Firma digitale e PEC su Linux

Chi ha bisogno di firmare digitalmente un documento o attivare una PEC su Linux di solito trova due tipi di risposte online: forum tecnici del 2015 pieni di comandi da smanettone, oppure articoli generici che parlano solo di Windows come se Linux non esistesse. Ti risparmio entrambi gli scenari. Ecco cosa funziona oggi, cosa evitare, e come muoverti senza perdere una giornata intera.

Prima cosa da sapere: due formati diversi

Quando firmi digitalmente un documento in Italia, il file può uscire in due formati. PAdES mantiene l’estensione .pdf originale: chiunque lo apre con un lettore PDF normale vede che è firmato. CAdES invece aggiunge .p7m al nome del file originale, quindi un documento Word diventa contratto.doc.p7m. Non toccare mai quell’estensione: se la rinomini o la elimini, il destinatario non riesce più a verificare la firma.

Hardware: qui si fanno più errori che altrove

Un errore che vedo ripetersi: un lettore per CNS/CRS non è lo stesso di un lettore per CIE. La CNS (Carta Nazionale dei Servizi, quella della tessera sanitaria con microchip) richiede un lettore a contatto, mentre la CIE (Carta d’Identità Elettronica) è contactless. Se compri il lettore sbagliato pensando che vadano bene entrambi, lo restituisci e ricominci da capo. Controlla sempre la scheda prodotto prima di ordinare, non fidarti del nome generico “lettore smart card”.

Su questo hardware, un token come Aruba Key (quello che integra SIM e lettore in un’unica chiavetta USB) ha un supporto Linux debole: se puoi scegliere, preferisci un lettore USB standalone con un driver PKCS#11 dichiarato compatibile. Il Bit4id MiniLector EVO è la scelta più semplice: legge CNS, CRS, Tessera Sanitaria e le card di firma digitale di Aruba, InfoCert, Infocamere e Namirial, è plug and play senza driver da installare grazie allo standard CCID, e funziona su Linux senza configurazioni particolari. Copre solo le smart card a contatto, quindi non legge la CIE in modalità contactless.

Se ti serve un lettore che gestisca anche la Carta d’Identità Elettronica, prendi direttamente il Bit4id MiniLector CIE Plus: ha doppia modalità di lettura, a contatto per CNS/CRS/firma digitale e contactless con sensore NFC per la CIE 3.0, quindi con questo solo non rischi di dover comprare due lettori diversi. Costa qualcosa in più del modello base, ma se hai anche solo la possibilità di dover autenticarti con la CIE su un portale della Pubblica Amministrazione, ti conviene prenderlo subito invece di scoprirlo dopo.

Il software che serve per far funzionare la CIE

Il lettore da solo non basta: la CIE ha bisogno del middleware ufficiale del Ministero dell’Interno, non del produttore del lettore. Lo trovi qui: https://www.cartaidentita.interno.gov.it/pa-e-imprese/documentazione-middleware-cie/

Su Ubuntu, Linux Mint e derivate Debian:

Scarica il pacchetto .deb dalla pagina ufficiale
Da terminale: sudo dpkg -i cie-Software_<versione>_amd64.deb
Inserisci la password quando richiesta
Al termine compare l’icona CIE ID nella barra delle applicazioni

Al primo utilizzo appoggi la carta sul lettore, apri CIE ID, inserisci l’intero PIN da 8 cifre per l’abbinamento. Dagli utilizzi successivi bastano le ultime 4 cifre.

Su Fedora e distro Red Hat based: stesso procedimento con il pacchetto .rpm.

Su Arch, CachyOS e distro non coperte dai pacchetti ufficiali: il Ministero fornisce solo il codice sorgente su GitHub, etichettato beta dagli stessi sviluppatori. Non è un pacchetto pronto all’uso come per Debian o Fedora, richiede compilazione manuale. Se sei su queste distro, parti da lì, ma sappi che è terreno meno battuto rispetto alle altre due.

