Come apporre una marca temporale a un documento: guida pratica e comparazione
Quando un documento contabile o un contratto perde data certa, il rischio non è tecnico: è processuale. Senza una marca temporale opponibile, una scadenza fiscale, una notifica o un termine di decadenza diventa contestabile, e l'onere di dimostrare il momento esatto della formazione del documento ricade interamente sul produttore. La regola ce la ricorda l'art. 41 del Codice dell'Amministrazione Digitale (CAD): senza riferimento temporale opponibile, l'efficacia probatoria del documento informatico si indebolisce.
Apporre una marca temporale a un PDF richiede oggi una scelta tecnica precisa: servizi gratuiti di un QTSP qualificato, plugin integrati in Adobe Acrobat, oppure piattaforme che applicano la marca direttamente al momento dell'acquisizione del dato. La differenza non è solo di costo, ma di valore probatorio e di catena di custodia. La guida completa sulla marca temporale e il suo valore legale spiega quando il riferimento temporale opponibile è obbligatorio. In questo approfondimento ci concentriamo sulla parte operativa: come apporre la marca, in quali casi serve quella qualificata, e dove il PDF gratuito non basta.
Questo approfondimento fa parte della guida: Marca temporale: cos'è, come funziona e quando è obbligatoria per il valore legale
I tre metodi per apporre una marca temporale a un documento
I metodi disponibili oggi si riducono a tre famiglie, distinte per livello di automazione, costo e robustezza forense. La scelta dipende dal tipo di documento, dalla frequenza dell'operazione e dal contesto giuridico in cui il documento dovrà essere prodotto.
Metodo 1: Time Stamping Authority (TSA) di un QTSP qualificato
È il metodo standard quando serve una marca temporale qualificata ai sensi dell'art. 42 del Regolamento eIDAS (Regolamento UE 910/2014). I QTSP italiani accreditati AgID, come InfoCert, Aruba, Namirial e Poste Italiane, espongono un endpoint conforme al protocollo RFC 3161. L'utente invia l'hash SHA-256 del file e riceve un token TSR firmato digitalmente con la chiave privata della TSA.
I passaggi tipici sono:
- Calcolare l'hash SHA-256 del documento da marcare (operazione locale, il file non lascia il computer)
- Inviare l'hash al servizio TSA tramite client dedicato o software del QTSP (es. Aruba Sign, InfoCert GoSign, Dike)
- Ricevere il token TSR (formato .tsr o .p7m) e archiviarlo insieme al documento
- Per i PDF, embeddare la marca direttamente nel file generando un PDF firmato in formato PAdES con marca temporale incorporata
I costi tipici si articolano per pacchetti di marche, con scadenza tipica di 36 mesi. Esistono offerte gratuite limitate (singole marche di prova o lotti minimi inclusi nei kit di firma digitale), ma per uso professionale continuativo serve un contratto QTSP. La marca temporale qualificata così ottenuta gode dell'effetto giuridico previsto dall'art. 41 del Regolamento eIDAS: presunzione di accuratezza della data e dell'ora indicate, e di integrità dei dati a cui sono associati.
Metodo 2: Adobe Acrobat con server di marca temporale di un QTSP
Adobe Acrobat Pro permette di configurare un server di marca temporale conforme RFC 3161 nelle preferenze (Modifica > Preferenze > Firme > Marca temporale documento). Una volta configurato l'URL del servizio TSA del QTSP scelto, ogni firma digitale apposta al PDF può includere automaticamente la marca temporale.
La procedura è utile per chi già usa Acrobat per la firma di contratti, perizie o documenti contrattuali, perché integra la marca nel flusso esistente senza software aggiuntivi. Tuttavia, due limiti meritano attenzione: la marca si applica solo al PDF firmato (non a immagini, video, file ZIP o screenshot), e l'integrità del documento dipende dal momento in cui viene aperto Acrobat, non da quando il documento è stato originariamente prodotto. Se una bozza viene salvata oggi e marcata fra una settimana, la marca attesta solo lo stato del file al momento dell'apposizione, non la sua creazione iniziale.
Metodo 3: piattaforme integrate di certificazione alla fonte
Per attività che richiedono marca temporale immediata e legata al momento della produzione del dato, come acquisizioni web, screenshot, registrazioni video, fotografie di sopralluogo o evidenze digitali in genere, si usano piattaforme che integrano la marca temporale nel processo di acquisizione. TrueScreen è la Data Authenticity Platform che applica metodologia forense nel momento esatto della cattura del dato: l'hash del contenuto, il sigillo elettronico qualificato e la marca temporale qualificata, erogati da QTSP integrato via API, vengono apposti contestualmente alla creazione, senza finestra temporale di manipolazione possibile tra produzione e certificazione.
La differenza pratica rispetto ai metodi precedenti è la catena di custodia: con TSA o Adobe, la marca attesta lo stato del file al momento dell'apposizione, non garantisce nulla su cosa sia successo prima. Con la certificazione alla fonte tipica della Provenienza digitale, la marca è parte di un processo che documenta anche il momento e le condizioni di acquisizione del dato.
