Verifica la firma digitale di un atto

Le arriva per email un file che si chiama contratto.pdf.p7m. Il computer non sa cosa farsene, il doppio clic non apre niente, e Lei ha il dubbio legittimo: questa firma vale qualcosa? La buona notizia è che controllarlo è gratis, si fa dal browser in un minuto e non serve installare nulla. La notizia meno nota è che “firmato digitalmente” e “firma valida” non sono la stessa cosa: la differenza può costarLe un contratto.

Che cos’è la firma digitale, in due parole

Non è la scansione della Sua firma, e non è il nome scritto in fondo a una mail. La firma digitale è una firma elettronica qualificata: si basa su un certificato rilasciato da un prestatore di servizi fiduciari autorizzato, che prima di consegnarglielo ha accertato chi è. Tecnicamente lega il documento alla Sua identità con due garanzie: chi ha firmato, e che da quel momento nel documento non è stata cambiata nemmeno una virgola.

Il Codice dell’amministrazione digitale (art. 20, comma 1-bis) dice che il documento informatico firmato con firma digitale soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’articolo 2702 del codice civile: in pratica vale quanto una scrittura privata sottoscritta a penna, e chi l’ha firmata non può far finta di niente. In tutta l’Unione europea il quadro è lo stesso, grazie al regolamento eIDAS.

I due formati che incontrerà

CAdES, cioè il file .p7m

È il classico contratto.pdf.p7m. Immagini una busta chiusa: dentro c’è il Suo documento, sulla busta c’è la firma. Il vantaggio è che ci può mettere dentro qualunque cosa — un PDF, un Word, un foglio di calcolo, una cartella di allegati. Lo svantaggio è che la busta, per aprirla, va aperta: il doppio clic non basta, serve un verificatore o un programma apposta. Se riceve un .p7m e non riesce a leggerlo, non è rotto: è semplicemente chiuso.

PAdES, cioè il PDF firmato

Qui la firma sta dentro il PDF, che resta un PDF normale: lo apre e lo legge come sempre. Spesso in cima compare una barra che dice “documento firmato”. È il formato più comodo quando il documento deve essere letto da molte persone. Esiste anche un terzo formato, XAdES, per i file XML: lo incontrerà soprattutto con le fatture elettroniche, molto meno nella vita quotidiana.

Come si verifica, passo per passo

1. Salvi il file sul computer senza rinominarlo e senza togliere l’estensione .p7m. Cambiare il nome non rompe la firma, ma toglie al verificatore un’informazione utile.
2. Apra un verificatore online tra quelli elencati qui sotto.
3. Carichi il file e avvii il controllo.
4. Legga l’esito: chi ha firmato, quando, con quale certificato e con quale risultato. Se il documento era dentro una busta .p7m, il verificatore Le permette anche di scaricare il documento originale.
5. Conservi l’esito: molti servizi producono un rapporto scaricabile in PDF. Se la verifica Le serve per una pratica, lo salvi insieme al documento.

I verificatori online ufficiali

L’elenco di riferimento è quello dell’Agenzia per l’Italia Digitale, che segnala sia i programmi gratuiti da installare sia i servizi che funzionano direttamente dal browser. Questi sono quelli che usiamo e consigliamo:

• AgID — Software di verifica: la pagina ufficiale con l’elenco completo dei verificatori e dei programmi gratuiti. Se ha un dubbio su uno strumento, controlli prima che sia qui dentro.
• Verificatore del Consiglio Nazionale del Notariato: verifica file firmati e marche temporali rilasciate dai prestatori italiani ed europei. È tra quelli segnalati da AgID.
• iSVOL — verifica dell’atto notarile informatico: serve per controllare un atto del notaio e i suoi allegati, comprese le firme grafometriche. È lo strumento giusto se quello che ha in mano è un atto, non un contratto qualunque.
• InfoCert — verifica firma e Namirial — verificafirma.it: due servizi gratuiti da browser, entrambi nell’elenco AgID, che leggono anche i PDF firmati.
• Validatore della Commissione europea (DSS): utile quando la firma arriva dall’estero e vuole sapere se è qualificata secondo le regole europee.

Se preferisce un programma sul Suo computer invece di un sito, AgID elenca diverse applicazioni gratuite — tra le altre ArubaSign, GoSign, Namirial Sign, DigitalSign Reader. Per i soli PDF firmati basta anche Acrobat Reader, che mostra da solo lo stato della firma.

