Guida · Documenti, PEC e firma
File P7M, PEC e daticert.xml: che cosa sono e come si aprono
di Brian Barrionuevo · aggiornata il · 6 minuti di lettura
Un documento firmato che il computer non apre, una PEC piena di allegati dai nomi strani, una «fattura di cortesia» da un’azienda sconosciuta. Questa guida spiega che cosa sono i file .p7m e i file della PEC, come si aprono, che cosa provano le ricevute e come non cadere nelle false PEC.
In breve
- Un file .p7m è un documento con firma digitale: dentro c’è il file vero, che si estrae; il valore legale resta nella busta .p7m.
- In una PEC il messaggio originale è postacert.eml, i dati di invio e consegna sono in daticert.xml e smime.p7s è la firma del gestore.
- La PEC si considera consegnata quando entra nella casella del destinatario, anche se non la legge; ma una PEC può portare allegati truffa come una email qualsiasi.
Che cos’è un file P7M
Un file che finisce in .p7m è un documento con firma digitale nel formato CAdES: una «busta» che contiene il documento originale (di solito un PDF, a volte un XML o un file Word), la firma e il certificato di chi ha firmato. Il nome dice che cosa c’è dentro: contratto.pdf.p7m è un PDF firmato, IT01234567890_00001.xml.p7m una fattura elettronica firmata.
Il computer e il telefono non lo aprono perché guardano solo l’ultima estensione, .p7m, e non sanno a quale programma darlo. Il documento dentro però è intatto: basta tirarlo fuori dalla busta. Rinominare il file da .p7m a .pdf non serve: la busta resta, e il lettore PDF non la riconosce.
Come si apre
- Con lo strumento «Aprire un file P7M» del sito: estrae il documento nel browser, senza caricarlo su un server, e mostra chi ha firmato, quando e con quale certificato, come è scritto nel file.
- Con un programma di firma digitale, come quelli che i prestatori di firma (le aziende che rilasciano i dispositivi, sotto la vigilanza di AgID) mettono a disposizione: aprono il documento e verificano la firma.
- Un file .p7m.p7m è stato firmato due volte, una busta dentro l’altra: succede quando firmano due persone una dopo l’altra. Si aprono tutte le buste in fila, e le firme sono due.
Aprire non è verificare
Estrarre il documento serve a leggerlo. Verificare la firma è un’altra cosa: vuol dire controllare, con la crittografia, che il documento non sia stato modificato dopo la firma e che il certificato del firmatario fosse valido, non scaduto né revocato, nel momento in cui ha firmato. Lo fanno i programmi di verifica, non un semplice lettore. E il valore legale sta nella busta: conserva il file .p7m, non solo il PDF estratto, che è una copia senza firma.
Esiste anche la firma digitale PAdES, messa dentro il PDF: il file resta .pdf, si apre normalmente e il lettore mostra il pannello delle firme. Ha lo stesso valore della CAdES; cambia solo la confezione.
Che cosa c’è dentro un messaggio PEC
La PEC, posta elettronica certificata, è una email con ricevute: il gestore del mittente e quello del destinatario rilasciano ricevute firmate che provano l’invio e la consegna, con data e ora. Per il Codice dell’amministrazione digitale la trasmissione con PEC equivale alla notificazione per mezzo della posta, salvo che la legge disponga diversamente, e data e ora di invio e ricezione sono opponibili ai terzi.
Il messaggio che arriva al destinatario non è l’email originale ma una busta di trasporto, creata e firmata dal gestore del mittente. Dentro ci sono file con nomi fissati dalle regole tecniche:
| File | Che cos’è | Che cosa farne |
|---|---|---|
| postacert.eml | Il messaggio originale, immodificato, con testo e allegati | Aprilo con il programma di posta: gli allegati veri sono qui dentro |
| daticert.xml | I dati di certificazione: mittente, destinatari, oggetto, data e ora, identificativo del messaggio | Non serve aprirlo; se vuoi, si legge con il browser |
| smime.p7s | La firma del gestore sulla busta, che garantisce che niente è stato cambiato | Non si apre: serve al programma di posta per controllare la busta |
Quando la webmail o il programma di posta non gestiscono bene la PEC, questi file compaiono come allegati separati, a volte senza estensione. «Che file è?» li riconosce dal contenuto:
| Nome ricevuto | Che cos’è | Nome giusto |
|---|---|---|
| allegato (senza estensione) | Messaggio di posta certificata (PEC) | allegato.eml |
| daticert.xml | Ricevuta della PEC (daticert.xml) | daticert.xml |
| fattura_cortesia.pdf | Programma per Windows (EXE) | non aprirlo |
L’ultima riga è il motivo per cui conviene guardare dentro i file prima di aprirli: per lo strumento quel «PDF» è un programma, e l’avviso è esplicito: «Il nome dice .pdf ma dentro c’è un programma: è un trucco usato nelle truffe per far aprire un virus. Non aprirlo.»
