Firmare un PDF prima dell'invio via PEC
Inviare un PDF firmato digitalmente via PEC e una procedura comune per comunicazioni ufficiali con PA, clienti e fornitori. Vediamo i passaggi corretti.
Strumenti per firmare PDF
Per firmare digitalmente un PDF servono: kit di firma digitale (smart card + lettore o token USB) oppure firma remota (credenziali + OTP) o firma automatica via HSM. Software compatibili: DikeGoSign (InfoCert), ArubaSign, FirmaCerta, Acrobat Pro.
Tipologie di firma su PDF
Esistono due formati principali: PAdES (firma annegata nel PDF, visualizzabile con Acrobat) e CAdES (file p7m che incapsula il PDF, deve essere aperto con software firma). Per documenti destinati alla PA, PAdES e preferito perché più leggibile.
Procedura PAdES con Acrobat
1) Apri il PDF con Acrobat Pro. 2) Vai a Strumenti > Certificati > Firma digitalmente. 3) Seleziona area dove apporre la firma visibile. 4) Scegli il certificato dal token. 5) Inserisci PIN. 6) Salva il file firmato. Il PDF risultante mostra il bollino blu di firma valida.
Procedura CAdES con DikeGoSign
1) Apri DikeGoSign. 2) Trascina il PDF. 3) Seleziona Firma CAdES. 4) Inserisci PIN. 5) Salva. Risultato: file documento.pdf.p7m. Il destinatario deve avere software per aprirlo.
Verifica della firma
Prima dell'invio, verifica la firma con strumento di validazione (es. EID Validation Service di AgID). Controlla: certificato valido, catena di certificazione integra, marca temporale (se applicata), assenza di modifiche post-firma.
Marca temporale
La marca temporale certifica la data esatta della firma. Utile per documenti che devono essere validi anche dopo la scadenza del certificato. Costo: 5-15 centesimi a marca, vendute in pacchetti.
Invio via PEC
Allega il PDF firmato al messaggio PEC. La PEC certifica data di invio e identità mittente; la firma certifica integrita e identità firmatario. Doppia garanzia per documenti critici.
Conservazione
Archivia sia il PDF firmato sia le ricevute PEC. Per validita prolungata (10+ anni), considera conservazione sostitutiva a norma con marche temporali rinnovate periodicamente.
Errori comuni
Modificare il PDF dopo la firma invalida la firma. Inviare il file via webmail senza PEC riduce il valore probatorio. Dimenticare la marca temporale puo creare problemi a lungo termine.
Firma remota: alternative al token USB
La firma remota usa credenziali + OTP (SMS o app). Non serve hardware fisico. Vantaggi: firma da qualsiasi device, no rischio di smarrire token. Svantaggi: serve connessione internet, dipendenza dal gestore. Provider: Aruba, InfoCert, Namirial, Lextel.
Firma automatica HSM
Per grandi volumi (es. fatture massive), la firma automatica con HSM (Hardware Security Module) e ideale. Si firma in batch senza intervento manuale, mantenendo valore legale di firma qualificata.
Verifica esterna della firma
I destinatari possono verificare la firma con servizi gratuiti: EID Validation di AgID, verifica online di InfoCert, Adobe Acrobat (per PAdES). Verificare sempre: validita certificato, integrita documento, marca temporale.
Marca temporale qualificata
La marca temporale qualificata (TSA) certifica la data della firma in modo opponibile a terzi. Senza marca, alla scadenza del certificato (3 anni tipici), la firma puo perdere efficacia. Con marca, la firma e "congelata" nel tempo.
Workflow tipico
1) Generare PDF/A del documento. 2) Aprire con software firma. 3) Firmare con certificato qualificato. 4) Applicare marca temporale. 5) Verificare la firma. 6) Allegare a PEC. 7) Inviare. 8) Conservare ricevute + PDF firmato. 9) Archiviare in conservazione sostitutiva se richiesto.
Tipi di certificato
Certificato di firma qualificata: massimo valore legale, equiparato a firma autografa. Certificato di autenticazione: per accesso a sistemi. Certificato di firma e di autenticazione cumulati: spesso disponibile in kit unico. Verifica nel certificato (cliccando sulle proprietà) tipo e algoritmi usati.
Provider di firma digitale
InfoCert, Aruba, Namirial, Lextel, Poste Italiane, TI Trust Technologies sono i principali provider di firma qualificata accreditati AgID. Tutti rilasciano certificati validi in tutta UE (eIDAS compliant).
Tempi di emissione
Firma con token: emissione 2-5 giorni lavorativi (richiede video-identificazione o presenza fisica). Firma remota: emissione 24-48 ore (video-identificazione online). Rinnovo: 1-3 giorni.
Sicurezza del certificato
Custodisci PIN e PUK del token separatamente. Non condividere mai PIN. Aggiorna PIN ogni 12 mesi. In caso di smarrimento, richiedi revoca al provider e nuova emissione. Mai usare PIN debole come 1234.
Workflow consigliato
1) Cliente firma con FEA su tablet. 2) Avvocato controfirma con FEQ. 3) Documento finale archiviato in sistema documentale. 4) Copia inviata via PEC al cliente. 5) Ricevuta consegna PEC conservata insieme al documento. Tracciabilita completa.
Domande frequenti
D: PAdES o CAdES?
R: PAdES per documenti destinati a PA o lettura tradizionale. CAdES per contesti tecnici/legali specifici.
D: La marca temporale e obbligatoria?
R: No, ma altamente consigliata per documenti destinati a conservazione pluriennale.
D: Il PDF firmato puo essere modificato?
R: No, qualsiasi modifica invalida la firma.
Conclusioni
Firmare PDF prima dell'invio via PEC e una procedura standard per garantire identità del firmatario e integrita del documento. La combinazione PEC + firma digitale offre la massima sicurezza giuridica per documenti rilevanti. Investire in un kit firma digitale (con marca temporale) e essenziale per professionisti.
Hai bisogno di aiuto?
Se vuoi gestione PEC affidata a G Tech Group, scrivici tramite il modulo di contatto.