Dietro ogni firma digitale affidabile si nasconde un certificato elettronico: un file che collega in modo verificabile un'identità (una persona, un'azienda) a una chiave pubblica. È questo certificato, rilasciato da un'autorità di certificazione (CA) fidata, che consente a chiunque di verificare l'autenticità di una firma e di rilevare qualsiasi modifica del documento. Questa guida spiega cos'è un certificato di firma digitale, come funziona la catena di fiducia (PKI, autorità di certificazione, certificato radice), cosa distingue un certificato qualificato eIDAS da un certificato ordinario, e come una firma rimane verificabile anche dopo la revoca o la scadenza del certificato.
Un certificato di firma digitale (o certificato elettronico) è un file rilasciato da un'autorità di certificazione che associa una chiave pubblica all'identità del suo titolare. In pratica, quando un firmatario appone la sua firma, il documento viene sigillato con la sua chiave privata; chiunque disponga del certificato corrispondente può allora, utilizzando la chiave pubblica in esso contenuta, verificare due cose: che la firma proviene effettivamente dal titolare identificato, e che il documento non è stato modificato dalla firma.
Un certificato rispetta lo standard X.509 e contiene l'identità del titolare, la sua chiave pubblica, l'identità dell'autorità di certificazione emittente, un periodo di validità, e la firma dell'AC che garantisce il tutto. La sua affidabilità non si basa sul certificato solo, ma sulla catena di fiducia che risale a un'autorità radice riconosciuta. È questa catena — l'IGC (Public Key Infrastructure, o Infrastructure à Clés Publiques in francese) — che trasforma un semplice file in prova di identità opponibile.
Un certificato non funziona mai da solo: si inserisce in un'infrastruttura di cui ecco i componenti essenziali.
X.509 è il formato standard di un certificato elettronico. Descrive la struttura del file: numero di serie, identità del titolare (soggetto), chiave pubblica, identità dell'emittente, date di validità, usi autorizzati, e firma dell'AC. È il formato universale utilizzato per la firma, la crittografia e i certificati TLS dei siti web.
Un'autorità di certificazione (AC, o CA — Certificate Authority) è un organismo di fiducia che emette i certificati e si fa garante dell'identità dei loro titolari dopo verifica. Le AC qualificate sono supervisionate da autorità nazionali (l'ANSSI in Francia) e figurano nell'elenco di fiducia dell'UE. Un'AC può essere radice, intermedia o emittente.
L'IGC (Public Key Infrastructure, o Infrastructure de Gestion de Clés in francese) è l'insieme degli hardware, software, procedure e autorità che gestiscono il ciclo di vita dei certificati: emissione, rinnovo, revoca, pubblicazione. È lei che organizza la catena di fiducia, dall'autorità radice al certificato dell'utente finale.
Un certificato qualificato è rilasciato da un prestatore di servizi di fiducia qualificato (QTSP) iscritto nell'elenco di fiducia di uno Stato membro dell'UE. Offre il più alto livello di assicurazione riconosciuto in Europa e costituisce la condizione per emettere una firma qualificata (QES), l'unica firma elettronica legalmente equivalente a una firma autografa di pieno diritto.
Un certificato può essere revocato prima della sua scadenza (chiave compromessa, partenza di un dipendente, errore di emissione). Due meccanismi permettono di verificare che un certificato sia ancora valido: la CRL (elenco dei certificati revocati pubblicato dall'AC) e il protocollo OCSP (interrogazione in tempo reale dello stato di un certificato).
Un certificato vale solo per la fiducia accordata all'autorità che l'ha emesso. Quattro pilastri garantiscono questa fiducia in Europa.
Ogni certificato è firmato da un'AC emittente, a sua volta certificata da un'AC intermedia, fino a un'AC radice il cui certificato è autofirmato e riconosciuto dai sistemi operativi e dai browser. Verificare una firma consiste nel risalire questa catena fino a una radice di fiducia.
Ogni Stato membro pubblica un elenco di fiducia (Trusted List) che registra i suoi prestatori qualificati e i servizi che forniscono. La Commissione europea aggrega questi elenchi. Un certificato rilasciato da un QTSP figurante in questo elenco è riconosciuto di pieno diritto in tutta l'Unione europea.
In Francia, l'ANSSI supervisiona i prestatori qualificati e pubblica il Referenziale Generale di Sicurezza (RGS), che definisce i requisiti applicabili ai certificati utilizzati negli scambi con l'amministrazione. Rilascia qualificazioni che attestano la conformità di un'AC a questi referenziali.
Gli standard europei ETSI EN 319 411 definiscono le politiche e i requisiti di sicurezza che un'autorità di certificazione deve rispettare per rilasciare certificati riconosciuti, qualificati o meno. È alla luce di questi standard che un organismo accreditato audita un QTSP prima della sua iscrizione nella Trusted List.
Il livello del certificato determina il livello di firma raggiungibile e il suo valore legale. Ecco le sei dimensioni che li distinguono.
| Dimensione | Certificato semplice | Certificato avanzato | Certificato qualificato |
|---|---|---|---|
| Emittente | Qualsiasi AC, senza supervisione particolare. | AC che rispetta requisiti di sicurezza rafforzati (ETSI). | Prestatore qualificato (QTSP) iscritto nella Trusted List eIDAS. |
| Verifica dell'identità | Debole — spesso una semplice convalida dell'indirizzo e-mail. | Verifica dell'identità rafforzata del titolare. | Verifica di persona o equivalente (video-identificazione certificata). |
| Livello di firma consentito | Firma semplice (SES). | Firma avanzata (AES). | Firma qualificata (QES). |
| Valore giuridico | Ricevibile, ma l'onere della prova spetta all'emittente. | Forte presunzione di affidabilità. | Equivalenza di diritto con la firma autografa. |
| Riconoscimento UE | Nessun riconoscimento armonizzato. | Riconosciuto, sotto condizioni. | Riconosciuto di diritto in tutta l'Unione europea. |
| Uso tipico | Convalida interna, ricevute di ritorno. | Contratti commerciali, RU, preventivi. | Atti notarili, appalti pubblici, atti di avvocato. |
ISO 27001, eIDAS, ETSI… le certificazioni dei prestatori di servizi di firma elettronica sono diventate un criterio di selezione imprescindibile. Scopri come confrontarle efficacemente.
La PKI è il fondamento crittografico di ogni firma elettronica affidabile. Scopri il suo funzionamento, i suoi componenti e il suo legame con i certificati X.509 e il regolamento eIDAS.
Il regolamento eIDAS 2 impone nuovi requisiti ai prestatori di servizi fiduciari. Scopri il percorso di certificazione completo per restare conforme nel 2026.
Il certificato elettronico qualificato è la base giuridica di ogni firma digitale ad alta valenza probatoria. Scopri come ottenerlo, implementarlo e rimanere conforme nel 2026.
Cos'è un certificato elettronico, a cosa serve e qual è il legame con la firma digitale?
Certyneo si basa su certificati emessi da fornitori di servizi di fiducia qualificati inclusi nella Trusted List europea. SES e AES incluse, QES a 9,90 €/atto.
Utilizziamo i cookie per migliorare la vostra esperienza sul nostro sito. I cookie strettamente necessari al funzionamento del servizio sono sempre attivi. Scopri di più sulla nostra politica sui cookie