Come fare firma digitale con SPID

Avrai sicuramente sentito parlare di firma digitale e di SPID. La prima è uno strumento che permette di conferire valore legale ai documenti firmato con mezzi elettronici (il valore legale è variabile in base al tipo di firma usata, come ti spiegherò più avanti); il secondo è l’ormai celebre sistema pubblico di identità digitale, grazie al quale è possibile accedere a tutti i servizi della Pubblica Amministrazione (e non solo) usando le medesime credenziali. Ma è possibile unire le due cose? O meglio, è possibile firmare un documento con SPID? La risposta è sì, ma con molte limitazioni e distinguo da fare.

Se, dunque, ti stai chiedendo come fare firma digitale con SPID, lascia che ti guidi in questo argomento e ti spieghi un po’ come stanno le cose in merito alla possibilità di firmare un documento usando la suddetta identità digitale o, in alternativa, alla possibilità di attivare un kit di firma autenticandosi con SPID.

Dunque, senza indugiare oltre, ti suggerisco di prenderti qualche minuto di tempo libero e di leggere con attenzione le informazioni riportate di seguito, in modo da capire meglio il funzionamento della firma con SPID e, se possibile, usare questo strumento per dare valore legale ai tuoi documenti elettronici. Ti assicuro che è meno complesso di quello che potresti pensare. Buona lettura!

Indice

• Informazioni preliminari
• Come fare firma digitale con SPID: documenti
  • Come firmare digitalmente usando qualsiasi provider SPID
  • Come fare firma digitale con SPID Infocert
• Come attivare un kit di firma digitale con SPID
  • Come fare firma digitale con SPID: Poste Italiane
  • Altre soluzioni utili

Informazioni preliminari

Prima di entrare nel vivo di questa guida e di affrontare tutti i dettagli della questione firma digitale con SPID, ritengo doveroso chiarire alcuni aspetti fondamentali sull’argomento, così da evitare confusione e, soprattutto, inutile perdite di tempo.

A differenza del sistema SPID che, come il nome stesso lascia intendere, rappresenta un’identità digitale unica utile per l’accesso sicuro a siti e servizi compatibili, la firma digitale, nella sua accezione più generica, indica il sistema tramite il quale un documento in formato elettronico viene accettato nella sua interezza da una persona fisica, oppure giuridica.

In particolare, un kit di firma digitale — o firma elettronica qualificata (FEQ) — rappresenta un insieme di strumenti, gestiti da un ente certificatore, che consentono di firmare digitalmente un documento elettronico, assegnando a quest’ultimo lo stesso valore legale ottenibile da una firma autografa.

Dunque, giacché sia lo SPID che i kit di firma digitale riconoscono una persona fisica o un ente giuridico in maniera univoca e senza margine d’errore, sarebbe possibile utilizzare la propria identità digitale per apporre la firma a un documento elettronico, senza attivare un apposito kit?

La risposta è… nì. Con SPID, infatti, è teoricamente possibile firmare soltanto alcuni documenti specifici, a patto che l’erogatore degli stessi offra materialmente la possibilità di farlo: in particolare, questo tipo di firma rientra tra le firme elettroniche avanzate (FEA) che, pur avendo valore legale, non richiedono chiavi o enti certificatori per attestare l’identità del firmatario o l’integrità del documento, come spiegato nelle linee guida presenti sul sito dell’AGID.

In presenza di uno scenario di questo tipo, a margine (o in cima) al documento da firmare, dovresti trovare un pulsante denominato Firma con SPID, tramite il quale autenticarti con la tua identità digitale e, a login completato, confermare la volontà di apporre la firma, il tutto in forma completamente gratuita.

D’altro canto, sono tanti gli erogatori di kit per firma digitale che consentono di attivare questi ultimi autenticando la propria persona tramite identità SPID; in altre parole, puoi concludere l’acquisto di un kit di firma autenticandoti con SPID, ed evitando dunque di caricare manualmente documenti e altre informazioni che riguardano la tua persona.

Ancora, sarai ben felice di sapere che alcuni erogatori di servizi per firma digitale, come Tinexta Infocert, hanno implementato nei propri software la possibilità di apporre la firma elettronica qualificata utilizzando SPID come token di validazione, grazie a una serie di meccanismi di sicurezza implementati a priori; tuttavia, i pacchetti di firma con SPID vanno acquistati separatamente presso l’ente certificatore, e richiedono l’uso del software ufficiale, per l’apposizione della firma.

Dunque, volendo sintetizzare quanto detto in precedenza, si può giungere alle seguenti conclusioni.

• Lo SPID è un sistema d’accesso, mentre il kit di firma digitale è un sistema per apporre firme elettroniche con valore legale certo, basato su chiavi di autenticazione (fisiche o virtuali) e complessi meccanismi di sicurezza.
• In alcuni casi, è possibile usare SPID per validare elettronicamente un documento, ma solo se l’erogatore del documento stesso implementa questa possibilità.
• È quasi sempre possibile usare SPID per acquistare un kit di firma digitale.
• Alcuni enti certificatori consentono di acquistare pacchetti di firme digitali applicabili usando SPID come token di validazione.

