Come firmare un PDF con firma digitale

Per firmare un PDF con valore legale servono due cose: un certificato di firma qualificata in corso di validità, rilasciato da un prestatore accreditato, e il software di firma che quel prestatore mette a disposizione. Il file si apre nel programma, si sceglie il formato, si inserisce il PIN e il codice OTP, e si salva il documento firmato.

La decisione che pesa davvero è il formato. Con PAdES il risultato resta un .pdf che si apre con qualsiasi lettore; con CAdES si ottiene un .p7m che il destinatario non può leggere senza un software dedicato. Per un PDF il formato corretto è quasi sempre PAdES, salvo che chi lo riceve chieda espressamente il contrario.

PAdES, CAdES, XAdES: quale scegliere

	PAdES	CAdES	XAdES
Estensione finale	.pdf	.p7m	.xml
Su cosa si applica	Solo PDF	Qualsiasi file	Solo XML
Il destinatario lo apre senza software	Sì	No	No
Firma visibile nella pagina	Possibile	No	No
Uso tipico	Contratti, istanze, perizie, bilanci	Pratiche camerali, allegati eterogenei	Fatture elettroniche verso lo SDI

Tutti e tre hanno lo stesso valore giuridico: la differenza sta nell'involucro, non nella firma. Un .p7m è una busta crittografica che contiene il documento originale più la firma; un PAdES incorpora la firma dentro la struttura del PDF, che rimane leggibile.

L'errore ricorrente nasce da qui. Un ufficio riceve un contratto.pdf.p7m, prova ad aprirlo con Adobe Reader, non ci riesce e risponde che il file è corrotto. Il file è integro: manca il lettore. Quando il destinatario è un privato, un cliente o un'amministrazione che non ha specificato il formato, PAdES risparmia lo scambio di email.

Il Registro delle Imprese e diversi portali della PA restano l'eccezione: alcune pratiche accettano solo CAdES, e in quel caso il formato lo impone la piattaforma di destinazione.

Cosa serve prima di iniziare

• Un certificato di firma qualificata in corso di validità. Se la firma è stata attivata più di tre anni fa conviene controllare la scadenza prima di aprire il documento: la procedura è descritta in come rinnovare la firma digitale scaduta.
• Le credenziali. Per la firma remota sono un PIN e un codice OTP generato da app o SMS; per smart card e token USB sono il PIN della carta più il lettore collegato.
• Il software del prestatore. Ogni certificatore distribuisce il proprio gratuitamente, e riconosce solo i certificati che ha emesso. L'elenco dei prestatori qualificati attivi in Italia è pubblicato da AgID.
• Il PDF nella versione definitiva. Qualsiasi modifica successiva alla firma la invalida, compresa l'aggiunta di un commento o la compilazione di un campo modulo.

La procedura con firma remota

La firma remota tiene il certificato su un server sicuro del prestatore e si usa da qualsiasi computer, senza lettori né chiavette.

1. Apri il software di firma del tuo prestatore e trascina il PDF nella finestra.
2. Seleziona il formato PAdES. Nell'interfaccia compare spesso come "firma PDF" o "firma PAdES-BES".
3. Decidi se la firma deve essere visibile. Se sì, disegni un riquadro sulla pagina e scegli cosa mostrarci dentro: nome, data, motivo della firma.
4. Inserisci il PIN, poi il codice OTP che l'app genera in quel momento.
5. Salva. Il file firmato mantiene l'estensione .pdf e di norma viene rinominato con un suffisso, per non sovrascrivere l'originale.

L'intera sequenza richiede meno di un minuto una volta che il software è installato. Chi firma di rado può evitare il canone annuale con una firma digitale con OTP a consumo, a 4,90 € per singola firma; chi firma con regolarità ammortizza subito la firma digitale remota annuale a 39,00 €. Il confronto completo fra le forme disponibili è in quale firma digitale scegliere.

La procedura con smart card o token USB

Con il dispositivo fisico il certificato non lascia mai la carta e la firma avviene al suo interno.

1. Collega il token o inserisci la smart card nel lettore, e attendi che il sistema riconosca il dispositivo.
2. Avvia il software di firma. Se il certificato non compare, il problema sta quasi sempre nel driver del lettore o nel middleware crittografico, non nella carta.
3. Carica il PDF, scegli PAdES, digita il PIN.
4. Salva il documento firmato.

Attenzione al blocco del PIN: dopo tre tentativi errati la carta si blocca e serve il PUK. Esaurito anche quello, il dispositivo va sostituito.

La firma visibile non è la firma

Il riquadro che compare sulla pagina, con il nome e la data, è un elemento grafico. Il valore legale sta nel certificato incorporato nel file, che il lettore verifica in automatico e mostra nel pannello delle firme. Un PDF firmato senza riquadro visibile vale esattamente quanto uno che lo espone.

