Firma digitale: esempio pratico, come funziona e come verificarla

Aggiornato il 14 ottobre 2026

Un esempio concreto di firma digitale è un contratto in PDF firmato in formato PAdES: il file mantiene l'estensione .pdf, si apre con qualsiasi lettore e mostra un pannello firme con il nome del firmatario, l'ente certificatore che ha rilasciato il certificato, la data e l'ora esatte della firma e l'esito della verifica ("Firmato e tutte le firme sono valide"). La firma non è un'immagine. È un valore crittografico calcolato dall'impronta (hash) del documento con la chiave privata del firmatario e salvato nei metadati del file, per cui qualsiasi modifica successiva al documento la invalida.

La firma digitale è un meccanismo crittografico basato su una coppia di chiavi asimmetriche. Garantisce autenticità (certezza sull'identità del firmatario), integrità (il documento non è stato alterato dopo la firma) e non ripudio (il firmatario non può negare di aver firmato). In questa guida vediamo come funziona il processo nella pratica, come appare un documento firmato e come verificarne la validità con gli strumenti ufficiali.

Se il documento firmato deve servire come prova, c'è un passaggio in più da considerare. La firma attesta chi ha sottoscritto e che il contenuto non è cambiato dopo la firma, ma senza una marca temporale non dimostra in quale data il file esisteva in quella forma. Per questo, quando il PDF può finire in una contestazione, conviene certificare il file con sigillo digitale e marca temporale, come spiegato nell'ultima parte di questa guida.

Ecco che cosa mostra, campo per campo, il pannello di verifica di un PDF firmato correttamente:

Ogni giorno milioni di professionisti italiani firmano contratti, bilanci e atti ufficiali con un clic. Solo nel primo semestre 2025, in Italia sono state apposte 3,4 miliardi di firme digitali remote: un volume che dice molto su quanto questo strumento sia ormai parte del lavoro quotidiano di avvocati, commercialisti e imprese. Eppure, chi cerca un firma digitale esempio concreto si scontra spesso con spiegazioni astratte, screenshot mai mostrati e confusione tra concetti diversi.

Il problema sta nella distanza tra uso quotidiano e comprensione reale. Molti confondono ancora la firma digitale con l'immagine scannerizzata di una firma autografa incollata su un PDF. Altri non distinguono tra una firma elettronica semplice e una firma digitale con pieno valore legale. La conseguenza: documenti firmati in modo scorretto, contestazioni in tribunale, rischi di invalidità.

Che cos'è la firma digitale?

La firma digitale è un tipo specifico di firma elettronica che utilizza un certificato digitale rilasciato da un ente accreditato e un sistema di crittografia a chiave pubblica per garantire valore legale equivalente alla firma autografa. Non ha nulla a che fare con l'immagine di una firma incollata su un documento.

Il Codice dell'Amministrazione Digitale (D.Lgs. 82/2005, Art. 1, lettera s) la descrive come "un particolare tipo di firma elettronica avanzata basata su un certificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro". Una definizione che separa nettamente la firma digitale da qualsiasi forma di riproduzione grafica. Un'immagine scannerizzata non contiene informazione crittografica, non lega il firmatario al documento in modo univoco e non garantisce che il contenuto sia rimasto invariato dopo l'apposizione. In tribunale, un documento con una firma scannerizzata ha la stessa forza probatoria di una fotocopia: praticamente nulla in caso di contestazione (AgID, dati I semestre 2025).

Che differenza c'è tra firma semplice, avanzata e digitale?

Il regolamento europeo eIDAS (UE 910/2014) definisce tre livelli di firma elettronica, ciascuno con requisiti tecnici e valore giuridico crescenti.

La firma elettronica semplice comprende qualsiasi dato in forma elettronica associato ad altri dati per l'autenticazione: un PIN, una spunta su un form online, persino un indirizzo email. Ha valore probatorio limitato e la sua efficacia dipende dalla valutazione del giudice caso per caso.

