Come si verifica la validità di una firma digitale

Per verificare una firma digitale serve un software di validazione: si carica il file firmato e il programma restituisce un esito sulla firma, sul certificato e sull'integrità del documento. Aprire il PDF e vedere il nome del firmatario non è una verifica.

Il controllo risponde a quattro domande distinte. Il certificato era valido nel momento in cui la firma è stata apposta? Il documento è rimasto identico da allora? Il certificato non era stato revocato o sospeso? Chi lo ha emesso è un prestatore di servizi fiduciari qualificato? Una firma è valida solo se tutte e quattro le risposte sono affermative.

Cosa significa "valida", in concreto

Controllo	Cosa accerta	Se fallisce
Validità temporale	Il certificato non era scaduto alla data della firma	Firma non valida, il documento va rifirmato
Integrità	Nessuna modifica al file dopo la firma	Il contenuto non è più quello sottoscritto
Stato di revoca	Il certificato non era revocato o sospeso	Firma priva di efficacia da quel momento
Catena di certificazione	L'emittente è un prestatore qualificato riconosciuto	La firma non è qualificata, qualunque cosa mostri il lettore

L'errore più diffuso riguarda la prima riga. Un contratto firmato nel 2021 con un certificato scaduto nel 2024 resta perfettamente valido: conta la validità alla data di firma, non quella odierna. Il software lo verifica solo se il documento porta un riferimento temporale attendibile, ed è la ragione per cui la marca temporale conta più di quanto sembri.

Gli strumenti per farlo

Il software del tuo prestatore. Ogni certificatore distribuisce gratuitamente il proprio programma di firma, che include la funzione di verifica e accetta anche file firmati da altri. È lo strumento più immediato se ne hai già uno installato.

I software elencati da AgID. L'Agenzia pubblica l'elenco dei prodotti che riconoscono i formati PAdES, CAdES e XAdES e restituiscono un esito completo sulla catena di certificazione. Sono gratuiti e non richiedono di possedere a propria volta una firma.

Il validatore della Commissione europea. Il servizio di validazione basato sulla libreria DSS controlla la firma contro le Trusted List di tutti gli Stati membri. È la strada corretta quando il firmatario è straniero, perché un software italiano può non riconoscere un'autorità di certificazione estera pur essendo questa perfettamente qualificata.

Il lettore PDF. Adobe Reader segnala la presenza di una firma e mostra i dati del certificato. Il limite è preciso: dice che una firma esiste e che il file non è stato alterato, ma non stabilisce se il certificato sia qualificato ai sensi del regolamento eIDAS.

Quale file caricare nel validatore

Estensione	Formato	Cosa si carica
.pdf	PAdES	Il PDF stesso, la firma è al suo interno
.p7m	CAdES	La busta intera, non il documento che contiene
.xml	XAdES	Il file XML firmato

Le tre forme hanno lo stesso valore giuridico e cambia solo l'involucro; il confronto completo, utile a chi deve firmare, è in come firmare un PDF con firma digitale. Per chi verifica conta una cosa sola: si carica il file così come è arrivato.

La procedura passo per passo

1. Recupera il file originale. Deve essere quello ricevuto, non una copia stampata e riscansionata, non un file riaperto e salvato di nuovo. Anche un salvataggio senza modifiche visibili può alterare la struttura del PDF e far fallire il controllo di integrità.
2. Carica il file nel validatore. I formati accettati sono .pdf per le firme PAdES, .p7m per le CAdES e .xml per le XAdES. Un file contratto.pdf.p7m va caricato così com'è, senza rinominarlo.
3. Attendi il controllo online sullo stato di revoca. Il software interroga le liste di revoca del prestatore o il servizio OCSP. Senza connessione l'esito resta parziale e in genere viene segnalato come tale.
4. Leggi l'esito completo, non solo il semaforo. Il riepilogo colorato in alto è una sintesi. I dati che contano sono nel dettaglio: titolare, codice fiscale, emittente, periodo di validità, presenza e ora della marca temporale.
5. Estrai il documento originale. Da un .p7m il validatore permette di salvare il file contenuto nella busta. È quello il documento sottoscritto, ed è quello che va conservato insieme alla firma.

