Validità della firma digitale: quando vale, quanto dura, cosa fare se scade

Te lo diciamo noi: la firma digitale qualificata ha lo stesso valore legale della firma autografa. Lo dice l’articolo 21, comma 2, del Codice dell’Amministrazione Digitale (CAD) e lo conferma il regolamento europeo eIDAS n. 910/2014. Vale in Italia e in tutta l’Unione Europea, su documenti pubblici e privati.

Cosa devi sapere subito

• La firma digitale qualificata equivale per legge alla firma autografa
• Il certificato dura di solito 3 anni, ma i documenti già firmati restano validi
• La marca temporale è lo strumento che protegge la validità nel tempo
• Puoi verificare qualunque firma digitale con software gratuiti o online
• Una firma su documento modificato successivamente è automaticamente invalida

Quale firma digitale ha valore legale pieno

Non tutte le firme elettroniche sono uguali. Questa distinzione è cruciale.

Il regolamento eIDAS distingue tre livelli:

La firma digitale che usiamo in Italia è una firma elettronica qualificata. È quella su certificato rilasciato da un gestore accreditato AgID, con un dispositivo sicuro (smart card, token USB, firma remota). È l’unica che per legge vale come firma autografa senza possibilità di contestarne il valore formale.

Le altre tipologie, come la firma via OTP su contratti bancari o le firme grafometriche su tablet, possono avere valore in contesti specifici, ma richiedono accordi contrattuali precisi e sono più vulnerabili in giudizio.

In italiano: quando diciamo “firma digitale” intendiamo sempre la firma elettronica qualificata su certificato. Non la firma scannerizzata, non la firma tracciata con il dito sullo schermo.

Quanto dura la validità della firma digitale

Il certificato di firma ha una scadenza tecnica. Di solito è 3 anni dalla data di rilascio. Alcuni gestori emettono certificati da 1 o 2 anni per dispositivi specifici. Trovi la data esatta nel certificato stesso, visibile da qualunque software di verifica.

Cosa succede alla scadenza?

• Non puoi più usare quel certificato per firmare nuovi documenti
• I documenti già firmati restano validi, perché la firma era legalmente valida al momento della sottoscrizione
• Devi rinnovare o acquistare un nuovo certificato per continuare a firmare

Il rinnovo non è automatico. Il tuo gestore (Aruba, InfoCert, Namirial, Poste Italiane e gli altri accreditati AgID) ti avvisa in genere 30-60 giorni prima della scadenza. Puoi rinnovare online in pochi minuti se il certificato è ancora attivo; se è già scaduto, devi fare una nuova registrazione.

Carte alla mano: un certificato scaduto il 1° marzo 2026 invalida solo le firme apposte da quella data in poi. Una firma del 15 febbraio 2026 su quel certificato è pienamente valida.

La marca temporale: perché è fondamentale per la validità nel tempo

Questa è la parte che molti ignorano e poi pagano cara.

Un documento firmato digitalmente è valido nel momento in cui viene firmato. Ma se tra dieci anni devi dimostrare in giudizio che quel contratto era firmato prima di una certa data, hai bisogno di una prova. E se il certificato nel frattempo è scaduto o revocato, la firma da sola non basta a dimostrarlo.

La marca temporale risolve questo problema. È un sigillo crittografico che certifica data e ora esatte della firma, rilasciato da un’Autorità di Marca Temporale accreditata. Non puoi falsificarla, non puoi retrodatarla.

Chi te lo dice davvero: la marca temporale è regolata dall’art. 49 del CAD e dal regolamento eIDAS art. 41. Secondo le linee guida AgID, estende la validità probatoria del documento ben oltre la scadenza del certificato di firma.

Quando usarla:

• Contratti di lunga durata (affitti, appalti, forniture)
• Documenti che potrebbero essere contestati in giudizio
• Atti notarili o amministrativi
• Bilanci e documenti fiscali
• Qualunque cosa dove la data conta

La marca temporale costa poco: da 0,04 a 0,20 euro a marca, a seconda del gestore e del volume. Alcune soluzioni aziendali la includono nel pacchetto.

Come verificare la validità di una firma digitale

Puoi farlo tu stesso, senza tecnici e senza costi. Ecco come.

