Apri un file

Cos’è un file P7M

Un file P7M è un documento firmato digitalmente in formato CAdES: una busta crittografica che contiene il documento originale, il certificato di chi ha firmato e la firma. L’estensione .p7m si aggiunge a quella del documento, come in contratto.pdf.p7m. Il contenuto non è cifrato: per leggerlo basta estrarlo dalla busta, senza modificarlo.

  • Visualizzazione gratuita Senza limiti né registrazione
  • Nessun upload Il file resta sul dispositivo
  • Firma verificata nel browser CAdES, anche offline

Scarica il documento

I pagamenti non sono ancora attivi: Pro è in arrivo.

Hai già acquistato?
Verifica con valore legale

Controllo tecnico: struttura della busta, impronte, integrità crittografica, catena del certificato verso gli elenchi di fiducia UE (copie offline del 15/10/2026) e revoca, dai dati del file o online su richiesta. Non è una verifica legale della firma.

Per una verifica con valore legale usa un verificatore ufficiale:

Il file P7M è il modo più diffuso, in Italia, di firmare digitalmente un documento. Lo ricevi da notai, tribunali, Comuni, commercialisti e fornitori, spesso via PEC. Questa guida spiega che cos’è, com’è fatto e come si apre; se ti serve solo leggere un file adesso, vai al visualizzatore per aprire file P7M online.

Il P7M in parole semplici

Immagina una busta trasparente sigillata. Dentro c’è il documento, per esempio un PDF; sul sigillo ci sono il nome di chi ha firmato e un’impronta del documento. Se qualcuno cambiasse anche una sola virgola, l’impronta non corrisponderebbe più.

Un P7M contiene tre cose:

  1. il documento originale, identico byte per byte a quello firmato;
  2. il certificato del firmatario, rilasciato da un ente certificatore: nome, codice fiscale, periodo di validità;
  3. la firma, calcolata sull’impronta del documento con la chiave privata del firmatario.

La busta non nasconde il contenuto: la firma garantisce chi ha firmato e che il documento non è cambiato, non la riservatezza. Per questo il documento si può estrarre senza alcuna chiave.

Perché un doppio clic non lo apre

Il computer sceglie il programma in base all’ultima estensione, .p7m. Se non hai installato un software di firma, il sistema non sa cosa farne. Se togli .p7m dal nome, il lettore PDF prova ad aprire la busta come se fosse un PDF e segnala un file danneggiato.

Il documento c’è, ma va estratto dalla busta. Si può fare nel browser, senza programmi: lo strumento in questa pagina apre la busta sul tuo dispositivo, mostra il documento e controlla la firma. Per salvare il PDF vedi convertire P7M in PDF, per i passi su telefono e computer aprire file P7M su ogni dispositivo.

Come leggere il nome di un file firmato

Il nome si legge da destra verso sinistra: l’ultima estensione è la busta più esterna, la prima è il documento.

Nome del fileChe cosa significa
contratto.pdf.p7mun PDF firmato una volta
IT01234567890_00001.xml.p7muna fattura elettronica XML firmata
verbale.pdf.p7m.p7mun PDF firmato due volte, una busta dentro l’altra
relazione.pdf.p7m.tsdun PDF firmato e poi marcato temporalmente
documento.p7muna busta senza indizi sul contenuto: lo riconosce lo strumento

Le estensioni possono essere sbagliate o mancare: lo strumento riconosce il formato dai primi byte del contenuto, non dal nome, e propone il nome giusto.

Cosa può contenere un P7M

Qualsiasi file. I casi più comuni hanno una guida dedicata, perché ognuno ha i suoi problemi tipici:

Com’è fatto dentro: CAdES e CMS

Dal punto di vista tecnico un P7M è un oggetto CMS SignedData (RFC 5652, l’evoluzione dello standard PKCS#7) con il contenuto incluso, firmato secondo il profilo europeo CAdES (ETSI EN 319 122). Lo schema più sotto mostra le sue parti principali. Nella pratica italiana incontri queste varianti:

  • DER binario: la forma più comune. Il file inizia con il byte 0x30 e non è leggibile in un editor di testo.
  • Base64 o PEM: lo stesso contenuto codificato come testo, che inizia con MII… o con -----BEGIN. Capita con alcune PEC, gestionali e portali: vedi P7M in Base64.
  • BER a lunghezza indefinita: prodotto da alcuni software per file molto grandi; è valido e si apre.

