Un certificato di prova è una pagina, un PDF da una cartella che avete sigillato voi stessi o da una controparte che vuole che vi fidiate di un file. Ogni riga risponde a una domanda diversa, e ogni riga ha un limite. Ecco la pagina dall'alto in basso, con ciò che ogni voce prova e ciò che lascia aperto.
L'intestazione
Riporta "CERTIFICATE" (certificato) e, sotto, "Copyright Original" (originale tutelato dal diritto d'autore). Questo indica il tipo di documento: un certificato per una versione sigillata di una cartella. Non decide nulla su chi detiene il diritto d'autore sui file elencati. Secondo l'articolo 6 della Legge sul diritto d'autore (LDA), autore è la persona fisica che ha creato l'opera, e un'intestazione non può stabilirlo.
"Sealed for" e il nome
"Sealed for" (sigillato per) indica il titolare dell'account, la persona il cui account conteneva la cartella quando la versione è stata sigillata. Prova quale account ha sigillato questi file. Non prova che la persona indicata li abbia scritti. L'articolo 8 capoverso 1 della LDA presume che l'autore sia la persona il cui nome figura sugli esemplari dell'opera o al momento della sua pubblicazione. Un certificato è una registrazione separata, quindi leggete il nome come titolare dell'account e nulla di più.
La data e l'ora di sigillatura
Scritte come YYYY-MM-DD HH:MM:SS, in UTC, in modo che uno stesso istante si legga allo stesso modo in ogni fuso orario in cui il PDF viene aperto.
L'ora deriva dal momento della sigillatura. Un'impronta crittografica del file è stata inviata a Swisscom Trust Services, il prestatore qualificato di servizi fiduciari, che l'ha firmata con una chiave che non lascia mai il suo hardware. La firma porta una marca temporale RFC 3161 e viene incorporata nel PDF. Secondo l'articolo 41, paragrafo 2, del regolamento eIDAS, una validazione temporale elettronica qualificata gode della presunzione di accuratezza della data e dell'ora che indica e di integrità dei dati ad essa collegati.
Questa riga prova quindi che i file esistevano esattamente in questa forma in quel momento e non sono cambiati da allora. Non prova quando sono stati scritti né da chi, e non prova che ciò che dicono sia vero.
Il blocco identità
Alcuni certificati riportano "Surname" (cognome), "Name" (nome), "DOB" (data di nascita), "Country" (paese) e "Passport No" (numero di passaporto), con il numero mascherato da asterischi. Altri no. Il blocco compare quando quella versione è stata sigillata dopo che il titolare dell'account ha superato la verifica dell'identità, un controllo del passaporto tramite DIDIT fornito da Swisscom Trust Services. Senza, il blocco è assente.
Il blocco è un'istantanea scattata alla sigillatura; una modifica successiva ai dati d'identità del titolare non riscrive mai un certificato emesso. Prova che una persona verificata deteneva questo account quando questa versione è stata sigillata, non che questa persona sia l'autore.
La tabella "Copyright-sealed documents"
"Copyright-sealed documents" (documenti sigillati a tutela del diritto d'autore): una riga per file, letta da sinistra a destra.
"File name" (nome del file). Il nome che il file aveva al momento della sigillatura. Rinominare la vostra copia in seguito non rompe nulla; la prova poggia sulla voce successiva.
"Hash" (impronta). Un'impronta crittografica del contenuto del file. Chiunque abbia il file e uno strumento di hashing può calcolare la stessa impronta e confrontarla. Una corrispondenza significa che il file in mano è il file sigillato; un solo carattere modificato produce un'impronta diversa. La sigillatura non altera mai l'originale, quindi la vostra copia dovrebbe corrispondere. L'hash prova l'identità del contenuto, nulla sul suo significato.
ISCC Codehash e ISCC. Un codice di contenuto secondo ISO 24138:2024, mostrato quando il formato del file è supportato. Un file il cui formato non può ricevere questa impronta è comunque sigillato e marcato temporalmente, e ha comunque il suo hash; la sua riga semplicemente non ha una voce ISCC. I codici ISCC e i label di contenuto richiedono la verifica dell'identità.
"AI Declaration" (dichiarazione IA). Quando il file porta una dichiarazione, i suoi label compaiono qui. Esistono sei label di contenuto, e ogni contenuto e ogni versione porta esattamente un label IA. HUMAN AUTHORED va insieme ad AI FREE e a nessun altro label IA. HUMAN APPROVED può stare accanto a qualsiasi label IA e deve provenire da una persona diversa dall'autore. I due label HUMAN sono legati a un'identità verificata. Un label è una dichiarazione del titolare dell'account. Il sigillo la fissa nel tempo e non la verifica.
"Human authors" (autori umani), "Approved by" (approvato da), "Rights claimed" (diritti rivendicati), "Other rights holders" (altri titolari di diritti). Ciò che il titolare ha dichiarato alla sigillatura. Secondo l'articolo 7 della LDA, quando due o più persone hanno concorso come autori, il diritto d'autore spetta loro in comune, quindi "Other rights holders" merita una lettura attenta. Ogni voce qui è autodichiarata: il certificato prova che la dichiarazione è stata fatta, e quando, non che sia vera.
Il codice QR, il Cert ID e i marchi
Il codice QR apre la pagina pubblica di verifica per quella cartella e quella versione, senza login. La riga "Cert ID" (identificativo del certificato) è l'id della cartella a cui quella pagina appartiene.
In basso si trovano i marchi: Swiss, ZertES, eIDAS, UAE PASS e ProLitteris. ZertES è la Legge sulla firma elettronica (FiEle) svizzera, eIDAS la sua controparte nell'UE, e ProLitteris il partner di escrow nel Registro svizzero del diritto d'autore. Il piè di pagina recita "Issued by Swiss Trust Layer" (emesso da Swiss Trust Layer). Un marchio è un marchio, non un verdetto sui file sopra.
Due modi per verificarlo
Il certificato è un riepilogo. La prova si può controllare in due modi, e nessuno dei due richiede un account. Scansionate il codice QR e confrontate la pagina con la carta. Oppure caricate il PDF sigillato stesso nel validatore pubblico: nessuna registrazione, e mostra chi ha firmato, quando, con quale certificato, e se il contenuto è stato modificato dopo la firma. Riconosce le firme qualificate secondo eIDAS e ZertES, elabora i metadati della firma e non conserva il documento.
Se una controparte invia il certificato senza il file sigillato, chiedete il file. Un certificato da solo si può leggere, non validare.
Che cosa può cambiare in seguito, e che cosa no
Un certificato può essere aggiornato per la stessa versione, con i dati ISCC dei suoi file e l'identità verificata del titolare, senza che venga creata una nuova versione. Gli hash e i label dichiarati di una versione emessa non cambiano mai con una nuova sigillatura. Nuovi file o nuove dichiarazioni significano una nuova versione sigillata con il proprio certificato.
Un passo per questa settimana
Prendete un certificato, il vostro o uno che vi è stato inviato, e percorretelo con questa pagina aperta. Scansionate il codice QR, poi caricate il PDF sigillato nel validatore. Se entrambi concordano con la carta, sapete che cosa avete in mano. Per le domande che l'altra parte porrà a qualsiasi PDF, leggete dieci domande che un avvocato farà sul vostro PDF. Per consegnare la pagina di verifica ad altri, vedete il link di verifica nella vostra firma e-mail.
Sigillate il vostro primo documento su Swiss Trust Layer oppure leggete il meccanismo completo su come funziona.
