Come firmare digitalmente

La firma digitale è uno strumento che permette di firmare i documenti elettronici (es. i file in formato PDF) aggiungendo a essi un valore di autenticità e di integrità. Si basa su tre principi fondamentali: quello dell’autenticità che testimonia l’identità del firmatario; quello dell’integrità che assicura che i documenti firmati non siano stati modificati dopo la firma e quello del “non ripudio”, che invece garantisce la validità legale di un documento e impedisce che questo sia ripudiato dal suo firmatario dopo la firma.

La “firma digitale” non va confusa con la “firma elettronica”, in quanto una firma elettronica generica potrebbe non rispettare tutte le caratteristiche di cui sopra e, quindi, potrebbe non garantire lo stesso valore legale (ne parleremo meglio a breve). Inoltre, non bisogna confondere la firma digitale e la firma elettronica con la PEC, che è uno strumento grazie al quale si assegna valore legale ai messaggi di posta elettronica e non ai singoli documenti firmati da una persona, né con lo SPID, che è pensato per fungere invece come sistema d’accesso.

Per usufruire della firma digitale, bisogna acquistare degli appositi kit che si possono reperire facilmente online, per poi attivarli e usarli attraverso appositi software, in grado di validare i documenti usando i certificati contenuti nei kit stessi. Lo so, detta così può sembrare una cosa oltremodo complicata, ma invece ti assicuro che è molto più semplice di quello che si possa immaginare. Se vuoi saperne di più e vuoi scoprire come firmare digitalmente i tuoi file, continua a leggere: trovi tutte le informazioni di cui hai bisogno proprio qui sotto. Ti auguro una buona lettura e un buon lavoro.

Indice

• Informazioni preliminari: tipi di firma elettronica
• Come firmare digitalmente un PDF: firma olografa
• Come firmare digitalmente un documento: kit di firma
• Come firmare digitalmente con SPID

Informazioni preliminari: tipi di firma elettronica

Prima di entrare nel vivo di questa guida e di spiegarti come firmare digitalmente un file, ritengo doveroso fornirti qualche chiarimento in più, in merito alle tipologie di autenticazione elettronica che è possibile apporre, così da fornirti una panoramica ancor più completa ed esaustiva sull’argomento.

Onde evitare confusione, tralascerò i dettagli tecnici caratteristici per ciascun sistema di identificazione, focalizzandomi invece sulle modalità d’impiego e sulla validità legale degli stessi.

• Firma olografa: si tratta della modalità di firma più semplice, la quale prevede che l’utente firmatario disegni la propria firma autografa (cioè quella utilizzata su carta) con l’ausilio di una tavoletta grafica, un mouse, un pennino per tablet o qualsiasi altro accessorio simile; in alternativa, si può altresì scegliere di scannerizzare la firma da un documento cartaceo, per poi incollarla sul file digitale. Questa tipologia di firma non ha alcun valore legale, viene usata generalmente per validare documenti destinati alla stampa su carta. Se apposta in presenza di un addetto di ufficio, la firma olografa acquisita da tablet attesta la presa visione e l’accettazione di un documento. Esattamente come succede per la firma autografa, la validità della firma olografa può essere decretata esclusivamente da un giudice, con l’ausilio di un perito calligrafo.
• Firma elettronica avanzata — FEA: è un tipo di firma elettronica generata con l’ausilio di strumenti elettronici sui quali il firmatario ha controllo completo ed esclusivo (ad es. una combinazione di identità e password monouso, identità SPID e così via). L’autenticità della firma viene attestata dall’identity provider che fornisce il sistema di autenticazione del firmatario (IdP) e dal servizio che eroga il documento (SP), e non richiede chiavi fisiche/virtuali né enti certificatori dedicati, a garanzia della stessa. La FEA ha pieno valore legale per tutte le categorie di documenti, eccezion fatta per quelli che riguardano contratti immobiliari.
• Firma elettronica qualificata o firma digitale — FEQ: si tratta del tipo di firma elettronica più forte e sicuro. La convalida del documento viene attestata tramite un certificato fornito da un ente accreditato, e applicabile con l’ausilio di token fisici o virtuali a uso unico ed esclusivo del firmatario. Per validare l’autenticità di un documento firmato tramite FEQ, ci si affida a una combinazione di certificati crittografici asimmetrici di durata estesa nel tempo (in media vent’anni), mentre per conferire valore legale al documento anche dopo la scadenza dei certificati, si utilizzano le marche/sigilli temporali. La firma digitale ha certo e completo valore legale per qualsivoglia tipologia di documento.

