Se una firma digitale è scaduta, la validità del documento non si perde automaticamente, ma dipende da un fattore decisivo: la presenza e l’esattezza della marca temporale. Se il file è stato firmato e marcato temporalmente prima che il certificato di firma scadesse, il documento mantiene pieno valore legale nel tempo. Se invece manca la marca temporale, la firma digitale viene considerata valida unicamente fino alla data e all’ora di scadenza del certificato stesso.
In questo articolo vediamo come verificare il valore giuridico di un file firmato con un certificato scaduto, quali controlli effettuare tramite i software di verifica (come Dike, Aruba Sign o FirmaOK) e come comportarsi in base al tipo di documento.
Cosa controllare subito: il ruolo della marca temporale
Per capire se un file con firma digitale scaduta mantiene l’efficacia giuridica, il primo controllo da fare riguarda la marcatura temporale (timestamp). La marca temporale è un servizio offerto da un Certificatore Accreditato (AgID) che associa a un documento informatico una data e un orario certi e opponibili ai terzi.
Le situazioni possibili sono due:
- Firma digitale scaduta CON marca temporale antecedente la scadenza: Il documento conserva la sua validità legale e l’opponibilità a terzi anche a distanza di anni.
- Firma digitale scaduta SENZA marca temporale: La firma viene rilevata dal software come non valida o “scaduta”. Il documento non garantisce la certezza della data di apposizione rispetto al periodo di validità del certificato.
Scheda di verifica rapida della validità
| Situazione | Possibile causa | Cosa controllare |
| Firma apposta prima della scadenza, con marca temporale | Certificato di firma attualmente scaduto, ma presenza di marca temporale valida | Verificare che la data della marca temporale sia compresa nell’intervallo di validità del certificato di firma. |
| Firma apposta prima della scadenza, senza marca temporale | Mancanza del riferimento temporale certo opponibile ai terzi | Il software rileva la firma come non valida. Verificare se esiste una PEC o un deposito ufficiale con data certa. |
| Firma apposta dopo la scadenza del certificato | Tentativo di firma con smart card, USB o firma remota non rinnovata | La firma non ha alcun valore legale. È necessario rinnovare il certificato o firmare nuovamente il file con un dispositivo attivo. |
| Errore di verifica nel software (es. Dike, Aruba Sign) | Elenchi di revoca (CRL) o connessione internet assente durante il controllo | Verificare di essere connessi a internet affinché il software aggiorni gli elenchi dei certificati e della CA. |
Firma digitale scaduta: quando il documento mantiene valore legale
Secondo il Codice dell’Amministrazione Digitale (CAD – D.Lgs. 82/2005) e il regolamento europeo eIDAS, l’invalidità o la scadenza del certificato di firma non travolge retroattivamente i documenti firmati correttamente durante il periodo di validità, a condizione che sia possibile dimostrare la data esatta di apposizione.
Se occorre presentare o conservare un documento con firma digitale scaduta, bisogna distinguere la tipologia di archiviazione e le garanzie correlate:
1. Documenti marcati temporalmente (file .p7m o PDF con marca)
La marca temporale (formato .tsr o integrata nel file .p7m/PDF) attesta in modo indiscutibile che la firma è stata apposta quando il certificato era perfettamente attivo. In questi casi, anche se oggi il software segnala “Certificato scaduto”, la verifica temporale conferma la piena validità del file.
2. Documenti trasmessi via PEC o conservati a norma
Se il file privo di marca temporale è stato inviato tramite Posta Elettronica Certificata (PEC) o inserito in un sistema di Conservazione Sostitutiva a norma AgID prima della scadenza del certificato di firma, le ricevute PEC o il fascicolo di conservazione offrono la prova della data certa di opponibilità.
3. File locali non marcati e non conservati
Se un documento è stato firmato e salvato semplicemente sul proprio PC senza marca temporale, alla scadenza del certificato di firma non sarà più possibile dimostrare a terzi con certezza legale che il file è stato firmato prima e non dopo la scadenza.
