PDF/A + firma digitale (PAdES)

I tre formati di firma digitale italiana

• CAdES (.p7m) — il formato "busta" che incapsula il documento. Il file diventa nome.pdf.p7m. È diffuso nella PA ma è meno ergonomico (il PDF non è leggibile direttamente).
• PAdES (.pdf) — la firma viene incorporata dentro il PDF stesso. Il file resta un .pdf, apribile da qualsiasi visualizzatore (Acrobat, browser), e le firme sono visibili nel pannello dedicato. È il formato preferito per i PDF/A.
• XAdES — per file XML (es. fatture elettroniche). Non si applica direttamente al PDF.

Quale livello PDF/A scegliere prima di firmare

• PDF/A-2b — raccomandato per la maggior parte degli usi. Supporta firme PAdES senza problemi.
• PDF/A-1b — si può firmare in PAdES, ma è basato sul PDF 1.4: le Linee guida AgID (allegato 2, § 2.1, punto 7) gli preferiscono il PDF/A-2, basato sul PDF 1.7, anche perché questo permette di usare i campi modulo senza incidere sulla validità delle firme PAdES. Da usare solo se richiesto.
• PDF/A-3b — uguale al 2b lato firma, più la possibilità di allegare file (es. la stessa busta XML della fattura).

La LTV (Long-Term Validation) non è una caratteristica del PDF/A ma della firma. Il profilo PAdES-LTV (ETSI TS 102 778-4) aggiunge al PDF i dati che servono a verificarla (certificati, liste di revoca CRL, risposte OCSP) e una marca temporale sull'intero documento: così la firma resta verificabile anche dopo la scadenza del certificato del firmatario, e la protezione si prolunga aggiungendo nuove marche temporali. Nessuna regola di validazione PDF/A, nei tre livelli qui sopra, la vieta.

Eccezione importante: l'atto da depositare nel Processo Civile Telematico. Lì la struttura della firma è «PAdES-BES (o PAdES Part 3) o CAdES-BES» ed è vietato inserire nella busta crittografica le informazioni di revoca del certificato del firmatario (Provv. DGSIA 7 ago 2024, art. 15, comma 2): per l'atto, niente LTV.

Workflow consigliato (per studio legale o notaio)

1. Genera il PDF dal gestionale (Word/LibreOffice → Esporta PDF, oppure direttamente dal software): i passaggi lato Office sono in convertire Word in PDF/A.
2. Converti in PDF/A-2b con il nostro convertitore o equivalente. Verifica con il validatore.
3. Firma in PAdES con il tuo software di firma (per esempio Aruba Sign, GoSign di InfoCert, FirmaCerta di Namirial), poi ricarica il file firmato nel validatore: deve risultare ancora PDF/A.
4. Apponi una marca temporale (timestamp) se ti serve una data opponibile ai terzi o se il documento deve restare valido dopo la scadenza del certificato di firma (DPCM 22 febbraio 2013, artt. 41 e 62). Il caso notarile è trattato a parte in PDF/A per atti notarili.
5. Conserva il file firmato (.pdf, non .p7m) presso un conservatore per tutto il periodo di conservazione previsto per quel documento.

Errori comuni

• Firmare prima e convertire dopo — la conversione successiva invalida la firma. Sempre prima PDF/A, poi firma.
• Usare CAdES (.p7m) quando va bene PAdES — il .p7m non è leggibile direttamente, complica il workflow del cliente. Per i PDF/A preferisci PAdES.
• Lasciare la firma senza una data opponibile — il certificato di firma scade, e può essere revocato o sospeso. Una firma apposta prima resta valida se le è associabile un riferimento temporale opponibile ai terzi che la collochi prima della scadenza, della revoca o della sospensione (DPCM 22 febbraio 2013, art. 62): la marca temporale, ma anche, per esempio, la segnatura di protocollo o l'invio con PEC (art. 41). Una firma apposta con un certificato già scaduto, revocato o sospeso equivale invece a mancata sottoscrizione (CAD, art. 24, comma 4-bis).
• Firmare un PDF/A non veramente conforme — se il PDF di partenza non è davvero PDF/A (lo dice veraPDF), il file firmato erediterà gli errori. Valida sempre prima di firmare: come leggere il report veraPDF spiega come sciogliere gli errori più frequenti.