Ad ogni modo, se hai ancora qualche dubbio riguardo le differenze tra SPID e kit di firma digitale, prendi visione dei miei tutorial su come è fatto lo SPID e su come firmare un documento digitale: sono certo che tutti i tuoi interrogativi troveranno risposta.

Come fare firma digitale con SPID: documenti

Fatte tutte le doverose precisazioni del caso, è arrivato il momento di passare all’opera e di spiegarti, innanzitutto, come apporre la firma elettronica a un documento usando SPID.

Come firmare digitalmente usando qualsiasi provider SPID

Iniziamo dal caso più semplice, ossia spiegandoti come firmare elettronicamente un documento utilizzando le sole credenziali SPID in proprio possesso. Generalmente, per portare a termine questa operazione, è richiesta un’identità SPID almeno di livello 2, per ovvie ragioni di sicurezza.

Inoltre, come già detto nel passo precedente di questa guida, puoi riuscire nell’impresa soltanto se l’erogatore del documento prevede questa possibilità, ed esclusivamente in alcune circostanze.

Detto ciò, per procedere, collegati innanzitutto al servizio online di tuo interesse e avvia la procedura guidata, con o senza autenticazione, che consente di redigere il contratto o l’atto sul quale apporre la firma.

Quando il documento è pronto, individua il pulsante Firma con SPID presente nella pagina proposta, premilo ed effettua l’autenticazione con le tue credenziali personali, così come faresti di solito, avendo cura di superare il secondo livello di sicurezza previa conferma tramite app, codice monouso o scansione del codice QR.

Ad autenticazione avvenuta, conferma la volontà di inviare i dati richiesti al sito e di firmare il documento e, completata la procedura, premi sul link per scaricare la versione firmata del file: quest’ultimo conterrà un simbolo grafico (o meglio, un sigillo) in corrispondenza del campo firma, riconducibile sia al fornitore del servizio SPID utilizzato (o Identity Provider — IdP), sia al servizio online erogatore del contratto (o Service Provider — SP).

I file da predisposti per la firma con SPID, così come quelli già firmati, sono quasi sempre in formato PDF, con profilo di sicurezza PDF/A-2.

Come fare firma digitale con SPID Infocert

Come già accennato nelle battute iniziali di questa guida, uno tra i (pochi) fornitori di servizi in grado di offrire la firma digitale pura con SPID è Tinexta Infocert: in particolare, il provider consente agli utenti di acquistare pacchetti di firme digitali applicabili usando SPID come token sicuro di validazione.

Il servizio Firma con SPID di Infocert consente di firmare qualsiasi documento, tramite l’applicazione GoSign per Windows, macOS e Linux; quanto a costi, si parte da 19,90 euro+IVA (24,28 euro IVA inclusa) per un pacchetto da 3 firme digitali, utilizzabili entro al massimo un anno dall’acquisto, e con qualsiasi identità SPID.

In altre parole, ciò significa che hai la possibilità di fare firma digitale con SPID Aruba, di fare firma digitale con SPID Sielte e, in generale, di apporre la firma digitale con l’identità SPID fornita da qualsiasi Identity Provider, e non necessariamente con lo SPID Infocert ID.

Detto ciò, per acquistare un pacchetto di firme con SPID presso Tinexta Infocert, collegati al sito Web del provider e premi sul pulsante Acquista ora, sottostante la voce Firma con SPID; successivamente, configura la quantità di firme da acquistare (minimo 3) mediante l’apposito campo, esamina il riepilogo dei costi e premi sul pulsante Procedi.

A questo punto, se disponi già di un account presso la piattaforma Infocert, digitane l’indirizzo email e la password negli appositi campi e premi sul pulsante Accedi; in alternativa, puoi effettuare l’accesso rapido utilizzando la funzionalità di scansione del codice QR dell’app My Infocert. Laddove non avessi ancora un profilo Infocert, premi sulla voce per creare un account e segui le indicazioni visualizzate sullo schermo, per completare la procedura.

Completata la fase di login, non ti resta che scegliere il metodo di pagamento più adatto al tuo caso (a scelta fra PayPal, carta di pagamento, bonifico o Mooney), premere sul pulsante Acquista e completare la transazione, seguendo le istruzioni che vedi sullo schermo. In fase di conferma, ti verrà chiesto se abbinare il pacchetto di firme a un’identità SPID associata alla tua persona, oppure se ricevere dei codici coupon, da fornire a terzi per l’apposizione della firma digitale.

Ad acquisto completato, scarica l’applicazione GoSign sul computer ed effettua l’accesso al tuo account Infocert, così come ti ho spiegato in questa guida; ad accesso completato, trascina il file da firmare all’interno del riquadro Firma, scegli il tipo di formato da usare tra quelli disponibili (PAdES, CAdES o XAdES) e premi sul bottone Conferma, che sta in basso a destra.

