Verifica la firma digitale di un atto

Ti arriva per email un file che si chiama contratto.pdf.p7m. Il computer non sa cosa farsene, il doppio clic non apre niente, e tu hai il dubbio legittimo: questa firma vale qualcosa? La buona notizia è che controllarlo è gratis, si fa dal browser in un minuto e non serve installare nulla. La notizia meno nota è che “firmato digitalmente” e “firma valida” non sono la stessa cosa: la differenza può costarti un contratto.

Che cos’è la firma digitale, in due parole

Non è la scansione della tua firma, e non è il nome scritto in fondo a una mail. La firma digitale è una firma elettronica qualificata: si basa su un certificato rilasciato da un prestatore di servizi fiduciari autorizzato, che prima di consegnartelo ha accertato chi sei. Tecnicamente lega il documento alla tua identità con due garanzie: chi ha firmato, e che da quel momento nel documento non è stata cambiata nemmeno una virgola.

Il Codice dell’amministrazione digitale (art. 20, comma 1-bis) dice che il documento informatico firmato con firma digitale soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’articolo 2702 del codice civile: in pratica vale quanto una scrittura privata sottoscritta a penna, e chi l’ha firmata non può far finta di niente. In tutta l’Unione europea il quadro è lo stesso, grazie al regolamento eIDAS.

I due formati che incontrerai

CAdES, cioè il file .p7m

È il classico contratto.pdf.p7m. Immagina una busta chiusa: dentro c’è il tuo documento, sulla busta c’è la firma. Il vantaggio è che ci puoi mettere dentro qualunque cosa — un PDF, un Word, un foglio di calcolo, una cartella di allegati. Lo svantaggio è che la busta, per aprirla, va aperta: il doppio clic non basta, serve un verificatore o un programma apposta. Se ricevi un .p7m e non riesci a leggerlo, non è rotto: è semplicemente chiuso.

PAdES, cioè il PDF firmato

Qui la firma sta dentro il PDF, che resta un PDF normale: lo apri e lo leggi come sempre. Spesso in cima compare una barra che dice “documento firmato”. È il formato più comodo quando il documento deve essere letto da molte persone. Esiste anche un terzo formato, XAdES, per i file XML: lo incontrerai soprattutto con le fatture elettroniche, molto meno nella vita quotidiana.

Come si verifica, passo per passo

1. Salva il file sul computer senza rinominarlo e senza togliere l’estensione .p7m. Cambiare il nome non rompe la firma, ma toglie al verificatore un’informazione utile.
2. Apri un verificatore online tra quelli elencati qui sotto.
3. Carica il file e avvia il controllo.
4. Leggi l’esito: chi ha firmato, quando, con quale certificato e con quale risultato. Se il documento era dentro una busta .p7m, il verificatore ti permette anche di scaricare il documento originale.
5. Conserva l’esito: molti servizi producono un rapporto scaricabile in PDF. Se la verifica ti serve per una pratica, salvalo insieme al documento.

I verificatori online ufficiali

L’elenco di riferimento è quello dell’Agenzia per l’Italia Digitale, che segnala sia i programmi gratuiti da installare sia i servizi che funzionano direttamente dal browser. Questi sono quelli che usiamo e consigliamo:

• AgID — Software di verifica: la pagina ufficiale con l’elenco completo dei verificatori e dei programmi gratuiti. Se hai un dubbio su uno strumento, controlla prima che sia qui dentro.
• Verificatore del Consiglio Nazionale del Notariato: verifica file firmati e marche temporali rilasciate dai prestatori italiani ed europei. È tra quelli segnalati da AgID.
• iSVOL — verifica dell’atto notarile informatico: serve per controllare un atto del notaio e i suoi allegati, comprese le firme grafometriche. È lo strumento giusto se quello che hai in mano è un atto, non un contratto qualunque.
• InfoCert — verifica firma e Namirial — verificafirma.it: due servizi gratuiti da browser, entrambi nell’elenco AgID, che leggono anche i PDF firmati.
• Validatore della Commissione europea (DSS): utile quando la firma arriva dall’estero e vuoi sapere se è qualificata secondo le regole europee.

Se preferisci un programma sul tuo computer invece di un sito, AgID elenca diverse applicazioni gratuite — tra le altre ArubaSign, GoSign, Namirial Sign, DigitalSign Reader. Per i soli PDF firmati basta anche Acrobat Reader, che mostra da solo lo stato della firma.

