Home / Verifica marca temporale
Verifica una marca temporale
Carica il file .tsr e il documento: scopri se la marca appartiene davvero a quel file, se il token è integro e se l'autorità che l'ha emessa è qualificata eIDAS. La verifica avviene nel tuo browser: niente viene caricato.
Controlla un file .tsr
Una marca temporale sigilla l'impronta di un documento in un certo istante. Verificarla significa rispondere a tre domande distinte: il file è quello marcato, il token è intatto, e chi l'ha firmato è un'autorità riconosciuta.
Il file non viene caricato. La verifica gira nel browser: la pagina scarica una volta sola l'elenco dei certificati di cui fidarsi — 663 servizi qualificati di 24 paesi europei, aggiornato il 2026-09-17, e da lì in poi lavora in locale. Né il documento né la marca lasciano il tuo computer.
Cosa non viene controllato: la revoca. Sapere se il certificato dell'autorità era stato revocato richiede di interrogare le liste CRL o i servizi OCSP della certification authority, che non espongono gli header CORS necessari a una pagina web. È l'unico limite di una verifica fatta nel browser, e preferiamo dirlo invece di tacerlo.
Il documento viene tenuto in memoria per intero: il limite pratico è 150 MB.
Come leggere il risultato
I tre riscontri sono indipendenti, e servono tutti e tre. È la distinzione che conta di più, perché un token è un oggetto auto-consistente: chiunque può fabbricarne uno che quadra con sé stesso.
- Impronta del documento — l'hash del file che hai caricato coincide con quello sigillato nel token. Se non coincide, la marca appartiene a un altro documento oppure il documento è stato modificato dopo.
- Firma del token — il token non è stato alterato dopo l'emissione ed è firmato dalla chiave del TSU.
- Catena di certificazione — il certificato di chi ha firmato risale a un'autorità riconosciuta. È questo il controllo che smaschera una marca fabbricata: una TSA inventata supera i primi due e cade su questo.
Qualificata o no
Oltre ai tre controlli, lo strumento cerca il certificato firmatario (o la CA che l'ha emesso) nelle Trusted List pubblicate dagli Stati membri. Se compare come servizio di marcatura temporale qualificata con stato granted, la marca è qualificata ai sensi del regolamento UE 910/2014 e gode della presunzione dell'art. 41: accuratezza della data e integrità dei dati. Se non compare, la marca può essere tecnicamente ineccepibile ma il suo valore in giudizio va argomentato.
La marca temporale che produce il nostro strumento gratuito, per esempio, è emessa da una TSA commerciale attendibile ma non qualificata: passa i tre controlli e non ottiene la stella.
Domande frequenti
.tsr leggi data e ora, autorità emittente, algoritmo, numero di serie, policy e se il servizio è qualificato. Quello che non puoi sapere, senza il documento, è se quella marca appartiene proprio a quel file: è esattamente la domanda a cui serve il confronto delle impronte.
Una marca qualificata gode di una presunzione di legge: chi la contesta deve dimostrare che è sbagliata, non il contrario. Una marca non qualificata è una prova come le altre, che va sostenuta spiegando come è stata prodotta e perché quell'autorità è affidabile.
Nella pratica: per un deposito, una scadenza contrattuale o un termine di legge, serve una marca qualificata. Per datare un'acquisizione e poterne dimostrare l'integrità nel tempo, una marca non qualificata assolve bene il suo compito.
Può succedere in tre casi. Il token non porta con sé la catena completa dei certificati (alcune TSA la omettono, e senza quella il browser non può risalire all'ancora). Oppure la radice usata dal fornitore non è fra quelle pubbliche né fra le qualificate europee — capita con TSA interne aziendali. Oppure il certificato era già scaduto al momento della verifica.
In tutti e tre i casi il verdetto è onesto: da qui non riesco a stabilire che sia autentica. Non è la stessa cosa che dire che è falsa.