Come aprire un file P7M (documento firmato digitalmente)

Un file che finisce con .p7m (per esempio contratto.pdf.p7m) è un documento con firma digitale. Il documento vero, il PDF, sta dentro una «busta» insieme alla firma, e per questo non si apre con doppio clic come un PDF normale. Ti serve un programma di verifica: ce ne sono di gratuiti, elencati dall'Agenzia per l'Italia Digitale (AgID). In alternativa puoi usare il verificatore online del Consiglio Nazionale del Notariato.

Prima di iniziare

• Cos'è un P7M. Secondo la guida alla firma digitale pubblicata da AgID, quando si firma un documento il file conserva il suo nome e riceve in più l'estensione «p7m»: mensa.pdf diventa mensa.pdf.p7m. È il formato che le pubbliche amministrazioni sono obbligate ad accettare.
• Non ti servono smart card, lettore o firma digitale tua. Per leggere e verificare un documento firmato basta il programma giusto.
• Tieni il computer collegato a internet. Il programma usa la rete per controllare se il certificato di chi ha firmato è stato sospeso o revocato. Senza rete vedi comunque il documento, ma quel controllo manca.
• Non buttare mai il file .p7m originale. È lui ad avere valore legale. Il file che estrai serve per leggere e stampare.
• Se il P7M ti è arrivato per email da uno sconosciuto, fermati: prima leggi come riconoscere un'email di phishing.

Cosa controlla il programma di verifica

La guida di AgID spiega che la verifica di una firma digitale controlla quattro cose:

1. che il documento non sia stato modificato dopo la firma;
2. che il certificato di chi ha firmato sia garantito da un'autorità di certificazione riconosciuta;
3. che il certificato non sia scaduto;
4. che il certificato non sia stato sospeso o revocato (per questo serve internet).

Se tutte e quattro danno esito positivo, la firma è valida e sai con certezza chi ha firmato.

Su Windows: con un programma gratuito dell'elenco AgID

AgID pubblica una pagina, Software di verifica, con i programmi che i produttori mettono a disposizione gratuitamente per verificare le firme e aprire i documenti firmati. Qualsiasi programma di quell'elenco va bene. La pagina è aggiornata al 29 settembre 2021: se un link non funziona più, cerca il programma sul sito del produttore.

Uno dei programmi dell'elenco è DigitalSign Reader di CompEd, per Windows. Il produttore scrive che è gratuito per i privati che non ne fanno un uso professionale, e che serve ad aprire i documenti firmati (anche in formato CAdES, cioè i .p7m), a visualizzarne, stamparne ed esportarne il contenuto e a verificare la firma. Dopo l'installazione chiede una registrazione e l'attivazione della licenza: leggi le condizioni prima di accettare.

I passi, nella forma descritta dalla guida di AgID (i nomi dei pulsanti cambiano da programma a programma):

1. Installa il programma di verifica scaricandolo solo dal sito ufficiale del produttore, raggiungibile dalla pagina di AgID.
2. Apri il file .p7m con il programma: di solito basta un doppio clic sul file, oppure un clic con il tasto destro e la voce di verifica del programma.
3. Leggi il rapporto di verifica: ti dice se la firma è corretta, chi ha firmato e se il certificato è valido.
4. Usa la voce per salvare il documento: il programma ti chiede dove salvarlo e crea la copia senza firma, per esempio il PDF, che apri come al solito.

Su Mac, iPhone e Android: con il verificatore online

Per questi sistemi la strada più semplice, senza installare niente, è un verificatore che funziona nel browser. La pagina di AgID ne elenca alcuni; uno è il Verificatore On Line (VOL) del Consiglio Nazionale del Notariato, che secondo il Notariato riconosce le firme e le marche temporali dei certificatori accreditati presso AgID e dei prestatori di servizi fiduciari europei.

1. Apri nel browser la pagina vol.ca.notariato.it.
2. Scegli Scegli un file firmato... e seleziona il file .p7m.
3. Premi Verifica e attendi la risposta.

Attenzione ai verificatori online. Per funzionare, il tuo documento viene caricato su un server esterno. Per un documento qualunque può andare bene; per referti medici, contratti, documenti d'identità o dati di altre persone è meglio un programma sul tuo computer. Lo stesso vale, a maggior ragione, per i siti sconosciuti che promettono di «convertire» i P7M: non sai dove finisce il tuo file. Anche la Commissione europea, per la pagina dimostrativa del suo servizio di verifica (DSS), avverte che i file vengono trasmessi ai suoi sistemi, chiede di non caricare documenti con dati sensibili e dice che va usata solo per prove.

Se sul Mac o sul telefono ti capita spesso di ricevere P7M, nell'elenco di AgID ci sono programmi dei vari produttori: controlla sul sito di ciascuno per quali sistemi è disponibile.

Se non funziona ancora

• Il programma dice che la firma non è valida o il certificato è scaduto o revocato: il documento si legge lo stesso, ma la firma potrebbe non avere valore. Chiedi a chi te l'ha mandato di verificarlo o di rimandarlo.
• Il verificatore dice che il file non è firmato o è danneggiato: il file può essersi rovinato durante il download. Scaricalo di nuovo dall'email o dalla PEC e riprova.
• Il file finisce con .p7s invece di .p7m: è una firma «staccata». Nel verificatore del Notariato carichi il file di firma nel primo campo e il documento originale nel campo Carica documento originale....
• Dopo averlo aperto devi firmare a tua volta un documento: vedi come firmare un PDF.
• Il PDF estratto è troppo pesante da inoltrare: la guida su come ridurre le dimensioni di un PDF ti aiuta, ma ricorda che il valore legale resta nel .p7m originale.
• Se nel tuo lavoro ricevi molti documenti firmati, fatture o atti da archiviare, un tecnico può impostarti una volta per tutte il programma di verifica e una cartella ordinata dove conservarli.