Verifica della firma Poste: cosa controllare su un p7m Postecert

Se il certificato che ha firmato il tuo file arriva da Poste Italiane — oggi o sotto il vecchio marchio Postecert/Postecom — la verifica si fa in due tempi: prima guardi cosa il file dichiara, poi chiedi la risposta legale a un servizio qualificato. aprirep7m.app copre il primo tempo: apre la busta .p7m sul tuo dispositivo e mostra firmatario, emittente, date e integrità del contenuto, senza esprimere giudizi di validità. Il secondo tempo spetta ai verificatori dei prestatori fiduciari, e qui sotto trovi dove stanno.

Capire se la firma “è di Poste”

Apri il p7m nell’area in alto e guarda la scheda dei firmatari: tra i campi c’è l’autorità di certificazione che ha emesso il certificato. Nel perimetro Postecert puoi leggere nomi come “Postecom CA” o “Poste Italiane CA”, oppure la catena “Poste Italiane EU Qualified Certificates CA”: sono i certificati di CA pubblicati nella pagina di download di Postecert. Se vedi Postecom su un documento recente, non allarmarti: l’elenco pubblico dei prestatori fiduciari di AgID registra Postecom S.p.A. come cessata nell’aprile 2017, sostituita da Poste Italiane S.p.A., iscritta dal marzo 2017. Anche un certificato con quella radice può essere del tutto regolare: l’intestazione dipende da quando è stato emesso, non da un danno al file.

Caso speculare: la firma di Poste è la tua. Hai sottoscritto tu un documento con il tuo dispositivo Postecert e vuoi ricontrollarlo prima di riconsegnarlo: gli stessi campi del pannello ti dicono se la busta dichiara la tua firma, se l’impronta del contenuto coincide e se la marca temporale che avevi chiesto è davvero dentro il file.

Verificare il firmatario: cosa fa questo browser

Con il file aperto hai già risposte concrete, senza aver caricato nulla:

• identità dichiarata: nome, eventuale organizzazione e ruolo risultanti dal certificato di firma;
• copertura temporale: il periodo di validità del certificato, confrontato con la data di firma che la busta dichiara;
• integrità: l’impronta del contenuto viene ricalcolata sul documento presente; se la busta contiene più firme, ogni livello annidato viene sciolto e i firmatari elencati;
• marca temporale: se il documento è stato marcato, la scheda riporta l’autorità che ha emesso la marca e l’ora dichiarata.

Restano fuori: lo stato di revoca del certificato, la catena di fiducia verificata contro liste ufficiali, ogni giudizio di validità. “Vedo la firma” non significa “la firma è valida”.

Verificare la validità: gli strumenti che lo fanno

Il verificatore che serve, quando vuoi sapere se quella firma è valida oggi, è il Verificatore On Line di Postecert, collegato dalle pagine ufficiali della firma digitale di Poste: la pagina chiede di selezionare il documento firmato o marcato e avvia la verifica. Due avvertenze prima di usarlo:

1. stai trasmettendo il documento a un servizio remoto. Se l’atto contiene dati sensibili — sanitari, familiari, contrattuali — valuta se vuoi inviarlo: la lettura nell’area in alto, invece, avviene sul tuo dispositivo senza alcun caricamento.
2. l’esito del verificatore va interpretato. Una firma su un certificato scaduto dopo la sottoscrizione può essere trattata in modo diverso da una firma su un certificato revocato prima: per decisioni con conseguenze legali, rivolgiti a un professionista.

Un’alternativa europea esiste: la versione dimostrativa del validatore DSS della Commissione accetta anche formati CAdES e produce report di validazione, ma la pagina dichiara che l’uso è limitato a fini di test e avverte che i file vengono trasmessi all’infrastruttura della Commissione. Utile per capire, non da citare come prova.

Tabella: quale controllo, quale strumento

Se la tua situazione non riguarda una firma di Poste ma un certificato generico, la guida generale resta verifica file p7m: gli stessi principi valgono per qualunque emittente, e il quadro più ampio dei tipi di verifica è nella guida verifica firma digitale. E se il file ti è arrivato da una casella Postecert, ricorda che la firma della busta di trasporto è del gestore e non dell’autore: p7m da Postecert spiega come non confonderle, con i collegamenti alla struttura della PEC.

Marca temporale sui documenti vecchi

Quando il certificato è scaduto da anni e qualcuno contesta la validità di una firma del 2019, conta sapere quando quel documento è stato firmato. La marca temporale è un’evidenza informatica che attribuisce a un file un riferimento temporale opponibile ai terzi: se è apposta intorno alla firma, da lì si può discutere se la sottoscrizione fosse in periodo di validità. Se nel tuo file la marca c’è, la scheda la mostra insieme all’autorità che l’ha emessa; la valutazione legale, comunque, non la fa questo strumento. Come si legge nel dettaglio sta nella guida marca temporale.

Cosa fare con il tuo file

Trascina il p7m nell’area in alto: anteprima della prima pagina e dati dei firmatari sono gratis con l’account, il documento completo e il download dell’estratto sono a pagamento, e in entrambi i casi il file resta sul tuo dispositivo. Se per una controversia ti serve l’esito formale di una validazione, usa i verificatori qualificati indicati sopra: qui trovi i dati dichiarati dal file, non quel verdetto.