Firmare un PDF: quando ha valore legale e quando no

Le tre firme, e cosa valgono

Questa tabella è il motivo per cui esiste l'articolo. Sono tre cose diverse che chiamiamo tutte «firma».

1. La differenza pratica sta tutta in una parola: contestabile. Una firma disegnata è un'immagine: chiunque può ritagliarla da un altro documento e incollarla. Se l'altra parte dice «non l'ho firmato io», dimostrare il contrario è un problema tuo.
2. Per la maggior parte delle cose quotidiane la firma disegnata basta, e non è un consiglio approssimativo: un modulo per la scuola, una liberatoria, un preventivo fra persone che si conoscono. Lì il rischio di contestazione è zero.
3. Serve la firma digitale quando lo dice la legge o la controparte: pratiche con la pubblica amministrazione, bandi, atti societari, contratti dove qualcuno ha interesse a negare, e ogni volta che ti chiedono un file .p7m.
4. La via di mezzo esiste ed è comoda: i servizi di firma elettronica avanzata — quelli in cui arriva un link, ti identifichi e firmi — registrano chi ha firmato, quando e da dove. Reggono molto meglio di un'immagine e costano meno di un certificato.
5. Una cosa che vale la pena sapere: in Europa nessuna firma elettronica può essere rifiutata solo perché è elettronica. Ma «non può essere rifiutata» non vuol dire «vale come una firma fatta a mano»: quello lo dice solo la firma qualificata, che il regolamento europeo eIDAS (articolo 25) dichiara «equivalente a una firma autografa». Autografa, non autenticata: l'autenticata è un'altra cosa ancora e la fa un notaio — c'è la nota più avanti.

La firma disegnata: gratis, in trenta secondi

È quella che serve nel 90% dei casi, e non serve installare niente: la disegni una volta e resta salvata per sempre.

1. Su iPhone e iPad: apri il PDF, tocca l'icona della matita (o «Marcatura»), poi il + in basso a destra → Firma → Aggiungi o rimuovi firma. La disegni col dito, e da quel momento la ritrovi sempre lì: le volte dopo la trascini e basta.
2. Su Mac: apri il PDF con Anteprima, clicca l'icona della matita per gli strumenti, poi quella della firma. Puoi disegnarla sul trackpad, oppure mostrarla alla telecamera scritta su un foglio bianco — questo secondo metodo viene molto meglio.
3. Su Windows: apri il PDF con Edge, che è già installato, e usa lo strumento «Disegna» per firmare a mano. Con il mouse viene male; con un touch screen o una penna viene bene.
4. Su Android: dall'app dei File o da Google Drive, aprendo il PDF con un'app che permetta l'annotazione.
5. Il consiglio che migliora il risultato: firma su un foglio bianco con un pennarello nero, fotografala e usa quella. Le firme disegnate col dito si riconoscono a un chilometro, e su un documento che mandi a un cliente fanno una brutta impressione.

La firma digitale: quando serve davvero

Dà al documento lo stesso valore di una scrittura privata firmata a mano — lo dice l'articolo 20 del Codice dell'amministrazione digitale, che rinvia all'articolo 2702 del codice civile — e in più l'uso del dispositivo si presume tuo, salvo prova contraria. Non serve spesso, ma quando serve non ci sono alternative.

1. Come si ottiene: da uno dei gestori autorizzati — gli stessi che rilasciano lo SPID, più altri. Serve un riconoscimento, come per lo SPID, e costa da 56 euro per tre anni, cioè meno di venti euro l'anno. Ma il prezzo del listino non è quello che paghi, e le due cose da guardare sono queste.
   
   L'IVA. I gestori espongono i prezzi IVA esclusa: il «45,90 €» di Aruba per la firma remota OTP Mobile diventa 56 € alla cassa.
   
   Il riconoscimento, che su alcuni si paga a parte. Su Aruba è compreso nell'attivazione. Su InfoCert no: il certificato di firma remota parte da 59,78 € (IVA compresa) e il riconoscimento — con SPID, in video o con la carta d'identità elettronica — costa 36,60 € in più. Totale: circa 96 euro, quasi il doppio di Aruba. Il prezzo che conta è quello finale.
2. Le due forme: su dispositivo fisico (una chiavetta USB o una smart card) oppure remota, dove firmi dal browser o dall'applicazione ricevendo un codice. La remota è molto più comoda e oggi è quella che prendono quasi tutti.
3. Se hai già lo SPID, parecchi gestori permettono di attivare la firma digitale con un riconoscimento più rapido, perché ti hanno già identificato.
4. Come si firma: con il programma del gestore, che produce un file nuovo. Qui c'è la scelta che confonde tutti — CAdES o PAdES — ed è spiegata nella sezione qui sotto.
5. Controlla la scadenza del certificato. Di solito vale tre anni, e scade senza avvisare: firmare con un certificato scaduto vuol dire rifare la pratica.

Il file .p7m che nessuno sa aprire

Ti arriva un file che finisce per .p7m, ci clicchi sopra e non succede niente. È la domanda che si fanno in migliaia ogni mese, e la risposta è semplice.

Un .p7m è una busta: dentro c'è il tuo PDF, e intorno c'è la firma digitale che lo sigilla. Il computer non sa aprirla perché non è un formato che conosce di suo.

1. Per aprire un .p7m ci sono tre strade: il programma gratuito di un gestore di firma digitale (si scaricano liberamente), un servizio di verifica online, oppure — se te l'hanno mandato da una pubblica amministrazione — spesso c'è anche la copia in PDF semplice allegata.
2. Aprirlo serve anche a verificarlo: il programma ti dice chi ha firmato, quando, e se il certificato era valido in quel momento. È la parte utile, non solo un modo di leggere il contenuto.
3. Quando firmi tu, scegli PAdES se puoi: il file resta un PDF normale, che chiunque apre con un doppio clic e che mostra la firma dentro. Il CAdES (.p7m) si usa quando è la controparte a richiederlo — e parecchie amministrazioni lo richiedono.
4. Non rinominare mai un .p7m togliendo l'estensione per «farlo aprire»: si rompe la busta e la firma non è più verificabile.
5. Se il file è .p7m ma dentro c'è una fattura, è una fattura elettronica: quelle si aprono con i servizi dell'Agenzia delle Entrate o col programma del commercialista.

E l'intelligenza artificiale?

Va detto chiaramente: l'AI non può firmare al posto tuo, e non è un limite tecnico — è la definizione stessa di firma, che è un atto personale e riconducibile a una persona. Qualunque servizio prometta di «firmare con l'AI» sta facendo altro.

Dove invece serve, e parecchio, è nel passaggio prima: capire cosa stai per firmare.