Verifica firma digitale P7M online
Carica il .p7m e leggi l'esito di ogni firma in parole semplici: chi ha firmato, se il documento è integro, se il certificato era valido e non revocato. Per un .p7s o un .tsr aggiungi anche il file originale.
- Sicuro e riservato
- Funziona su qualsiasi dispositivo
- Niente da installare
- Tutte le firme del file
- Integro o modificato dopo la firma
- Chi ha firmato e quando
- L'attendibilità è indicata a parte
Carica il .p7m da verificare
.p7m, .p7s con il suo file, .m7m, .tsd, .tsr · controllato, poi cancellato
Trascina qui i file
oppure scegli un file dal tuo dispositivo
Sul computer? Scarica l'app per WindowsSul telefono? Scarica l'app per il telefono
Considera attendibile un tuo certificato (facoltativo)
Aggiungi un certificato radice o intermedio (.cer, .crt, .pem, .p7b) per considerarlo attendibile solo per questo controllo. Non viene conservato.
Tutto ciò che può fare Verifica firme digitali
Controlla ogni firma digitale di un PDF: se corrisponde ancora al documento, chi l'ha firmato e se il suo certificato è attendibile. Gratis, online, senza conservare nulla.
Il documento è integro
- Ti dice chiaramente se il documento è cambiato dopo la firma
- Mostra cosa è cambiato, pagina per pagina, rispetto alla versione firmata
- Scarica esattamente la versione che è stata firmata
- Ogni firma del file indicata separatamente, in ordine
- Segnala l'immagine di una firma che non ha dietro una vera firma digitale
Chi ha firmato, e ci si può fidare
- Tutti i dettagli del certificato e la catena fino alla radice
- Revoca verificata in tempo reale con OCSP e CRL
- Elenchi di fiducia UE: dicono se è una firma o un sigillo qualificato ai sensi di eIDAS
- AATL: dice se Adobe considera attendibile l'emittente
- Aggiungi il tuo certificato radice per un controllo che altrimenti non potremmo fare
Tempo e validità a lungo termine
- Marca temporale verificata, con l'autorità che l'ha rilasciata
- Dati LTV e DSS rilevati, così sai che la firma sopravvive alla scadenza del certificato
- Le regole di certificazione e di permesso (DocMDP) riportate come le ha impostate il firmatario
Una prova che puoi conservare
- Scarica un report PDF dell'intero controllo
- Scarica un report di convalida ETSI TS 119 102-2 in XML
- Un esito in parole semplici, con ogni dato su una riga a sé
Come funziona
Verifica firma digitale P7M in tre passaggi
Carica il file firmato
.p7m, .m7m o .tsd da soli; .p7s, .tsr o .tst insieme al documento originale. I due file si possono trascinare insieme.
Leggi l'esito
In cima c'è il verdetto complessivo. Sotto, firma per firma: chi ha firmato, il livello CAdES, l'ora della firma e quella della marca temporale, lo stato del certificato.
Scarica il rapporto
Un report PDF da leggere o archiviare, e un report XML nel formato ETSI per altri programmi.
Cosa vuol dire l'esito
Ogni firma riceve uno di tre esiti, con il motivo scritto accanto e il codice ETSI corrispondente (TOTAL-PASSED, INDETERMINATE, TOTAL-FAILED).
| Esito | Cosa significa | Cosa fare |
|---|---|---|
| Valida | Il documento è integro, il certificato era valido quando si è firmato, porta a un'autorità attendibile e la revoca è stata controllata. | Nulla. Conserva il .p7m così com'è. |
| Non confermabile | Manca una prova. Per esempio il certificato è scaduto e nessuna marca temporale dimostra quando si è firmato, oppure l'ente non ha risposto sulla revoca. | Leggi il motivo sotto l'esito. A volte basta riprovare più tardi; altre volte serve un file con marca temporale. |
| Non valida | Il contenuto è cambiato dopo la firma, la firma non corrisponde al certificato, o il certificato risultava già revocato al momento della firma. | Non fidarti del documento così com'è e chiedi a chi l'ha mandato di firmarlo di nuovo. |
Cosa controlla la verifica, voce per voce
Per ogni firma, controfirma e marca temporale del file:
- Integrità: il documento nella busta è lo stesso che è stato firmato, senza un bit cambiato.
