Marca temporale: cos'è, a cosa serve e come verificarla

Cos'è una marca temporale

Una marca temporale associa dati a un riferimento temporale attraverso una struttura verificabile. Aiuta a dimostrare che un determinato oggetto informatico esisteva a una certa data e ora. Non coincide con la data di creazione mostrata dal sistema operativo, con l'orario dell'ultimo salvataggio o con una frase inserita nel testo del documento.

Nel protocollo descritto dalla RFC 3161, la richiesta di marcatura contiene un'impronta dei dati. L'autorità di marcatura produce una risposta firmata che collega quell'impronta a un riferimento temporale. In questo modo si può controllare il legame con i dati senza considerare sufficiente il nome del file. Se il contenuto cambia, cambia il valore da confrontare con la marca.

La nozione di marca temporale qualificata aggiunge requisiti normativi e di servizio. Non qualsiasi token temporale è qualificato. Il regolamento eIDAS distingue la validazione temporale elettronica dalla sua forma qualificata e disciplina gli effetti della seconda. Per accertare la qualifica occorre verificare il servizio e le condizioni pertinenti, non soltanto leggere il campo che contiene l'ora.

Per orientarti pensa a due domande separate: “quali dati sono collegati a questa marca?” e “perché posso fidarmi dell'ora e del soggetto che la dichiara?”. La risposta alla prima richiede un confronto crittografico; la seconda richiede certificati, fiducia e controlli sul servizio. Trovare una data risponde soltanto a una piccola parte del problema.

Marca temporale e firma digitale: le differenze

Una firma digitale collega dati e chiave di firma, mentre una marca temporale aggiunge una prova relativa al tempo. I due elementi possono essere usati insieme ma non svolgono lo stesso ruolo. Una marca su un documento non significa che il suo autore lo abbia sottoscritto; una firma con un campo “ora della firma” non significa che un'autorità abbia attestato quell'ora.

Il momento dichiarato dal software di firma può dipendere dall'orologio del dispositivo. È un'informazione utile da mostrare, ma non va trattata come una prova indipendente. Una marca attestata da un'autorità ha un percorso di verifica diverso. Nel risultato del tool cerchiamo di mantenere leggibile questa distinzione, evitando di presentare tutte le date con la stessa etichetta.

Un esempio aiuta: un documento può riportare nel testo una data precedente alla sua effettiva preparazione. Una marca valida prova l'esistenza dei dati a un certo momento, ma non garantisce che ogni affermazione scritta nel documento sia vera. Analogamente, verificare la firma non dimostra che un contratto sia conveniente o che una persona avesse tutti i poteri necessari a sottoscriverlo.

Il riferimento pratico dipende dalla tua domanda. Se vuoi conoscere i dati del firmatario e controllare l'integrità, parti dalla verifica firma digitale online. Se vuoi valutare una data certa nel contesto di una pratica, conserva anche le prove temporali e chiedi quale evidenza sia richiesta al destinatario.

La marca temporale in CAdES-T e CAdES-A

Le famiglie di firme prevedono modi diversi per aggiungere prove temporali e proteggere il materiale di validazione. Nelle denominazioni storiche CAdES, il suffisso T richiama l'aggiunta di una marca sulla firma; le forme di archivio estendono la protezione delle evidenze necessarie nel tempo. La guida alla firma CAdES spiega come leggere queste sigle senza confonderle con le estensioni dei file.

In un PDF puoi incontrare i profili PAdES B-T, B-LT e B-LTA. La loro interpretazione richiede di controllare gli elementi richiesti dal profilo, i collegamenti tra di essi e le firme che li proteggono. Un campo che sembra contenere una marca non autorizza automaticamente a dichiarare un livello B-LTA. La pagina sulla firma PAdES presenta la progressione dei livelli.

Una marca aggiunta alla firma e una marca applicata all'insieme delle evidenze non proteggono necessariamente gli stessi byte. Nel tempo il materiale necessario può crescere: nuovi certificati, informazioni sulla revoca, prove già raccolte e loro protezioni. È il collegamento tra questi elementi a rendere utile la catena delle evidenze, non il numero di date presenti nel file.

Per chi riceve un documento, il comportamento più prudente è conservarne la versione originale e non separare elementi che potrebbero servire alla verifica. Una stampa, una scansione o un PDF prodotto con “stampa su file” possono rendere il testo leggibile ma non preservare le strutture crittografiche originali. Per l'archivio usa una copia esatta del file ricevuto.

Come verificare una marca temporale

Il primo passaggio è individuare il token e capire che cosa protegge. Il secondo è confrontare l'impronta del contenuto pertinente con quella dichiarata. Il terzo è esaminare la firma dell'autorità, il certificato e le evidenze necessarie a valutarne la fiducia e lo stato. Un controllo completo considera anche la politica di validazione e il momento rispetto al quale viene formulato il risultato.

Il nostro strumento rileva le strutture temporali supportate all'interno dei file analizzati, ma la presenza segnalata non è una convalida completa della marca. Non attribuisce la qualifica al servizio temporale e non dimostra da sola che il certificato del firmatario fosse valido in quella data. Quando una verifica non è eseguita o mancano elementi sufficienti, il risultato lo indica.

Puoi aprire un file P7M online oppure esaminare un PDF nella pagina dedicata. Se hai invece una marca distribuita separatamente, conserva il token insieme al documento esatto a cui si riferisce e usa uno strumento che supporti quel formato. Non cambiare estensione e non scegliere un documento solo perché ha un nome simile.

Per confrontare risultati, annota il nome del verificatore, la data del controllo e gli eventuali messaggi sui dati mancanti. Due strumenti possono produrre conclusioni diverse perché applicano politiche differenti o dispongono di evidenze diverse. Prima di interpretare un disaccordo come un difetto del documento, leggi i dettagli del rapporto.

Puoi verificarlo da solo: apri gli strumenti per sviluppatori del browser (tasto F12), vai sul pannello Network e trascina un file. Non vedrai nessuna richiesta contenere il tuo documento. I programmi necessari sono serviti da questo sito: il primo utilizzo può caricare risorse statiche, mai il contenuto del file selezionato.

Scadenza dei certificati e conservazione nel tempo

Una prova temporale può contribuire a ricostruire lo stato di una firma prima della scadenza del certificato, ma non risolve automaticamente ogni problema. Occorre verificare che sia pertinente, attendibile e accompagnata dalle altre evidenze necessarie. Una marca applicata dopo la scadenza non dimostra retroattivamente che la firma fosse già presente prima.

La conservazione a lungo termine è inoltre un processo: richiede gestione dei documenti, reperibilità delle prove e attenzione all'evoluzione degli algoritmi. Non esiste un intervallo universale che renda qualsiasi marca “valida per sempre”. Per documenti con obblighi specifici consulta le regole applicabili e chi gestisce la conservazione.

Se oggi devi soltanto leggere un documento, evita di trasformare la prima analisi in una conclusione giuridica generale. Conserva i file, distingui ciò che è stato controllato da ciò che non lo è stato e raccogli le evidenze mancanti prima di prendere una decisione che dipende dalla data.

Un piccolo registro di archivio può aiutarti a ritrovare il materiale: nome del file ricevuto, provenienza, data della ricezione e posizione delle copie originali. Queste annotazioni non diventano una marca temporale e non sostituiscono le evidenze crittografiche, ma riducono gli errori operativi. Se il documento viene spostato o rinominato, mantieni comunque chiaro il legame con gli eventuali token separati. Per gli archivi professionali, concorda queste procedure con il responsabile della gestione documentale o della conservazione.