Se nutri ancora qualche dubbio circa la differenza tra le varie categorie di firma elettronica, ti invito a prendere visione della guida in cui ti spiego che cos’è la firma digitale, nella quale ho trattato l’argomento con dovizia di particolari.

Come firmare digitalmente un PDF: firma olografa

Chiarite le differenze tra le varie tipologie di firma elettronica, inizierei la parte pratica spiegandoti come apporre quella più semplice: la firma olografa, cioè la controparte elettronica della tua firma autografa, che non conferisce valore legale ai documenti, ma può attestarne la presa visione e accettazione.

Per creare una copia formale della tua firma, puoi tracciarla su un foglio di carta bianco e scannerizzarla in via preventiva oppure, se hai un minimo di dimestichezza con l’uso degli strumenti digitali, crearla in tempo reale tracciandola con la tavoletta grafica, il pennino o, ancora, con il mouse.

Dopo aver decretato la modalità con la quale digitalizzare la tua firma autografa, non ti resta che scegliere un programma che ne supporti l’apposizione e accedere alla funzionalità apposita, generalmente presente in un menu denominato Firma o Convalida.

Per esempio, se hai bisogno di firmare digitalmente un documento PDF e utilizzi il software Adobe Acrobat Reader per computer, individua la barra degli strumenti del programma, premi sul pulsante Aggiungi firma o iniziali (il simbolo della penna stilografica) situato al suo interno e premi sul bottone Aggiungi firma…, che dovrebbe a questo punto comparire nel pannello apertosi.

Diversamente, puoi accedere alla medesima sezione cliccando sulla scheda Tutti gli strumenti e selezionando le voci Visualizza più (ove presente) > Compila e firma > Aggiungi firma.

A questo punto, apri la scheda più adatta alla modalità di digitalizzazione che hai scelto in precedenza (digitare la firma con la tastiera, disegnarla con mouse/pennino/dito oppure caricarla da un’immagine), acquisisci la firma olografa seguendo le indicazioni che vedi sullo schermo, clicca sul pulsante Applica a lavoro terminato e posiziona la firma appena creata nel punto del documento adibito a contenerla.

Altro programma che puoi usare per lo scopo è Anteprima di macOS, i cui strumenti di firma risiedono nell’area dedicata agli strumenti di compilazione dei moduli; tuttavia, per servirtene, è indispensabile che al Mac risulti collegato almeno un trackpad, oppure una fotocamera digitale.

Ad ogni modo, se hai bisogno di approfondimenti sulle soluzioni viste poc’anzi, oppure se vuoi conoscere altri programmi per apporre la firma olografa ai tuoi documenti (anche non in formato PDF), consulta senza esitare la guida specifica che ho dedicato all’argomento.

Come firmare digitalmente un documento: kit di firma

Adesso, è giunto il momento di capire come ottenere la propria firma elettronica qualificata (o, semplicemente, firma digitale), ossia la tipologia di sigillo elettronico più forte, con valore legale certo e applicabile a qualsivoglia tipo di documento.

Per prima cosa, devi rivolgerti a uno dei prestatori di servizi fiduciari qualificati accreditati dall’AgID e acquistare un kit per la firma digitale. In genere, il costo di un kit di firma si attesta intorno ai 50-60 euro, destinati ad aumentare in caso si scelga di acquistare servizi aggiuntivi, come quello per la marca temporale.

Gli enti coinvolti mettono a disposizione diversi strumenti sicuri, che consentono all’utente di validare i propri documenti nella maniera più sicura possibile: un key/token USB con card integrata; un lettore di schede con smart card integrata, utilizzabile quasi sempre anche a mo’ di CNS; oppure kit per la firma digitale remota, ideale per l’uso su smartphone o tablet, che non richiede alcuno strumento fisico e consente di validare i documenti utilizzando una smart card virtuale e una serie di codici monouso generati, all’occorrenza, in maniera sicura.