- Firmatario e certificato: il nome, l'ente che ha rilasciato il certificato, le date; se era valido al momento della firma e se lo è ancora oggi.
- Catena di fiducia: il certificato porta a un'autorità di certificazione attendibile. Usiamo gli elenchi di fiducia dell'Unione europea, quindi un certificato rilasciato in un altro paese UE conta come uno italiano.
- Revoca: il certificato non era revocato né sospeso. Lo chiediamo all'ente che l'ha emesso (OCSP o CRL), oppure usiamo le risposte già contenute nel file.
- Marca temporale: l'ora certa della firma e l'ente che l'ha apposta, messa accanto all'orologio del computer di chi ha firmato.
- Livello CAdES: B-B (solo la firma), B-T (con marca temporale), B-LT (con i dati per verificarla nel tempo), B-LTA (con marca d'archivio).
- Qualifica eIDAS: se la firma risulta qualificata secondo gli elenchi di fiducia UE.
- Algoritmi deboli: SHA-1 e chiavi RSA corte vengono segnalati, perché oggi non bastano più a proteggere una firma.
Firme doppie, controfirme e firme parallele
Un documento firmato da due persone può avere forme diverse. Nelle firme parallele i due firmatari stanno nella stessa busta, sullo stesso documento. Nella doppia estensione .p7m.p7m il secondo ha firmato la busta del primo. La controfirma invece non firma il documento ma la firma di un altro, come un visto.
Il risultato le distingue e scrive la posizione di ciascuna, per esempio «Busta 2 di 2, aggiunta al file già firmato» oppure «Controfirma sulla firma 1». Ognuna ha il suo esito: può succedere che una sia valida e l'altra no.
Certificato scaduto o revocato: perché conta la marca temporale
Per il Codice dell'amministrazione digitale (art. 24, comma 4-bis) una firma digitale basata su un certificato revocato, scaduto o sospeso equivale a una firma mancante, salvo che la sospensione sia stata annullata. Quello che conta, quindi, è lo stato del certificato nel momento in cui si è firmato.
Il punto è dimostrare quel momento. L'ora scritta nella firma la mette il computer di chi firma e non prova nulla. La marca temporale invece è un'ora certificata da un ente terzo. Se c'è, la verifica la usa: un certificato scaduto il mese scorso non fa cadere una firma marcata un anno fa. Se non c'è, l'esito resta non confermabile e lo strumento spiega perché.
Un controllo tecnico, detto chiaramente
La verifica segue le regole di validazione europee (ETSI) e ne riporta i codici di esito, ma è un controllo tecnico, non una convalida qualificata. KovaPDF non è un prestatore di servizi fiduciari qualificato e il report non ha il valore legale di una convalida qualificata. Per un'ispezione, una gara o una causa usa un servizio di convalida qualificato.
Se hai un PDF con la firma dentro (formato PAdES) c'è Verifica le firme digitali di un PDF: stesso motore, pensato per i PDF firmati. Se vuoi solo leggere il documento, parti da Aprire un file P7M.
Verifica firma digitale P7M: domande frequenti
La verifica della firma p7m è gratuita?
Sì, e non serve un account. Il piano gratuito ha una quota limitata; i piani Pro e Team tolgono i limiti.
Che differenza c'è tra «Non confermabile» e «Non valida»?
Non valida vuol dire che qualcosa è sicuramente sbagliato, per esempio il documento è stato cambiato dopo la firma. Non confermabile vuol dire che manca una prova per dire sì o no, come una risposta sulla revoca o una marca temporale.
Vengono riconosciute anche le firme di altri paesi UE?
Sì. Gli elenchi di fiducia usati sono quelli di tutti gli Stati membri, non solo dell'Italia.
E se l'ente del certificato non risponde sulla revoca?
L'esito non viene inventato: la firma risulta non confermabile, con il motivo, e puoi riprovare più tardi. Se il file contiene già le risposte sulla revoca (livello B-LT), vengono usate quelle.
Posso usare il report per una pratica ufficiale?
Il report descrive un controllo tecnico. Se ti serve un documento con valore legale, chiedi una convalida qualificata a un prestatore qualificato.
Funziona con un sigillo elettronico aziendale?
Sì. Firme e sigilli vengono verificati allo stesso modo, e il risultato dice se si tratta di un sigillo qualificato secondo gli elenchi UE.