La firma visibile serve a chi legge il documento su carta o in anteprima veloce, e per questo alcune amministrazioni la richiedono nei moduli con uno spazio dedicato. Dove il modulo indica un punto preciso, il riquadro va posizionato lì.

Un dettaglio che manda in errore le pratiche: se il riquadro copre un campo compilato o si sovrappone a un timbro, l'ufficio ricevente può considerare il documento illeggibile. Il posizionamento conviene farlo su uno spazio bianco.

Quando aggiungere la marca temporale

La firma qualificata attesta chi ha firmato. La marca temporale attesta quando, con una data opponibile a terzi, e mantiene verificabile il documento anche dopo la scadenza del certificato di firma.

Senza marca temporale, un documento firmato oggi diventa difficile da validare quando il certificato scadrà, perché il software non riesce più a stabilire se la firma fosse valida al momento in cui è stata apposta. Con la marca (formati PAdES-T e successivi) la verifica regge nel tempo.

Vale la spesa per contratti pluriennali, atti costitutivi, perizie, cessioni di quote e in generale per tutto ciò che verrà riletto fra qualche anno. Per una comunicazione ordinaria è superflua. Il funzionamento è spiegato in come funziona la marca temporale.

Come verificare un PDF firmato che hai ricevuto

Adobe Reader mostra una banda in alto quando rileva una firma nel PDF, e dal pannello firme si arriva ai dati del certificato. Il controllo è comodo ma parziale: dice che una firma esiste, non che il certificato sia qualificato ai sensi del regolamento eIDAS.

Per una verifica completa i canali sono due. AgID pubblica l'elenco dei software di verifica che riconoscono i formati PAdES, CAdES e XAdES e restituiscono l'esito sulla catena di certificazione. La Commissione europea mantiene il Trusted List Browser, che elenca i prestatori qualificati di tutti gli Stati membri: se l'emittente del certificato non compare lì, la firma non è qualificata, per quanto il file possa sembrare in ordine.

Nell'esito contano quattro voci:

• La validità del certificato alla data di firma, non alla data odierna.
• La presenza di una marca temporale, che sposta il riferimento temporale dal sistema del firmatario a un'autorità indipendente.
• L'integrità del documento, cioè l'assenza di modifiche successive alla firma.
• Lo stato di revoca, verificato online sulle liste del prestatore.

Un caso frequente in azienda: il documento è firmato dal legale rappresentante, ma il rappresentante è cambiato. La visura camerale alla data dell'atto risolve il dubbio, come descritto in differenza tra visura camerale ordinaria e storica. Quando invece a firmare è l'organizzazione e non una persona fisica, lo strumento corretto è un altro: vedi firma elettronica qualificata e sigillo elettronico.

Errori che invalidano la firma

Errore	Cosa succede	Come si evita
Modificare il PDF dopo la firma	La verifica segnala il documento come alterato	Firmare solo la versione definitiva
Firmare un modulo con campi ancora compilabili	Chi lo riceve può alterarli senza rompere la firma	Appiattire il PDF prima di firmare
Inviare un .p7m a chi non lo sa aprire	Il destinatario lo scambia per un file corrotto	Usare PAdES salvo richiesta contraria
Rinominare il file firmato togliendo l'estensione	Il lettore non riconosce più il formato	Rinominare prima di firmare
Firmare con certificato scaduto	Firma non valida, documento da rifare	Controllare la scadenza prima di iniziare
Comprimere il PDF dopo la firma	La firma salta	Comprimere prima

L'ordine giusto è sempre lo stesso: prepara il file, appiattiscilo, comprimilo se serve, e solo alla fine firma.

Firme multiple sullo stesso documento

Un PDF può raccogliere più firme. Con PAdES ogni nuova firma si aggiunge in coda e le precedenti restano verificabili, così un contratto passa da un firmatario all'altro senza che nessuno debba ripartire da zero.

Va distinta la firma parallela, in cui più soggetti sottoscrivono lo stesso testo, dalla controfirma, in cui il secondo firmatario firma la firma del primo per attestare di averla vista. La seconda ha senso in pochi contesti specifici, per esempio nelle asseverazioni.

Con CAdES le firme multiple producono buste annidate, e il nome del file cresce di un .p7m a ogni passaggio. È il motivo per cui un ciclo di firme lungo conviene tenerlo in PAdES.

Firmare molti PDF in una volta sola

Chi deve firmare venti buste paga o una serie di verbali non ha bisogno di ripetere venti volte la stessa procedura. I software dei prestatori prevedono la firma massiva: si selezionano più file, si sceglie una volta il formato, e la sottoscrizione parte in sequenza.