Per finalizzare l’acquisto del kit di firma, che vale generalmente due o tre anni, bisogna autenticare univocamente la propria persona utilizzando un sistema di identificazione accreditato, come identità SPID, Carta d’Identità Elettronica o Tessera Sanitaria abilitata CNS, oppure recandosi fisicamente in un ufficio accreditato o Pubblico Ufficiale, avendo cura di esibire, quando richiesto, la proposta contrattuale fornita dal prestatore di servizi e un documento d’identità valido.

Ad acquisto completato e a ricezione degli strumenti avvenuta, bisogna poi procedere con l’attivazione del kit di firma: in genere, bisogna collegarsi al sito Web del prestatore di servizi, indicare il proprio codice fiscale e fornire, quando richiesto, il numero di serie della Smart Card fisica/virtuale abbinata al kit; infine, bisogna poi verificare la propria identità, fornendo il codice di attivazione personale indicato dal prestatore di servizi, insieme a una serie di PIN/codici OTP generati al volo.

Per firmare un documento digitale, dopo aver attivato il kit apposito, bisogna installare i driver del token fisico ricevuto in dotazione e collegare l’apparecchio al computer; in seguito, bisogna installare altresì il software di firma suggerito dal prestatore di servizi. Laddove avessi invece optato per l’uso di un kit di firma digitale remota, ti basta installare il programma/l’app proprietaria del prestatore di servizi.

Una volta aperto il software apposito, devi selezionare il documento da firmare utilizzando l’apposita funzionalità e, in seguito, premere sul pulsante per firmare il documento; fatto ciò, potresti dover scegliere il formato di firma da applicare tra quelli supportati, che sono per lo più i seguenti.

• CAdES (CMS Advanced Eletronic Signatures): è applicabile a qualsiasi tipologia di documento digitale, a prescindere dalla sua estensione. Il documento firmato viene incapsulato, insieme alle informazioni sulla convalida, all’interno di un file con estensione P7M.
• PAdES (PDF Advanced Electronic Signatures): è applicabile unicamente ai file di tipo PDF. Il sigillo di firma viene applicato all’interno del file PDF (esportato con profilo sicuro PDF/A), in maniera invisibile, oppure graficamente, mediante un “bollino” che identifica il prestatore di servizi e le iniziali del firmatario.
• XAdES (XML Advanced Electronic Signatures): come il nome stesso lascia intendere, è un formato progettato per la firma esclusiva dei documenti in formato XML.
• ASiC-E (Associated SIgnature Containers ASiC simple): è una tipologia di firma pensata per la convalida simultanea di più documenti, che vengono racchiusi in un particolare file .ZIP, contenente le rispettive copie firmate e i file di firma.

Dopo aver scelto l’incapsulamento da applicare al file, non ti resta che premere sul pulsante per firmarlo e seguire le indicazioni che vedi sullo schermo, per autenticarti mediante il kit che ti è stato fornito, oppure utilizzando l’app ufficiale del prestatore di servizi.

Come puoi facilmente immaginare, i costi e le modalità d’impiego dei vari kit di firma variano, in base al prestatore di servizi scelto. A tal proposito, lascia che ti dia qualche informazione in più, riguardo alcuni dei più noti protagonisti del settore.

