Incollare l'immagine della firma su un PDF: cosa vale davvero

È la scorciatoia più diffusa: hai un PNG della tua firma, magari ritagliato da una vecchia scansione, lo trascini sul PDF, salvi e invii. In trenta secondi il documento "è firmato". O almeno così sembra. E il problema sta proprio in quel "sembra".

È una firma elettronica? In senso lato, sì

Il regolamento eIDAS definisce la firma elettronica in modo molto ampio: dati in forma elettronica, collegati ad altri dati, usati dal firmatario per firmare. Un'immagine incollata con l'intenzione di sottoscrivere può rientrare in questa definizione, e l'art. 25 eIDAS vieta di negare effetti giuridici a una firma solo perché è elettronica.

Ma "non si può escludere" non vuol dire "vale molto". Per l'art. 20 comma 1-bis del CAD, con una firma elettronica semplice il giudice valuta liberamente il documento in base alle sue caratteristiche di sicurezza, integrità e immodificabilità. Ed è proprio su questi tre punti che un'immagine incollata ha poco da offrire.

Perché regge poco

• Non lega il segno alla persona. La tua firma in PNG è un file. Chiunque abbia ricevuto un tuo documento firmato, o un'email con la firma in calce, può ritagliarla e incollarla dove vuole. Il segno non dice chi l'ha messo.
• Il documento resta modificabile. Dopo l'immagine, il PDF si può ancora cambiare: un importo, una data, una clausola. Nel file nulla segnala che qualcosa è cambiato.
• Nessuna marca temporale. Non c'è modo di dimostrare quando l'immagine è stata apposta, né che il documento esisteva in quella forma in quel momento.
• Nessun registro. Nessuna traccia di chi ha aperto il file, da dove, con quale verifica di identità.

Se un giorno l'altra parte dicesse "quella firma non l'ho messa io", avresti in mano un disegno. E se l'immagine viene da una firma a penna scansionata, ai limiti dell'immagine si sommano quelli della copia, che trovi in quanto vale un PDF scansionato .

Il segno che vedi e la firma che conta

Il punto da fissare è questo: l'aspetto grafico di una firma e la firma sono due cose diverse. Il segno sulla pagina è ciò che vedi. La firma, in senso tecnico, è un insieme di evidenze che non vedi:

• l'impronta del documento (hash), che cambia se cambia anche un solo carattere;
• una firma o un sigillo crittografico che lega quell'impronta a un certificato e rende evidente ogni modifica successiva;
• una marca temporale che fissa il momento;
• un registro che racconta chi ha firmato e come è stato identificato.

L'idea matematica dietro è spiegata senza formule in crittografia a chiave pubblica . Un PDF può avere una firma vera e nessun segno visibile, oppure un segno visibile e nessuna firma vera: ne parliamo in firma visibile e invisibile .

Il test dei dieci secondi

Apri il PDF con un lettore come Acrobat Reader e cerca il pannello delle firme. Se c'è una firma o un sigillo crittografico, il lettore ti dice chi l'ha apposto (una persona o, per un sigillo, un'organizzazione), con quale certificato e se il documento è stato modificato dopo. Se il pannello è vuoto, quello che vedi è un'immagine. La guida passo per passo è in come verificare una firma elettronica su un PDF .

Un consiglio a parte: proteggi la tua firma

Se la tua firma circola come immagine, in calce alle email o in documenti mandati in giro, chiunque la riceva può riusarla. Non serve allarmarsi, basta non metterla in circolo: copiare una firma è una delle frodi più semplici, come spieghiamo in frodi sulla firma elettronica .

Come funziona con DOCUJET

Anche su DOCUJET il firmatario disegna o scrive la propria firma, ma quel segno è solo l'aspetto visibile. Ciò che regge sta sotto: prima di firmare il firmatario viene verificato con un codice usa e getta, il PDF finale ha sigillo elettronico qualificato e marca temporale inclusi, e il registro dice chi ha firmato, quando e da dove. Il sigillo è del fornitore del servizio, non del firmatario: rende evidente qualsiasi modifica fatta dopo la firma. E tutto è verificabile in autonomia, anche sul DSS europeo.

Una firma, non un disegno. Apri un account gratuito: 3 documenti al mese per sempre, con sigillo, marca temporale e registro di firma. Inizia gratis →