La firma elettronica avanzata (Art. 26 eIDAS) deve soddisfare requisiti più stringenti: connessione univoca al firmatario, possibilità di identificarlo, creazione con dati sotto il suo esclusivo controllo e capacità di rilevare qualsiasi modifica successiva al documento. La firma indica chi ha firmato; TrueScreen offre firme elettroniche avanzate e, come passaggio distinto, certifica i file con un sigillo digitale ufficiale e una marca temporale qualificata, che ne fissa la data.

La firma digitale è il livello più alto previsto dall'ordinamento italiano. Si basa su un certificato digitale rilasciato da un prestatore di servizi fiduciari accreditato AgID e su un sistema di crittografia asimmetrica. Ai sensi degli Art. 20 e 21 del CAD, un documento informatico sottoscritto con firma digitale ha l'efficacia prevista dall'articolo 2702 del Codice Civile: fa piena prova fino a querela di falso.

Il quadro normativo: eIDAS e Codice dell'Amministrazione Digitale

Due pilastri normativi regolano la firma digitale in Italia. Il regolamento eIDAS (Art. 25) stabilisce che una firma elettronica avanzata basata su un certificato ha effetti giuridici equivalenti alla firma autografa in tutti gli Stati membri dell'Unione Europea. Il CAD (D.Lgs. 82/2005) recepisce e integra questo quadro nell'ordinamento italiano, definendo i requisiti tecnici, il ruolo di AgID come autorità di vigilanza e le regole per i prestatori di servizi fiduciari.

Dal marzo 2025 l'obbligo si è esteso ulteriormente: non è più possibile delegare a terzi la firma per il deposito dei bilanci aziendali, il che rende la firma digitale personale indispensabile per amministratori e professionisti coinvolti (Aruba Magazine).

Le categorie professionali con obbligo di firma digitale sono ormai numerose: avvocati (per il Processo Civile Telematico), commercialisti (bilanci e comunicazioni con Agenzia delle Entrate), consulenti del lavoro (pratiche INPS e INAIL), architetti e ingegneri (pratiche edilizie), medici e funzionari della Pubblica Amministrazione.

Caso d'uso

Firma digitale di documenti e contratti: sottoscrizione con valore legale

Scopri come TrueScreen collega la firma elettronica avanzata alla certificazione documentale per contratti e atti con valore probatorio.

Leggi il caso d'uso →

Come funziona la firma digitale?

La firma digitale poggia su tre elementi tecnici che lavorano insieme: la crittografia asimmetrica genera la firma, il certificato digitale la lega all'identità del firmatario, l'hash garantisce che il documento non venga alterato dopo la sottoscrizione.

Alla base c'è un principio matematico chiamato crittografia asimmetrica, sviluppato negli anni '70. Il concetto: esistono due chiavi crittografiche, matematicamente correlate ma non derivabili l'una dall'altra. Il firmatario possiede una chiave privata, custodita in un dispositivo sicuro (smart card, token USB o server remoto HSM). La chiave pubblica è contenuta nel certificato digitale e accessibile a chiunque debba verificare la firma. Secondo i dati AgID, circa l'80% delle firme digitali in Italia avviene in modalità remota, con la chiave privata custodita su server HSM e l'autenticazione dell'utente via OTP o app (AgID, dati I semestre 2025).

Crittografia asimmetrica: chiave pubblica e chiave privata

Quando un professionista firma un documento, il software calcola prima un'impronta digitale univoca del file (il cosiddetto hash: una stringa alfanumerica di lunghezza fissa). Poi cifra questo hash con la chiave privata del firmatario. Il risultato è la firma digitale vera e propria, un blocco di dati che viene allegato al documento o incorporato al suo interno.

Chi riceve il documento può verificare la firma usando la chiave pubblica del firmatario. Se la decifratura produce lo stesso hash del documento ricevuto, la verifica conferma due cose: il documento non è stato modificato e la firma appartiene alla persona che possiede la chiave privata corrispondente.

Il ruolo del certificato digitale e dell'autorità di certificazione

Il certificato digitale è il documento elettronico che lega la chiave pubblica all'identità del firmatario. Lo rilascia un prestatore di servizi fiduciari (Certification Authority) accreditato presso AgID, dopo un processo di identificazione del richiedente.