Che cosa vuol dire davvero “firma valida”

Quando il verificatore scrive “valida” non sta dicendo una cosa sola, ne sta dicendo quattro insieme:

• Il documento è integro. Non è stato modificato dopo la firma. Se qualcuno ha cambiato anche solo uno spazio, la verifica fallisce.
• La firma è riconducibile al titolare indicato nel certificato: nome, cognome e codice fiscale compaiono nell’esito.
• Il certificato è qualificato, cioè rilasciato da un prestatore presente negli elenchi ufficiali italiani ed europei. Un certificato “fatto in casa” non vale.
• Il certificato era in regola al momento della firma: non scaduto, non revocato, non sospeso.

Manca una di queste, e la firma non regge. Attenzione a un’espressione che confonde tutti: alcuni verificatori scrivono “firma valida ma non è stato possibile verificare la revoca”. Non è un via libera: vuol dire che il controllo non è stato completato. Riprovi più tardi o con un altro strumento.

Certificato revocato, sospeso o scaduto

Qui c’è la regola che vale la pena ricordare, perché è più severa di quanto ci si aspetti. Il Codice dell’amministrazione digitale (art. 24) stabilisce che per firmare occorre un certificato qualificato che al momento della sottoscrizione non sia scaduto, revocato o sospeso. E aggiunge che firmare con un certificato in quello stato equivale a mancata sottoscrizione: non una firma debole, proprio una firma che non c’è.

Un esempio inventato ma realistico. Anna deve firmare un preliminare con Luca. Il suo certificato è scaduto il mese scorso e lei non se n’è accorta, perché il programma le ha permesso lo stesso di apporre la firma. Il file esiste, sembra firmato, l’icona c’è. Ma quando Luca lo passa al verificatore, l’esito dice che il certificato era già scaduto: quel documento, per la legge, Anna non l’ha mai firmato. Bastavano trenta secondi di controllo per scoprirlo prima, invece che davanti a un problema.

La scadenza è anche il motivo per cui esiste la marca temporale: è un timbro dell’ora, rilasciato da un soggetto terzo, che fissa il momento della firma in modo opponibile a chiunque. Con la marca, anche a distanza di anni si dimostra che quando ha firmato il certificato era in corso di validità. Per un documento destinato a durare — un contratto, una garanzia, un verbale — vale sempre la pena chiederla.

Come si controlla se il certificato era valido al momento della firma

Questa è la domanda che conta davvero, e quasi nessuno la fa. Non serve sapere se il certificato è valido oggi: serve sapere se lo era il giorno in cui è stata apposta la firma. Un documento firmato regolarmente nel 2023 resta valido per sempre, anche se quel certificato è scaduto da un pezzo. Il difficile non è la regola, è dimostrarla. Ecco come si legge l’esito di una verifica.

Le tre date da guardare

Ogni verificatore serio, sotto il nome del firmatario, Le mostra queste informazioni. Le cerchi, perché spesso sono in fondo o dentro un menu “dettagli”:

• Data e ora della firma (a volte scritta come riferimento temporale): quando il documento è stato firmato.
• Validità del certificato, indicata come “valido dal … al …”: la finestra di vita di quel certificato.
• Data della verifica: il momento in cui sta facendo il controllo, cioè adesso.

La regola è semplice: la data della firma deve cadere dentro la finestra di validità, e a quella data il certificato non doveva essere revocato né sospeso. Se la firma è del 4 marzo 2023 e il certificato era valido dal 12 gennaio 2022 al 12 gennaio 2025, siamo a posto: che oggi sia scaduto non cambia nulla.

Ma chi garantisce la data della firma?

Qui sta il punto delicato. Se il documento ha solo una firma “semplice”, quella data la scrive il computer di chi ha firmato, prendendola dal proprio orologio. Un orologio si può spostare indietro. Per questo la data della firma, da sola, è un’informazione debole: non è opponibile a chi voglia contestarla.

La marca temporale risolve esattamente questo. È una seconda firma, apposta da un soggetto terzo autorizzato, che certifica giorno e ora. Quando c’è, nell’esito trova una riga dedicata — “marca temporale” oppure “validazione temporale” — con la sua data, e il controllo viene fatto rispetto a quella. Se nell’esito questa riga non compare, sa che la data della firma è solo dichiarata.

“Alla data corrente” oppure “alla data della firma”

Molti verificatori Le lasciano scegliere rispetto a quale momento controllare, e quasi tutti partono dalla data di oggi. È la causa dell’equivoco più frequente: un documento firmato bene tre anni fa risulta “non valido” solo perché nel frattempo il certificato è scaduto. Prima di allarmarsi, cerchi l’opzione — di solito si chiama verifica alla data di firma o alla data della marca temporale — e rifaccia il controllo. Molto spesso il problema sparisce.