Come fare passo passo

1. Apri il software di verifica — Scarica ArubaSign (Aruba), Dike (InfoCert) o un altro software del tuo gestore. Sono gratuiti. In alternativa usa il servizio di verifica online AgID.
2. Carica il file firmato — I formati più comuni sono .p7m (busta crittografata), .pdf con firma incorporata, .xml firmato. Trascina il file nel software.
3. Leggi il risultato — Il software ti mostra: nome e codice fiscale del firmatario, data e ora della firma, stato del certificato (valido, scaduto, revocato), integrità del documento.
4. Controlla la marca temporale — Se c’è, verifica che la data della marca sia anteriore alla scadenza del certificato. Se il certificato era valido a quella data, la firma è legalmente valida.
5. Salva il report — Se ti serve prova scritta della verifica, salva o stampa il report generato dal software.

Cosa ti dice il software:

• ✅ Firma valida: certificato attivo al momento della firma, documento non modificato
• ⚠️ Certificato scaduto: la firma era valida se la data della firma precede la scadenza
• ❌ Certificato revocato: il gestore ha annullato il certificato prima della scadenza (ad es. per furto del dispositivo)
• ❌ Documento modificato: il file è stato alterato dopo la firma, la firma non è più valida

Cosa rende invalida una firma digitale

Non tutto ciò che sembra una firma digitale lo è davvero. Questi sono i casi in cui la firma non vale o è contestabile.

Certificato revocato. Se il titolare ha segnalato il furto del dispositivo o il gestore ha revocato il certificato per altri motivi, tutte le firme apposte dopo la revoca sono invalide. Quelle precedenti restano valide se c’è marca temporale che lo certifica.

Documento modificato dopo la firma. È il caso più comune di invalidità. Basta un carattere, un numero, una virgola: la funzione di hash crittografico rileva immediatamente la modifica. Il software lo segnala come “firma non valida” o “documento alterato”.

Certificato non emesso da un gestore accreditato. Un certificato auto-firmato o emesso da un’autorità non riconosciuta da AgID non ha valore legale in Italia. Prima di accettare una firma, verifica che il gestore sia nell’elenco fiduciari AgID.

Firma apposta su documento già firmato e poi convertito. Se converti un PDF firmato in Word, modifichi e rifirmi, stai firmando un documento nuovo. La firma originale è persa. Il nuovo documento è firmato solo dalla seconda persona.

Utilizzo del certificato dopo la scadenza. Tecnicamente molti software lo impediscono. Ma se per qualche ragione una firma risulta apposta dopo la scadenza del certificato, non ha valore legale.

Firma digitale e contratti: i casi pratici più comuni

La validità legale si traduce in pratica. Questi sono gli usi più frequenti.

Contratti di lavoro. La firma digitale qualificata è ammessa per i contratti individuali di lavoro subordinato. Il datore di lavoro deve assicurarsi che anche il lavoratore abbia modo di firmare digitalmente, altrimenti si torna alla carta.

Compravendite immobiliari. Gli atti traslativi di proprietà immobiliare richiedono ancora la forma dell’atto pubblico notarile. La firma digitale non sostituisce il notaio per rogiti e atti di trasferimento. Per i contratti preliminari (compromessi) la firma digitale è invece ammessa.

Fatture elettroniche. Nel sistema di fatturazione elettronica italiana (SdI), la firma digitale è opzionale: il formato XML strutturato e il canale SdI già garantiscono autenticità. Ma puoi aggiungere una firma digitale per rafforzare la validità probatoria.

Atti amministrativi. Qualunque documento inviato alla PA può essere firmato digitalmente. Anzi, molti uffici pubblici accettano oggi solo documenti firmati digitalmente per le pratiche online. La firma ha valore pieno, zero carta.

Scritture private. Contratti tra privati, accordi commerciali, lettere di incarico: la firma digitale qualificata li rende documenti con piena efficacia probatoria ai sensi dell’art. 2702 del Codice Civile, esattamente come una firma autografa autenticata.

Firma digitale fuori dall’Italia: cosa cambia

Dentro l’Unione Europea la situazione è chiara. Il regolamento eIDAS è legge direttamente applicabile in tutti i 27 stati membri. Una firma digitale qualificata rilasciata da un gestore italiano accreditato vale in Germania, Francia, Spagna, Polonia — ovunque nell’UE — con lo stesso valore legale.

I gestori dei certificati italiani sono nell’elenco fiduciario europeo (EUTL), gestito da ENISA. Chiunque in Europa può verificarlo.

