File .p7m e firme digitali: cosa sono, come funzionano e quando ha senso “rimuovere” la firma

Un file .p7m è una “busta crittografica” CAdES basata sullo standard CMS/PKCS#7: contiene il documento originale più i dati delle firme digitali (certificato, catena di certificazione, eventuali marcature temporali), in modo da garantirne autenticità e integrità. In Italia questa busta è molto diffusa, ad esempio per le fatture elettroniche XML e altri atti amministrativi; il contenuto si visualizza correttamente solo con software in grado di aprire/verificare CAdES.

Per comprendere il valore di un .p7m occorre richiamare il quadro giuridico: nell’Unione Europea il Regolamento eIDAS stabilisce che le firme elettroniche non possono essere respinte in giudizio solo perché elettroniche e che la firma elettronica qualificata (QES) ha lo stesso valore della firma autografa; in Italia, per prassi e terminologia firma digitale e firma elettronica qualificata coincidono.

Ne discendono due conseguenze:

• il contenuto del documento è garantito dall’integrità della busta firmata;

• la prova giuridica della sottoscrizione risiede nella busta firmata, non nel file “estratto”.

Dal punto di vista tecnico, la famiglia CAdES (ETSI TS 101 733) definisce profili di firma progressivamente più “robusti” (BES/EPES, con estensioni T, LT, LTA): si parte dalla firma con gli attributi minimi fino a includere marca temporale e dati di validazione a lungo termine (certificati e stato di revoca), così da mantenere la verificabilità dell’atto anche a distanza di anni. È questa stratificazione che rende i .p7m adatti alla conservazione probatoria nel tempo, purché la verifica sia effettuata con strumenti aggiornati.

Che cosa significa “rimuovere la firma” da un .p7m

Nel linguaggio comune si parla di rimozione della firma quando, da un .p7m, si estrae il documento originario (PDF, XML, DOCX, ecc.). Tecnicamente non si “cancella” una firma: si apre la busta CAdES e si copia il payload originale in un nuovo file privo dell’involucro crittografico. L’operazione è legittima e spesso utile per lavorare sul contenuto (leggere, condividere, caricare su sistemi che non accettano .p7m), ma è fondamentale ricordare che il file estratto non è firmato: perde i metadati di firma e, quindi, non conserva di per sé la stessa forza probatoria della busta .p7m. Per scopi legali e di audit bisogna conservare l’originale firmato ed esibirlo/validarlo quando richiesto.

Verifica e validazione delle firme digitali prima dell’estrazione

Buona prassi è verificare la firma prima dell’estrazione: controllo dell’integrità, validità del certificato del sottoscrittore, catena di fiducia verso una CA qualificata e (se presente) marca temporale; in contesti regolati conviene anche produrre un rapporto di verifica da archiviare insieme al .p7m. Queste verifiche sono coerenti con eIDAS e con le specifiche CAdES per la validazione a lungo termine.

Quando l’estrazione è utile (e quando no)

• Utile: per consultare rapidamente il contenuto, per caricare documenti su portali che non supportano .p7m, per inoltrare un PDF o un XML a sistemi gestionali o a processi di OCR/ETL.

• Da evitare: in ogni scenario dove occorre dimostrare la sottoscrizione o garantire l’immodificabilità; in questi casi si condivide il .p7m originale o si allega il report di verifica.

Aspetti operativi e sicurezza

Aprire un .p7m non implica di per sé decrittazione: di norma la busta CAdES contiene dati firmati, non cifrati (salvo casi particolari). Nell’estrazione non si altera il contenuto, ma lo si ri-materializza nel suo formato nativo; per i flussi massivi (es. fatture, atti, ecc...) è utile disporre di strumenti in grado di gestire lotti e cartelle, preservando nomi ed estensioni originali. In ogni caso l’archivio di riferimento resta il .p7m e non va eliminato.

---

Conclusioni

I file .p7m sono contenitori CAdES che coniugano standard crittografici maturi e con riconoscimento legale europeo; assicurano autenticità, integrità e, con i profili avanzati, verificabilità nel tempo. L’estrazione del contenuto è un’operazione pratica e frequente, ma non sostituisce il valore probatorio della busta firmata: per questo, nella gestione quotidiana dei documenti, la sequenza corretta è verificare, estrarre se serve, conservare l’originale.

Se ti serve un metodo veloce per convertire molti file .p7m prova il nostro servizio!

Lo trovi a questo link: https://www.bi-smart.it/servizi/rimuovi-firme

Contattaci per avere maggiori informazioni!