Verificare la firma digitale di un PDF o di un file P7M
Trascina un PDF firmato, una busta .p7m o una firma staccata .p7s insieme al suo documento: la pagina controlla ogni firma e ogni marca temporale (anche più firme nello stesso PDF), ti dice chi ha firmato, quando, se il certificato viene da un certificatore dell’elenco ufficiale dell’AgID e se dopo la firma il documento è stato cambiato. Del PDF puoi scaricare la versione com’era quando è stato firmato.
Come si usa
- Trascina il file firmato (o la firma .p7s insieme al documento).
- Leggi l’esito di ogni firma: firmatario, data e certificato.
- Se dopo la firma il PDF è cambiato, scarica la versione firmata.
Perché nel browser
Molti siti caricano il documento sui loro server per aprirlo o controllarlo: qui tutto avviene nel tuo browser, con le funzioni di crittografia del browser stesso, e il file non lascia mai il dispositivo. Niente registrazione e niente pubblicità: va bene anche per contratti, referti, fatture e documenti della scuola con nomi e dati personali.
Domande frequenti
Che differenza c’è tra PDF firmato, P7M e P7S?
Nel PDF firmato (PAdES) la firma sta dentro il PDF, che si apre normalmente. Il .p7m (CAdES) è una busta che contiene il documento e la firma. Il .p7s è una firma «staccata»: il documento resta in un file a parte e servono tutti e due.
Che cosa vuol dire «dopo la firma il PDF è stato salvato di nuovo»?
Un PDF firmato si può ancora modificare aggiungendo parti in fondo al file: per esempio un’altra firma o un modulo compilato. La firma copre il documento com’era quando è stata messa: la pagina confronta le pagine di adesso con quelle firmate (testo, aspetto, campi e annotazioni), ti dice quali sono cambiate e ti fa scaricare la versione firmata.
Come fa a sapere se il certificatore è valido?
Il sito scarica ogni giorno l’elenco ufficiale dei certificatori qualificati dell’AgID (la «Trusted List» italiana): la pagina controlla che il certificato del firmatario sia stato rilasciato da uno di loro, con la sua firma, e che in quel momento fosse accreditato. Se il certificato se l’è fatto da sé chi ha firmato, se viene da un certificatore che nell’elenco non c’è (anche di un altro paese europeo) o se ne copia il nome, la pagina lo dice.
Che cosa non controlla?
La revoca del certificato: se chi ha firmato l’aveva bloccato (perché perso o rubato) prima della firma, la firma non vale. Per questo controllo servono le liste di revoca dei certificatori e un verificatore ufficiale, come quello del tuo certificatore o dell’AgID.
Che cos’è la marca temporale?
È la data e l’ora certificate da un’autorità (TSA): dimostra che il documento esisteva così in quel momento. La pagina controlla la firma dell’autorità e che la marca corrisponda proprio a quel documento: nei file .tsd e .m7m, dentro la firma (CAdES-T) e nei PDF (marca temporale del documento).
Una firma fatta a mano e scansionata è una firma digitale?
No: un’immagine della firma non si può controllare. La firma digitale è un calcolo fatto con il certificato del firmatario (smart card, chiavetta o firma remota): se il documento cambia anche di una virgola, la firma non torna più.
Il file viene caricato su un server?
No: i controlli si fanno nel browser, con le funzioni di crittografia del browser stesso. Dal sito arriva solo l’elenco pubblico dei certificatori: il documento non lascia il tuo dispositivo.
Strumenti correlati
Ti serve uno strumento che qui non c'è, o un'app per la tua scuola? Scrivimi: valuto i nuovi strumenti e costruisco app su misura.
Scrivimi