In seguito, indica le tue preferenze in merito all’utilizzo di una marca temporale (servizio che va acquistato separatamente, e che conferisce validità al documento anche dopo la scadenza del certificato, che dura vent’anni), premi sul pulsante Continua e, giunto alla modalità di scelta del certificato, premi sul pulsante Firma con SPID.

Ora, indica il percorso di salvataggio per il file firmato e, se in fase d’acquisto avevi scelto di legare il pacchetto di firme alla tua identità SPID, premi sul pulsante Conferma ed effettua l’accesso all’identità digitale in tuo possesso, per completare l’operazione.

Laddove avessi invece richiesto (od ottenuto) i codici coupon, digita un codice valido all’interno del campo preposto, premi sul pulsante Conferma e completa il processo di firma, autenticandoti tramite SPID.

Come attivare un kit di firma digitale con SPID

Come dici? L’ente erogatore del documento da firmare non supporta la firma con SPID, e il servizio offerto da Tinexta Infocert non si sposa con quelle che sono le tue necessità o preferenze? In questo caso, puoi attivare un kit di firma digitale usando la tua identità SPID, presso qualsiasi fornitore di servizi che supporti tale modalità di autenticazione, e utilizzarlo poi in abbinata ai software forniti dal provider, al fine di firmare i documenti che desideri.

Come fare firma digitale con SPID: Poste Italiane

Il servizio Firma Digitale Remota di Poste Italiane, per esempio, consente di ottenere un kit per firma digitale completamente virtuale, senza la necessità di usare alcuna smart card o chiavetta USB per completare il processo di firma. Nel momento in cui scrivo, la Firma Digitale Remota di Poste Italiane ha un costo di partenza pari a 45,75 euro IVA inclusa, ed è valida per tre anni.

Per quanto concerne l’attivazione del servizio con SPID, è indispensabile avere un account PosteID abilitato a SPID, ossia un’identità SPID attiva presso l’Identity Provider Poste Italiane; se non ce l’hai ancora, leggi la mia guida su come fare lo SPID con Poste Italiane, nella quale trovi tutte le informazioni del caso.

Ad ogni modo, per attivare la Firma Digitale Remota di Poste Italiane con SPID, collegati a questo sito Web, premi sul pulsante Acquista e, in seguito, apponi il segno di spunta accanto alla voce PosteID abilitato a SPID.

In seguito, premi sul pulsante Continua, effettua l’accesso al tuo account PosteID e segui le indicazioni che vedi sullo schermo, per procedere con la richiesta: verifica l’esattezza dei dati anagrafici e professionali, accetta le condizioni generali del servizio e indica se inserire il certificato relativo alla firma nelle liste pubbliche emesse da Poste Italiane.

Superato anche questo step, scegli il metodo di pagamento più in linea con le tue esigenze e, a transazione completata, procedi con la creazione del PIN firma remota, seguendo le istruzioni presenti nel messaggio di attivazione che, nel frattempo, dovrebbe esserti stato inviato tramite email.

Completato l’acquisto del kit, puoi apporre la firma digitale a tutti i documenti che desideri, utilizzando il software FirmaOK! disponibile per Windows, macOS e Linux; per maggiori informazioni, leggi l’approfondimento in cui ti spiego, nel dettaglio, come ottenere la firma digitale con Poste Italiane.

Altre soluzioni utili

Oltre a Poste Italiane, esistono diversi altri servizi che consentono di attivare un kit di firma digitale usando l’identità SPID: la Firma Digitale Istantanea di Namirial, per esempio, consente di acquistare pacchetti composti da 1, 5, 10, 20 oppure 50 firme, con prezzi che vanno da 6,99 euro+IVA per acquisto singolo, fino a 149,99 euro+IVA per quello più ricco.

La Firma Digitale Istantanea si attiva in cinque minuti, utilizzando l’identità SPID (oppure la Carta d’Identità Elettronica), e i documenti possono essere validati e firmati digitalmente direttamente sul Web, utilizzando i link e i sistemi di autenticazione comunicati dal provider, a seguito dell’attivazione.

Per il resto, se non hai l’assoluta necessità di attivare un kit di firma utilizzando l’identità SPID, ma hai bisogno di un sistema che ti consenta di firmare digitalmente i documenti senza l’ausilio di strumenti fisici come “smart card” e token USB, ti invito a leggere il mio approfondimento come dotarsi di firma digitale: sono davvero tanti i provider che, tra i servizi offerti, annoverano quello dedicato alla firma digitale remota, il quale consente di validare legalmente i propri documenti (con o senza marca temporale) usando una combinazione di codici virtuali, grazie ai sofisticati meccanismi di sicurezza implementati lato server.

Autore

Salvatore Aranzulla

Salvatore Aranzulla è il blogger e divulgatore informatico più letto in Italia. Noto per aver scoperto delle vulnerabilità nei siti di Google e Microsoft. Collabora con riviste di informatica e cura la rubrica tecnologica del quotidiano Il Messaggero. È il fondatore di Aranzulla.it, uno dei trenta siti più visitati d'Italia, nel quale risponde con semplicità a migliaia di dubbi di tipo informatico. Ha pubblicato per Mondadori e Mondadori Informatica.