Quando la firma digitale non è valida e come verificarla

Quali sono le cause che rendono una firma non valida, come si controlla un documento firmato e che cosa fare quando la verifica dà esito negativo.

Una firma digitale non smette di valere per motivi misteriosi: le cause sono poche e si possono controllare tutte prima di firmare. Riguardano lo stato del certificato nel momento della sottoscrizione, l'integrità del file e la conformità degli strumenti usati.

La confusione nasce più spesso in fase di verifica, quando un programma mostra un avviso rosso e chi lo legge conclude che il documento non vale. In molti casi quell'avviso dice una cosa diversa, per esempio che non è stato possibile collegarsi per controllare lo stato del certificato in quel momento.

Conviene quindi sapere che cosa rende davvero non valida una firma digitale e come si legge l'esito di un controllo. 

Takeaways - Punti chiave dell'articolo

• 3 cause, 3 rimedi: Certificato non attivo si rinnova e si rifirma, documento alterato si riparte dall'originale, formato superato si firma di nuovo.
• Rosso non vuol dire nulla: Spesso il programma segnala solo che non è riuscito a controllare online la revoca: va letto l'esito, non il colore.
• La modifica invalida per costruzione: Basta ruotare una pagina o risalvare da un editor perché l'impronta non corrisponda: è la prova di integrità che lavora.
• Verificare non costa nulla: I servizi di verifica dei prestatori qualificati accettano PDF e file .p7m senza registrazione.
• La prevenzione che conta: Controllare la scadenza del certificato prima di una pratica importante evita la parte più comune dei problemi.

Quali sono le firme digitali non più valide?

Una firma può risultare non valida per ragioni diverse, e distinguerle serve perché il rimedio cambia: in un caso si rifirma, in un altro si deve tornare al file originale, in un altro ancora non c'è nulla da fare sul documento vecchio.

Le cause e cosa comportano.

Come capire se la firma digitale è valida?

Il modo più semplice è aprire il documento con un programma che sappia leggere le firme: nel caso dei PDF firmati in PAdES lo fanno già i lettori più diffusi, che mostrano in alto una barra con l'esito e il nome del firmatario.

Quello che va guardato non è il colore dell'avviso ma le tre informazioni che ci stanno dietro: chi ha firmato, se il documento è rimasto integro dal momento della firma, e se il certificato era valido quando la firma è stata apposta.

Se una di queste tre non torna, il documento va trattato come non affidabile. Se tornano tutte e tre, un eventuale avviso residuo riguarda quasi sempre la catena di fiducia configurata nel programma, non il documento in sé.

Come si verifica l'autenticità di una firma digitale?

Si usa un servizio di verifica, gratuito e senza registrazione, messo a disposizione dai prestatori qualificati: si carica il documento firmato, sia esso un PDF o un file con estensione .p7m, e in pochi secondi si ottiene il rapporto con l'esito.

Il rapporto riporta il nome del titolare del certificato, chi lo ha emesso, il periodo di validità, il momento in cui la firma è stata apposta e l'esito del controllo di integrità. È il documento da conservare quando la verifica serve a dimostrare qualcosa a un terzo.

Vale la pena verificare anche i documenti che si ricevono, non solo quelli che si firmano: un contratto che arriva già sottoscritto dall'altra parte si controlla in un minuto, e quel minuto evita di scoprire il problema quando serve farlo valere.

Cosa devo fare se la mia firma digitale non è valida?

Il primo passo è capire quale delle cause si è verificata, perché il rimedio cambia. Se il certificato è scaduto o è stato sospeso, si sistema la posizione con il prestatore e si firma di nuovo il documento: la firma vecchia non si recupera, ma il documento sì.

Se invece il problema è l'integrità, cioè il file è stato modificato dopo la firma, non c'è modo di rimettere insieme le cose: bisogna recuperare la copia firmata originale, oppure ripartire dal documento e farlo firmare di nuovo da tutte le parti.

Quando il documento era già stato consegnato a un ente o depositato in una pratica, conviene verificare se la pratica sia stata accettata: molti portali controllano la firma al momento del caricamento e respingono subito, ma non tutti lo fanno, e un documento non valido accettato oggi può tornare indietro dopo.

Conclusione

Le cause di una firma non valida sono poche e note: certificato non attivo al momento della firma, documento modificato dopo, strumenti non più conformi. Tutte e tre si prevengono con un controllo prima di firmare.

In fase di verifica conviene leggere l'esito e non fermarsi all'avviso: il rosso segnala spesso un controllo non riuscito, non un documento invalido.