Come rinnovare la firma digitale scaduta

Il titolo di questa guida contiene un equivoco che vale la pena sciogliere subito: una firma digitale già scaduta non si rinnova. Il rinnovo è un'operazione che il certificatore accetta solo mentre il certificato è ancora valido. Passata la data di fine validità resta una sola strada, cioè richiedere una nuova emissione con una nuova identificazione del titolare.

Se il certificato è ancora in corso di validità, invece, il rinnovo si fa online in pochi minuti dal portale del proprio certificatore, e va completato entro il giorno precedente alla scadenza.

Prima cosa: guarda quale delle due date è scaduta

Chi ha una firma su smart card o su chiavetta USB ha in mano due cose diverse, e i portali usano nomi che si somigliano.

	Certificato di sottoscrizione	Certificato di autenticazione (CNS)
A cosa serve	Firmare documenti con valore legale	Accedere ai portali della PA
Durata tipica	3 anni	3 anni
Se scade	Le firme apposte dopo valgono come non apposte	Non entri più nei servizi online
Si rinnova	Sì, prima della scadenza	Sì, prima della scadenza

Capita spesso che scada solo uno dei due, perché sono stati attivati in momenti diversi. Il software del certificatore mostra entrambe le date nell'elenco dei certificati installati sul dispositivo. Con una firma remota la verifica si fa dall'area riservata del portale, dove la scadenza è indicata accanto al certificato attivo.

La regola dei tre più tre

I certificati qualificati durano tre anni. Il limite non è una scelta commerciale del certificatore: nasce dalle regole europee e dalle prescrizioni AgID, e ha due ragioni pratiche. La prima è tenere il passo con l'evoluzione degli algoritmi crittografici, la seconda è verificare periodicamente che l'identità e i poteri del titolare siano ancora quelli dichiarati.

Momento	Cosa puoi fare
Certificato attivo, mancano più di 90 giorni	Attendere: molti certificatori aprono la finestra di rinnovo solo negli ultimi mesi
Ultimi 90 giorni prima della scadenza	Rinnovare online, per altri 3 anni
Giorno della scadenza	Troppo tardi: il rinnovo va concluso entro il giorno prima
Certificato scaduto o revocato	Nuova emissione, con nuova identificazione
Secondo triennio già consumato	Nuovo dispositivo o nuova firma remota

Il rinnovo triennale è concesso una volta sola. Dopo sei anni complessivi il certificato non è più prorogabile e serve un nuovo dispositivo o un nuovo servizio in cloud. Le finestre variano da certificatore a certificatore, e alcuni le tengono più strette di novanta giorni, per cui la data da segnare in calendario è quella indicata nella propria area clienti.

Dove si legge la data di scadenza

La data buona è quella scritta dentro il certificato, nel campo "valido fino al". Il contratto di acquisto e le etichette sul supporto riportano altro, e chi si regola su quelli sbaglia la finestra di rinnovo. Dove si legge dipende da come si firma.

Tipo di firma	Dove guardare	Cosa cercare
Firma remota	Area clienti del prestatore, sezione dedicata ai certificati	Stato del certificato e data di fine validità
Smart card o token USB	Software di firma, gestione o dettagli del certificato	Le voci "valido dal" e "valido fino al" del certificato di sottoscrizione
Qualsiasi firma già apposta	Proprietà della firma su un documento firmato di recente	Il periodo di validità del certificato del firmatario

Sul dispositivo fisico compaiono due certificati, e vanno letti tutti e due. Quello di sottoscrizione serve a firmare, quello di autenticazione CNS serve a entrare nei portali della PA: hanno scadenze proprie e possono non coincidere, soprattutto se uno dei due è già stato rinnovato in passato.

Due dettagli fanno perdere tempo a chi controlla per la prima volta. Alcuni software mostrano l'orario in UTC, quindi nell'ultimo giorno utile la scadenza reale può cadere un'ora o due prima di quanto sembri. E la data visibile nell'elenco certificati resta quella vecchia finché il rinnovo non è concluso davvero, per cui è anche il modo più affidabile per verificare se la procedura è andata a buon fine.

Il rinnovo, passo per passo

1. Individua il certificatore che ha emesso la firma. È scritto sulla busta cieca ricevuta all'attivazione, e compare nei dettagli del certificato aperto dal software di firma. L'elenco dei prestatori di servizi fiduciari qualificati attivi in Italia è pubblicato da AgID.
2. Aggiorna il software di firma e i driver del dispositivo. Il rinnovo su smart card e token dialoga con il chip, e una versione vecchia è la causa più comune degli errori a metà procedura.
3. Acquista il rinnovo dall'area clienti del certificatore, poi avvia la procedura guidata con il dispositivo inserito, o con l'app di autenticazione a portata di mano se la firma è remota.
4. Digita il PIN quando richiesto. Sbagliarlo tre volte blocca il dispositivo e servirà il PUK per sbloccarlo.
5. Controlla la nuova data di fine validità nell'elenco certificati. Finché lì compare la vecchia data, il rinnovo non è andato a buon fine.

Non serve una nuova identificazione: è il senso stesso del rinnovo. L'identificazione va rifatta solo quando si riparte da zero con un'emissione nuova.

Se la scadenza è già passata

Il certificato scaduto non si riattiva. Il dispositivo smette di firmare e i tentativi vengono respinti con un errore del software.

La conseguenza giuridica è nell'art. 24, comma 4-bis, del Codice dell'Amministrazione Digitale: apporre a un documento informatico una firma digitale o un'altra firma elettronica qualificata basata su un certificato revocato, scaduto o sospeso equivale a mancata sottoscrizione, salvo che la sospensione sia stata annullata. Un contratto firmato in quelle condizioni non è un contratto firmato male, è un contratto non firmato.