Come si legge l'esito

L'esito raramente è un semplice sì o no. Le formulazioni cambiano da programma a programma, ma le situazioni ricorrenti sono queste.

Firma valida. Certificato integro, qualificato e valido alla data di riferimento. Nessuna azione necessaria.

Firma valida ma certificato scaduto oggi. Situazione normale per documenti di qualche anno fa. Se esiste una marca temporale apposta quando il certificato era attivo, la firma regge senza riserve.

Impossibile determinare la data di firma. Manca un riferimento temporale opponibile e il software usa l'orologio del computer del firmatario, che non fa fede. Su un documento importante è un difetto sostanziale.

Certificato revocato. La revoca ha effetto dal momento in cui è stata pubblicata. Una firma apposta prima resta valida se la data è provata da una marca temporale; senza marca temporale la firma diventa contestabile.

Documento alterato. Il file è stato modificato dopo la firma. Non c'è rimedio tecnico: va richiesto al mittente il file originale.

Certificato non attendibile. L'emittente non è presente nell'archivio di fiducia del software. Nella maggior parte dei casi il certificato è valido e il programma è semplicemente disallineato, tipicamente con un'autorità estera. Il controllo va rifatto sul validatore europeo prima di trarre conclusioni.

Cosa la verifica non dice

Una firma tecnicamente valida non rende automaticamente efficace il documento che accompagna.

Non attesta che chi ha firmato avesse il potere di farlo. Un contratto sottoscritto da un dipendente senza delega ha una firma perfetta e nessun valore vincolante per la società. Il potere di rappresentanza si controlla sulla visura camerale alla data dell'atto, come spiegato in differenza tra visura camerale ordinaria e storica.

Non attesta il contenuto. La verifica dimostra che quel testo è stato sottoscritto da quella persona e che non è cambiato, niente di più su ciò che il testo afferma.

Non attesta la consegna. Sapere che un documento è firmato non dice se sia mai stato inviato e ricevuto: quella prova la dà la ricevuta di una PEC, come descritto in PEC o email: quando serve davvero.

Non attesta la volontà del firmatario nel merito. Il disconoscimento di una firma qualificata è possibile in giudizio, ma con un onere probatorio a carico di chi contesta.

Perché la marca temporale cambia l'esito

La firma dice chi. La marca temporale dice quando, con un'ora certificata da un'autorità indipendente invece che dall'orologio del computer di chi firma.

L'effetto pratico si vede a distanza di anni. Senza marca temporale, quando il certificato scade il validatore non riesce più a stabilire se al momento della firma fosse attivo, e l'esito scivola su un "impossibile determinare". Con la marca il riferimento temporale resta ancorato e la verifica continua a funzionare.

I formati con validazione a lungo termine, indicati con i suffissi T, LT e LTA, incorporano nel file anche le informazioni di revoca raccolte al momento della firma. Un documento in PAdES-LTA si verifica anche fra dieci anni senza dipendere da server ancora online. La spesa si giustifica su atti costitutivi, cessioni di quote e contratti pluriennali, cioè su tutto ciò che verrà riletto quando il certificato di firma sarà scaduto da un pezzo. Per una comunicazione ordinaria è denaro sprecato. Il meccanismo è descritto in come funziona la marca temporale.

Errori che fanno fallire una verifica valida

Errore	Sintomo	Rimedio
Aprire e risalvare il PDF firmato	Documento risulta alterato	Recuperare il file originale dal mittente
Rinominare togliendo .p7m	Il validatore non riconosce il formato	Ripristinare l'estensione completa
Estrarre il PDF da un .p7m e verificare quello	Nessuna firma rilevata	Verificare la busta, non il contenuto
Compilare un campo modulo dopo la firma	Integrità compromessa	Firmare solo documenti appiattiti
Verificare offline	Stato di revoca non controllato	Ripetere con la connessione attiva
Inoltrare il file via chat o servizi che ricomprimono	Struttura modificata	Trasmettere come allegato o via PEC

Il primo caso è quello che genera più contestazioni infondate. Basta che un ufficio apra il PDF, aggiunga un commento e salvi per trasformare un documento in regola in un file che risulta manomesso.