Che cosa vuol dire davvero “firma valida”

Quando il verificatore scrive “valida” non sta dicendo una cosa sola, ne sta dicendo quattro insieme:

• Il documento è integro. Non è stato modificato dopo la firma. Se qualcuno ha cambiato anche solo uno spazio, la verifica fallisce.
• La firma è riconducibile al titolare indicato nel certificato: nome, cognome e codice fiscale compaiono nell’esito.
• Il certificato è qualificato, cioè rilasciato da un prestatore presente negli elenchi ufficiali italiani ed europei. Un certificato “fatto in casa” non vale.
• Il certificato era in regola al momento della firma: non scaduto, non revocato, non sospeso.

Manca una di queste, e la firma non regge. Attenzione a un’espressione che confonde tutti: alcuni verificatori scrivono “firma valida ma non è stato possibile verificare la revoca”. Non è un via libera: vuol dire che il controllo non è stato completato. Riprova più tardi o con un altro strumento.

Certificato revocato, sospeso o scaduto

Qui c’è la regola che vale la pena ricordare, perché è più severa di quanto ci si aspetti. Il Codice dell’amministrazione digitale (art. 24) stabilisce che per firmare occorre un certificato qualificato che al momento della sottoscrizione non sia scaduto, revocato o sospeso. E aggiunge che firmare con un certificato in quello stato equivale a mancata sottoscrizione: non una firma debole, proprio una firma che non c’è.

Un esempio inventato ma realistico. Anna deve firmare un preliminare con Luca. Il suo certificato è scaduto il mese scorso e lei non se n’è accorta, perché il programma le ha permesso lo stesso di apporre la firma. Il file esiste, sembra firmato, l’icona c’è. Ma quando Luca lo passa al verificatore, l’esito dice che il certificato era già scaduto: quel documento, per la legge, Anna non l’ha mai firmato. Bastavano trenta secondi di controllo per scoprirlo prima, invece che davanti a un problema.

La scadenza è anche il motivo per cui esiste la marca temporale: è un timbro dell’ora, rilasciato da un soggetto terzo, che fissa il momento della firma in modo opponibile a chiunque. Con la marca, anche a distanza di anni si dimostra che quando hai firmato il certificato era in corso di validità. Per un documento destinato a durare — un contratto, una garanzia, un verbale — vale sempre la pena chiederla.

Come si controlla se il certificato era valido al momento della firma

Questa è la domanda che conta davvero, e quasi nessuno la fa. Non serve sapere se il certificato è valido oggi: serve sapere se lo era il giorno in cui è stata apposta la firma. Un documento firmato regolarmente nel 2023 resta valido per sempre, anche se quel certificato è scaduto da un pezzo. Il difficile non è la regola, è dimostrarla. Ecco come si legge l’esito di una verifica.

Le tre date da guardare

Ogni verificatore serio, sotto il nome del firmatario, ti mostra queste informazioni. Cercale, perché spesso sono in fondo o dentro un menu “dettagli”:

• Data e ora della firma (a volte scritta come riferimento temporale): quando il documento è stato firmato.
• Validità del certificato, indicata come “valido dal … al …”: la finestra di vita di quel certificato.
• Data della verifica: il momento in cui stai facendo il controllo, cioè adesso.

La regola è semplice: la data della firma deve cadere dentro la finestra di validità, e a quella data il certificato non doveva essere revocato né sospeso. Se la firma è del 4 marzo 2023 e il certificato era valido dal 12 gennaio 2022 al 12 gennaio 2025, siamo a posto: che oggi sia scaduto non cambia nulla.

Ma chi garantisce la data della firma?

Qui sta il punto delicato. Se il documento ha solo una firma “semplice”, quella data la scrive il computer di chi ha firmato, prendendola dal proprio orologio. Un orologio si può spostare indietro. Per questo la data della firma, da sola, è un’informazione debole: non è opponibile a chi voglia contestarla.

La marca temporale risolve esattamente questo. È una seconda firma, apposta da un soggetto terzo autorizzato, che certifica giorno e ora. Quando c’è, nell’esito trovi una riga dedicata — “marca temporale” oppure “validazione temporale” — con la sua data, e il controllo viene fatto rispetto a quella. Se nell’esito questa riga non compare, sai che la data della firma è solo dichiarata.

“Alla data corrente” oppure “alla data della firma”

Molti verificatori ti lasciano scegliere rispetto a quale momento controllare, e quasi tutti partono dalla data di oggi. È la causa dell’equivoco più frequente: un documento firmato bene tre anni fa risulta “non valido” solo perché nel frattempo il certificato è scaduto. Prima di allarmarti, cerca l’opzione — di solito si chiama verifica alla data di firma o alla data della marca temporale — e rifai il controllo. Molto spesso il problema sparisce.