Al suo interno contiene: nome e cognome del titolare, codice fiscale, chiave pubblica, periodo di validità, nome dell'ente certificatore. In Italia sono attivi 32,7 milioni di certificati digitali secondo i dati AgID del primo semestre 2025, un numero che supera la metà della popolazione adulta del Paese.

Hash, sigillo temporale e integrità del documento

L'hash è la garanzia di integrità. Qualsiasi modifica al documento, anche un singolo carattere, produce un hash completamente diverso. Basta questo per rendere immediatamente rilevabile qualsiasi tentativo di alterazione post-firma.

La marca temporale aggiunge un altro livello di certezza: attesta il momento esatto in cui la firma è stata apposta, con valore legale opponibile a terzi. Nel primo semestre 2025, in Italia sono state emesse 2,5 miliardi di marche temporali. Firma digitale e marca temporale insieme creano un documento la cui integrità, paternità e collocazione nel tempo sono giuridicamente garantite.

Caso d'uso

Avvocati e studi legali: Certificati digitali e firma digitale

TrueScreen consente ad avvocati e studi legali di certificare prove digitali e firmare documenti con firma elettronica avanzata, con valore probatorio.

Leggi il caso d'uso →

Come appare un PDF firmato digitalmente?

Un documento PDF firmato digitalmente si presenta in modo diverso a seconda del formato di firma scelto. Nel caso più comune (formato PAdES), il PDF mantiene la sua estensione .pdf e si apre con qualsiasi lettore. La differenza visibile sta in un pannello laterale o in una barra superiore che segnala la presenza di una o più firme digitali.

Adobe Acrobat Reader, per fare un esempio pratico, mostra una barra blu o verde nella parte alta del documento con la dicitura "Firmato e tutte le firme sono valide", oppure un avviso se la firma presenta problemi. Cliccando sul pannello delle firme si accede ai dettagli: nome del firmatario, data e ora, autorità di certificazione, stato di validità del certificato. Questo aspetto distingue nettamente la firma digitale dal sigillo elettronico: la firma identifica una persona fisica, il sigillo identifica un'organizzazione (AgID, software di verifica).

Come si presenta un documento PDF firmato digitalmente

Nel formato PAdES il firmatario può scegliere di inserire anche un campo firma visibile nel corpo del documento: un riquadro che mostra nome, data e un'indicazione grafica. Questo campo visibile è opzionale e non ha valore legale aggiuntivo rispetto alla firma crittografica sottostante. La firma vera risiede nei metadati del PDF, non nell'immagine.

Nel formato CAdES il risultato è diverso. Il documento originale viene inserito in una "busta crittografica" e il file risultante ha estensione .p7m. Per aprirlo serve un software specifico (Dike, ArubaSign o il verificatore AgID). Il file .p7m contiene sia il documento originale sia la firma, ma non è leggibile con un normale lettore PDF.

Quali sono i formati della firma digitale: CAdES, PAdES e XAdES?

In Europa la firma digitale si articola in tre formati standard. La scelta del formato dipende dal contesto d'uso, ma tutti hanno pieno valore legale. La Corte di Cassazione ha confermato nel 2018 che CAdES e PAdES sono giuridicamente equivalenti.

CAdES (CMS Advanced Electronic Signatures) racchiude il documento in una busta crittografica con estensione .p7m. Funziona con qualsiasi tipo di file, non solo PDF, ed è il formato tradizionalmente richiesto dalla Pubblica Amministrazione e per gli atti giudiziari nel Processo Civile Telematico.

PAdES (PDF Advanced Electronic Signatures) è il formato che la maggior parte dei professionisti usa ogni giorno. La firma viene integrata direttamente nel file PDF, che resta apribile con qualsiasi lettore senza software aggiuntivi. Contratti, preventivi, documenti commerciali: PAdES gestisce tutto, e consente anche firme multiple sullo stesso documento senza generare file separati.

