Firma digitale scaduta: cosa fare e se i file valgono

Se la tua firma digitale è scaduta, non puoi rinnovarla: InfoCert scrive che «Non è possibile rinnovare un certificato digitale già scaduto», sia su dispositivo sia in firma remota, e che serve un certificato nuovo. I documenti che hai firmato quando il certificato era valido restano validi a una condizione, ed è quella che decide tutto: devono avere un riferimento temporale opponibile ai terzi, come una marca temporale, anteriore alla scadenza.

Cosa non puoi più fare

Il Codice dell'amministrazione digitale (art. 24, comma 3) chiede un certificato qualificato «che, al momento della sottoscrizione, non risulti scaduto di validità ovvero non risulti revocato o sospeso». Il comma 4-bis è più duro: una firma digitale basata su un certificato scaduto «equivale a mancata sottoscrizione». Quindi un contratto o un PDF firmato oggi con il certificato scaduto è, per la legge, un documento non firmato.

La posta in gioco cambia con il documento. Per le scritture private su immobili (art. 1350 del codice civile, numeri da 1 a 12) l'art. 21, comma 2-bis, del CAD richiede la firma qualificata o digitale «a pena di nullità».

Rinnovare prima, e quanto prima

La durata è di 3 anni: lo dicono Aruba («3 anni, calcolati dalla data di emissione del certificato») e Namirial («La durata di un certificato è di 3 anni e prima della scadenza può essere rinnovato per altri tre anni»). Nella guida Aruba per la smart card si può rinnovare da 2 mesi prima della scadenza, e rinnovare in anticipo non fa perdere nulla: i 3 anni successivi partono dalla scadenza effettiva del certificato precedente.

Due trappole, sempre dalla stessa guida Aruba. Se paghi il rinnovo prima della scadenza, la firma si rinnova da sola il giorno della scadenza. Se l'ordine non viene completato entro 90 giorni, il certificato viene revocato. Namirial avverte che pagamento e procedura vanno chiusi alcuni giorni prima, altrimenti il certificato risulta scaduto.

I file già firmati: tre casi

↗ SPID Poste a pagamento: 6 euro l'anno e se non paghi

La regola sta nell'art. 62 del DPCM 22 febbraio 2013: le firme qualificate e digitali, «ancorché sia scaduto, revocato o sospeso il relativo certificato qualificato del sottoscrittore, sono valide se alle stesse è associabile un riferimento temporale opponibile ai terzi che collochi la generazione di dette firme [...] in un momento precedente alla scadenza, revoca o sospensione». Tradotto in tre situazioni:

• Il file ha la marca temporale. Sei coperto. Aruba scrive che la marca, «se apposta durante il periodo di validità del Certificato di firma digitale», mantiene valida la firma anche dopo scadenza, sospensione o revoca. Il costo: sul sito Aruba la firma remota da 45,90 euro + IVA per 3 anni la include, mentre per Aruba Key (68,90 euro + IVA) la marca è «acquistabile separatamente» e la pagina non dice quanto costa.
• Il file non ha la marca, ma è passato da un canale che dà una data certa. L'art. 41 del DPCM elenca fra le validazioni temporali anche il riferimento ottenuto con la posta elettronica certificata. Se hai inviato il file via PEC prima della scadenza, esiste una data anteriore. Le fonti ufficiali consultate non dicono se ogni controparte, notaio compreso, la accetti: va chiesto a lei.
• Nessuna delle due. Resta il testo dell'art. 62: senza un riferimento temporale anteriore, la validità non è garantita. Il rovescio è pratico: chi riceve il file può chiederti di firmarlo di nuovo, e per farlo ti serve il certificato nuovo.

Cosa fare oggi

↗ Come segnalare una truffa via SMS: dove va ogni messaggio

Controlla la data di scadenza e apri uno per uno i file importanti degli ultimi anni: quelli senza marca temporale sono i primi da rifirmare con il nuovo certificato o da far passare da un canale con data certa. Se il certificato è già scaduto, compra quello nuovo e, dove puoi sceglierlo, prendi la versione con la marca inclusa.