Ultimo aggiornamento: agosto 2026.
Per firmare digitalmente un PDF in Italia usa una firma elettronica qualificata: scegli PAdES per mantenere l’estensione .pdf o CAdES con file .p7m, inserisci PIN del dispositivo qualificato e applica, opzionalmente, la marca temporale.
- La firma valida per legge è la firma elettronica qualificata o la firma digitale secondo eIDAS e CAD.
- Formati principali: PAdES per PDF; CAdES con estensione .p7m; XAdES per XML.
- Per PA, appalti e Registro Imprese di norma serve FEQ/firma digitale, spesso con richiesta di .p7m.
Cos’è la firma digitale e quando serve davvero
La firma digitale è un tipo particolare di firma elettronica qualificata. In Italia è definita dal Codice dell’Amministrazione Digitale (CAD), D.Lgs. 82/2005. Serve un certificato qualificato e un dispositivo sicuro.
Con la firma qualificata il documento ha lo stesso valore della firma autografa. Lo dice l’art. 20 e l’art. 21 del CAD. Il regolamento eIDAS (UE 910/2014) garantisce il riconoscimento in tutta l’Unione.
La usi quando il destinatario la pretende o la legge la richiede. Esempi tipici: gare pubbliche, pratiche al Registro Imprese, istanze alla PA, atti societari e contratti ad alto rischio.
Fonti normative essenziali
Puoi trovare i testi su Normattiva e nei siti istituzionali. Riferimenti chiave: Regolamento (UE) 910/2014 (eIDAS), D.Lgs. 82/2005 (CAD) artt. 20, 21, 24, DPCM 22 febbraio 2013 sulle regole tecniche, Linee guida AgID su formazione, gestione e conservazione dei documenti informatici. Per gli appalti, D.Lgs. 36/2023 (Codice dei contratti pubblici). Indicazioni operative sono spesso richiamate anche da Ministero del Lavoro e delle Politiche Sociali per procedure telematiche e bandi.
Tipi di firma elettronica e formati di file
Firma elettronica semplice (FES). È una firma “leggera”. Non basta per atti formali. Ha valore probatorio limitato.
Firma elettronica avanzata (FEA). Identifica chi firma e garantisce controllo esclusivo. Valida in scenari specifici (per esempio documenti sanitari). Non sempre accettata dalla PA.
Firma elettronica qualificata (FEQ) e firma digitale. Sono il riferimento per PA, Registro Imprese e appalti. Usano certificati qualificati su dispositivo sicuro.
Formati di busta crittografica
PAdES. Firma “dentro” il PDF. Mantiene estensione .pdf. Ideale quando il destinatario vuole aprire il file senza software particolari.
CAdES. Produce un file .p7m. Avvolge qualsiasi tipo di file. È spesso obbligatoria per pratiche alla PA e per il Registro Imprese.
XAdES. Per file XML. Comune in integrazioni tra sistemi e scambi strutturati.
Requisiti tecnici: cosa ti serve per firmare
Dispositivo qualificato. Può essere una smart card con lettore o un token USB. In alternativa, una firma remota in cloud. In tutti i casi il dispositivo è un QSCD, cioè un “qualified signature creation device”.
Certificato qualificato. Contiene i tuoi dati identificativi, come codice fiscale. Ha una scadenza. Puoi sospenderlo o revocarlo in caso di furto o smarrimento.
Software di firma. Serve per applicare la firma e scegliere il formato. Deve essere aggiornato e compatibile con il tuo sistema operativo.
PIN, PUK e autenticazione
PIN. È il codice per autorizzare ogni firma. Non condividerlo mai. In caso di errori ripetuti il dispositivo si blocca.
PUK. È il codice di sblocco. Tienilo al sicuro, separato dal PIN. Se lo perdi, contatta il fornitore per la procedura.
Firma remota. Di solito usa OTP via app o SMS. Eviti driver e lettori fisici. È comoda in mobilità e per team distribuiti.
Procedura pratica per firmare un PDF
1) Collega il dispositivo. Inserisci la smart card nel lettore o il token USB. Con la firma remota, apri l’app di autenticazione.
2) Apri il software di firma. Seleziona “Firma” o “Firma documento”.
3) Scegli il file. Seleziona il PDF da firmare.
4) Scegli la tipologia. PAdES se vuoi mantenere il .pdf. CAdES se il destinatario richiede .p7m. Per più firme sullo stesso file, entrambi vanno bene.
5) Opzioni. Aggiungi, se necessario, la marca temporale. Serve a fissare data e ora certe rilasciate da un prestatore qualificato.
6) Autorizza. Inserisci il PIN o usa l’OTP. Conferma l’operazione.
7) Verifica l’esito. Attendi il messaggio “documento firmato”. Salva il file firmato. Conservalo in modo sicuro.
Multi-firma e controfirma
Puoi aggiungere più firme allo stesso documento. Si chiama cofirma. Ogni firmatario usa il proprio certificato. Puoi anche controfirmare una firma esistente.