Quando bastano i servizi gratuiti e quando serve la marca qualificata
Non tutti i documenti richiedono una marca temporale qualificata. Capire la differenza evita di pagare costi inutili e, soprattutto, di scoprire in fase contenziosa che la marca scelta non è opponibile a terzi.
Marca semplice (libera): valore organizzativo, non probatorio
Le marche temporali libere sono offerte da numerosi servizi online (alcuni gratuiti, altri freemium come FreeTSA o servizi blockchain-based). Non sono erogate da un QTSP accreditato e non godono della presunzione legale dell'art. 41 eIDAS.
Sono adeguate per:
- Versionamento interno di documenti tecnici o di lavoro
- Marcatura di backup interni o log applicativi senza fini probatori
- Datazione di bozze in flussi creativi o R&D
- Note interne, memo organizzativi, materiali formativi
Non sono adeguate quando il documento può diventare oggetto di contestazione: contratti, scritture private, comunicazioni con la PA, scadenze fiscali, registri contabili obbligatori.
Marca qualificata (QTSP): obbligatoria per il valore legale
La marca temporale qualificata è richiesta espressamente in numerosi contesti normativi italiani ed europei:
- Conservazione digitale a norma: i pacchetti di archiviazione conformi alle Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici devono essere chiusi con marca temporale qualificata
- Atti pubblici, scritture private e procure speciali: l'art. 25 del CAD richiede marca temporale per dare data certa opponibile a terzi
- Comunicazioni con la PA (gare pubbliche, deposito di atti telematici, fatturazione elettronica B2G)
- Trasmissione di flussi finanziari MiFID II, registri MAR, segnalazioni antiriciclaggio
- Atti soggetti a conservazione decennale: bilanci, libri sociali obbligatori, scritture contabili rilevanti ai fini fiscali
Il discrimine non è il formato del file, ma la funzione probatoria. Una mail PEC non sostituisce la marca temporale: la PEC certifica l'invio e la ricezione, non la formazione del documento allegato. Allo stesso modo, un metadato EXIF di una fotografia non è opponibile, perché modificabile localmente.
| Caso d'uso | Marca consigliata | Costo indicativo | Valore probatorio |
|---|---|---|---|
| Versionamento interno bozze | Marca semplice (TSA libera) | Gratuito o freemium | Organizzativo |
| Contratti, scritture private | Marca qualificata QTSP | Pacchetto a consumo | Pieno (art. 41 eIDAS) |
| Conservazione a norma | Marca qualificata QTSP | Inclusa nel servizio | Pieno (Linee Guida AgID) |
| Acquisizioni web, foto, video | Piattaforma con marca alla fonte | A consumo | Pieno + catena di custodia |
| PDF già firmato digitalmente | Marca qualificata via Adobe + QTSP | Pacchetto a consumo | Pieno per il PDF, non per l'origine |
Apporre la marca al PDF: tre limiti che il flusso di lavoro standard non risolve
Il pattern più diffuso nelle PMI e negli studi professionali è il PDF firmato e marcato via Adobe Acrobat o software del QTSP. Funziona bene per documenti che nascono già come PDF: contratti, perizie, relazioni. Ma quando il dato originale è una pagina web, una chat, una fotografia o un video, il flusso PDF rivela tre limiti.
Primo, la finestra temporale: tra la generazione del dato e la sua marcatura passa del tempo, e quel tempo è contestabile. Una pagina web salvata oggi e marcata domani non garantisce che il contenuto fosse identico ieri.
Secondo, il contesto tecnico: la marca attesta l'esistenza di un file con un certo hash a un certo momento, ma non documenta come quel file è stato prodotto, da quale dispositivo, con quali metadati di acquisizione. In contenzioso, l'avvocato della controparte può contestare la genuinità della cattura.
Terzo, l'integrità del flusso: i metadati EXIF, GPS, header HTTP, contenuto del DOM al momento della cattura non rientrano nel PDF stampato, e si perdono. La marca temporale conserva solo il PDF, non il dato originale completo.
La piattaforma TrueScreen risolve questi tre limiti applicando metodologia forense (acquisizione + sigillo elettronico qualificato + marca temporale qualificata via QTSP integrato) nello stesso atomo temporale, e producendo un report completo che documenta la catena di custodia. Per documenti che non saranno mai contestati, il flusso PDF tradizionale è sufficiente. Per evidenze digitali destinate a procedimenti legali, ispezioni regolatorie o controversie con la PA, vale la pena valutare se il punto debole non sia proprio la finestra temporale tra creazione e marcatura.
I costi della marca qualificata, per altro, sono molto più contenuti di quanto si pensi quando rapportati al volume di documenti aziendali tipici. Con la consulenza commerciale di TrueScreen è possibile dimensionare il piano in base ai volumi reali e ai casi d'uso prioritari, evitando di sovradimensionare o di scoprire in corsa che il piano scelto non copre i contenuti dinamici.
