File smime.p7m: cos’è e come aprirlo

In breve

1. Prova prima nel programma di posta: apri il messaggio in una finestra a parte (doppio clic), non nel riquadro di lettura o nella visualizzazione Conversazione. Microsoft lo indica proprio per i messaggi S/MIME in Outlook, e spesso basta.
2. Se vedi ancora solo smime.p7m, salva l’allegato (oppure l’intero messaggio come .eml) e trascinalo nel riquadro qui sopra.
3. Messaggio firmato: ApriP7M mostra il testo, elenca gli allegati con un pulsante Scarica per ciascuno, controlla che il contenuto non sia stato modificato dopo la firma e ti dà il messaggio “sbustato” come smime.eml.
4. Messaggio cifrato: si apre solo con la chiave privata del destinatario. Leggilo nel programma di posta dove è installato il tuo certificato (spesso il PC dell’ufficio o una smart card) o chiedi al mittente di rimandarlo in altro modo.

smime.p7m non è un file firmato “all’italiana”

In Italia l’estensione .p7m fa pensare subito alla firma digitale CAdES di contratti e fatture elettroniche (contratto.pdf.p7m, IT…_00001.xml.p7m). La struttura crittografica è parente (CMS/PKCS#7), ma smime.p7m nasce da un’altra parte: è il formato con cui lo standard S/MIME (RFC 8551) firma o cifra le email con un certificato. Di solito l’allegato si chiama proprio smime.p7m, che sia firmato o cifrato.

Cosa vedi	Cos’è	Si legge senza S/MIME?
smime.p7m firmato (signed-data)	Firma “opaca”: testo, allegati e firma nello stesso contenitore	Non nel programma di posta, ma il contenuto non è segreto: ApriP7M o OpenSSL lo estraggono.
smime.p7m cifrato (enveloped-data)	Crittografia: il messaggio è cifrato per il certificato di ogni destinatario	No. Solo con la chiave privata del destinatario.
smime.p7s	Firma “in chiaro”: il messaggio resta normale, la firma viaggia a parte	Sì: testo e allegati si vedono, smime.p7s è solo la firma (è anche quella del gestore nella PEC).

Il PDF, il foglio Excel o la foto che il mittente ha allegato sono quindi dentro smime.p7m: rinominare il file o aprirlo con Adobe Reader non serve.

Perché il programma di posta mostra smime.p7m

• Il programma o l’account non gestisce S/MIME. Microsoft ricorda che mittente e destinatario devono usare un’applicazione di posta che supporti S/MIME e che per la crittografia in Outlook serve un abbonamento Microsoft 365 idoneo, con account aziendale o dell’istituto di istruzione. Google indica S/MIME in Gmail come disponibile solo per gli account di lavoro o della scuola. Una casella personale può quindi mostrare il contenitore così com’è.
• Il messaggio è stato aperto in un’anteprima che non elabora S/MIME. Secondo la guida Microsoft, in Outlook sul desktop, sul web e su dispositivo mobile un messaggio crittografato va aperto in una nuova finestra, perché la visualizzazione Conversazione non lo supporta; nel nuovo Outlook vale lo stesso per i messaggi firmati, se usi la visualizzazione conversazione. Su Microsoft Q&A diversi utenti di Outlook per Mac descrivono il caso opposto con i messaggi firmati: nel riquadro di lettura compare smime.p7m, e gli allegati veri appaiono aprendo il messaggio nella sua finestra.
• È cifrato e su questo dispositivo manca il tuo certificato. Outlook decrittografa un messaggio S/MIME solo se nel computer (o nella smart card) c’è un certificato con la sua chiave privata. Sul telefono, sul PC di casa o in una webmail dove il certificato non è mai stato installato, il messaggio resta chiuso.