Per leggere il documento basta estrarre il contenuto (eContent). Nello stesso passaggio lo strumento ricalcola l’impronta SHA-256 del documento e la confronta con quella firmata, verifica la firma con la chiave pubblica del certificato e mostra i dati del firmatario.

Firme multiple e marca temporale

Un documento può avere più firme. Nelle firme parallele più persone firmano la stessa busta, ognuna con il suo blocco di firma; nelle firme annidate (.p7m.p7m) la seconda firma racchiude la prima; le controfirme firmano la firma di un altro. Ogni firma ha il suo esito: vedi P7M con più firme.

La marca temporale, rilasciata da un ente certificatore (TSA), prova quando esistevano la firma o il documento. Può stare dentro la firma (CAdES-T) oppure accompagnare il P7M in un altro file: nascono così il TSD, il M7M e la marca .tsr da sola. Le differenze sono in TSD, TSR e M7M.

P7M, P7S, PAdES e XAdES: le differenze

FormatoDove sta la firmaChe file ricevi
CAdES attachedbusta attorno al documento.p7m
CAdES detachedfile separato.p7s + documento, vedi aprire file P7S
PAdESdentro il PDF.pdf, si apre con qualsiasi lettore PDF
XAdESdentro l’XML.xml, tipico delle fatture e delle notifiche SdI

CAdES e PAdES hanno lo stesso valore: cambia solo dove si trova la firma. Quando conviene l’uno o l’altro è spiegato in CAdES o PAdES.

Formati da riconoscere al volo

  • .p7m.enc: busta cifrata (CMS EnvelopedData) per un destinatario preciso; si apre solo con la sua chiave privata, vedi file .p7m.enc.
  • smime.p7s e smime.p7m: la firma di un’e-⁠mail, spesso della PEC; non è un documento.
  • begin 644 … nel testo di un’e-⁠mail: un allegato in formato uuencode di vecchi programmi di posta, che lo strumento estrae come file.
  • .asice e .asics: contenitore ASiC, uno zip con documenti e firme diffuso in altri Paesi UE; lo strumento estrae i documenti e controlla che ogni file sia firmato.

Valore legale del P7M

In Italia un documento informatico con firma digitale, il tipo più diffuso di firma elettronica qualificata, soddisfa il requisito della forma scritta secondo il Codice dell’amministrazione digitale (CAD). Grazie al regolamento europeo eIDAS, la firma elettronica qualificata ha lo stesso effetto giuridico di una firma autografa in tutta l’Unione.

Perché la firma valga, il certificato deve essere qualificato e valido, non revocato, al momento della firma; una marca temporale rende certa quella data. Due conseguenze pratiche:

  • il documento estratto è una copia senza firma: il file con valore legale resta il .p7m, da conservare così come l’hai ricevuto;
  • un certificato scaduto oggi non rende invalida una firma apposta quando era valido, vedi firma scaduta.

Lo strumento controlla integrità, firma, certificato, elenchi di fiducia UE e, se lo chiedi, la revoca: come leggere ogni esito è spiegato nella guida per verificare la firma digitale di un P7M. Resta un controllo tecnico: per una verifica con valore legale usa i verificatori ufficiali elencati sotto lo strumento.

Fonti e norme

Struttura interna di un P7M

  • ContentInfo (SignedData)L’intero file .p7m, codificato in DER (binario) o in Base64
    • digestAlgorithmsAlgoritmo d’impronta usato, oggi SHA-256
    • encapContentInfo → eContentIl documento originale (PDF, XML, DOCX…) così com’è
    • certificatesCertificato del firmatario, a volte anche quello della CA
    • signerInfos (uno per firmatario)Attributi firmati: impronta del documento, data di firma, riferimento al certificato; poi la firma
      • Attributi non firmati (facoltativi)Marca temporale sulla firma (CAdES-T), controfirme
Semplificazione della struttura CMS SignedData usata da CAdES.