Fuori dall’UE la situazione è più complessa. Non esiste un equivalente globale di eIDAS. Il riconoscimento dipende:

• Dal diritto interno del paese straniero
• Dagli accordi bilaterali con l’Italia o l’UE
• Dal tipo di contratto e dal foro competente

Se lavori con controparti extra-UE (USA, UK, Svizzera, Emirati), verifica sempre caso per caso. In molti paesi anglosassoni la firma elettronica è riconosciuta da leggi proprie (come l’ESIGN Act statunitense o l’Electronic Communications Act britannico), ma i requisiti tecnici possono differire.

Cosa fare se la firma viene contestata

Succede raramente con le firme qualificate, ma può succedere. Ecco come ti comporti.

Se contesti tu una firma che ritieni falsa o non tua: segnala immediatamente al gestore del certificato la revoca. Poi rivolgerti a un legale. La firma digitale qualificata ha una presunzione legale di riferibilità al titolare del certificato, ma questa presunzione si può superare in giudizio con prova contraria.

Se qualcuno contesta la tua firma: hai dalla tua il log del gestore (che registra ogni utilizzo del certificato), la marca temporale (se l’hai usata), e il certificato stesso che attesta la tua identità verificata. Questi elementi sono prove forti.

Se il documento risulta modificato: il software di verifica lo dimostra oggettivamente. Non è opinabile. La firma invalida perché il documento è stato alterato è una prova a tuo favore se non sei stato tu a modificarlo.

Conservazione dei documenti firmati: non basta firmare. Devi conservare il file in formato originale (.p7m o PDF firmato), senza conversioni, per tutto il periodo di prescrizione del contratto. I formati standard per la conservazione a lungo termine sono PAdES-LTV e CAdES con marca temporale.

Fonti ufficiali

• AgID – Firma elettronica qualificata: l’elenco dei gestori accreditati e le linee guida tecniche.
• Regolamento eIDAS (UE) 910/2014: il testo ufficiale del regolamento europeo sulle firme elettroniche.
• CAD – Decreto Legislativo 82/2005: gli articoli 20, 21 e 49 sono quelli rilevanti sulla firma digitale e la marca temporale.
• Elenco fiduciario europeo (EUTL): per verificare che un gestore straniero sia accreditato nell’UE.

Le cose che chiedete più spesso

La firma digitale vale davvero come una firma autografa?

Sì, per legge ha lo stesso valore. Il Codice dell’Amministrazione Digitale (art. 21, comma 2) equipara la firma digitale qualificata alla firma autografa. Vale in tutti gli uffici pubblici italiani e, grazie al regolamento eIDAS, in tutta l’Unione Europea.

Quanto dura un certificato di firma digitale?

Di solito 3 anni. Dopo quella data il certificato scade e non puoi usarlo per firmare nuovi documenti. I documenti già firmati prima della scadenza, però, restano validi se al momento della firma il certificato era attivo.

Un documento firmato digitalmente scade se il certificato scade?

No. La firma apposta quando il certificato era valido rimane giuridicamente valida, a patto che tu possa dimostrare la data certa della firma. Per questo si usa la marca temporale, che congela il momento esatto della sottoscrizione.

Come faccio a verificare se una firma digitale è valida?

Puoi usare il software gratuito del tuo gestore (ad esempio Dike di InfoCert, ArubaSign di Aruba) oppure il servizio di verifica online. Carichi il file firmato e vedi in pochi secondi se la firma è integra e il certificato era valido al momento della firma.

La firma digitale vale anche all’estero, fuori dall’UE?

All’interno dell’UE sì, grazie a eIDAS. Al di fuori dipende dagli accordi bilaterali e dalla legislazione del paese. Se firmi contratti internazionali extra-UE, verifica sempre con un legale prima di procedere.

Cosa succede se il documento firmato viene modificato dopo la firma?

La firma diventa automaticamente non valida. Il file firmato è blindato con una funzione di hash crittografico. Anche un solo carattere cambiato rompe la firma e qualunque software di verifica lo segnala immediatamente.

Ho firmato un documento con firma elettronica semplice, vale lo stesso?

No, non è la stessa cosa. La firma elettronica semplice ha valore probatorio molto inferiore e può essere contestata in giudizio senza particolari difficoltà. Solo la firma digitale qualificata equivale alla firma autografa per legge. Se il documento è importante, usa sempre la qualificata.

Ultimo aggiornamento: 10 giugno 2026 — Aggiornati i riferimenti al regolamento eIDAS e alle linee guida AgID vigenti; verificata la lista gestori accreditati.