Come ottenere la firma digitale in Italia

Chi riceve .p7m prima o poi deve firmare a sua volta: un incarico, una domanda di gara, il verbale di un consiglio, una pratica verso la pubblica amministrazione. La firma digitale qualificata non si improvvisa con una scansione della firma autografa. Si ottiene da un prestatore qualificato, dopo un riconoscimento. Questa guida descrive le scelte pratiche. Non è un confronto commerciale e non indica un fornitore da preferire. Il lettore di questo sito non emette certificati e non firma al posto suo.

Chi può rilasciare il certificato

In Italia il certificato qualificato è emesso da prestatori di servizi fiduciari qualificati. L’elenco pubblico è curato da AgID. Lo stesso perimetro è visibile nella lista di fiducia europea prevista dal regolamento eIDAS. Prima di pagare, verifichi che il soggetto da cui compra compaia in quell’elenco. Camere di commercio e rivenditori possono intermediare un rilascio: anche in quel caso il certificato qualificato resta di un prestatore qualificato, non dello sportello in sé.

Nomi molto presenti sul mercato, tra gli altri, comprendono operatori come Aruba, InfoCert, Namirial e Poste Italiane. Citarli serve a riconoscere le tipologie di offerta, non a ordinarli. Le condizioni, i prezzi e i canali di riconoscimento cambiano. Li legga sul sito del prestatore che ha verificato in elenco, il giorno in cui acquista.

Tre modi di custodire la chiave

Forma	Come si presenta	Quando è comoda	A che cosa fare attenzione
Smart card e lettore	Il certificato sta sulla carta	Firma dalla stessa scrivania	Lettore, driver e carta da non lasciare incustoditi
Token USB	Carta e lettore in una chiavetta	Più computer, sempre con il dispositivo	Smarrimento: va revocato subito
Firma remota	La chiave è custodita dal prestatore e Lei autorizza con OTP o app	Telefono e postazioni diverse	Disponibilità del telefono e condizioni del servizio

La firma remota non è “senza certificato”. Il certificato c’è, ma non sta in un oggetto che Lei inserisce nella porta USB. Smart card e token restano diffusi anche perché alcune carte nazionali dei servizi si appoggiano allo stesso supporto. Chieda al prestatore se le serve anche l’accesso ai servizi camerali o solo la firma dei documenti: sono esigenze diverse, a volte abbinate e a volte no.

Il riconoscimento

Il prestatore deve identificare il titolare. I canali più comuni sono lo sportello, la sessione in video con un operatore e, quando il prestatore lo prevede, SPID, CIE o un certificato già in suo possesso. Le serviranno un documento di identità in corso di validità e il codice fiscale. Non invii scansioni del documento a indirizzi diversi da quelli indicati dal prestatore che ha verificato.

Al termine riceve il dispositivo o le credenziali della firma remota, e una data di scadenza. Il certificato si rinnova prima di quella data. Dopo la scadenza non può apporre firme valide con quel certificato. Le firme apposte mentre era valido non vengono annullate dal solo fatto che, mesi dopo, il certificato è scaduto. È un punto diverso dalla revoca. Se sospetta un uso non autorizzato, la revoca va chiesta subito: la scadenza naturale non protegge i giorni già trascorsi.

Che tipo di firma le chiederanno

Il software del prestatore le fa scegliere, in genere, tra CAdES e PAdES.

• CAdES produce un .p7m. Copre anche file che non sono PDF ed è il formato abituale di molte fatture firmate.
• PAdES firma dentro il PDF. Chi riceve apre il file con un lettore PDF.

Non esiste un formato buono per ogni invio. Un bando, un’amministrazione o un tribunale indicano il proprio. Le differenze pratiche sono in CAdES e PAdES. Se deve controllare i file prima di caricarli in una gara, usi la checklist sui P7M nelle gare pubbliche.

