Verifica della firma P7M nel browser

Avviare un controllo separato dalla lettura

1. Seleziona il P7M nello strumento in questa pagina.
2. Leggi il documento estratto e il numero di firme riconosciute.
3. Premi “Verifica la firma” per avviare il controllo crittografico.
4. Esamina ogni firmatario e distingui l’integrità dal periodo del certificato.
5. Scarica il rapporto PDF o XML se vuoi conservare l’esito del controllo.

La sola apertura non equivale a una verifica. Puoi estrarre un PDF anche senza aver controllato la firma, ma per una decisione sul documento devi sapere quali controlli sono stati eseguiti.

I limiti del controllo locale

Un certificato autofirmato può superare un controllo matematico senza essere attendibile per il tuo caso. Il nome contenuto nel certificato non è una verifica indipendente dell’identità. La data di controllo dipende dall’orologio del dispositivo.

Come leggere gli esiti

Integrità confermata significa che il controllo crittografico supportato è coerente. Non significa “firma qualificata valida”, “documento legalmente valido” o “certificato non revocato”.

Controllo non superato segnala una mancata corrispondenza crittografica rilevata. Conserva l’originale, riscarica il documento e chiedi chiarimenti al mittente prima di basarti sul contenuto.

Esito non disponibile indica che il controllo non è stato completato, ad esempio per algoritmo non supportato o certificato assente. Non va trasformato in un esito positivo. La guida sulla firma digitale scaduta spiega perché una data fuori dal periodo è un’informazione distinta.

Buste annidate e più firmatari

Le firme dirette presenti nei livelli CMS riconosciuti vengono controllate separatamente, fino a cinque buste annidate. Il rapporto riporta livello e indice del firmatario. La presenza di più firme non va ridotta a un unico stato generico se i risultati sono diversi.

Una firma separata richiede il documento originale. Le buste cifrate non vengono aperte. Il formato P7M descrive le differenze tra questi casi e una busta con contenuto incorporato.

Rapporti e documenti fiscali

Il rapporto è una descrizione dei controlli eseguiti al momento indicato; non è una certificazione di AgID o di un prestatore qualificato. Va conservato insieme al P7M se è utile al tuo flusso di lavoro.

Per una fattura elettronica questo controllo non verifica gli importi o le regole fiscali. La copia PDF della fattura resta una rappresentazione di lettura.

Privacy durante la verifica

Il browser utilizza le API crittografiche locali. Non viene interrogato un proxy di revoca e non viene inviato il P7M, il suo nome o la sua impronta al server. Non ci sono account, telemetria dei documenti o pagamenti attivi. La privacy descrive separatamente i log di navigazione dell’hosting.

Un collaudo che puoi ripetere senza dati personali

Nella guida al formato P7M sono disponibili tre buste CMS sintetiche. Non contengono contratti reali o fatture di clienti e utilizzano un certificato autofirmato dichiaratamente non attendibile. Servono a confrontare esiti tecnici, non a dimostrare una qualificazione della firma.

Campione integro

Il contenuto coincide con quello firmato. Dopo l’apertura, il controllo deve riportare integrità confermata. Il fatto che il certificato sia autofirmato non impedisce questa corrispondenza: mostra che il controllo della matematica e quello della fiducia hanno ambiti diversi.

Campione modificato

Un byte dell’header PDF è stato cambiato dopo la firma. Il PDF può conservare lo stesso aspetto nelle pagine e la busta può rimanere analizzabile, ma il controllo non deve confermare l’integrità. La somiglianza visiva non sostituisce il confronto del contenuto firmato.

Campione annidato

Il PDF è racchiuso in due buste successive. Il lettore deve distinguere i due livelli e i rispettivi risultati. Un singolo stato positivo non è sufficiente a descrivere correttamente firme diverse se uno dei controlli non viene completato.

Come confrontare due verificatori

Se ottieni messaggi diversi, conserva i rapporti e verifica che le applicazioni stiano esaminando lo stesso file. Un PDF estratto e il P7M da cui proviene non sono lo stesso oggetto di verifica. Anche due file con lo stesso nome possono avere contenuti diversi.

Non convertire un esito non disponibile in positivo perché il documento sembra corretto. Allo stesso modo, un formato non gestito dal browser non prova automaticamente che una firma sia falsa.

Che cosa contiene il rapporto locale

Il rapporto PDF/XML riporta il nome del file selezionato, i risultati disponibili per livello e firmatario, informazioni del certificato e i limiti del controllo. Questi dati sono elaborati sul dispositivo e vengono salvati nel rapporto soltanto quando scegli il download.

Il rapporto può a sua volta contenere dati personali o nomi riservati. Trattalo come un documento da condividere consapevolmente. Un riepilogo del lettore non è una firma apposta dal gestore al tuo file, né un’attestazione di un prestatore qualificato.

Per la differenza fra periodo del certificato, revoca e validità storica consulta firma digitale scaduta. Se cerchi un’applicazione per apporre firme o marche, il confronto per operazione con gli strumenti InfoCert ti aiuta a individuare ciò che questo lettore non svolge.

Riferimenti

I formati sono descritti da CMS, RFC 5652. La libreria utilizzata è PKI.js. Per una validazione più ampia consulta la documentazione della Commissione europea su DSS.