Prima distinzione: integrità e periodo del certificato
Il controllo crittografico verifica se la firma corrisponde al contenuto usando la chiave pubblica del certificato. Il periodo del certificato è invece delimitato da due date, notBefore e notAfter. Si tratta di informazioni diverse.
Un documento può essere leggibile anche quando la verifica non è completabile. Per aprire il contenuto non è necessario che il browser stabilisca la validità giuridica della sottoscrizione. Conserva il file ricevuto prima di qualsiasi altra operazione.
Tre domande, tre risposte separate.
- Integrità crittografica
- Può essere coerente
- Periodo del certificato
- Fuori intervallo rispetto alla data del dispositivo
- Fiducia e validità completa
- Validità storica non determinata
Integrità, periodo e prove temporali sono informazioni diverse. La scadenza odierna da sola non risolve una valutazione storica.
Simulazione esplicativa, non verifica di un tuo documento. Revoca, catena, qualificazione e prove temporali restano fuori dal controllo locale.
Ripeti una prova con i campioni sinteticiChe cosa mostra questo sito
Dopo l’apertura premi “Verifica la firma”. Il rapporto locale può mostrare il firmatario presente nel certificato, l’emittente, il periodo del certificato e l’esito crittografico per le firme supportate.
L’indicazione sul periodo viene confrontata con la data corrente del dispositivo. Non costituisce una ricostruzione storica dello stato del certificato. Se l’orologio del dispositivo è errato, anche quel confronto può esserlo.
| Informazione | Come va interpretata |
|---|---|
| Integrità confermata | Contenuto e firma risultano coerenti nel controllo eseguito |
| Certificato nel periodo odierno | La data corrente è tra le date del certificato |
| Certificato fuori dal periodo | Il confronto odierno non rientra nell’intervallo |
| Revoca, fiducia, qualificazione | Non controllate da questo sito |
| Validità giuridica | Non determinata dal rapporto locale |
Data dichiarata e marca temporale
Una data dichiarata nella firma e una prova temporale verificata non sono equivalenti. Per valutare un documento nel tempo può essere necessario esaminare marche, catene dei certificati, revoche e altre evidenze con un validatore appropriato. Questo sito non valida marche temporali e non trae conclusioni giuridiche da una data nel file.
Non assumere quindi che una scadenza renda automaticamente inutile il documento, oppure che una data anteriore alla scadenza ne dimostri automaticamente la piena validità. Il contesto e le prove disponibili contano.
Che cosa fare in pratica
- Conserva il P7M originale e gli elementi con cui lo hai ricevuto.
- Leggi il documento, se serve, usando l’estrazione del PDF o la lettura della fattura XML.
- Registra quali controlli sono stati effettivamente eseguiti e quali no.
- Per una pratica che richiede una validazione completa, usa il verificatore del tuo prestatore o un servizio adatto al contesto.
- In presenza di conseguenze giuridiche o contabili, fai valutare il caso con il documento originale e le prove disponibili.
La fattura elettronica P7M e il formato CAdES hanno esigenze diverse dalla sola consultazione di una copia. Scaricare un PDF non ricostruisce le informazioni mancanti sulla firma.
Quattro date da non sovrapporre
Una schermata può mostrare il giorno del documento, un tempo dichiarato dal software di firma, l’intervallo del certificato e la data in cui stai eseguendo il controllo. Non sono la stessa informazione. Il fatto che una data compaia in un documento non dimostra che sia stata attestata da un servizio temporale attendibile.
| Informazione temporale | Esempio di domanda | Che cosa non risolve da sola |
|---|---|---|
| Data scritta nel documento | Quando è datata la comunicazione? | Quando siano stati firmati quei byte |
| Data dichiarata nella firma | Quale tempo è stato indicato? | Attendibilità indipendente di quel tempo |
| notBefore / notAfter | Quale intervallo riporta il certificato? | Stato di revoca e validità storica completa |
| Data del controllo | Quando il browser ha eseguito l’operazione? | Quale fosse lo stato al momento della firma |
| Prova temporale validata | Quali evidenze temporali sono verificabili? | Tutti gli altri requisiti della validazione |
Un esempio con due risultati compatibili
Immagina un P7M che non sia cambiato e un certificato il cui intervallo termini prima di oggi. È possibile ottenere una corrispondenza crittografica coerente e, separatamente, un avviso sul periodo del certificato. Le due indicazioni non si contraddicono: rispondono a domande diverse. Questo esempio non determina l’esito giuridico di alcun documento reale.
Scadenza e revoca non sono sinonimi
La scadenza è il termine dell’intervallo riportato nel certificato. La revoca riguarda uno stato che va verificato con le fonti appropriate e rispetto al tempo rilevante. Un certificato ancora nel suo periodo non può quindi essere considerato “non revocato” soltanto per il confronto delle date.
ApriFileP7M non interroga OCSP o CRL e non ricostruisce uno stato storico di revoca. Il rapporto lo dichiara. Se un’altra applicazione mostra un risultato diverso, confronta prima quali controlli, quale data di riferimento e quali prove abbia utilizzato, invece di scegliere il messaggio più rassicurante.
Che cosa raccogliere per una verifica più ampia
Mantieni il contenitore originale
Un PDF di lettura o una stampa non trasferisce le prove presenti nella busta. Conserva il P7M e gli eventuali elementi ricevuti insieme, mantenendoli distinti dalle copie di consultazione. Non “aggiornare” il file firmato per sostituire il certificato scaduto.
Registra l’ambito dei risultati
Annota il verificatore usato, il momento del controllo e i controlli effettivamente svolti. Un rapporto che dichiara soltanto integrità crittografica non va presentato come prova di catena fiduciaria o validità temporale.
Confronta le evidenze nel contesto appropriato
Per una valutazione completa rivolgiti a un servizio in grado di trattare il formato e le prove disponibili. La documentazione tecnica europea DSS è utile per comprendere l’ampiezza di una validazione; non trasforma il lettore di questo sito in quel servizio.
Puoi vedere un’altra distinzione con i campioni sintetici della guida al formato: un certificato autofirmato permette un controllo matematico senza dimostrare fiducia. È lo stesso motivo per cui nessuna singola etichetta della schermata basta a rispondere a tutte le domande sulla firma.
Riferimenti
Il regolamento eIDAS disciplina i servizi fiduciari. La Commissione europea, DSS documenta un sistema di validazione: i controlli di un validatore completo non vanno confusi con quelli di un lettore locale.