Firmato o cifrato? Come capirlo

Il modo più rapido è trascinarlo nel riquadro: un messaggio firmato si apre con “Firma integra” e il testo; uno cifrato si ferma con un avviso che lo dice esplicitamente. Senza strumenti, l’opzione “mostra originale” o “visualizza sorgente” del programma di posta mostra l’intestazione della parte: smime-type=signed-data o smime-type=enveloped-data. Con OpenSSL:

openssl cms -cmsout -print -inform DER -in smime.p7m | head -3

La prima riga dice pkcs7-signedData per un messaggio firmato e pkcs7-envelopedData (o id-smime-ct-authEnvelopedData, con AES-GCM) per uno cifrato. Se OpenSSL rifiuta il formato, il file è testo Base64: usa -inform PEM se inizia con -----BEGIN, altrimenti decodificalo prima con base64 -di smime.p7m > smime.der.

Cosa fare in ogni programma

I nomi dei menu sono quelli delle pagine di supporto Microsoft e Apple in italiano; nella tua versione possono variare leggermente.

Outlook classico per Windows

Apri il messaggio con un doppio clic. Se è cifrato, Outlook cerca il tuo certificato nel computer e lo decrittografa all’apertura; se il certificato è su smart card, ti chiede di inserirla ed eventualmente il PIN. Il certificato si sceglie in File › Opzioni › Centro protezione › Impostazioni Centro protezione › Sicurezza Email, poi Posta elettronica crittografata › Impostazioni › Certificati e algoritmi › Scegli.

Nuovo Outlook per Windows e Outlook sul web

Le opzioni sono in Impostazioni › Posta › S/MIME. Microsoft precisa che il nuovo Outlook non importa automaticamente i certificati digitali: va installato a mano o tramite i criteri dell’amministratore. Outlook sul web richiede anche il controllo S/MIME: nella pagina delle impostazioni compare “Per usare S/MIME, è necessario installare il controllo S/MIME. Per installarlo, clicca qui”, e se apri prima un messaggio crittografato ti viene chiesto di installarlo. In Chrome funziona solo su computer associati al dominio aziendale con il criterio per l’estensione S/MIME: dal portatile personale, di solito, questa strada è chiusa. Se il messaggio è in una cassetta condivisa o delegata, tieni d’occhio la voce 565861 della roadmap Microsoft 365, che porta S/MIME del nuovo Outlook anche lì.

Outlook per Mac

Il certificato deve essere nel portachiavi di macOS. Poi scegli Outlook › Account, seleziona l’account, poi Sicurezza, e indica il certificato in Certificato. Microsoft avvisa che il supporto per la versione legacy di Outlook per Mac termina a ottobre 2026. Se un messaggio firmato mostra solo smime.p7m nel riquadro di lettura, aprilo prima nella sua finestra.

Outlook su iPhone e Android

Tocca il controllo Account in alto a sinistra, poi Impostazioni in basso a sinistra, l’account e infine Sicurezza, dove c’è l’interruttore S/MIME. Microsoft aggiunge che se l’opzione Sicurezza non c’è, quel tipo di account o provider non supporta S/MIME: è un motivo probabile quando smime.p7m compare sul telefono mentre sul PC dell’ufficio lo stesso messaggio si legge.

Mail su iPhone

Mail di iOS supporta S/MIME. Apple colloca le opzioni in Account › Avanzate dell’account (su iOS recente ci arrivi da Impostazioni › App › Mail › Account Mail). Per leggere un messaggio cifrato, sull’iPhone deve essere installato il tuo certificato S/MIME con la chiave privata. Per i messaggi firmati, Mail mostra un segno di spunta blu accanto al mittente attendibile e un punto interrogativo rosso se la firma non è attendibile. Per gli altri allegati firmati sul telefono c’è la guida P7M su iPhone e Android.

Gmail

La crittografia S/MIME ospitata di Gmail (lucchetto verde) è per account di lavoro o della scuola. Un account Gmail personale non ha S/MIME, quindi un messaggio cifrato non si può decifrare lì. Se lo smime.p7m è solo firmato, scaricalo e aprilo qui sopra.