I due strumenti che verificano alla data che sceglie Lei

Se il file è vecchio sono questi i due da usare, perché Le lasciano indicare esplicitamente a quale data vuole che il controllo sia fatto:

• verificafirma.it (servizio di Namirial, presente nell’elenco AgID): per ogni documento caricato sceglie Lei la data a cui verificare firma e marca temporale, e se carica più file un pulsante imposta la stessa data per tutti. Alla fine scarica un rapporto di verifica in PDF, che su richiesta può essere a sua volta marcato temporalmente. È il più semplice da usare.
• Validatore DSS della Commissione europea: nel modulo c’è il campo Validation time, dove inserisce la data e l’ora a cui vuole la verifica; nel Validation level conviene scegliere l’opzione per le firme con dati di archivio. È più tecnico, ma è lo strumento di riferimento europeo e restituisce un rapporto molto dettagliato.

Il modo pratico di usarli è questo: faccia una prima verifica normale, legga nell’esito la data della firma o della marca temporale, poi rifaccia la verifica impostando quella data. Se la seconda volta l’esito è positivo, il documento era firmato regolarmente e il certificato è semplicemente invecchiato nel frattempo.

Controllare chi ha rilasciato il certificato

L’ultimo tassello è il prestatore: un certificato è qualificato solo se chi l’ha emesso era autorizzato a farlo. Anche questo si controlla su elenchi pubblici e ufficiali.

• AgID — Prestatori di servizi fiduciari attivi in Italia: l’elenco ufficiale, con ragione sociale, manuali operativi e data di iscrizione. Contiene anche la tabella dei prestatori cessati, con l’indicazione di chi ne ha preso il posto: è esattamente quello che serve quando il file è vecchio e la società che emise il certificato non esiste più.
• Trusted List Browser della Commissione europea: gli elenchi di fiducia di tutti i Paesi dell’Unione. È il posto giusto se la firma arriva dall’estero e vuole sapere se quel prestatore è riconosciuto secondo eIDAS.

Se non riesce a controllare la revoca

Per sapere se un certificato era stato revocato, il verificatore interroga gli elenchi che il prestatore pubblica online. Per certificati scaduti da molti anni quelle informazioni possono non essere più raggiungibili, e allora leggerà “impossibile verificare lo stato di revoca”. Non significa che la firma sia falsa, ma che il controllo non è completo. Due strade: chiedere al prestatore che ha rilasciato il certificato — lo trova nell’elenco AgID qui sopra — che può attestare qual era lo stato a una certa data; oppure, se l’operazione è ancora in corso, chiedere semplicemente che il documento venga rifirmato.

Torniamo ad Anna e Luca

Nell’esempio di prima Anna aveva firmato con un certificato già scaduto, e quella firma non vale. Cambiamo lo scenario: Anna aveva firmato regolarmente due anni fa, con marca temporale, e oggi Luca fa la verifica. Il verificatore, impostato sulla data di oggi, gli dice “certificato scaduto” e Luca si spaventa. Basta rifare il controllo alla data della marca temporale: il certificato risulta valido, la firma regge, e il preliminare non si tocca. Stesso file, due risposte diverse, per una casella impostata male.

Prima di firmare, guardi la Sua scadenza

Il modo più semplice di non avere questo problema è accorgersene prima. I certificati di firma hanno una durata limitata nel tempo e vanno rinnovati: la data la trova nell’area riservata del Suo prestatore, oppure nel programma di firma, alla voce “visualizza certificato”. La controlli qualche settimana prima di un’operazione importante. E se il documento è destinato a durare — un contratto, una garanzia, una procura — chieda la marca temporale: costa pochissimo ed è quella che, fra dieci anni, farà la differenza.

L’atto del notaio, che è un caso a parte

Dal 2010 il notaio può ricevere l’atto pubblico in forma informatica: è il decreto legislativo 110/2010. In quel caso l’originale non è un foglio ma un file, firmato dalle parti e dal notaio, conservato a norma in una struttura dedicata del Notariato. Le parti possono firmare con la propria firma digitale oppure, più spesso, con la firma grafometrica: si firma su una tavoletta, e vengono registrati anche i movimenti della mano.

Se si trova tra le mani un atto informatico e vuole controllarlo, lo strumento giusto non è un verificatore generico ma iSVOL, che legge l’atto e i suoi allegati. E se invece Le serve una copia su carta — per la banca, per un ufficio, per l’archivio di casa — non la stampi da solo: la stampa fatta da Lei è un pezzo di carta, niente di più. La copia che fa fede gliela rilascia il notaio, con l’attestazione di conformità all’originale informatico. Vale anche il contrario: un documento cartaceo può diventare una copia informatica autentica, sempre con l’attestazione del notaio.

