16 gennaio 2026
Introduzione
Firmare un PDF non significa semplicemente applicare un'immagine della firma. In un processo aziendale occorre sapere quale versione è stata approvata, quale certificato è stato usato e se il file è rimasto integro dopo la sottoscrizione.
Questa guida segue il percorso di un contratto commerciale già approvato: dalla chiusura del PDF alla verifica tecnica, fino all'archiviazione del documento e delle relative evidenze. L'obiettivo è ottenere una copia firmata che un destinatario o un revisore possa controllare senza dover ricostruire il processo da email e schermate sparse.
Quando il flusso richiede una firma elettronica avanzata (FEA) o qualificata (QES), Nota Sign può gestire la richiesta e conservare gli eventi associati. La scelta del livello di firma e la valutazione dei suoi effetti restano però legate al documento, alle parti, alla forma richiesta e alla normativa applicabile.
Congelare la versione approvata del PDF
Prima della firma, il contenuto deve essere definitivo. Confronta nome del file, numero di versione, pagine, allegati e data di approvazione con il registro interno. Commenti, segnaposto e pagine da sostituire vanno risolti nel file sorgente, non nel PDF destinato alla firma.
Una volta completato il controllo, calcola l'impronta del PDF e registrala in un sistema accessibile al team autorizzato. L'impronta consente di distinguere la copia approvata da eventuali file omonimi o modificati successivamente.
Mantieni separati tre elementi: il documento modificabile, il PDF approvato e il PDF firmato. Se il controllo rivela una differenza, interrompi l'invio, correggi il sorgente e genera una nuova versione. In questo modo la firma resta sempre associata al contenuto effettivamente approvato.
Scegliere il certificato e il metodo autorizzato
Il metodo di firma va scelto dopo aver identificato il firmatario, il ruolo con cui agisce e il livello di garanzia richiesto per quel documento. Non basta che un certificato sia disponibile: il titolare deve corrispondere alla persona autorizzata e il suo impiego deve essere coerente con la politica aziendale e con le richieste della controparte.
Nel fascicolo di controllo indica il titolare del certificato, l'eventuale organizzazione rappresentata, il documento interessato, il livello di firma selezionato e il responsabile della verifica. Se la scelta richiede un'approvazione, conserva anche chi l'ha autorizzata e quando.
Questi dati rendono ricostruibile la decisione. Evitano inoltre di confondere il tipo di certificato con la valutazione giuridica del documento, che può richiedere verifiche ulteriori.
Applicare la firma senza alterare il contenuto
Apri esclusivamente il PDF approvato e verifica di nuovo la sua impronta. Se il software mostra una rappresentazione grafica della firma, posizionala senza coprire clausole, importi o campi compilati: l'elemento visivo migliora la leggibilità, ma non sostituisce l'operazione crittografica.
Dopo la firma, salva il risultato con un nome che riporti documento, versione e stato. Non stampare e scansionare il PDF per creare la copia finale: la scansione sarebbe un nuovo oggetto e potrebbe perdere le informazioni necessarie alla verifica della firma digitale.
Registra l'esito restituito dallo strumento, il certificato impiegato, l'orario e la versione del file. Se uno di questi elementi non coincide con quanto previsto, blocca la consegna e avvia una nuova firma sulla versione corretta.
Verificare certificato, integrità e marca temporale
La verifica deve riguardare il file esatto che sarà consegnato. Usa lo strumento previsto dalla politica aziendale o concordato con la controparte e controlla separatamente l'integrità del documento, il certificato del firmatario e l'eventuale marca temporale.
Confronta il titolare visualizzato dal verificatore con la persona autorizzata nel flusso. Esamina inoltre il periodo di validità, la catena del certificato e gli eventuali avvisi di revoca o attendibilità. Un avviso non va ignorato né interpretato automaticamente come frode: deve essere registrato e valutato secondo la procedura prevista.
Il risultato della verifica non dovrebbe ridursi a una schermata. Conserva l'impronta del file, lo strumento e la versione utilizzati, la data, l'esito e il nome di chi ha effettuato il controllo.
Archiviare il PDF e il registro di verifica
Nel fascicolo finale conserva il PDF approvato, il PDF firmato, le rispettive impronte, i dati del certificato, l'eventuale marca temporale e l'esito della verifica. Tutti gli elementi devono richiamare lo stesso identificatore contrattuale.
Il registro del flusso completa il quadro con partecipanti, eventi, orari e risultati. La durata di conservazione e le regole di accesso dipendono dalla politica dell'organizzazione e dagli obblighi applicabili al documento.
Il processo può considerarsi chiuso quando file, certificato e registro sono coerenti e recuperabili. A quel punto il team dispone non soltanto di un PDF firmato, ma anche degli elementi necessari per spiegare che cosa è stato sottoscritto e come è stato verificato.