XAdES (XML Advanced Electronic Signatures) ha un ambito più circoscritto: documenti XML, in pratica fatturazione elettronica e scambio di dati strutturati con la Pubblica Amministrazione.

Che cosa significa la dicitura "firmato digitalmente ai sensi del D.Lgs. 82/2005"

La dicitura "Documento firmato digitalmente ai sensi del D.Lgs. 82/2005 e norme collegate" è una nota testuale che compare in calce a molte lettere, determine, certificati e contratti. Segnala che l'originale è un documento informatico sottoscritto con firma digitale, il tipo di firma disciplinato dall'art. 24 del Codice dell'Amministrazione Digitale (D.Lgs. 82/2005), e che quella firma sostituisce la firma autografa. La dicitura in sé non prova nulla: è un'indicazione per chi legge. La prova sta nella firma crittografica contenuta nel file originale, che si controlla con un verificatore.

Una formula molto diffusa è questa:

Documento informatico firmato digitalmente ai sensi del D.Lgs. 82/2005 e norme collegate, il quale sostituisce il documento cartaceo e la firma autografa.

Va distinta da un'altra dicitura frequente negli atti della Pubblica Amministrazione: "Firma autografa sostituita a mezzo stampa ai sensi dell'art. 3, comma 2, del D.Lgs. 39/1993". In questo caso non c'è alcuna firma digitale. Il documento è prodotto da un sistema informatico e il nome del responsabile è soltanto stampato.

Che valore ha la stampa di un documento firmato digitalmente?

Quando un PDF firmato viene stampato, il foglio che ne risulta è una copia analogica di un documento informatico e non contiene più la firma, che esiste solo nel file. Secondo l'art. 23 del CAD, la copia su carta ha la stessa efficacia probatoria dell'originale se la conformità è attestata da un pubblico ufficiale autorizzato, oppure se, essendo conforme alle regole tecniche, la conformità non viene espressamente disconosciuta. Se la controparte contesta la stampa, quindi, bisogna tornare al file originale e verificarne la firma.

Come controllare un documento che riporta questa dicitura

• Recuperare il file originale (il .pdf firmato in PAdES o il .p7m in CAdES), non la scansione né la stampa.
• Aprirlo con un verificatore, ad esempio uno di quelli indicati da AgID, e controllare firmatario, ente certificatore, validità del certificato alla data della firma e integrità del contenuto.
• Se il file dovrà essere prodotto in giudizio, conservarlo integro e documentarne la data: senza una marca temporale la firma non dimostra da sola quando il documento esisteva in quella forma.

Come si verifica la validità di una firma digitale?

Verificare una firma digitale significa controllare che il certificato del firmatario sia valido (non scaduto e non revocato), che sia stato rilasciato da un ente accreditato AgID e che il documento non sia stato modificato dopo la firma. Con gli strumenti giusti, bastano pochi secondi.

La verifica non è un passaggio facoltativo. In contesti professionali e legali, un documento firmato digitalmente ha valore solo se la firma risulta valida al momento in cui viene verificata. Certificato scaduto o revocato, documento alterato dopo la firma, certificato rilasciato da un ente non accreditato: ognuna di queste condizioni può invalidare l'intero documento. Saper verificare una firma digitale è altrettanto necessario quanto saperla apporre. E con un mercato europeo che secondo Fortune Business Insights passerà da 1,97 miliardi di dollari nel 2024 a 26,80 miliardi entro il 2032 (CAGR del 38,8%), i volumi da gestire sono destinati a crescere parecchio.

I validatori ufficiali: AgID, strumenti eIDAS e software dedicati

AgID mette a disposizione un elenco di software di verifica conformi alla normativa italiana. Tra i più utilizzati: Dike (InfoCert), ArubaSign e FirmaOK.

A livello europeo, la Commissione Europea ha sviluppato DSS (Digital Signature Service), un software open source che verifica firme digitali conformi a eIDAS in qualsiasi formato (CAdES, PAdES, XAdES). È lo strumento di riferimento per la verifica transfrontaliera tra Stati membri.

