Un prodotto

Prove della firma

Ogni firma porta con sé le prove di come è avvenuta

Chi ha aperto il documento, quando, da quale indirizzo, con quale codice: kSign lo registra passo per passo, lo lega con una catena di impronte digitali e lo consegna in un certificato che chiunque può verificare con un QR. Se un giorno qualcuno contesta una firma, non devi ricostruire niente.

Richiedi una demo Panoramica di kSign

Il valore di una firma elettronica sta nelle sue prove

Il regolamento eIDAS riconosce valore alla firma elettronica, ma in caso di contestazione conta ciò che sai dimostrare: che il firmatario era proprio lui, che ha visto quel documento e non un altro, che il file non è cambiato dopo. kSign raccoglie queste prove mentre la firma avviene, non dopo, e le tiene insieme al documento. Gli istanti sono in UTC e le date in formato ISO, così nessuno può fraintendere un orario o un giorno.

Come funziona

  1. Ogni passaggio lascia una traccia

    Caricamento, invio, apertura del link, codice OTP inviato e verificato, verifica con CIE, firma o rifiuto: ogni evento viene registrato con istante, indirizzo IP e un’impronta SHA-256 che include quella dell’evento precedente.

  2. A firma conclusa, il documento si chiude

    kSign appone nel PDF una firma crittografica con marca temporale RFC 3161, genera per ogni firmatario un certificato di firma con l’impronta del documento e un QR, e chiude il registro degli eventi.

  3. Chiunque può controllare

    Il QR del certificato apre una pagina pubblica di verifica: stato della richiesta, firmatari, integrità della catena di eventi. Chi ha il PDF originale lo carica e scopre subito se l’impronta coincide.

Una firma vale quanto le prove che sai mostrare.

Cosa puoi fare

  • Catena di hash SHA-256

    Ogni evento è legato al precedente dalla sua impronta: se qualcuno ne altera uno, la catena non torna più e la verifica lo segnala. La cronologia della richiesta mostra tutti i passaggi in ordine, firmatario per firmatario.

  • Registro eventi da scaricare

    Dalla richiesta scarichi il registro degli eventi in PDF, leggibile da un avvocato o da un giudice, e in JSON per chi vuole ricontrollare le impronte da sé. Una copia viene conservata anche su uno storage separato dal database.

  • Certificato di firma con QR

    Uno per ogni firmatario: dati della persona, impronta del documento, dettagli della firma, livello (semplice o avanzata con CIE) con i riferimenti normativi, e il QR che porta alla pagina di verifica.

  • Firma crittografica e marca temporale

    Il PDF firmato contiene una firma digitale che copre tutto il file e una marca temporale RFC 3161 rilasciata da un’autorità di marcatura pubblica: qualunque modifica successiva invalida la firma. Con più firmatari sullo stesso documento la firma crittografica è una, apposta dopo l’ultimo.

  • Ancoraggio OpenTimestamps

    Se lo attivi, alla chiusura l’impronta del registro viene ancorata alla blockchain di Bitcoin tramite OpenTimestamps. Da quel momento una modifica successiva al registro si rileva, e la prova è scaricabile in formato .ots per verificarla con strumenti indipendenti.

  • Documenti cifrati a riposo

    Originale, PDF firmato e certificati sono salvati cifrati con AES-256-GCM, con una chiave diversa per ogni azienda. Le impronte si calcolano sul documento prima della cifratura, quindi la verifica funziona sul PDF che hai in mano.

Domande frequenti

Il registro degli eventi si può modificare?

Nessuno lo modifica dall’applicazione, e la catena di hash fa emergere un’alterazione parziale degli eventi. Per avere anche un punto fermo nel tempo, attiva l’ancoraggio OpenTimestamps: l’impronta del registro chiuso resta fissata sulla blockchain di Bitcoin e qualunque modifica successiva diventa rilevabile da chiunque abbia la prova .ots. Il peso probatorio della firma, poi, viene soprattutto dall’identità del firmatario: codice OTP via SMS e, per la firma avanzata, la CIE.

Cosa mostra la pagina pubblica di verifica, e a chi?

La raggiunge chi ha il QR o il link del certificato. Mostra titolo e stato della richiesta, i firmatari con l’email parzialmente oscurata, se hanno verificato il codice, l’integrità della catena e l’elenco degli eventi con istante e impronta. Il PDF che carichi per il confronto non viene inviato a nessuno: l’impronta si calcola nel tuo browser.

Cosa vedo se apro il PDF firmato in un lettore come Acrobat?

Nel pannello delle firme trovi la firma digitale con la sua marca temporale, e il lettore ti avvisa se il file è stato modificato dopo. Il certificato tecnico è generato da kSign e non da un’autorità di certificazione presente nelle liste di fiducia, per cui il lettore indica l’identità come non verificata: l’identità del firmatario è provata dal registro degli eventi e dal certificato di firma, non da quel certificato tecnico.

La marca temporale è qualificata?

No. La marca dentro il PDF segue lo standard RFC 3161 ed è rilasciata da un’autorità di marcatura pubblica, non qualificata ai sensi eIDAS. Chi ha bisogno della marca temporale qualificata (art. 42 eIDAS) la trova a listino come estensione a parte: chiedici tempi e condizioni di attivazione prima di contarci.

Dove finiscono i documenti firmati, e chi può leggerli?

Sono salvati cifrati con AES-256-GCM e una chiave propria della tua azienda: anche chi accedesse allo storage senza quella chiave vedrebbe solo dati illeggibili. Nell’applicazione li apre chi ha i permessi sulla richiesta, e ogni firmatario riceve per email la copia firmata quando il documento è completo.

Le altre funzionalità di kSign

Firma i documenti della tua azienda con kSign

Richiedi una demo: ti mostriamo come kSign rende la firma veloce, a norma e non ripudiabile.

Richiedi una demo