Procedura passo-passo per verificare un file con firma scaduta
Se si riceve o si deve analizzare un file firmato con un certificato scaduto, ecco i passaggi da seguire con un software di verifica gratuito (es. Dike, Aruba Sign, FirmaOK o la pagina di verifica online di AgID):
- Aprire il software di verifica: Assicurarsi che il computer sia connesso a internet per consentire lo scaricamento delle CRL (liste di revoca) aggiornate.
- Caricare il file: Trascinare all’interno del programma il file firmato (con estensione
.p7m,.pdfo.xml). - Avviare la verifica della firma: Il programma mostrerà lo stato del certificato. Se viene indicato “Certificato scaduto”, non fermarsi a questo dato.
- Ispezionare i dettagli della marca temporale:
- Cliccare sui dettagli della firma o sulla sezione “Marca temporale” / “Riferimento temporale”.
- Verificare se è presente una marca temporale associata.
- Confrontare le date:
- Controllare la data di generazione della marca temporale.
- Controllare la data d’inizio e fine validità del certificato del firmatario.
- Se la marca temporale cade all’interno delle date di validità del certificato, la verifica della continuità legale è confermata.
Cosa non fare
Quando si gestisce un documento informatico con certificato di firma scaduto, è importante evitare errori che potrebbero comprometterne l’integrità o l’opponibilità:
- Non ri-firmare un vecchio file già firmato con certificato scaduto: Sovrascrivere o aggiungere una nuova firma con un certificato attivo non sana retroattivamente la mancanza di marca temporale sulla prima firma.
- Non rinominare o modificare il file p7m originale: Ogni alterazione del file (anche del nome in alcuni contesti di busta paga o atti giudiziari) rischia di invalidare l’involucro crittografico.
- Non ignorare la scadenza del proprio dispositivo di firma: I certificati di firma digitale hanno in genere durata triennale e possono essere rinnovati una sola volta prima della scadenza naturale. Una volta scaduti, la smart card o la chiavetta USB non possono più essere rinnovate e vanno riacquistate.
Quando rivolgersi all’assistenza o al canale ufficiale
Esistono situazioni in cui la verifica software non è sufficiente e occorre richiedere supporto qualificato:
- Contestazioni legali o gare d’appalto: Se un’Amministrazione Pubblica o un ente privato rifiuta un file firmato a causa della firma scaduta, è opportuno estrarre il report di verifica dettagliato (in formato PDF/XML dal software di firma) che attesta la presenza della marca temporale antecedente e consultare un legale o un esperto di diritto digitale.
- Problemi di rinnovo del dispositivo: Se il certificato di firma sta per scadere o è scaduto da poco e si riscontrano errori di rinnovo, occorre contattare direttamente il proprio gestore/Provider (InfoCert, Aruba, Namirial, Poste Italiane, Aruba, Register.it, ecc.).
- Controlli su atti giudiziari o contabili: Per documenti depositati presso la Pubblica Amministrazione o i tribunali (PCT), fare riferimento ai portali ufficiali del Ministero della Giustizia o dell’Agenzia delle Entrate per verificare i log di trasmissione e i depositi protocollati.
In breve
- La firma digitale scaduta rende il documento non più verificabile come “attivo” se manca una marca temporale.
- Se è presente la marca temporale apposta prima della scadenza del certificato, il documento conserva pienamente il suo valore legale ed è opponibile a terzi.
- In assenza di marca temporale, solo un invio tramite PEC o la conservazione a norma con data certa antecedente possono provare la validità del file.
- Per evitare problemi futuri sui documenti importanti da conservare a lungo termine, è sempre raccomandato apporre la marca temporale contestualmente alla firma digitale.
Giornalista e analista, scrive di economia italiana, innovazione e imprese. Appassionato di tecnologia e finanza, racconta il presente e il futuro delle aziende che fanno muovere il Paese.
