Aprire file P7M

Cos’è un file .p7m

Un .p7m è una busta. Dentro ci sono il documento originale, una o più firme digitali e il certificato di ogni persona che ha firmato. Il formato si chiama CAdES, uno standard europeo basato sul vecchio PKCS#7, da cui viene l’estensione. Il documento conserva il suo nome davanti: contratto.pdf.p7m contiene contratto.pdf, fattura.xml.p7m contiene fattura.xml.

Il computer vede un solo file sconosciuto e non ha un programma per aprirlo. Aperta la busta, il documento che trovi dentro è lo stesso file che aveva chi l’ha firmato, byte per byte.

Perché in Italia arrivano così spesso

Per la legge italiana la firma digitale ha lo stesso valore di quella scritta a mano, e molti dei programmi forniti con i kit di firma salvano una busta CAdES, a meno che tu non chieda un PDF firmato. Per questo contratti firmati, pratiche inviate agli enti pubblici e documenti mandati da commercialisti e notai arrivano spesso come .p7m, di solito allegati a una PEC.

L’altra grande fonte sono le fatture elettroniche. Quelle verso la pubblica amministrazione devono essere firmate, e la busta CAdES è uno dei due modi ammessi, quindi molte viaggiano come .xml.p7m. Anche le fatture tra aziende possono essere firmate allo stesso modo. Quando dentro c’è una fattura elettronica, questa pagina te lo dice, e il visualizzatore di fatture elettroniche la mostra come una pagina leggibile.

Doppia firma: .p7m.p7m

Quando una seconda persona firma un file già firmato, molti programmi chiudono tutta la busta dentro una nuova. Il risultato finisce in .p7m.p7m e contiene due buste, una dentro l’altra. Questa pagina le apre tutte, fino a cinque, ed elenca i firmatari di ciascuna partendo da quella più esterna, cioè la firma aggiunta per ultima. Una stessa busta può contenere anche più firme affiancate: le vedi tutte.

Cosa controlla la verifica, e cosa no

Per ogni firma la pagina controlla due cose. La prima: che l’impronta del documento sia uguale a quella sigillata da chi ha firmato, il che dimostra che da allora non è cambiato nemmeno un byte. La seconda: che la firma sia stata fatta con la chiave privata del certificato contenuto nel file. Se valgono entrambe, la riga diventa verde.

Quello che dal browser non si può vedere: se il certificato viene da un prestatore qualificato presente negli elenchi di fiducia europei, e se era stato revocato prima della firma, per esempio perché la smart card era stata smarrita. Per entrambe le cose serve un controllo online presso l’ente che l’ha rilasciato. Anche l’eventuale marca temporale viene segnalata ma non verificata. Per una verifica con valore legale usa uno dei programmi di verifica indicati da AgID.

Privato per come è fatto

I file vengono letti dal tuo disco e aperti in questa scheda del browser, e la firma viene controllata con la crittografia già presente nel browser. Non viene inviato niente, ed è importante, perché contratti e fatture sono pieni di nomi e codici fiscali. Se il documento estratto è un PDF da sistemare, Unire PDF e Comprimere PDF funzionano allo stesso modo.