Simplifi
Torna all'Aiuto
Firma locale · SEAP

Firma separata .p7s per SEAP/SICAP con Simplifi Sign ed EU DSS

Alcuni disciplinari di gara di SICAP richiedono che i documenti dell'offerta siano accompagnati da una firma separata in formato .p7s (CAdES). Acrobat produce solo PAdES (firma dentro il PDF), e lo stesso vale per la firma da browser Simplifi. Per il .p7s usi il certificato Simplifi, esposto da Simplifi Sign, in un'applicazione CAdES: l'app gratuita EU DSS Standalone della Commissione europea, su Windows.

Verificato da Simplifi il 17 ottobre 2026

Quando ti serve il .p7s e cos'è

La HG 395/2016, art. 60 c. (4), richiede che i documenti dell'offerta siano firmati con firma elettronica basata su certificato qualificato. Il formato lo stabilisce la stazione appaltante nel disciplinare: nella maggior parte dei casi un PDF firmato (PAdES), a volte un "file .p7s" o una "firma separata", soprattutto per gli archivi ZIP.

Un file .p7s è una firma CAdES separata: un file a parte che firma qualsiasi documento o archivio senza modificarlo. Si carica su SICAP insieme al documento originale.

Simplifi Sign espone il tuo certificato qualificato al sistema operativo (archivio certificati di Windows). Qualsiasi applicazione CAdES che legge quell'archivio può firmare con esso. L'app EU DSS Standalone, pubblicata dalla Commissione europea, fa esattamente questo, gratis e offline (tranne le verifiche OCSP/CRL).

Passaggi (Windows)

  1. 01

    Verifica il certificato in Windows

    Con Simplifi Sign in esecuzione e con l'accesso effettuato, apri certmgr.msc > Personale > Certificati. Il tuo certificato Simplifi deve mostrare l'icona della chiave (ha una chiave privata). DSS legge esattamente questo elenco.

  2. 02

    Scarica EU DSS Standalone

    Dalla pagina "Standalone application" della demo DSS (ec.europa.eu/digital-building-blocks), scegli l'archivio Windows x64 "Complete" (include Java). Estrailo in una cartella senza spazi nel nome ed esegui dss-run.bat. Windows SmartScreen potrebbe chiedere conferma.

  3. 03

    Configura la firma

    Nella finestra Signature: Signature format CAdES, Packaging DETACHED, Level CAdES-BASELINE-B, Digest SHA256. Token: MS CAPI. Scegli il file da firmare (PDF, ZIP, qualsiasi).

  4. 04

    Firma con il certificato Simplifi

    Premi Sign, scegli il certificato emesso da "Simplifi Qualified CA" e conferma in Simplifi Sign quando richiesto. DSS salva la firma come file separato, di norma con il nome del documento più l'estensione .p7s.

  5. 05

    Valida

    Nella scheda Validation di DSS, carica il .p7s e, sotto "Detached content", il documento originale. Risultato atteso: CAdES-BASELINE-B, QESig, TOTAL_PASSED. Alla prima esecuzione può comparire "indeterminate" finché DSS non scarica la lista di fiducia UE; riprova dopo un minuto.

  6. 06

    Carica su SICAP

    Carica il documento originale e il file .p7s insieme, nel passaggio richiesto dal disciplinare. Non rinominare né modificare nessuno dei due file dopo la firma.

Problemi frequenti

DSS non mostra il certificato Simplifi sotto MS CAPI
Simplifi Sign non è in esecuzione oppure non hai effettuato l'accesso. Verifica in certmgr.msc che il certificato compaia con chiave privata, poi riavvia DSS.
"Firma non valida" su SICAP o presso la stazione appaltante
Il caso più frequente: il file originale è stato modificato o rinominato dopo la firma, oppure il .p7s è stato creato su un altro file (ad es. sul PDF mentre su SICAP è stato caricato l'archivio). Una firma separata è legata ai byte esatti del file.
Ti serve una marca temporale (CAdES-T)
SEAP non richiede una marca temporale nel .p7s. La marca temporale Simplifi viene applicata sui nostri server e non è esposta come servizio RFC 3161, quindi DSS produce CAdES-B. Non usare server orari pubblici gratuiti: non sono qualificati.

Domande frequenti

Un .p7s creato in questo modo è qualificato?
Sì, il certificato è qualificato e la chiave è protetta nel QSCD di Simplifi; DSS si limita a formattare la firma CAdES. Il validatore la riporta come QESig.
Un .p7s per documento o uno per archivio?
Come richiede il disciplinare. Se non è specificato, la scelta più sicura è un .p7s per ogni file caricato.
Funziona su macOS?
Non ancora per il .p7s: EU DSS Standalone non ha una versione macOS. Firma i PDF dal browser oppure usa un computer Windows per il .p7s.
Perché non usare la demo web di DSS?
La demo web firma sul server della Commissione, richiede un file .p12 con chiave esportabile e carica lì i tuoi documenti. Non è adatta né tecnicamente (la chiave Simplifi non è esportabile) né per la riservatezza dell'offerta.

Guide correlate