Per chi preferisce una soluzione online senza installare nulla, Verificafirma.it consente di caricare un file firmato e ottenere un report immediato.

Che cosa bisogna controllare in una firma digitale?

Una verifica completa copre più aspetti, e conviene conoscerli tutti.

Il certificato del firmatario deve risultare valido: non scaduto, non sospeso, non revocato. Il software di verifica controlla automaticamente le liste di revoca (CRL) o il protocollo OCSP dell'autorità di certificazione. Se il certificato è stato revocato anche solo un'ora prima della verifica, la firma non è più valida.

Poi c'è la marca temporale. Se presente, attesta il momento della firma con valore opponibile a terzi. Diventa particolarmente rilevante quando il certificato scade dopo la firma: se la marca temporale è stata apposta quando il certificato era ancora valido, il documento mantiene il suo valore legale anche a distanza di anni.

L'integrità, infine, si verifica ricalcolando l'hash del file e confrontandolo con quello contenuto nella firma. Hash identici: documento integro. Hash diversi, anche di un singolo bit: verifica fallita.

Come la certificazione documentale completa il processo di firma digitale

La certificazione è il passaggio che lega un documento firmato a una data certa e rende rilevabile ogni modifica successiva. Un PDF già firmato digitalmente si certifica come file con TrueScreen, dalla TrueScreen App sul telefono o dal Portal sul computer: la piattaforma ne calcola l'impronta (hash SHA-256) e applica un sigillo digitale ufficiale e una marca temporale qualificata, riconosciuti a livello internazionale. Da quel momento il file ha una data certa e qualsiasi alterazione diventa rilevabile. La certificazione non dimostra come o quando il documento è stato creato: fissa il file nella forma in cui esisteva al momento della certificazione. È il passaggio che serve a chi deve presentare in giudizio dimostrare il certificato digitale, non semplici documenti firmati.

Firma elettronica avanzata nel workflow di certificazione

Quando il documento deve ancora essere firmato, TrueScreen offre un servizio di firma con firma elettronica semplice e avanzata, da non confondere con la firma digitale descritta in questa guida. Il Portal prepara il documento e invia la richiesta di firma per email. Il firmatario si identifica con un codice monouso (OTP) oppure con una video firma, e firma nella TrueScreen App. Il report di certificazione riporta che il documento è stato firmato con firma elettronica avanzata.

Questa integrazione risolve un problema frequente nella gestione dei documenti firmati: la separazione tra l'atto di firma e la garanzia di integrità successiva. Un documento firmato digitalmente può essere copiato, spostato, rinominato senza che nessuno se ne accorga. La certificazione aggiunge il livello di prova che lega il documento a una data certa e rende rilevabile ogni modifica successiva.

Dalla firma alla prova con valore probatorio completo

La differenza tra un documento semplicemente firmato e un documento certificato sta nella profondità della garanzia. La firma digitale attesta chi ha firmato e che il contenuto non è cambiato. La certificazione aggiunge una data certa, opponibile a terzi, in cui il file esisteva esattamente in quella forma, e rende rilevabile ogni modifica successiva.

Per studi legali e professionisti che operano in contesti contenziosi, questa differenza pesa. Un contratto firmato digitalmente dimostra il consenso delle parti. Lo stesso contratto, firmato e poi certificato, dimostra anche che il documento esisteva in quella forma esatta alla data della certificazione: non può essere retrodatato e ogni alterazione successiva diventa rilevabile.

La verifica tecnica lascia però fuori una domanda: chi avesse materialmente in mano il dispositivo nel momento della firma. È il punto su cui si giocano le contestazioni, e lo approfondisce l'analisi sul disconoscimento della firma digitale e sull'onere della prova.

Lo stesso ragionamento vale per gli altri materiali che finiscono in una causa insieme ai contratti: una conversazione si mette al sicuro come spiegato nella guida su come certificare una chat WhatsApp, una pagina web con una copia forense del sito. Per un documento già firmato il punto di partenza è la TrueScreen App, oppure il Portale dal computer: si carica il file e si ottiene il report di certificazione con sigillo e marca temporale.