Verificare una firma estera

Dentro l'Unione europea vale il principio del riconoscimento reciproco: una firma qualificata emessa da un prestatore inserito nella Trusted List di uno Stato membro ha lo stesso valore di una firma italiana.

Il controllo si fa in due passaggi. Prima si verifica il file con il validatore europeo, poi si cerca l'emittente nel Trusted List Browser della Commissione. Se il prestatore non compare in nessuna lista nazionale, la firma può essere tecnicamente corretta ma non è qualificata, e il documento non gode dell'equivalenza con la sottoscrizione autografa.

Fuori dall'Unione il riconoscimento dipende dagli accordi e dalla legge del Paese di destinazione. Prima di accettare un contratto firmato con uno strumento extraeuropeo conviene chiarire quale legge lo regola.

Domande frequenti

Posso verificare una firma senza avere a mia volta una firma digitale? Sì. I software di verifica elencati da AgID e il validatore europeo sono gratuiti e non richiedono alcun certificato.

Come apro un file .p7m? Con un software di firma o di verifica, che apre la busta crittografica e permette di salvare il documento contenuto. I lettori PDF comuni non lo gestiscono, e il file che segnalano come corrotto è quasi sempre integro.

La verifica va rifatta ogni volta? Per un documento che conservi a lungo conviene ripeterla e archiviare il rapporto di validazione insieme al file. Su formati con validazione a lungo termine il rapporto resta riproducibile nel tempo.

Una firma su un documento scansionato vale? No. La scansione di un foglio firmato a penna è un'immagine e non contiene alcun certificato. Nessun validatore vi troverà una firma digitale.

Cosa succede se il certificato è stato revocato dopo la firma? La revoca vale per il futuro. Le firme apposte prima restano valide, a condizione che la data sia provata da una marca temporale e non dall'orologio del firmatario.

Il rapporto di verifica ha valore in giudizio? È un elemento tecnico che documenta l'esito del controllo. Il valore probatorio della sottoscrizione discende dal Codice dell'Amministrazione Digitale, non dal rapporto, che serve a dimostrare di aver effettuato la verifica.

La verifica mostra il nome di una società al posto di una persona: è un errore? Quasi sempre no. Quando il certificato è intestato a una persona giuridica non si tratta di una firma ma di un sigillo elettronico, che serve a garantire origine e integrità del documento e non a sottoscriverlo. La differenza e i casi d'uso sono in firma elettronica qualificata e sigillo elettronico.

Perché lo stesso file risulta valido su un programma e non attendibile su un altro? Perché gli archivi di fiducia dei due programmi sono diversi o disallineati. In questo caso fa fede il controllo contro le Trusted List europee.

Come firmo io un documento, se mi serve rispondere? La procedura e la scelta del formato sono in come firmare un PDF con firma digitale. Chi firma di rado può usare una firma con OTP a consumo a 4,90 € per firma; chi firma spesso trova più conveniente la firma digitale remota a 39,00 € l'anno.

Fonti ufficiali

AgID pubblica l'elenco dei software di verifica della firma digitale e quello dei prestatori di servizi fiduciari qualificati attivi in Italia, che è il riferimento per stabilire se un certificato sia qualificato. La Commissione europea mantiene il Trusted List Browser, che raccoglie i prestatori qualificati di tutti gli Stati membri e consente il controllo delle firme estere. Il valore probatorio del documento informatico sottoscritto con firma elettronica qualificata è fissato dagli articoli 20 e 21 del Codice dell'Amministrazione Digitale (D.Lgs. 82/2005); l'equivalenza con la sottoscrizione autografa e il riconoscimento reciproco tra Stati membri derivano dal regolamento europeo eIDAS.

Disclaimer

I contenuti hanno valore informativo e non costituiscono consulenza professionale. Per le contestazioni sulla validità di una sottoscrizione, per il disconoscimento di una firma e per gli atti soggetti a forma vincolata rivolgersi a un notaio o a un avvocato. Vedi il disclaimer YMYL.