Firma digitale · PAdES · Formweb
Firma digitale PAT Formweb: PAdES, token e problemi di validazione
Firma digitale PAT Formweb PAdES significa distinguere il problema del token dal problema della validazione, del formato di firma e della rete. L’obiettivo non è “forzare” Acrobat, ma arrivare a un deposito verificabile e difendibile.
Premessa sui fornitori. In Italia sono diffusi dispositivi e servizi Aruba, InfoCamere/Bit4id, Namirial, Poste Italiane e altri prestatori qualificati. Il marchio del certificato, però, non identifica da solo il componente tecnico usato per firmare: token, lettore, middleware, libreria PKCS#11, versione del software e sistema operativo possono cambiare anche dentro lo stesso ecosistema.
Per questo una guida affidabile non deve promettere un unico file DLL, un unico indirizzo IP o una modifica di registro valida per tutti. Deve invece spiegare il flusso: documento, riepilogo Formweb, firma PAdES, certificato, revoca, marca temporale eventuale, controllo del portale e conservazione della prova del deposito.
1. PAT e Formweb: cosa cambia davvero
Nel Processo Amministrativo Telematico il deposito non va più letto come una semplice operazione di “allego un PDF e lo firmo”. Con Formweb la pratica viene guidata dal portale: l’avvocato compila i dati, carica gli allegati, genera il riepilogo, sottoscrive quando richiesto e conserva le ricevute.
La firma PAdES apposta al riepilogo del deposito ha una funzione diversa dalla firma del singolo atto difensivo. Se un atto deve essere autonomamente firmato, la firma del riepilogo non lo sostituisce. Il punto pratico è separare tre piani: atto, riepilogo del deposito, allegati individuati dal sistema.
La firma PAdES del riepilogo non deve essere confusa con la sottoscrizione autonoma dell’atto processuale quando questa è richiesta dalle regole tecniche o dalle istruzioni del portale. Prima del deposito va verificato il campo concreto in cui il file viene caricato e il formato accettato dal sistema.
2. PAdES, CAdES e valore della firma
La firma digitale qualificata si colloca nel quadro del Codice dell’amministrazione digitale e del regolamento eIDAS. L’art. 25 del regolamento (UE) n. 910/2014 attribuisce alla firma elettronica qualificata un effetto equivalente alla firma autografa, ferma la disciplina nazionale applicabile alla forma dell’atto.
PAdES incorpora la firma nel PDF e conserva la leggibilità ordinaria del documento. CAdES produce invece un contenitore, normalmente con estensione .p7m. Entrambi possono avere piena validità, ma non sono intercambiabili in ogni deposito: il formato corretto dipende dal tipo di atto, dal campo del portale e dalle specifiche applicabili.
Nel Processo Civile Telematico il problema si presenta con una logica parzialmente diversa. Il deposito passa di regola attraverso un redattore atti, che prepara la cosiddetta busta telematica: atto principale, dati strutturati del deposito, procura, allegati e ricevute vengono organizzati secondo le specifiche tecniche del sistema civile. In questo contesto la firma digitale non è soltanto un gesto finale sul singolo PDF, ma un passaggio coordinato con la costruzione della busta e con i controlli del redattore. Perciò una scelta corretta nel PAT o in Formweb non può essere trasferita automaticamente al PCT: nel civile occorre verificare formato dell’atto, eventuale firma .p7m, firma della busta, controlli del redattore e ricevute generate dal deposito telematico.
| Formato | Risultato pratico | Uso tipico | Errore da evitare |
|---|---|---|---|
| PAdES | Il file resta un PDF firmato e leggibile. | Depositi in cui il portale richiede o accetta firma PDF. | Credere che ogni PDF “visivamente firmato” sia automaticamente conforme al campo di deposito. |
| CAdES | Il file viene racchiuso in un contenitore .p7m. | Depositi o allegati per cui il sistema accetta espressamente contenitori firmati. | Usare .p7m dove il modulo o le istruzioni chiedono un PDF firmato. |
3. Come Acrobat dialoga con token e smart card
Il dispositivo di firma custodisce la chiave privata. Acrobat, o altro software di firma, non dovrebbe estrarre quella chiave: deve chiedere al dispositivo di eseguire l’operazione crittografica. Il collegamento fra applicazione e dispositivo passa attraverso il middleware del fornitore, spesso tramite interfaccia PKCS#11.
