Come funziona una firma elettronica?

Il principio generale

Una firma elettronica non è un'immagine. Si tratta di un processo crittografico che collega quattro elementi inseparabili: il documento, l'identità del firmatario, il momento della firma e la prova tecnica che nulla è stato successivamente modificato.

Questo processo si basa su due pilastri: l'autenticazione del firmatario e l'integrità del documento.

Passaggio 1: autenticare il firmatario

L'autenticazione consiste nello stabilire un collegamento tra la persona che firma e un'identità verificabile. Esistono diverse tecniche, che possono essere combinate:

• Indirizzo email attendibile: viene inviato un collegamento univoco. Solo il titolare della casella può fare clic e firmare.
• Codice OTP (One-Time Password): un codice monouso viene inviato tramite SMS. Il firmatario lo inserisce per dimostrare di possedere il numero di telefono associato.
• Certificato personale: per la firma qualificata, un certificato rilasciato da un prestatore qualificato comprova l'identità del firmatario.

Il livello di esigenza varia a seconda del livello di firma desiderato — vedi le differenze tra i livelli.

Passaggio 2: calcolare l'impronta crittografica

Prima della firma, la piattaforma calcola un'impronta (hash) del documento. È una sequenza univoca di caratteri che rappresenta il contenuto del file. Qualsiasi modifica, anche di un solo carattere, produce un'impronta completamente diversa.

L'impronta è come una firma digitale del file: è piccola (poche decine di byte) ma ne garantisce l'integrità. Se qualcuno modifica il documento dopo la firma, l'impronta non corrisponde più: la firma viene invalidata.

Passaggio 3: associare identità e impronta

La piattaforma cifra l'impronta con una chiave crittografica legata all'identità del firmatario (tramite la PKI per la QES, o tramite la piattaforma per la SES/AES). Il risultato è il token di firma: un oggetto digitale che contiene al tempo stesso:

• l'impronta del documento
• l'identificativo del firmatario
• la marca temporale precisa
• la firma crittografica stessa

Questo token viene incorporato nel PDF finale secondo il formato PAdES (PDF Advanced Electronic Signatures), uno standard europeo. Concretamente, quando si apre un PDF firmato in Adobe Acrobat Reader, il lettore controlla automaticamente il token e visualizza "Firma valida" se tutto corrisponde.

Passaggio 4: apporre la marca temporale

La marca temporale collega la firma a un istante preciso e verificabile. Una marca temporale qualificata emessa da un prestatore di servizi fiduciari fornisce la prova legale che il documento esisteva a quella data: un argomento decisivo in caso di controversia sulla data dell'impegno.

Vedi marca temporale elettronica per comprendere il ruolo e i livelli della marcatura temporale.

Passaggio 5: registrare nell'audit trail

A ogni passaggio del ciclo di firma, la piattaforma registra un evento con marca temporale:

• invio della busta
• apertura da parte del firmatario (con IP e user-agent)
• inserimento dell'OTP
• firma effettiva
• eventuale rifiuto
• scadenza

L'insieme costituisce l'audit trail. È la prova operativa del processo. È incluso nel PDF finale e conservato per 10 anni. Vedi prova della firma elettronica.

Cosa succede concretamente dal lato del firmatario

Dal punto di vista del firmatario, l'esperienza è minima:

1. Riceve un'e-mail con un collegamento.
2. Clicca e apre il documento nel suo browser.
3. Legge, poi clicca su "Firma".
4. Per la AES: inserisce un codice SMS ricevuto sul suo telefono.
5. È fatta. Riceve una copia del PDF firmato.

Nessun account da creare, nessuna applicazione da installare, nessun certificato da generare (tranne che per la QES). Tutto si svolge in 1-3 minuti.

Cosa succede dal lato del mittente

Il mittente governa il processo dalla sua dashboard:

• caricamento del documento (PDF, conversione automatica se Word)
• aggiunta dei destinatari e posizionamento dei campi firma
• scelta del livello di firma e dell'ordine (parallelo o sequenziale)
• impostazione dei solleciti automatici e della data di scadenza
• invio

In tempo reale, vede ogni busta passare da "inviata" ad "aperta" a "firmata". Webhook o notifiche push possono riportare questi eventi a un CRM o a un sistema HR.

Perché la firma elettronica è difficile da falsificare

• Impronta crittografica: qualsiasi modifica invalida la firma
• Autenticazione forte: senza accesso all'e-mail E al telefono (per la AES), è impossibile spacciarsi per il firmatario
• Audit trail con marca temporale: ogni passaggio è tracciato con IP e user-agent
• Chiavi crittografiche: la chiave privata del firmatario (QES) non lascia mai il suo dispositivo hardware
• Archiviazione per 10 anni: la prova resta utilizzabile molto tempo dopo la firma

Come ti aiuta Certyneo

In Certyneo, l'intera catena crittografica gira nel backend su server europei (Germania, IONOS): caricamento del PDF, calcolo dell'hash SHA-256, integrazione del token PAdES, marcatura temporale, conservazione dell'audit trail in un database PostgreSQL cifrato. Ottieni un processo conforme a eIDAS senza dover comprendere il dettaglio tecnico.

Scopri la soluzione di firma elettronica Certyneo

FAQ

Posso verificare una firma senza la piattaforma che l'ha emessa?

Sì. Un PDF firmato in formato PAdES può essere verificato da qualsiasi lettore PDF compatibile (Adobe Reader, pdfsig e altri). Anche se la piattaforma emittente scompare, la firma resta verificabile.

Cosa succede se modifico il PDF dopo la firma?

La firma diventa non valida. Il lettore PDF mostra l'avviso "Il documento è stato modificato dopo la firma" e l'impronta non corrisponde più.

Quanto dura una firma elettronica?

La firma resta valida finché lo sono gli algoritmi crittografici utilizzati. Per garantire una validità a lungo termine si usano i formati PAdES-LTA (Long Term Archive), che includono marche temporali qualificate rigenerate periodicamente.

Si possono firmare più documenti in una sola volta?

Sì. Una busta Certyneo può contenere più documenti, tutti firmati con un solo clic. Ogni documento mantiene la propria impronta, ma l'audit trail è comune.

L'impronta rivela il contenuto del documento?

No. L'impronta è a senso unico: si può calcolare l'impronta a partire dal documento, ma non risalire al documento a partire dall'impronta. È una delle proprietà fondamentali delle funzioni hash crittografiche.

Conclusione

Una firma elettronica è un processo crittografico che collega in modo verificabile un firmatario, un documento, una data e un consenso. Il firmatario non deve capire nulla di tutto ciò: per lui si tratta di un clic e di un codice SMS. Per te è una prova solida, archiviata e utilizzabile.

Prova Certyneo per inviare, firmare e tenere traccia dei tuoi documenti online in modo semplice, rapido e sicuro.