Quello che cambia rispetto alla firma singola è la gestione delle credenziali. Il PIN viene chiesto una volta sola per l'intero lotto. Sul codice OTP il comportamento dipende dal prestatore: alcuni ne accettano uno per sessione, altri lo richiedono a intervalli o dopo un numero fisso di documenti. Conviene leggere le condizioni del proprio servizio prima di avviare un lotto grosso, perché una procedura interrotta a metà lascia una parte dei file firmati e una parte no.

In firma massiva alcuni errori pesano più che sul singolo documento.

Il formato si applica a tutto il lotto. Se dentro ci sono file che non sono PDF, PAdES non li accetta e vanno separati in un lotto CAdES a parte.

Il riquadro visibile finisce nella stessa posizione su ogni documento. Su moduli diversi fra loro copre campi diversi, e il controllo pagina per pagina salta. Per lotti eterogenei conviene firmare senza riquadro.

I file vanno appiattiti prima, tutti. L'errore del modulo con i campi ancora compilabili si moltiplica per il numero di documenti, e in verifica emerge settimane dopo.

Se nel lotto servono anche le marche temporali, vanno messe in conto: si consumano una per documento, non una per lotto. Il calcolo del fabbisogno è nella guida su come funziona la marca temporale.

Domande frequenti

Posso firmare un PDF con Adobe Acrobat Reader? Reader consente di apporre una firma elettronica semplice, che non equivale a quella qualificata. Con il certificato correttamente installato Acrobat produce anche firme digitali valide, ma per una firma qualificata italiana il percorso affidabile resta il software del prestatore, che gestisce PIN, OTP e formati conformi.

Il PDF firmato è più pesante dell'originale? Sì, di poco. La firma e i dati di certificazione aggiungono in genere qualche decina di kilobyte, che diventano di più con la marca temporale e i dati di validazione a lungo termine.

Posso togliere una firma da un PDF? No. La firma è incorporata nel documento e rimuoverla significa produrre un file diverso, che risulta alterato in verifica. Se hai firmato la versione sbagliata, correggi l'originale e firma di nuovo.

Serve la connessione a internet per firmare? Per la firma remota sì, perché il certificato risiede sul server del prestatore. Con smart card o token la firma funziona offline, ma la verifica dello stato di revoca e l'eventuale marca temporale richiedono comunque una connessione.

Un PDF firmato in Italia vale all'estero? Nell'Unione europea sì. Il regolamento eIDAS impone il riconoscimento reciproco delle firme qualificate emesse da prestatori inseriti nelle Trusted List degli Stati membri. Fuori dall'UE il riconoscimento dipende dalla legge del Paese di destinazione.

Posso firmare dal telefono? Sì con la firma remota, attraverso l'app del prestatore, che gestisce sia il documento sia l'OTP sullo stesso dispositivo. Le funzioni di posizionamento del riquadro sono più limitate rispetto al software desktop.

La firma massiva si è interrotta a metà. Devo rifare tutto? No. I documenti già firmati restano validi e vanno esclusi dal secondo tentativo. Rifirmare un file già firmato con PAdES aggiunge una seconda sottoscrizione dello stesso titolare, che non serve e confonde chi riceve.

Il mio certificato scade fra un mese: posso firmare lo stesso? Sì, finché la data di fine validità non è passata, e il documento resta valido anche dopo. Con una scadenza vicina conviene però muoversi sul rinnovo, perché va concluso prima del giorno di scadenza: i passaggi sono nella guida su come rinnovare la firma digitale scaduta.

Che differenza c'è tra firmare un PDF e inviarlo via PEC? Sono due piani distinti. La firma attesta chi ha sottoscritto il contenuto; la PEC attesta che quel file è stato spedito e consegnato a una certa ora. Un documento importante spesso li usa entrambi, come spiegato in PEC o email: quando serve davvero.

Fonti ufficiali

La disciplina della firma digitale in Italia è contenuta nel Codice dell'Amministrazione Digitale (D.Lgs. 82/2005), in particolare negli articoli 20 e 21 sul valore probatorio del documento informatico sottoscritto con firma qualificata. Il quadro europeo è dato dal regolamento eIDAS, che stabilisce l'equivalenza fra firma elettronica qualificata e firma autografa e il riconoscimento reciproco fra Stati membri. AgID pubblica l'elenco dei prestatori di servizi fiduciari qualificati attivi in Italia e quello dei software di verifica della firma; la Commissione europea mantiene il Trusted List Browser per il controllo dei prestatori europei.

Disclaimer

I contenuti hanno valore informativo e non costituiscono consulenza professionale. Per la validità di atti soggetti a forma vincolata, per le sottoscrizioni in ambito societario e per il contenzioso sul disconoscimento di una firma rivolgersi a un notaio o a un avvocato. Vedi disclaimer YMYL.