I due strumenti che verificano alla data che scegli tu

Se il file è vecchio sono questi i due da usare, perché ti lasciano indicare esplicitamente a quale data vuoi che il controllo sia fatto:

• verificafirma.it (servizio di Namirial, presente nell’elenco AgID): per ogni documento caricato scegli tu la data a cui verificare firma e marca temporale, e se carichi più file un pulsante imposta la stessa data per tutti. Alla fine scarichi un rapporto di verifica in PDF, che su richiesta può essere a sua volta marcato temporalmente. È il più semplice da usare.
• Validatore DSS della Commissione europea: nel modulo c’è il campo Validation time, dove inserisci la data e l’ora a cui vuoi la verifica; nel Validation level conviene scegliere l’opzione per le firme con dati di archivio. È più tecnico, ma è lo strumento di riferimento europeo e restituisce un rapporto molto dettagliato.

Il modo pratico di usarli è questo: fai una prima verifica normale, leggi nell’esito la data della firma o della marca temporale, poi rifai la verifica impostando quella data. Se la seconda volta l’esito è positivo, il documento era firmato regolarmente e il certificato è semplicemente invecchiato nel frattempo.

Controllare chi ha rilasciato il certificato

L’ultimo tassello è il prestatore: un certificato è qualificato solo se chi l’ha emesso era autorizzato a farlo. Anche questo si controlla su elenchi pubblici e ufficiali.

• AgID — Prestatori di servizi fiduciari attivi in Italia: l’elenco ufficiale, con ragione sociale, manuali operativi e data di iscrizione. Contiene anche la tabella dei prestatori cessati, con l’indicazione di chi ne ha preso il posto: è esattamente quello che serve quando il file è vecchio e la società che emise il certificato non esiste più.
• Trusted List Browser della Commissione europea: gli elenchi di fiducia di tutti i Paesi dell’Unione. È il posto giusto se la firma arriva dall’estero e vuoi sapere se quel prestatore è riconosciuto secondo eIDAS.

Se non riesce a controllare la revoca

Per sapere se un certificato era stato revocato, il verificatore interroga gli elenchi che il prestatore pubblica online. Per certificati scaduti da molti anni quelle informazioni possono non essere più raggiungibili, e allora leggerai “impossibile verificare lo stato di revoca”. Non significa che la firma sia falsa, ma che il controllo non è completo. Due strade: chiedere al prestatore che ha rilasciato il certificato — lo trovi nell’elenco AgID qui sopra — che può attestare qual era lo stato a una certa data; oppure, se l’operazione è ancora in corso, chiedere semplicemente che il documento venga rifirmato.

Torniamo ad Anna e Luca

Nell’esempio di prima Anna aveva firmato con un certificato già scaduto, e quella firma non vale. Cambiamo lo scenario: Anna aveva firmato regolarmente due anni fa, con marca temporale, e oggi Luca fa la verifica. Il verificatore, impostato sulla data di oggi, gli dice “certificato scaduto” e Luca si spaventa. Basta rifare il controllo alla data della marca temporale: il certificato risulta valido, la firma regge, e il preliminare non si tocca. Stesso file, due risposte diverse, per una casella impostata male.

Prima di firmare, guarda la tua scadenza

Il modo più semplice di non avere questo problema è accorgersene prima. I certificati di firma hanno una durata limitata nel tempo e vanno rinnovati: la data la trovi nell’area riservata del tuo prestatore, oppure nel programma di firma, alla voce “visualizza certificato”. Controllala qualche settimana prima di un’operazione importante. E se il documento è destinato a durare — un contratto, una garanzia, una procura — chiedi la marca temporale: costa pochissimo ed è quella che, fra dieci anni, farà la differenza.

L’atto del notaio, che è un caso a parte

Dal 2010 il notaio può ricevere l’atto pubblico in forma informatica: è il decreto legislativo 110/2010. In quel caso l’originale non è un foglio ma un file, firmato dalle parti e dal notaio, conservato a norma in una struttura dedicata del Notariato. Le parti possono firmare con la propria firma digitale oppure, più spesso, con la firma grafometrica: si firma su una tavoletta, e vengono registrati anche i movimenti della mano.

Se ti trovi tra le mani un atto informatico e vuoi controllarlo, lo strumento giusto non è un verificatore generico ma iSVOL, che legge l’atto e i suoi allegati. E se invece ti serve una copia su carta — per la banca, per un ufficio, per l’archivio di casa — non stamparla da solo: la stampa fatta da te è un pezzo di carta, niente di più. La copia che fa fede te la rilascia il notaio, con l’attestazione di conformità all’originale informatico. Vale anche il contrario: un documento cartaceo può diventare una copia informatica autentica, sempre con l’attestazione del notaio.