In PAdES le firme restano nel PDF. In CAdES ogni firma si aggiunge nella busta .p7m. Verifica sempre che il software mostri tutte le firme come “valide”.
Validità legale, verifica e conservazione
Effetti legali. Con FEQ o firma digitale, il documento ha piena efficacia probatoria. Il CAD richiama l’art. 2702 del Codice civile per l’attribuibilità della sottoscrizione.
Verifica. Dopo la firma, controlla: integrità del file, validità del certificato, catena di certificazione, stato di revoca (CRL/OCSP), presenza e validità della marca temporale, eventuali limitazioni d’uso del certificato.
Conservazione. Per gli obblighi di legge, usa un sistema di conservazione a norma. Le Linee guida AgID definiscono formazione, gestione e conservazione dei documenti informatici. La PEC non sostituisce la conservazione a norma.
Marca temporale: quando aggiungerla
La marca temporale certifica data e ora certe. È rilasciata da un prestatore qualificato. Ti serve per bandi con scadenza, invii a PA e atti che richiedono opponibilità della data.
Aggiungila al momento della firma o in un secondo passaggio. Controlla che la marca sia ancora valida alla lettura.
Ambiti tipici: PA, appalti, Registro Imprese e fisco
Pubblica Amministrazione. Molti portali chiedono FEQ o firma digitale. Spesso pretendono formato CAdES .p7m. Verifica sempre le specifiche dell’ente.
Appalti pubblici. Il D.Lgs. 36/2023 impone l’uso di firme qualificate nei sistemi di e-procurement. Le piattaforme verificano certificati e marcature temporali.
Registro Imprese. Le Camere di Commercio richiedono normalmente documenti firmati digitalmente, spesso in .p7m. Controlla i disciplinari tecnici e le note operative.
Ambito lavoro. Bandi e accreditamenti del Ministero del Lavoro e delle Politiche Sociali possono richiedere FEQ. Le istruzioni ufficiali indicano formato, estensioni e tempistiche.
Fisco e professionisti. Procure, contratti, relazioni e attestazioni possono richiedere firma digitale per l’invio telematico o per la prova certa della sottoscrizione.
Regola decisionale rapida
Se il destinatario è una PA o una piattaforma di gara, usa sempre FEQ/firma digitale. Se il portale chiede .p7m, scegli CAdES. Se accetta PDF firmato, scegli PAdES.
Se devi mantenere l’estensione .pdf per una lettura immediata, scegli PAdES. Se devi firmare un file che non è PDF, scegli CAdES.
Se serve data certa o ci sono scadenze ufficiali, aggiungi la marca temporale. Se devi firmare da smartphone o senza lettore, attiva una firma remota.
Se firmi per una società in qualità di legale rappresentante, verifica che il certificato riporti il ruolo. In caso di dubbi, chiedi al tuo prestatore qualificato.
Se ricevi istruzioni discordanti, prevale la specifica tecnica del destinatario. In mancanza, adotta FEQ in PAdES per PDF o CAdES per massima compatibilità.
Problemi comuni e soluzioni veloci
Il computer non vede la smart card
Installa o aggiorna i driver del lettore. Prova una porta USB diversa. Riavvia. Verifica che il certificato compaia nel software di firma.
Errore PIN o dispositivo bloccato
Dopo pochi tentativi falliti, il dispositivo si blocca. Usa il PUK per sbloccare. Se non lo hai, contatta il prestatore per la procedura di sblocco o rinnovo.
Firma risulta non valida
Controlla data e ora del PC. Aggiorna il software di firma. Verifica CRL/OCSP connessi a Internet. Assicurati che il certificato non sia scaduto o revocato.
Il portale rifiuta il file
Controlla formato richiesto (.p7m o .pdf). Rinomina senza caratteri speciali. Rispetta limiti di dimensione. Applica marca temporale se indicata nelle istruzioni.
Devo far firmare a più persone
Usa la cofirma. In PAdES aggiungi firme sullo stesso PDF. In CAdES ogni firma si stratifica nella busta .p7m. Fai firmare nell’ordine chiesto dal destinatario.
Sicurezza, deleghe e responsabilità
La firma è personale. Non condividere dispositivo, PIN o OTP. Firmare al posto di altri senza mandato è rischioso e può essere illecito.
Se devi far firmare per conto di una società, usa un certificato che riporti il ruolo o una procura. Conserva la documentazione di delega.
Revoca subito il certificato in caso di furto o compromissione. Notifica i soggetti coinvolti. Ripeti la sottoscrizione con un nuovo certificato se serve.
Checklist operativa prima dell’invio
– Hai usato FEQ/firma digitale? Sì/No.
– Il formato è quello richiesto (PAdES o CAdES)? Sì/No.
– Hai applicato la marca temporale se necessaria? Sì/No.
– La verifica del software indica “firma valida”? Sì/No.
– Hai conservato il file originale firmato e le ricevute? Sì/No.
