Che cos’è un file .p7m
Un file .p7m è una busta crittografica: dentro c’è il documento originale (quasi sempre un PDF o un XML), la firma digitale di chi l’ha sottoscritto e il suo certificato. Il formato si chiama CAdES ed è definito dalla norma europea ETSI EN 319 122; tecnicamente è una struttura CMS «SignedData».
L’estensione .p7m si aggiunge in coda al nome: contratto.pdf.p7m è un PDF firmato, fattura.xml.p7m una fattura elettronica firmata. Se il documento viene firmato due volte di seguito, il suffisso si ripete (contratto.pdf.p7m.p7m).
Una firma elettronica qualificata (in Italia, la firma digitale basata su un certificato qualificato) ha effetto giuridico equivalente a quello di una firma autografa: lo prevede l’art. 25 del regolamento europeo eIDAS; in Italia la materia è disciplinata anche dal Codice dell’Amministrazione Digitale (CAD).
Perché hai ricevuto un .p7m
I casi più comuni:
- Fatture elettroniche (FatturaPA) scaricate dal portale Fatture e Corrispettivi o ricevute via PEC: molti fornitori firmano l’XML prima di inviarlo al Sistema di Interscambio (SdI), quindi arriva come .xml.p7m.
- Atti giudiziari e documenti di avvocati e tribunali, depositati con il processo telematico e spesso inoltrati via PEC.
- Contratti, verbali e delibere di pubbliche amministrazioni, imprese e studi professionali.
- Certificati e atti di enti e professionisti (Camere di commercio, ordini professionali, notai).
- Email firmate: un file chiamato smime.p7m è un messaggio firmato con S/MIME che il tuo programma di posta non è riuscito a mostrare.
Come aprire un file .p7m
Nel browser, qui sopra. Non serve installare niente né registrarsi. Il file viene elaborato sul tuo dispositivo: non lo carichiamo su alcun server.
Con il programma del tuo certificatore. Chi ha una firma digitale ha di solito anche il software per verificarla (per esempio Dike di InfoCert, ArubaSign di Aruba o FirmaCerta di Namirial). Sono la scelta giusta se ti serve un rapporto di verifica ufficiale, perché di norma controllano anche la revoca del certificato.
Non con Adobe Reader. Acrobat apre i PDF con firma incorporata (PAdES), ma non le buste .p7m (CAdES): prima bisogna estrarre il PDF, ed è quello che facciamo noi.
Che cosa controlliamo, e che cosa no
Per ogni firma mostriamo l’esito di ciascun controllo separatamente, invece di un unico bollino «valida»:
- Integrità: ricalcoliamo l’impronta (hash) del documento e la confrontiamo con quella firmata. Se è cambiato anche un solo carattere, lo vedi.
- Firma: verifichiamo la firma crittografica con la chiave pubblica del certificato (RSA o curve ellittiche).
- Certificato collegato: controlliamo che la firma faccia riferimento proprio al certificato incluso nel file.
- Date: controlliamo che il certificato fosse in corso di validità al momento della firma, usando la marca temporale quando c’è.
- Emittente: controlliamo che il certificato sia stato emesso da un prestatore di servizi fiduciari qualificato presente negli elenchi di fiducia (TSL) pubblicati dall’Italia (AgID) e dalla Romania, verificando la firma dell’autorità di certificazione e non solo il suo nome.
- Revoca: non la controlliamo. Per sapere se un certificato è stato revocato serve una richiesta online al certificatore (CRL/OCSP), che non facciamo. Per un controllo completo, da conservare come documentazione, usa il software del tuo certificatore.
Certificato scaduto: la firma vale ancora?
Un certificato di firma ha una durata limitata, spesso tre anni. Se oggi è scaduto, conta se era in corso di validità quando il documento è stato firmato.
La data di firma scritta nel file viene dall’orologio del computer di chi ha firmato, quindi non è una prova. Lo è invece una marca temporale, emessa da un soggetto terzo: se il file ne contiene una e il certificato era in corso di validità in quel momento, il controllo sulle date risulta superato anche dopo la scadenza. Ti mostriamo sempre quale delle due date stiamo usando.
File .p7s, .tsd e .m7m
.p7s è di solito una firma «separata» (detached): il documento firmato è un file a parte. Possiamo verificare la firma, ma per controllare l’integrità serve anche il documento originale, che puoi aggiungere dopo aver aperto il .p7s.
.tsd e .m7m contengono il file firmato insieme a una marca temporale. Li apriamo entrambi e controlliamo che la marca temporale si riferisca proprio a quel file.
Fatture elettroniche .xml.p7m
Se dentro la busta c’è una fattura elettronica in formato FatturaPA, te la mostriamo come una fattura leggibile: cedente/prestatore e cessionario/committente, righe, riepilogo IVA, ritenute, cassa previdenziale, scadenze di pagamento e IBAN. Gli importi sono riportati esattamente come nel file, senza arrotondamenti.
Gli eventuali allegati inclusi nella fattura (spesso una copia di cortesia in PDF) si scaricano con un clic. Puoi anche stampare la fattura o salvarla come PDF dalla finestra di stampa del browser. Le specifiche del formato sono pubblicate su fatturapa.gov.it.
Dove finisce il tuo file
Da nessuna parte. Il file viene letto e verificato dal tuo browser, con codice che gira sul tuo dispositivo. Le regole di sicurezza del sito (Content Security Policy) bloccano le connessioni verso altri siti, e al nostro dominio non trasmettiamo né il file né il suo nome. Quando chiudi la scheda, non resta nulla.