Verificare una firma digitale P7M

I livelli della verifica di una firma

Verificare una firma digitale significa rispondere a domande diverse:

1. Integrità: il documento è esattamente quello che è stato firmato, senza un solo byte modificato?
2. Firmatario: a chi è intestato il certificato usato per firmare?
3. Validità temporale: il certificato era valido al momento della firma?
4. Affidabilità del certificatore: il certificato è stato emesso da un prestatore qualificato presente negli elenchi di fiducia europei?
5. Revoca: il certificato era stato revocato o sospeso prima della firma?

Cosa controlla ApriP7M

• Integrità crittografica di ogni firma, anche nelle firme multiple annidate: l’esito è “Firma integra” oppure “Firma NON integra”;
• dati del certificato: nome, codice fiscale, organizzazione, ente emittente, numero di serie, periodo di validità;
• data di firma dichiarata e se cade nel periodo di validità del certificato;
• marche temporali (.m7m, .tsd): data certa, autorità emittente e corrispondenza con il documento.

Cosa non controlla

ApriP7M lavora interamente offline, sul tuo dispositivo: per scelta non si collega a servizi esterni. Di conseguenza non verifica la catena del certificato rispetto agli elenchi di fiducia europei (EU Trusted List / elenco AgID dei certificatori) e non interroga le liste di revoca (CRL/OCSP). Per questo l’esito che mostriamo è un controllo di integrità, non una “verifica qualificata” con valore legale.

Quando ti serve un rapporto di verifica completo (ad esempio per una gara o un contenzioso), usa un verificatore che controlla anche questi aspetti: i software dei certificatori, oppure il servizio di validazione messo a disposizione dalla Commissione europea (DSS demonstration). Considera però che i servizi online richiedono il caricamento del file.

Quando basta il controllo di integrità

Nella maggior parte dei casi quotidiani (leggere una fattura, aprire un contratto ricevuto da un fornitore noto, archiviare un verbale) ciò che serve è sapere che cosa c’è nel file, chi l’ha firmato e che non è stato alterato. È esattamente ciò che ApriP7M ti mostra, in un secondo e senza upload.

“Firma NON integra”: cosa fare

Significa che il contenuto non corrisponde alla firma: il file può essere stato modificato, danneggiato in trasmissione o generato in modo non conforme. Non fare affidamento sul documento e chiedi al mittente di inviarlo di nuovo.