Trovi il procedimento per chiedere copie e certificati nella pagina Dopo l’atto: copie, certificati e adempimenti.

Gli errori che vediamo più spesso

• Togliere l’estensione .p7m per “far aprire il file”. Così si perde solo il modo più semplice di riconoscerlo.
• Aprire il documento, modificarlo e rimandarlo indietro. Ogni modifica dopo la firma la invalida: se serve una correzione, si rifirma.
• Fidarsi dell’icona. Un’icona con il bollino non dice se il certificato era valido: quello lo dice solo la verifica.
• Stampare e considerarla una copia autentica. Non lo è, salvo attestazione di chi ne ha il potere.
• Verificare su un sito trovato a caso. Usa gli strumenti dell’elenco AgID: stai comunque caricando un tuo documento da qualche parte.

Un’ultima confusione da sciogliere, perché va a braccetto con questa: la PEC non è una firma. Certifica che un documento è stato spedito, a chi e quando, ma non dice nulla su chi l’ha scritto né sulla sua integrità. Le due cose si usano insieme, e le abbiamo spiegate nella pagina PEC e domicilio digitale.

Domande frequenti

Perché il file .p7m non si apre con un doppio clic?

Perché non è un documento, è una busta che contiene un documento. Il computer, da solo, non sa aprirla. Ti serve un verificatore online o un programma di firma: entrambi ti mostrano la firma e ti permettono di estrarre il file che sta dentro.

Il certificato è scaduto adesso: il documento firmato l’anno scorso vale ancora?

Sì, purché il certificato fosse valido nel momento in cui hai firmato. Quello che conta è quella data, non l’oggi. Il problema è dimostrarla a distanza di tempo: ecco perché la marca temporale, per i documenti importanti, è un piccolo investimento che si ripaga.

Posso stampare un documento firmato digitalmente e usarlo come originale?

No. La stampa è una copia su carta di un originale che vive come file, e la firma digitale su carta non si vede e non si controlla. Perché la copia abbia valore serve l’attestazione di conformità di chi può rilasciarla — per gli atti, il notaio.

La verifica online è sicura per i miei documenti riservati?

I servizi segnalati da AgID sono affidabili, ma resta il fatto che stai caricando un documento su un sito. Se il contenuto è delicato, la scelta più prudente è un programma installato sul tuo computer, che fa lo stesso controllo senza che il file esca da lì. Oppure chiedi a noi.

Il verificatore dice “firma non valida”: che faccio?

Prima di tutto non firmare niente e non pagare niente. Poi guarda il motivo indicato nell’esito: documento alterato, certificato scaduto, certificato revocato sono situazioni diverse. Riprova con un secondo verificatore per escludere un problema tecnico, e chiedi a chi te l’ha mandato di rifirmare il documento. Se l’operazione è importante, fallo guardare a un professionista prima di andare avanti.

Le fonti di questa pagina

Non ti chiediamo di crederci sulla parola: qui sotto trovi le fonti ufficiali, così puoi controllare tu.

• Gazzetta Ufficiale — Codice dell’amministrazione digitale (decreto legislativo 7 marzo 2005, n. 82), testo aggiornato: l’art. 20 per il valore del documento firmato digitalmente, l’art. 24 per il certificato scaduto, revocato o sospeso.
• EUR-Lex — Regolamento (UE) n. 910/2014, il regolamento eIDAS sull’identificazione elettronica e i servizi fiduciari, che vale in tutta l’Unione europea.
• AgID — Software di verifica della firma elettronica qualificata e elenco dei prestatori attivi in Italia.
• Consiglio Nazionale del Notariato — servizi di verifica, per i file firmati, le marche temporali e gli atti notarili informatici.

Pagina aggiornata a settembre 2026. Le regole tecniche e gli indirizzi dei servizi possono cambiare: se trovi un link che non funziona più, segnalacelo e lo sistemiamo.

Hai un file firmato e vuoi essere sicuro?

Se quel documento fa parte di un’operazione che conta — un preliminare, una procura, una cessione di quote — non fermarti alla verifica tecnica: quello che serve sapere è anche se quel documento fa quello che deve fare. Mandacelo e lo guardiamo insieme. Il primo confronto non costa nulla e il preventivo te lo consegniamo sempre per iscritto, voce per voce.

Puoi chiamarci o scriverci su WhatsApp al +39 328 6151578 (apri WhatsApp), oppure prenotare un appuntamento, anche a distanza. Se invece è una parola tecnica a non tornarti, il glossario è lì apposta.