Il nome e il percorso della libreria PKCS#11 non sono universali. Cambiano in base a produttore, installazione, architettura a 32/64 bit e sistema operativo. Pubblicare un percorso fisso come regola generale è quindi fuorviante. Il percorso corretto va ricavato dal software ufficiale del gestore del dispositivo o dalla documentazione del fornitore.
Certificato di firma e certificato di autenticazione
Molti dispositivi contengono più certificati. Uno può servire all’autenticazione, un altro alla sottoscrizione. Se il software propone il certificato sbagliato, il processo può bloccarsi o produrre un esito non utilizzabile. Prima di cercare problemi nel firewall conviene controllare che il certificato selezionato sia effettivamente quello di firma qualificata.
4. Quando serve la rete
La firma crittografica avviene nel dispositivo. La rete, però, può diventare necessaria per verificare la catena dei certificati, lo stato di revoca, l’eventuale marca temporale o l’inserimento di informazioni utili alla validazione a lungo termine.
Questo spiega un caso frequente: il token funziona, il PIN è corretto, il certificato viene letto, ma il PDF non viene completato o la firma risulta “non verificata”. Il problema non è necessariamente nella firma; può essere nella validazione.
| Servizio | A cosa serve | Quando può creare problemi | Approccio corretto |
|---|---|---|---|
| OCSP / CRL | Controllo dello stato di revoca del certificato. | Firewall, proxy o rete chiusa impediscono il contatto con gli endpoint indicati nel certificato. | Verificare gli URL effettivi richiesti dal certificato e dal fornitore; evitare whitelist basate su IP copiati da vecchie configurazioni. |
| AIA / catena | Recupero certificati intermedi e catena di fiducia. | La firma è integra, ma il software non riesce a costruire la catena attendibile. | Aggiornare software e trust store; usare fonti ufficiali della CA. |
| TSA | Marca temporale, se configurata o richiesta dal flusso. | Il server di marca temporale non risponde o non è configurato correttamente. | Non presumere che sia sempre obbligatoria; verificare il requisito concreto e il profilo di firma richiesto. |
| LTV | Informazioni utili alla validazione nel tempo. | Non tutti i dati di revoca o catena sono disponibili durante la firma. | Validare il PDF dopo la firma e, se necessario, aggiungere le informazioni disponibili secondo le funzioni del software. |
Non disabilitare in modo indiscriminato i controlli di revoca, la catena dei certificati o la verifica della firma per “far passare” un deposito. La soluzione corretta è individuare quale controllo fallisce e aprire solo ciò che serve.
5. Configurare Acrobat senza trasformarlo in un problema
Le voci di menu di Acrobat cambiano in base a versione, lingua e installazione. In generale, il controllo passa da Preferenze → Firme, con attenzione a identità digitali, certificati attendibili, verifica all’apertura del documento e moduli/token PKCS#11.
È possibile che in rete circolino procedure basate su chiavi di registro, comandi PowerShell o valori numerici interni. Queste soluzioni possono essere utili in ambienti amministrati e documentati, ma non sono una ricetta pubblicabile come valida per tutti. Una modifica sbagliata può compromettere la validazione o creare un falso senso di sicurezza.
Prima si prova il dispositivo con il software ufficiale del fornitore. Poi si configura Acrobat. Infine si firma un PDF di test e si controllano integrità, identità del firmatario, catena, revoca e compatibilità con il portale di deposito.
6. Diagnosi dei problemi più comuni
Acrobat non mostra certificati disponibili
Probabile area: token, lettore, middleware o modulo PKCS#11.
Controllo: verificare che il dispositivo sia visto dal software ufficiale e che Acrobat abbia accesso al modulo corretto.