Tenga distinti anche gli altri termini. Una firma elettronica semplice può essere un consenso online o una scansione, e il suo valore si valuta nel caso concreto. Una firma elettronica avanzata segue regole più stringenti, per esempio in alcuni processi bancari. La firma qualificata è quella basata su certificato qualificato e su un dispositivo sicuro di firma, ed è il tipo a cui la norma europea collega l’effetto della firma autografa. SPID e CIE sono identità digitali. Alcuni servizi permettono di sottoscrivere usando quelle identità, con le regole di quel servizio: non assuma che ogni pulsante “firma con SPID” sia il suo certificato qualificato.

Leggere i P7M non richiede il kit di firma

Per aprire un .p7m ricevuto non serve il token e non serve il software del prestatore. Apra Lettore P7M, selezioni il file e legga anteprima e controlli. L’anteprima è gratuita. La licenza serve solo per scaricare o esportare. Il lettore non firma, non rinnova certificati e non sostituisce la revoca presso l’emittente.

Se un documento che ha firmato Lei risulta poi con un esito inatteso, distingua scadenza, revoca e data dichiarata con la guida firma scaduta o revocata. Il lettore non ricostruisce la validità storica da una data scritta negli attributi, salvo il caso in cui una prova temporale verificata lo consenta, e anche allora non è una valutazione legale.

Come scegliere senza inseguire uno slogan

Si faccia tre domande, e si fermi alle risposte del prestatore verificato.

1. Da dove firmerà nei prossimi tre anni: una sola scrivania, diversi computer, anche il telefono?
2. Le serve solo firmare documenti, o anche un certificato di autenticazione per servizi che lo richiedono?
3. Quante firme prevede, e le servono marche temporali? Il prezzo va letto insieme a durata, rinnovo e software, non solo alla prima cifra.

Diffidi di chi le promette una firma “senza riconoscimento” o le chiede di installare un programma arrivato come allegato. Il riconoscimento è parte del rilascio qualificato. Il programma di firma si scarica dal prestatore, non da un link in una PEC inattesa.

Dal primo contatto alla prova di lettura

Scelga un nome dall’elenco AgID, non da un annuncio, e annoti la data in cui ha controllato l’elenco. Prenoti il riconoscimento con i documenti richiesti da quel prestatore. Il giorno stesso non firmi atti veri: attenda le credenziali e il manuale del dispositivo o dell’app OTP.

Quando il certificato è attivo, firmi un file di prova, per esempio una pagina con la data e la frase “documento di prova”. Se sceglie CAdES, otterrà un .p7m. Lo apra nel lettore e verifichi che il soggetto del certificato sia il suo e che l’integrità risulti coerente. Se sceglie PAdES, apra il PDF in un lettore PDF: questo sito non le darà un esito su quella firma interna, e non è un guasto.

Segni la scadenza sul calendario, quattro settimane prima della data scritta nel certificato. Scriva anche il numero del prestatore da chiamare se il token esce dallo studio o se il telefono dell’OTP viene sostituito. Una prova di lettura fatta il primo giorno le evita, mesi dopo, di scoprire che stava firmando con un certificato intestato a un collega che aveva lasciato la chiavetta inserita.

Domande frequenti

Il lettore di P7M rilascia una firma digitale?

No. Legge e controlla buste già firmate. Il certificato qualificato si chiede a un prestatore di servizi fiduciari qualificato, dopo il riconoscimento.

SPID e firma digitale sono la stessa cosa?

No. SPID e CIE identificano la persona su molti servizi online. La firma digitale qualificata è un certificato usato per sottoscrivere documenti, con effetti previsti dalla norma.

Come verifico che il prestatore sia qualificato?

Controlli l’elenco pubblicato da AgID e la lista di fiducia europea. Non si affidi solo al nome commerciale o a un banner.

Che cosa faccio se perdo il token o il telefono della firma remota?

Contatti subito il prestatore che ha emesso il certificato e chieda la sospensione o la revoca. Non aspetti il rinnovo.

Dopo l’attivazione

Firmi un documento di prova e lo riapra nel lettore, per vedere come comparirà a chi lo riceve. Conservi la scadenza in calendario, con un margine di settimane. Se lavora in studio, annoti chi custodisce il token e chi può autorizzare la firma remota. La lettura dei file altrui, da quel momento, resta il gesto separato descritto in come aprire un file P7M.