Le ricevute: che cosa provano e quali conservare
- Ricevuta di accettazione: la rilascia il tuo gestore quando il messaggio parte. Contiene i dati di certificazione ed è la prova della spedizione.
- Ricevuta di avvenuta consegna: la rilascia il gestore del destinatario quando il messaggio entra nella sua casella, indipendentemente dal fatto che lo legga. È la prova della consegna, con il momento esatto.
- Avviso di mancata consegna: il messaggio non è arrivato, per esempio perché la casella è piena o l’indirizzo non esiste. Se entro dodici ore il gestore del destinatario non ha risposto, il tuo gestore ti avvisa che la consegna potrebbe non riuscire.
La ricevuta di consegna può essere completa (allega anche il messaggio originale con i suoi allegati), breve (allega un estratto) o sintetica (solo i dati di certificazione). La completa è la più utile come prova, perché mostra anche che cosa hai mandato; si sceglie nelle impostazioni della casella.
Conserva il messaggio inviato e le ricevute come file (.eml), non solo stampati: la prova sta nella firma del gestore, che la stampa perde. Se le ricevute vanno perse, il gestore conserva per trenta mesi il registro dei messaggi, e quelle informazioni valgono verso i terzi.
Mandare una PEC a un indirizzo email normale si può, ma la ricevuta di consegna non arriva: il gestore di una casella ordinaria non la rilascia. Per avere la prova della consegna servono due indirizzi PEC.
PEC vere e PEC false
La PEC certifica chi ha spedito il messaggio e quando, non che sia onesto. La Polizia Postale ha segnalato campagne di PEC spedite da aziende «fantasma», con oggetto come «Emissione fattura» e un testo che imita quello delle fatture elettroniche vere («vi trasmettiamo copia PDF di cortesia della fattura»). Aprire il finto PDF allegato può installare un virus o un ransomware, che rende inutilizzabili i file del computer.
- Se il mittente è sconosciuto, non aprire l’allegato. Se è un’azienda o una persona che conosci ma il file non te lo aspettavi, chiedi conferma per un’altra via, per esempio al telefono.
- Controlla che cosa è davvero l’allegato: «Che file è?» lo legge nel browser senza aprirlo né eseguirlo.
- Proteggi la casella: una password lunga e diversa da quella degli altri account, e l’accesso in due passaggi con un codice sul telefono, dove il gestore lo offre.
- Fai copie di sicurezza dei file e tieni aggiornato il sistema operativo: sono i consigli della Polizia Postale contro i ransomware.
Errori comuni
- Conservare solo il PDF estratto e cancellare il file .p7m, che è quello con la firma.
- Pensare che aprire un .p7m voglia dire averne verificato la firma.
- Rinominare il file da .p7m a .pdf sperando che si apra.
- Stampare le ricevute PEC invece di salvarle come file.
- Aprire l’allegato di una PEC solo perché è una PEC.
Domande frequenti
Il PDF estratto da un .p7m ha valore legale?
È una copia del documento senza la firma: va bene per leggerlo, stamparlo o inoltrarlo. Il valore legale è nel file .p7m, che va conservato.
Che differenza c’è fra .p7m e .p7s?
Il .p7m contiene documento e firma insieme. Il .p7s contiene solo la firma: il documento firmato è un altro file, spedito insieme. Nella PEC, smime.p7s è la firma del gestore sulla busta.
Una PEC vale anche se il destinatario non la apre?
Sì. Si considera consegnata quando è disponibile nella casella del destinatario, e la ricevuta di avvenuta consegna viene rilasciata in quel momento, indipendentemente dalla lettura.
Posso mandare una PEC a un indirizzo email normale?
Il messaggio parte e ricevi la ricevuta di accettazione, ma non quella di avvenuta consegna: per la prova della consegna servono due indirizzi PEC.
Ho perso le ricevute di una PEC: c’è rimedio?
Il gestore conserva il registro dei messaggi per trenta mesi, e le informazioni del registro valgono verso i terzi. Chiedile al tuo gestore.
Fonti ufficiali
- D.Lgs. 7 marzo 2005, n. 82, art. 45: quando un documento trasmesso si considera spedito e consegnato.
- D.Lgs. 7 marzo 2005, n. 82, art. 48: la PEC equivale alla notificazione per posta.
- D.P.R. 11 febbraio 2005, n. 68, art. 6: ricevute di accettazione e di avvenuta consegna.
- D.P.R. 11 febbraio 2005, n. 68, art. 11: registro dei messaggi conservato per trenta mesi.
- Regole tecniche della posta elettronica certificata (D.M. 2 novembre 2005), AgID: busta di trasporto, postacert.eml, daticert.xml e tipi di ricevuta.
- AgID, «Ottenere la firma elettronica»: prestatori di firma e firma locale o remota.
- Polizia Postale, «Attenzione agli allegati ricevuti da false PEC».
Le cifre degli esempi sono calcolate con gli stessi motori degli strumenti del sito, sulle regole in vigore alla data di aggiornamento. Come le controlliamo: come verifichiamo i dati. Questa guida non sostituisce il parere di un professionista.