Leggere uno smime.p7m firmato nel browser

1. Salva l’allegato smime.p7m. Se il programma non lo permette, salva l’intero messaggio come .eml e trascina quello: ApriP7M trova lo smime.p7m al suo interno. (Il formato .msg di Outlook non è supportato.)
2. Trascinalo nel riquadro in cima alla pagina.
3. Compare una scheda smime.eml con il testo del messaggio (ricavato dalla versione HTML, senza immagini, se l’email non ha una parte di solo testo), l’elenco degli allegati con un pulsante Scarica ciascuno e il certificato di chi ha firmato.
4. L’esito dice se il contenuto corrisponde ancora alla firma. Se qualcuno ha cambiato anche un solo carattere vedi “Firma NON integra”, e il testo resta visibile perché tu possa valutarlo.

Il file viene letto dal browser e analizzato sul tuo dispositivo; la pagina blocca qualsiasi connessione di rete mentre lavora. Funziona con il contenitore in binario (DER), in Base64 e in PEM.

Se è cifrato

Uno smime.p7m cifrato è chiuso con la chiave pubblica del destinatario e si apre solo con la chiave privata corrispondente: non può aprirlo il mittente, né il provider di posta, né un sito web. Nessun “decifratore online di smime.p7m” aggira questo limite, e caricare la propria chiave privata su un sito è una pessima idea. Cosa funziona davvero:

• aprire il messaggio nel programma e sul dispositivo dove è installato il tuo certificato (PC dell’ufficio, smart card, telefono aziendale con il profilo del certificato);
• chiedere all’assistenza IT di installare il certificato S/MIME sul dispositivo che stai usando;
• se il messaggio non era per te, o il certificato è stato sostituito e la vecchia chiave non c’è più, chiedere al mittente di rimandarlo.

Se hai il tuo certificato come file .p12/.pfx, OpenSSL decifra in locale:

openssl pkcs12 -in mio-certificato.p12 -nodes -out mio-certificato.pem   # aggiungi -legacy per i .p12 meno recenti
openssl cms -decrypt -in smime.p7m -inform DER -inkey mio-certificato.pem -recip mio-certificato.pem -out messaggio.eml
rm mio-certificato.pem                                                     # contiene la chiave privata in chiaro

Provato con OpenSSL 3.5: un .p12 esportato con la vecchia cifratura RC2 dà un errore “unsupported” finché non aggiungi -legacy. Se il mittente ha firmato e cifrato, messaggio.eml può contenere a sua volta uno smime.p7m firmato: trascina messaggio.eml nel riquadro e ApriP7M apre anche quel secondo livello (abbiamo provato anche questo).

Estrarre uno smime.p7m firmato con OpenSSL

openssl cms -verify -noverify -in smime.p7m -inform DER -out messaggio.eml

-noverify salta il controllo della catena del certificato (la CA del mittente quasi mai è tra quelle di OpenSSL) ma controlla comunque il contenuto rispetto alla firma; senza, un certificato aziendale o autofirmato fa fallire il comando e il file di uscita resta vuoto. Guarda il codice di uscita: su un messaggio alterato OpenSSL scrive CMS Verification failure ed esce con 4, ma scrive comunque messaggio.eml. Gli stessi comandi, per i file firmati CAdES, sono nella guida P7M su Linux.

Cosa fa ApriP7M e cosa no

• Fa: apre i messaggi S/MIME firmati (smime.p7m in DER, Base64 o PEM, anche dentro un .eml salvato), mostra il testo, fa scaricare ogni allegato e il messaggio smime.eml, controlla che il contenuto corrisponda alla firma e mostra il certificato del firmatario.
• Non fa: non decifra i messaggi cifrati (non chiede mai la tua chiave privata); non verifica la catena e la revoca del certificato del mittente, quindi è un controllo di integrità e non una verifica qualificata; non mostra formattazione HTML e immagini incorporate; non apre i file .msg di Outlook.
• Se un allegato dentro il messaggio è a sua volta un .p7m (un contratto firmato, una fattura .xml.p7m), scaricalo e trascinalo di nuovo: si apre come qualsiasi altro file P7M.

Un file alla volta è gratis, e per uno smime.p7m di solito basta. Pro (19,99 € una tantum) serve a chi apre tanti file firmati o fatture elettroniche insieme e li vuole in un unico ZIP o in un registro Excel.