Per ripartire ci sono due opzioni, e la scelta dipende da come si usa la firma.

La firma remota non richiede hardware: il certificato risiede presso il prestatore e si firma con PIN più codice OTP generato da app o token. Se il vecchio dispositivo fisico è scaduto e nel frattempo si lavora da più postazioni, la firma digitale remota evita il problema alla radice, perché non c'è più una chiavetta da ritrovare al momento del bisogno. Per chi firma poche volte all'anno esiste anche la firma qualificata con OTP, pensata per la singola sottoscrizione.

Il dispositivo fisico ha ancora senso per chi firma offline o deve usare la CNS su portali che accettano solo la smart card. Comporta una nuova identificazione e tempi più lunghi.

Sul confronto completo fra le forme di firma, e su quale serve per quale documento, c'è la guida su quale firma digitale scegliere.

I documenti firmati prima restano validi

Questa è la domanda che genera più panico e ha la risposta più tranquilla. Un documento firmato mentre il certificato era valido resta valido anche dopo la scadenza. La firma fotografa un momento; non decade perché il certificato è invecchiato.

Il punto delicato è la verifica. Molti software controllano la validità del certificato alla data odierna e restituiscono un avviso su un documento perfettamente in regola. La verifica corretta si fa alla data di apposizione, e quasi tutti i verificatori permettono di impostarla.

Per non doverlo spiegare a ogni controparte serve la marca temporale, cioè una validazione temporale elettronica qualificata, che gode della presunzione di accuratezza della data e dell'ora indicate e dell'integrità dei dati associati. Con la marca il documento porta con sé la prova di quando è stato firmato, e la scadenza successiva del certificato diventa irrilevante. È il motivo per cui su contratti pluriennali, bilanci e atti destinati a essere esibiti nel tempo la marca conviene sempre: il funzionamento è spiegato nella guida su come funziona la marca temporale, e i pacchetti si acquistano come marche temporali.

Il caso delle revoche anticipate

Ogni tanto un certificato viene revocato prima della sua scadenza naturale, e non per colpa del titolare. È successo ai dispositivi che montano alcuni modelli di chip, per i quali i certificatori hanno disposto la revoca anticipata del certificato di sottoscrizione su indicazione degli organismi di vigilanza.

Chi si trova in questa situazione riceve una comunicazione dal proprio certificatore o dalla Camera di commercio che ha rilasciato il dispositivo. Il vecchio supporto non è rinnovabile e va sostituito; il nuovo riparte con tre anni di validità, rinnovabili per altri tre. Vale la pena controllare le comunicazioni del proprio certificatore prima di dare per scontata la data stampata sul contratto iniziale.

Domande frequenti

Quanto costa il rinnovo rispetto a una firma nuova? Il rinnovo costa meno, perché copre il solo certificato e non l'hardware né la procedura di riconoscimento. Il prezzo lo fissa il certificatore e va verificato nella propria area clienti.

Ho perso la busta con PIN e PUK. Posso rinnovare lo stesso? Il rinnovo richiede il PIN. Senza, va gestita prima la procedura di ripristino prevista dal certificatore, che nella maggior parte dei casi comporta l'emissione di nuove credenziali.

Posso rinnovare la firma di un'altra persona? No. Il certificato è personale e il rinnovo va eseguito dal titolare con le proprie credenziali. Un collaboratore può al massimo assistere alla parte tecnica.

Il rinnovo cambia il mio codice fiscale o i dati del certificato? No, i dati identificativi restano quelli. Se sono cambiati, per esempio dopo una variazione anagrafica, il rinnovo non è la strada giusta e serve una nuova emissione.

Come faccio a sapere chi è il mio certificatore? Compare nei dettagli del certificato aperto dal software di firma, alla voce relativa all'emittente. Il nome va poi confrontato con l'elenco pubblico dei prestatori qualificati tenuto da AgID.

Il certificato risulta valido nel software ma il portale della PA mi respinge. Cosa succede? Quasi sempre è in gioco l'altro certificato. I portali della PA usano quello di autenticazione CNS, che ha una sua data di scadenza e va rinnovato separatamente da quello di sottoscrizione.

Dopo il rinnovo devo rifare qualcosa nel software di firma? Va aperto l'elenco certificati per confermare la nuova data. Se lì resta la vecchia scadenza, il rinnovo non è stato scritto sul dispositivo e la procedura va ripetuta. Sulla firma vera e propria non cambia nulla: i passaggi restano quelli descritti nella guida su come firmare un PDF con firma digitale.

Una firma digitale scaduta invalida una PEC già inviata? No, sono due servizi distinti. La posta elettronica certificata ha una sua scadenza contrattuale e un suo gestore, e non dipende dal certificato di firma.

Fonti ufficiali

Il quadro europeo è il regolamento eIDAS (UE) 910/2014, che disciplina firme elettroniche qualificate e validazioni temporali. In Italia il Codice dell'Amministrazione Digitale stabilisce all'art. 24 gli effetti della firma apposta con certificato revocato, scaduto o sospeso. AgID vigila sui prestatori di servizi fiduciari e ne pubblica l'elenco aggiornato, che è il riferimento per verificare che il proprio certificatore sia qualificato.

Disclaimer

I contenuti hanno valore informativo e non costituiscono consulenza professionale. Tempi, costi e finestre di rinnovo dipendono dal singolo prestatore di servizi fiduciari: per la propria posizione fa fede quanto indicato dal certificatore che ha emesso il certificato. Vedi disclaimer YMYL.