Tabella di orientamento pratico
| Scenario | Tipo firma/formato consigliato | Requisiti tecnici/documentali | Marca temporale | Tempistiche/verifica |
|---|---|---|---|---|
| Invio istanza alla PA (albo, SUAP, concessioni) | FEQ/firma digitale in CAdES (.p7m) salvo diversa indicazione | Documento PDF/A ove richiesto; certificato in corso di validità; manuale tecnico dell’ente | Consigliata se rileva la scadenza o per prova certa della data | Firma in pochi minuti; verifica integrità e validità con software e controlli CRL/OCSP |
| Gara d’appalto su piattaforma e-procurement | FEQ/firma digitale; il portale specifica PAdES o CAdES | Manuale di gara; eventuale busta amministrativa/tecnica/economica firmate separatamente | Spesso obbligatoria secondo disciplinare | Firma e upload entro termine; il portale fa verifica automatica |
| Deposito al Registro Imprese/CCIAA | FEQ/firma digitale in CAdES (.p7m) | Modulistica camerale; file originali richiesti; ruolo rappresentante su certificato | Raccomandata per opponibilità temporale | Firma immediata; esiti secondo tempi della CCIAA |
| Contratto tra privati in PDF | PAdES per lettura immediata; alternativa CAdES se richiesto | Identità delle parti certa; eventuale inizializzazione pagine in firma visibile | Opzionale ma utile per data certa | Firma in minuti; invio tramite PEC o piattaforma concordata |
| Allegati tecnici non PDF (DWG, XLSX, ZIP) | CAdES (.p7m) per firmare qualsiasi tipo di file | Versioni file definitive; evitare password interne ai file | Opzionale o richiesta da disciplinare | Firma rapida; verifica con software che legge buste .p7m |
| Firma in mobilità senza lettore | FEQ remota con OTP; PAdES per PDF | App di autenticazione; connessione stabile; secondo fattore attivo | Facile da applicare nella stessa sessione | Processo in 1-2 minuti per documento |
FAQ
La firma elettronica qualificata è sempre equivalente alla firma autografa?
Sì, per gli effetti di legge. Il CAD prevede che il documento informatico firmato con firma elettronica qualificata o firma digitale soddisfi il requisito della forma scritta e faccia piena prova della provenienza delle dichiarazioni, come la firma autografa. Serve però che il certificato sia valido, non revocato, e che l’integrità del documento sia garantita. In pratica: se firmi con un certificato qualificato su dispositivo sicuro e il file non è stato alterato, il tuo documento ha lo stesso peso di un cartaceo firmato a penna. Restano salve eventuali forme speciali richieste dalla legge per atti particolari (per esempio, atti notarili).
Meglio firmare un PDF in PAdES o creare un .p7m con CAdES?
Dipende dallo scopo e da chi riceve il file. Se il destinatario è una PA o una piattaforma che impone il .p7m, usa CAdES. Se vuoi che il file resti un .pdf facile da aprire e archiviare, usa PAdES. A livello legale, entrambe sono firme qualificate valide. La scelta è più “tecnica” che giuridica. Suggerimento: leggi sempre le specifiche tecniche dell’ente o del bando. In assenza di istruzioni, per i PDF preferisci PAdES; per altri formati o quando serve massima interoperabilità, CAdES.
Quando è obbligatoria la marca temporale e come funziona?
La marca temporale non è sempre obbligatoria, ma diventa necessaria quando devi dimostrare con certezza il momento della sottoscrizione o rispettare una scadenza formale. È particolarmente usata in appalti pubblici, istanze alla PA con termini perentori, e nei depositi in cui la data è rilevante. Funziona così: un prestatore qualificato rilascia un token che attesta data e ora, legandolo crittograficamente al tuo documento o alla tua firma. Alla verifica, chi legge può controllare che quella marca fosse valida e che non sia stata alterata. Se il bando o l’ente la richiede, applicala nello stesso flusso della firma per evitare discrepanze temporali.
Come faccio a verificare se un documento firmato è integro e valido?
Usa un software di verifica che legga firme PAdES o buste CAdES. La verifica deve mostrare: integrità del file (nessuna modifica dopo la firma), validità del certificato (non scaduto, non revocato), catena di fiducia del prestatore qualificato, stato CRL/OCSP raggiungibile, e presenza/validità di eventuale marca temporale. Controlla anche i dati anagrafici nel certificato (nome, codice fiscale, eventuale ruolo). Se firmi per una società, verifica che il certificato riporti la qualifica. Conserva il rapporto di verifica insieme al documento, specie per gare e pratiche in cui la prova di validità può essere richiesta.
Se il mio certificato scade o viene revocato, le firme apposte in passato restano valide?
Sì. La scadenza o la revoca incidono sulle firme future, non su quelle già apposte. Una firma è valutata al momento della sua creazione. Per rafforzare la prova nel tempo, specialmente oltre la durata del certificato, applica la marca temporale e usa un sistema di conservazione a norma. In questo modo, anche a distanza di anni, potrai dimostrare che la firma era valida al momento dell’apposizione e che il documento non è stato alterato. Se temi l’obsolescenza dei formati o delle catene di fiducia, valuta politiche di “prolungamento” con contro-marcature secondo le Linee guida AgID.