Domande frequenti

P7M e CAdES sono la stessa cosa?

In pratica sì: CAdES è lo standard europeo di firma digitale (ETSI) e .p7m è l’estensione usata in Italia per i file firmati in CAdES con il documento incluso. La firma separata dello stesso standard, senza il documento dentro, usa invece l’estensione .p7s.

Qual è la differenza tra P7M e P7S?

Il P7M contiene il documento dentro la busta di firma; il P7S contiene solo la firma, mentre il documento viaggia come file separato. Per aprire e verificare un P7S servono quindi due file, la firma e l’originale: trascinali insieme e lo strumento li abbina.

Il documento dentro il P7M è cifrato?

No. La firma garantisce integrità e autenticità, non riservatezza: il documento è dentro la busta in chiaro, per questo si può estrarre senza alcuna chiave. Solo i file .p7m.enc sono cifrati, e si aprono soltanto con la chiave privata del destinatario.

Cosa significa .pdf.p7m.p7m?

Che il documento è stato firmato due volte in sequenza: la seconda persona ha firmato la busta della prima. Il nome si legge da destra: la busta più esterna è l’ultima estensione. Lo strumento apre le buste una dopo l’altra e mostra tutti i firmatari.

Perché alcuni P7M sono file di testo?

Alcuni sistemi salvano la busta codificata in Base64, con o senza le righe -----BEGIN PKCS7-----, per esempio certe PEC e certi portali. Il contenuto è lo stesso del file binario: lo strumento riconosce il testo, lo decodifica e apre la busta normalmente.

Come si crea un file P7M?

Con un dispositivo di firma, come smart card, token USB o firma remota, e il software fornito dall’ente certificatore. unp7m serve solo ad aprire, leggere e verificare i P7M, non a firmare: per firmare un documento serve il tuo kit di firma digitale.

Un P7M con certificato scaduto è ancora leggibile?

Sì. La scadenza del certificato riguarda la validità della firma, non la possibilità di leggere il documento: lo estrai comunque. Per valutare la firma conta la data in cui è stata apposta, meglio se provata da una marca temporale.

Come si aprono i file firmati digitalmente?

Dipende dal formato. Un PDF firmato in PAdES si apre con qualsiasi lettore PDF; un file .p7m, .tsd o .m7m va prima aperto per estrarre il documento, cosa che si fa nel browser senza programmi; una firma separata .p7s si verifica insieme al documento originale. In ogni caso conserva il file firmato così come l’hai ricevuto.

Cosa significa la sigla P7M?

P7M sta per «PKCS #7 MIME», dal nome dello standard di crittografia PKCS #7, oggi chiamato CMS (Cryptographic Message Syntax, RFC 5652). L’estensione indica un messaggio firmato che contiene anche il documento; .p7s indica invece la sola firma, da «PKCS #7 Signature».

Un file P7M ha una scadenza?

Il file no: un .p7m si apre e si legge per sempre. Scade il certificato di chi ha firmato, di solito dopo tre anni, ma una firma apposta quando il certificato era valido resta valida. Per dimostrare la data della firma anche dopo la scadenza si usa la marca temporale, nei file .m7m o .tsd.

Che differenza c’è tra firma digitale e firma elettronica?

La firma elettronica è qualsiasi dato che collega una persona a un documento, anche un clic o una firma su tablet. La firma digitale, in Italia, è la firma elettronica qualificata basata su un certificato qualificato e su un dispositivo sicuro: vale come la firma autografa e produce file .p7m (CAdES) o PDF firmati (PAdES).

Si può modificare un file P7M?

Si può, ma ogni modifica rompe la firma: anche un solo byte cambiato fa fallire il controllo di integrità, e lo strumento lo segnala in rosso. Per cambiare un documento firmato bisogna modificare il documento originale e farlo firmare di nuovo, creando un nuovo file .p7m.

Approfondimenti

Aggiornato il · a cura di unp7m