Verificare la firma digitale
Come leggere l'esito della verifica: firma valida, non valida o indeterminata
Aggiornato il · Redazione ApriIlP7M
Un verificatore controlla quattro cose per ogni firma: integrità del documento, validità del certificato al momento della firma, stato di revoca o sospensione e appartenenza del prestatore alle liste di fiducia. Se tutto è a posto la firma è valida; se il contenuto è stato alterato o il certificato era revocato è non valida; se manca un'informazione (per esempio la revoca non è consultabile) l'esito è indeterminato, non necessariamente negativo.
| Esito | Significato più comune | Cosa fare |
|---|---|---|
| Valida | Tutti i controlli superati | Conserva il file e, se serve, il rapporto |
| Non valida: integrità | Il documento è stato modificato dopo la firma | Chiedi al mittente l'originale |
| Non valida: certificato revocato | Revocato prima della data di firma | Leggi qui |
| Indeterminata | Revoca non verificabile, data di firma non certa, catena incompleta | Riprova online o con un altro verificatore |
| Certificato scaduto (oggi) | Era valido quando hai firmato? | Conta la data della firma, meglio se con marca temporale |
Le righe del rapporto, una per una
- Integrità: l'impronta del documento coincide con quella firmata. Se fallisce, il documento è stato cambiato.
- Certificato qualificato: il prestatore è nelle liste di fiducia eIDAS (Trusted List).
- Validità temporale: il certificato non era scaduto alla data di firma.
- Revoca/sospensione: il certificato non era revocato o sospeso alla data di firma (controllo via CRL o OCSP).
- Riferimento temporale: la data di firma è certa solo con una marca temporale o un altro riferimento opponibile. Vedi marca temporale.
Perché due verificatori danno esiti diversi
Capita: uno strumento offline non riesce a scaricare la lista di revoca e dà "indeterminato", un altro online la scarica e dà "valido". Oppure uno strumento usa la data attuale e l'altro la data della marca temporale. In caso di dubbio fa fede la verifica alla data della firma con uno strumento aggiornato dell'elenco AgID.
Cosa ti dice ApriIlP7M
Con ApriIlP7M vedi integrità ("corrisponde alla firma" o "NON corrisponde"), validità del certificato, data di firma dichiarata e prestatore. Non vedi lo stato di revoca: per quello serve un verificatore completo.
Risposte rapide
- come verificare se un file p7m è firmato correttamente?
- Guarda l'esito di ogni firma nel rapporto: integrità, certificato, revoca. Una sola firma non valida su più firmatari riguarda solo quella firma.
- la firma digitale del file p7m è scaduta, il documento vale ancora?
- Conta se il certificato era valido quando è stata apposta la firma, meglio se provato da una marca temporale (DPCM 22 febbraio 2013, art. 62). Vedi marca temporale.
- Firma indeterminata vuol dire falsa?
- No: vuol dire che il verificatore non ha potuto completare un controllo. Riprova con uno strumento online aggiornato.
Cosa fare adesso
Apri il file e guarda subito integrità e certificato di ogni firmatario, gratis.
Aprire un file alla volta è gratis, senza registrazione. Il file non viene caricato: resta sul tuo dispositivo.
Fonti
- AgID – Software di verifica della firma (elenco ufficiale)
- DPCM 22 febbraio 2013 – Regole tecniche firme elettroniche (Gazzetta Ufficiale)
- Commissione europea – eIDAS Trusted List browser
- Commissione europea – DSS, validazione firme elettroniche (demo)
Verificato il 12/11/2026. Norme e software possono cambiare: in caso di dubbio fa fede la fonte ufficiale.