Firma elettronica e firma digitale: quale ti serve davvero?

“Firmalo elettronicamente e rimandamelo.” Sembra semplice, finché non ti accorgi che “firma elettronica” e “firma digitale” vengono usate come se significassero la stessa cosa, e non è così. Una è un’idea ampia, legata all’intenzione. L’altra è un preciso pezzo di crittografia. Sapere quale ti serve ti evita sia di complicare inutilmente un modulo semplice, sia di proteggere troppo poco qualcosa che contava davvero.

Firma elettronica: il termine ampio

Una firma elettronica è qualsiasi segno elettronico apposto con l’intenzione di firmare. È volutamente ampia. Digitare il proprio nome in fondo a un’email può valere. Disegnare la propria firma con il mouse o con un dito su un PDF vale. Spuntare una casella “Accetto” può valere.

Ciò che la rende una firma non è la tecnologia, ma l’intenzione e il contesto: volevi firmare, ed esiste una traccia ragionevole che lo hai fatto. Per la stragrande maggioranza degli accordi quotidiani, è esattamente ciò che viene richiesto. Un modulo di consenso, un’approvazione interna, una ricevuta di consegna, un contratto da freelance tra due persone che si fidano l’una dell’altra. Non ti serve niente di più pesante di una firma elettronica chiara e intenzionale.

Firma digitale: quella crittografica

Una firma digitale è qualcosa di preciso e più ristretto. Usa la crittografia, un certificato digitale e una coppia di chiavi, per fare due cose che una comune firma elettronica non fa:

• Provare chi ha firmato. La firma è legata a un certificato che identifica il firmatario, idealmente rilasciato da un’autorità affidabile.
• Provare che il file non è cambiato da allora. Se anche un solo byte del documento viene alterato dopo la firma, la firma si rompe e qualunque lettore se ne accorge. È una prova di manomissione integrata nella matematica.

Quindi ogni firma digitale è una firma elettronica, ma non ogni firma elettronica è digitale. Quella digitale aggiunge identità e integrità verificabili. La vorresti dove la posta in gioco e il divario di fiducia sono più alti: un contratto con una controparte che non conosci, un deposito legale, qualsiasi cosa in cui qualcuno potrebbe in seguito contestare chi ha firmato o se il documento è stato alterato.

Una nota sul valore legale

Diversi paesi hanno leggi sulla firma (il regolamento eIDAS dell’UE, per esempio) che definiscono livelli, dalla firma elettronica di base fino a una firma “qualificata” sostenuta da un prestatore certificato e da un controllo formale dell’identità. I livelli più alti richiedono in genere un certificato qualificato rilasciato da un’autorità accreditata, che è un percorso a sé. La conclusione pratica: adatta la firma alla situazione. La maggior parte delle cose richiede una semplice firma elettronica. Pochi documenti ad alto rischio richiedono quella crittografica, basata su certificato, e talvolta una formalmente qualificata. Non dare per scontato che serva sempre l’opzione più pesante, e non dare per scontato che quella più leggera basti sempre.

Aggiungere una firma a un PDF nel tuo browser

Per il caso quotidiano, una firma elettronica intenzionale sul documento stesso, reader.me ha uno strumento di firma che gira sul tuo dispositivo:

1. Apri lo strumento di firma e trascinaci dentro il tuo PDF.
2. Crea la tua firma. Disegnala, oppure inserisci un’immagine della firma.
3. Posizionala dove deve stare sulla pagina.
4. Scarica il PDF firmato. Viene salvato direttamente sulla tua macchina.

Tutto questo avviene nel tuo browser. Il documento non viene caricato per firmarlo, e questo conta, perché le cose che firmi, contratti, accordi, moduli, sono esattamente i documenti che vorresti meno di tutto lasciare sul server di qualcun altro.

Perché firmare in locale è la scelta giusta di default

Ecco l’ironia di molti servizi di firma online: per aggiungere una firma pensata per proteggere un accordo, devi prima caricare l’intero accordo sui loro server. Il momento più delicato nella vita di un documento, il punto in cui diventa vincolante, viene consegnato a un terzo.

reader.me firma nel browser. Il PDF viene letto nella memoria della tua macchina, la tua firma viene aggiunta proprio lì, e il file firmato torna a te salvandosi. Non viene caricato nulla. Puoi verificarlo: apri gli strumenti per sviluppatori (F12), osserva la scheda Rete mentre firmi e non vedrai alcun traffico. Oppure firma un documento offline, con la connessione spenta, e guardalo funzionare comunque.

Quindi la risposta breve a “quale ti serve?”: per la maggior parte delle cose, una firma elettronica chiara, aggiunta in locale, è esattamente quella giusta. Per i casi ad alto rischio, dove l’identità è critica, valuta una firma digitale basata su certificato. In entrambi i casi, non c’è alcun buon motivo perché il documento debba lasciare la tua macchina solo per essere firmato. Aggiungi la tua firma nel browser e tienila dove deve stare.