Il certificato compare ma la firma non termina
Probabile area: PIN, certificato sbagliato, salvataggio del PDF o verifica di rete.
Controllo: usare un PDF di test, chiudere sessioni remote complesse, osservare eventuali finestre PIN o dialoghi nascosti.
PDF firmato ma firma non verificata
Probabile area: catena, stato di revoca, trust store o orario del sistema.
Controllo: distinguere integrità crittografica del documento e fiducia nella catena del certificato.
Il problema appare solo con firewall o VPN
Probabile area: OCSP, CRL, AIA, TSA o licenza del software.
Controllo: leggere i log e identificare host/URL richiesti nel caso concreto. Evitare whitelist statiche non verificate.
7. Procedura finale prima del deposito
- Conservare una copia del PDF non firmato.
- Verificare se il singolo atto deve essere firmato autonomamente prima del caricamento.
- Usare il formato richiesto dal portale o dalle istruzioni del deposito concreto.
- Selezionare il certificato di firma, non quello di sola autenticazione.
- Firmare e salvare il file con un nome nuovo, senza alterarlo dopo la firma.
- Aprire il pannello firme e convalidare integrità, identità, catena e revoca.
- Controllare il riepilogo Formweb, gli allegati e le ricevute generate dal sistema.
- Archiviare PDF firmato, ricevute e schermate/log rilevanti se il deposito è critico.
8. Sintesi operativa
La firma digitale nel PAT non va trattata come un gesto meccanico. È una sequenza: dispositivo, middleware, certificato, formato di firma, validazione, portale e prova del deposito. Un errore in uno di questi passaggi può apparire come un problema generico di Acrobat, ma richiede una diagnosi specifica.
La regola professionale è semplice: non cercare scorciatoie sulla sicurezza della firma. Occorre capire quale controllo fallisce, documentarlo e correggere la configurazione minima necessaria. Nel processo telematico, il file firmato non deve soltanto “aprirsi”: deve essere coerente con il deposito, verificabile e difendibile.
Fonti e riferimenti utili
- Giustizia Amministrativa, FAQ ufficiali del nuovo Portale dell’Avvocato e Formweb.
- Giustizia Amministrativa, istruzioni per la compilazione dei moduli di deposito PAT.
- Ministero della Giustizia, specifiche tecniche coordinate del processo telematico.
- Regolamento (UE) n. 910/2014 eIDAS, art. 25, sugli effetti della firma elettronica qualificata.
- Adobe Acrobat, aggiungere firme digitali; preferenze di validazione delle firme; informazioni di verifica.
- ETSI EN 319 142, profili PAdES per firme digitali PDF.
Questo contenuto ha finalità informativa e tecnico-operativa. Versioni del portale, specifiche PAT/PCT, middleware, Acrobat e servizi fiduciari possono cambiare. Prima di un deposito rilevante va sempre verificata la disciplina applicabile al caso concreto.
E’ iscritto all’Ordine degli Avvocati di Palermo dal 2010, European Diploma Supplement for Legal Profession, Robert Schuman 2011 Strasbourg Alumni
Avv. Alessandro Savoca — Avvocato cassazionista, iscritto all’Ordine degli Avvocati di Palermo dal 2010 e all’Albo speciale per il patrocinio davanti alle giurisdizioni superiori dal 2021. Si occupa di diritto europeo, CEDU e contenzioso nazionale. Le Sue aree di competenza sono il Diritto Internazionale Eurounitario, le Fonti dell’Unione Europea, La Convenzione Europea Dei Diritti Dell’Uomo (CEDU) nel Diritto Civile dei Contratti, Tutela della Proprietà, Diritto D’Autore, Diritto alla Riservatezza ed all’Oblio, Mediazione ed Arbitrato, Accesso alle Corti Europee, Diritto dei Media e dell’Informazione, Diritto ad un Equo Processo in un termine ragionevole, Case Law della Unione Europea. Conciliatore Societario, Mediatore Civile e Commerciale dal 2010, Formatore in materia Internazionale presso il Ministero della Giustizia; Già Delegato Regionale del Tribunale Arbitrale Giudiziario Europeo.