• Come firmare digitalmente con Namirial: il prestatore di servizi Namirial mette a disposizione sia il kit per Firma Digitale Remota, che costa 59 euro+IVA e non richiede alcuno strumento esterno per la firma, sia il kit di firma con dispositivo, che costa 25 euro+IVA e prevede l’utilizzo di un lettore di smart card USB, di un token USB o di un token Bluetooth. Entrambi i kit hanno una durata temporale di 3 anni, supportano tutti i formati di firma menzionati in precedenza e sono utilizzabili mediante l’applicazione gratuita Namirial Sign, disponibile per computer, smartphone/tablet Android, iPhone, iPad e anche online. Esiste anche una versione a pagamento di Namirial Sign, che costa 49 euro+IVA/anno, e consente di firmare più di 10 documenti in simultanea, di caricare i file in uno spazio cloud sicuro e di convertire i file PDF in file PDF/A. Maggiori info qui.
• Come firmare digitalmente con Aruba: la proposta digitale di Aruba, anch’essa della durata di tre anni, ha costi variabili in base alla tipologia di dispositivi richiesti. Per esempio, il kit composto da Aruba key USB + CNS costa 68,90 euro+IVA, quello composto da Smart card/CNS + lettore cota 51,90 euro+IVA, mentre il kit di firma digitale remota con marca temporale costa 45,90 euro+IVA con validazione tramite app, oppure 48,90 euro+IVA, con validazione tramite dispositivo OTP con display. Per la spedizione degli apparecchi fisici (Aruba Key, lettore CNS od OTP con display) è previsto un contributo aggiuntivo, pari a 10 euro. Per firmare, è necessario affidarsi ai software Aruba Sign/Aruba Key per computer, alla piattaforma ArubaSign Online per PC e Mac oppure all’app Aruba Firma Digitale, disponibile per Android, iPhone e iPad. Maggiori info qui.
• Come firmare digitalmente con Poste Italiane: al momento, il prestatore di servizi mette a disposizione la sola firma digitale remota, che “dura” tre anni e ha un costo di partenza di 45,75 euro+IVA (oppure 55,51 euro IVA inclusa, con Marca Temporale). La firma dei documenti non richiede alcun dispositivo esterno ausiliario ma il solo software FirmaOK!, disponibile per Windows, macOS e Linux, con supporto ai formati CAdES, PAdES e XAdES. Maggiori info qui.

Oltre a quelli appena menzionati, vi sono molti altri prestatori di servizi per firma elettronica qualificata: per approfondimenti al riguardo, ti invito a prendere visione della mia guida su quali sono le migliori firme digitali, nella quale ho avuto modo di trattare l’argomento con dovizia di particolari.

Come firmare digitalmente con SPID

Come dici? Trovi leggermente complessa l’attivazione di un kit di firma digitale, saresti curioso di sapere se sia possibile usare l’identità SPID o la CIE per firmare i tuoi documenti e, in caso affermativo, ti piacerebbe capire come firmare digitalmente un documento con SPID oppure come firmare digitalmente con CIE?

In tal frangente, la questione è un po’ più complessa. Se hai avuto modo di leggere con attenzione il capitolo iniziale di questa guida, puoi immaginare con relativa semplicità che sia SPID che CIE possono essere usati come sistemi per ottenere la firma elettronica avanzata, e non quella qualificata, giacché si tratta di sistemi pensati principalmente per l’autenticazione personale, e non per la validazione di sigilli o altri elementi elettronici di verifica.

In altre parole, è possibile firmare direttamente con SPID o con CIE e ottenere documenti con validità legale (fatta eccezione per quelli inerenti l’ambito immobiliare) soltanto se il fornitore del documento stesso supporta questa possibilità, mettendola a disposizione dell’utente. In caso affermativo, una volta generato il file da firmare attraverso il servizio online dedicato, dovresti individuare e premere sul pulsante Firma con SPID/Firma con CIE e usare il sistema di autenticazione da te scelto, nella maniera classica.

Tuttavia, esistono alcuni prestatori di servizi che consentono di acquistare kit di firma digitale utilizzabili con l’autenticazione tramite SPID, e non con l’ausilio di token fisici o altri sistemi di autenticazione “monouso”, direttamente tramite l’app ufficiale fornita dal prestatore di servizi: è il caso di Tinexta Infocert che, al prezzo di 19,90 euro+IVA, consente di acquistare un pacchetto che include 3 firme digitali utilizzabili con qualsiasi identità SPID e mediante l’applicazione GoSign per Windows, macOS e Linux.

Se sei interessato all’argomento, e vuoi saperne di più su come firmare digitalmente con Infocert tramite SPID oppure su come usare quest’ultimo sistema di identificazione digitale per validare i tuoi documenti, leggi la guida in cui ti spiego come fare la firma digitale con SPID, nella quale ho analizzato tutti i dettagli della questione.

Autore

Salvatore Aranzulla

Salvatore Aranzulla è il blogger e divulgatore informatico più letto in Italia. Noto per aver scoperto delle vulnerabilità nei siti di Google e Microsoft. Collabora con riviste di informatica e cura la rubrica tecnologica del quotidiano Il Messaggero. È il fondatore di Aranzulla.it, uno dei trenta siti più visitati d'Italia, nel quale risponde con semplicità a migliaia di dubbi di tipo informatico. Ha pubblicato per Mondadori e Mondadori Informatica.