Trova il procedimento per chiedere copie e certificati nella pagina Dopo l’atto: copie, certificati e adempimenti.

Gli errori che vediamo più spesso

• Togliere l’estensione .p7m per “far aprire il file”. Così si perde solo il modo più semplice di riconoscerlo.
• Aprire il documento, modificarlo e rimandarlo indietro. Ogni modifica dopo la firma la invalida: se serve una correzione, si rifirma.
• Fidarsi dell’icona. Un’icona con il bollino non dice se il certificato era valido: quello lo dice solo la verifica.
• Stampare e considerarla una copia autentica. Non lo è, salvo attestazione di chi ne ha il potere.
• Verificare su un sito trovato a caso. Usi gli strumenti dell’elenco AgID: sta comunque caricando un Suo documento da qualche parte.

Un’ultima confusione da sciogliere, perché va a braccetto con questa: la PEC non è una firma. Certifica che un documento è stato spedito, a chi e quando, ma non dice nulla su chi l’ha scritto né sulla sua integrità. Le due cose si usano insieme, e le abbiamo spiegate nella pagina PEC e domicilio digitale.

Domande frequenti

Perché il file .p7m non si apre con un doppio clic?

Perché non è un documento, è una busta che contiene un documento. Il computer, da solo, non sa aprirla. Le serve un verificatore online o un programma di firma: entrambi Le mostrano la firma e Le permettono di estrarre il file che sta dentro.

Il certificato è scaduto adesso: il documento firmato l’anno scorso vale ancora?

Sì, purché il certificato fosse valido nel momento in cui ha firmato. Quello che conta è quella data, non l’oggi. Il problema è dimostrarla a distanza di tempo: ecco perché la marca temporale, per i documenti importanti, è un piccolo investimento che si ripaga.

Posso stampare un documento firmato digitalmente e usarlo come originale?

No. La stampa è una copia su carta di un originale che vive come file, e la firma digitale su carta non si vede e non si controlla. Perché la copia abbia valore serve l’attestazione di conformità di chi può rilasciarla — per gli atti, il notaio.

La verifica online è sicura per i miei documenti riservati?

I servizi segnalati da AgID sono affidabili, ma resta il fatto che sta caricando un documento su un sito. Se il contenuto è delicato, la scelta più prudente è un programma installato sul Suo computer, che fa lo stesso controllo senza che il file esca da lì. Oppure chieda a noi.

Il verificatore dice “firma non valida”: che faccio?

Prima di tutto non firmi niente e non paghi niente. Poi guardi il motivo indicato nell’esito: documento alterato, certificato scaduto, certificato revocato sono situazioni diverse. Riprovi con un secondo verificatore per escludere un problema tecnico, e chieda a chi glielo ha mandato di rifirmare il documento. Se l’operazione è importante, lo faccia guardare a un professionista prima di andare avanti.

Le fonti di questa pagina

Non Le chiediamo di crederci sulla parola: qui sotto trova le fonti ufficiali, così può controllare Lei.

• Gazzetta Ufficiale — Codice dell’amministrazione digitale (decreto legislativo 7 marzo 2005, n. 82), testo aggiornato: l’art. 20 per il valore del documento firmato digitalmente, l’art. 24 per il certificato scaduto, revocato o sospeso.
• EUR-Lex — Regolamento (UE) n. 910/2014, il regolamento eIDAS sull’identificazione elettronica e i servizi fiduciari, che vale in tutta l’Unione europea.
• AgID — Software di verifica della firma elettronica qualificata e elenco dei prestatori attivi in Italia.
• Consiglio Nazionale del Notariato — servizi di verifica, per i file firmati, le marche temporali e gli atti notarili informatici.

Pagina aggiornata a settembre 2026. Le regole tecniche e gli indirizzi dei servizi possono cambiare: se trova un link che non funziona più, ce lo segnali e lo sistemiamo.

Ha un file firmato e vuole essere sicuro?

Se quel documento fa parte di un’operazione che conta — un preliminare, una procura, una cessione di quote — non si fermi alla verifica tecnica: quello che serve sapere è anche se quel documento fa quello che deve fare. Ce lo mandi e lo guardiamo insieme. Il primo confronto non costa nulla e il preventivo glielo consegniamo sempre per iscritto, voce per voce.

Può chiamarci o scriverci su WhatsApp al +39 352 2737467 (apra WhatsApp), oppure prenotare un appuntamento, anche a distanza. Se invece è una parola tecnica a non tornarLe, il glossario è lì apposta.

Contenuto elaborato con il supporto dell’intelligenza artificiale e verificato dal notaio.