DeepValidator restituisce un risultato non valido, anche se vedo visivamente la firma nel documento. Da cosa dipende?

Il controllo della firma mostra un risultato non valido, anche se nel PDF è visibile una firma, quando dietro quella grafica visibile della firma non è presente alcuna firma tecnica verificabile oppure non ne è più presente una valida.

Cause più frequenti

Solo grafica, nessuna vera firma
Alcuni strumenti inseriscono soltanto un’immagine (“immagine della firma”) senza creare una firma crittografica conforme allo standard PDF/ETSI. In questo caso, un validatore può vedere una grafica di firma, ma non trovare alcun contenitore di firma verificabile — il risultato è “nessuna firma/firma non valida”.

Documento modificato dopo la firma
Se un PDF viene modificato dopo la firma (contenuto, pagine, oggetti), il checksum (valore hash) non corrisponde più alla firma originale e qualsiasi validatore attendibile deve segnalare il risultato come non valido, anche se la grafica della firma viene ancora visualizzata invariata.

Certificato scaduto o revocato
Se il certificato del firmatario è scaduto o revocato, la firma visiva può essere ancora presente nel documento, ma la verifica crittografica restituirà “non valido” o “non attendibile”.

Creazione della firma errata o incompleta
Alcune soluzioni di firma non incorporano la firma correttamente dal punto di vista tecnico (catena di certificati incompleta, attributi di firma errati, ecc.). Il PDF mostra comunque un’area firma, ma la validazione fallisce a causa di incongruenze tecniche.

La firma non corrisponde ai requisiti ZertES o eIDAS

• Non conforme a eIDAS (UE) significa tipicamente:
  È presente solo una firma elettronica semplice (ad esempio un’immagine scansionata o una click-signature), senza l’identificazione forte, il controllo esclusivo sulla chiave di firma e la protezione dell’integrità richiesti per una firma avanzata o qualificata. Oppure non è stato utilizzato un certificato idoneo di un prestatore di servizi fiduciari riconosciuto, oppure il certificato/profilo del certificato non corrisponde ai requisiti per una AdES/QES secondo eIDAS.

• Non conforme a ZertES (Svizzera) significa in modo analogo:
  La firma non soddisfa i requisiti per una firma elettronica avanzata/qualificata ai sensi del diritto federale svizzero (ad esempio nessuna autorità di certificazione svizzera riconosciuta, nessun certificato qualificato, nessun dispositivo di creazione della firma approvato, profilo non ammesso, ecc.).

Conseguenza pratica:
Il documento può comunque essere “firmato” elettronicamente e avere una certa forza probatoria, ma non viene riconosciuto come firma qualificata o avanzata ai sensi di eIDAS/ZertES e quindi non beneficia dello speciale status giuridico previsto, ad esempio l’equivalenza alla firma autografa nel caso di una QES.

Come procedere

1. Controllare nei dettagli della firma in un lettore PDF se dietro è effettivamente presente una firma digitale con certificato oppure solo un’immagine.
2. Verificare se il documento è stato modificato dopo la firma (ad esempio, un avviso in DeepValidator o nel lettore PDF come “il documento è stato modificato dopo la firma”).
3. Consultare i dettagli del certificato (periodo di validità, stato di revoca, emittente).