dall’area in alto, dove i byte restano sul tuo dispositivo: con l’account gratuito vedi l’anteprima della prima pagina e i dati dei firmatari, il documento completo con download e stampa si sblocca a pagamento, file per file o con Pro. La verifica che ottieni qui è una lettura del file, non un giudizio: dice cosa contiene la busta e se l’impronta corrisponde. Per il valore legale passa al validatore ufficiale, portando con te i dati letti qui.