Una fiduciaria di Zugo apre una cartella cliente del 2026: un contratto di compravendita di azioni firmato e il certificato che lo accompagnava. È il 2036, la controparte vuole la prova che il contratto esistesse esattamente in questa forma prima di una delibera contestata del consiglio di amministrazione, e il certificato che ha firmato il PDF è scaduto da anni. Che si verifichi ancora dipende da cosa è stato inserito al suo interno il giorno in cui è stato sigillato.
Perché una firma può smettere di verificarsi
Una firma crittografica viene controllata rispetto a un certificato, e i certificati hanno una data di scadenza. Una volta scaduto il certificato di firma, un lettore PDF che deve scaricare da internet la catena di certificati e il suo stato di revoca può scoprire che quei servizi non rispondono più. La firma era valida quando è stata apposta. È il materiale necessario a dimostrarlo che è sparito.
Dietro c'è un secondo problema, più lento. Su un periodo molto lungo un algoritmo crittografico può invecchiare, e una firma apposta con un algoritmo invecchiato è più facile da contestare di quanto fosse da nuova.
La validazione a lungo termine risponde in anticipo a entrambi i problemi, racchiudendo le prove nel documento finché sono ancora disponibili.
I quattro livelli della norma
La norma europea per le firme PDF, ETSI EN 319 142-1, definisce quattro livelli di base nella clausola 6.
B-B è la firma in sé, con gli attributi firmati al momento della generazione.
B-T aggiunge un token fidato che prova che la firma esisteva a una certa data e ora.
B-LT aggiunge nel documento stesso tutto il materiale necessario a validare la firma: i certificati e le informazioni di revoca. Dieci anni dopo, nessuno deve scaricare nulla da un server che potrebbe essere stato spento.
B-LTA aggiunge ulteriori marche temporali elettroniche che consentono la validazione molto tempo dopo la generazione. Le note della norma dicono che i livelli B-LT e B-LTA sono appropriati dove la validità deve essere preservata dopo la scadenza o la revoca del certificato, o dopo l'obsolescenza dell'algoritmo, e che B-LTA può aiutare a validare una firma oltre la debolezza degli algoritmi usati o la scadenza dei dati di validazione.
In parole semplici: B-LT conserva le prove insieme al file. B-LTA continua a rimarcare le prove perché non invecchino a loro volta.
Cosa contiene oggi un documento sigillato
Questo è ciò che Swiss Trust Layer produce, letto dal codice di firma e non da una brochure.
Quando sigillate una cartella, viene calcolata un'impronta crittografica di ogni documento, e quell'impronta, non il file, viene inviata a Swisscom Trust Services, il prestatore di servizi fiduciari qualificato. Swisscom la firma con una chiave che non lascia mai il suo hardware. La firma contiene già una marca temporale RFC 3161 di Swisscom, e viene reincorporata nel PDF. Il file originale non viene modificato.
Dopo la firma, i certificati e le informazioni di revoca necessari a validarla vengono incorporati nel document security store del PDF. Un lettore PDF mostra la firma come LTV-enabled. Nei termini della norma, questo corrisponde al livello B-LT.
Il prodotto non aggiunge una marca temporale di archiviazione separata, quindi oggi non è B-LTA. Cosa significa in pratica: la scadenza del certificato di firma è coperta, perché la prova che era valido al momento della firma viaggia dentro il file. Il lento invecchiamento degli algoritmi crittografici su periodi molto lunghi è ciò per cui esistono le marche temporali di archiviazione, e il sigillo da solo non lo affronta. La checklist qui sotto mostra come apporre da soli una nuova prova datata sullo stesso file.
Cosa prova la marca temporale
Una marca temporale qualificata prova che quel file esatto esisteva in quel momento e non è cambiato da allora. Non prova chi ha scritto il file. Non dice nulla sulla veridicità del contenuto, né su chi detiene i diritti. In base all'articolo 41, paragrafo 2, del regolamento eIDAS, una validazione temporale elettronica qualificata gode della presunzione di accuratezza della data e dell'ora che indica e di integrità dei dati ai quali tale data e ora sono associate. L'articolo 41, paragrafo 1, aggiunge che a una validazione temporale non possono essere negati gli effetti giuridici e l'ammissibilità come prova per il solo motivo della sua forma elettronica o perché non è qualificata.
La checklist per dieci anni
Niente di tutto questo funziona se il file stesso viene perso o modificato. Un'impronta corrisponde ai byte esatti e a nient'altro.
- Conservate il PDF sigillato e il suo certificato senza modifiche, in due posti. Non una copia risalvata, e non una versione con un commento aggiunto.
- Controllatelo una volta all'anno e dopo ogni migrazione. Caricate il PDF sigillato nel validatore pubblico. Accetta un PDF firmato senza account, controlla la catena di firma, l'autorità di certificazione emittente, la scadenza del certificato e l'integrità della marca temporale, e vi dice se il contenuto è stato modificato dopo la firma. Non conserva il documento. Per i documenti aziendali svizzeri, l'Ordinanza sui libri di commercio (Olc) richiede già all'articolo 10 che i supporti conservati siano controllati regolarmente quanto a integrità e leggibilità, e che ogni migrazione sia registrata. Un passaggio annuale nel validatore è un modo semplice per produrre quella registrazione.
- Scrivete una nota su ogni versione; il portale vi permette di allegarne una a ciascuna. Dieci anni dopo, «copia controfirmata, sigillata prima dell'assemblea generale 2026» vale più di un nome di file.
- Quando vi serve una nuova prova datata, sigillate di nuovo una copia come nuova versione. La nuova versione riceve una nuova marca temporale di quel giorno e il proprio certificato. La vecchia marca temporale resta valida com'era, e nulla di una versione emessa viene riscritto.
Un passo questa settimana
Scegliete il documento che meno vorreste dover spiegare nel 2036, magari un contratto di compravendita di azioni o un manoscritto, e passatelo oggi nel validatore. Se non è mai stato sigillato, sigillatelo ora. Una marca temporale non si può aggiungere a ritroso, e un sigillo di questa settimana è la data più antica che potrete mai esibire per quel file.
Sigillate il vostro primo documento su Swiss Trust Layer oppure leggete il meccanismo completo in come funziona.