Il software: cosa funziona su Linux

Qui la buona notizia è che le opzioni gratuite non mancano, ma vanno scelte con criterio.

GoSign Desktop (il nuovo nome di Dike6, targato InfoCert) è probabilmente il software più diffuso in Italia per firmare, verificare e gestire certificati. È gratuito ma non open source, scritto in Java. Attenzione: ha avuto problemi di compatibilità con Ubuntu 22.04 e Linux Mint 21 nelle versioni più recenti. Con Linux Mint 22.3 su base Ubuntu 24.04 e un lettore Bit4id funziona correttamente, testato di recente. Se sei su una distro più vecchia, verifica prima di dare per scontato che funzioni.

screen flusso firma su webmail da inserire in pagina

ArubaSign è l’alternativa di Aruba, anche questa gratuita ma non libera, disponibile per Windows, Mac e Linux. Fa lo stesso lavoro di GoSign con un’interfaccia diversa.

firmaOK! di Poste Italiane ha una build Linux dedicata scaricabile direttamente dal sito Postecert, sia 32 che 64 bit. Se possiedi già una smart card emessa da Poste, è la scelta più diretta.

LibreOffice ha una funzione di firma digitale integrata per i PDF, la più comoda se hai già la suite installata e non vuoi aggiungere altro software. Attenzione a due dettagli: perché la firma sia visibile nel documento devi prima inserire lo spazio firma dal menu dedicato, altrimenti resta valida ma invisibile, e devi salvare il file prima di firmarlo, se lo modifichi dopo la firma viene persa automaticamente.

PEC: cosa serve sapere prima di pagare qualcosa

La PEC oggi è obbligatoria per imprese e liberi professionisti dal 2020, ed è diventata facoltativa anche per i privati cittadini dal 6 giugno 2023, quando è partito l’INAD, l’Indice Nazionale dei Domicili Digitali. Registrare il proprio domicilio digitale su INAD è gratuito e si fa con SPID, CIE o CNS su domiciliodigitale.gov.it, ma attenzione: registrarsi su INAD non ti dà automaticamente una casella PEC, quella devi già averla. È qui che molti si perdono tra offerte a pagamento.

Se ti serve solo per ricevere le comunicazioni della Pubblica Amministrazione (multe, rimborsi fiscali, accertamenti) senza spendere nulla, due opzioni gratuite in ricezione esistono: SpidMail di Namirial, attivabile con SPID, gratuita per sempre in ricezione con solo gli invii certificati a pagamento, e SuperPEC di Intesi Group, stessa logica, spazio illimitato, si paga solo quando invii. Un dettaglio da tenere d’occhio: dal 2026 lo SPID di Poste Italiane è diventato a pagamento, 6 euro l’anno dal secondo rinnovo in poi, con l’eccezione di minori, over 75, residenti all’estero e uso professionale. Se il tuo SPID scade per mancato pagamento, resti fuori sia da INAD sia da SpidMail finché non rinnovi. La CIE resta gratuita e puoi usarla al posto dello SPID per la stessa identificazione, senza costi. Se invece lavori con la PEC ogni giorno per motivi professionali, un abbonamento con Aruba o un altro gestore accreditato resta la scelta più pratica, i costi di ricezione gratuita non reggono un uso intensivo.

Il consiglio pratico

Se sei un privato che deve solo ricevere comunicazioni ufficiali, non pagare nulla: SpidMail o SuperPEC più registrazione INAD ti bastano. Se firmi documenti per lavoro con una certa frequenza, investi in un lettore PKCS#11 compatibile e usa FirmaPiù o GoSign Desktop, evitando l’Aruba Key se puoi scegliere. E se il tuo commercialista ti manda già tutto in .p7m, ricordati sempre di lasciare l’estensione originale intatta, è l’errore più comune e il più fastidioso da recuperare.

Se hai partita IVA e questo articolo ti serve per completare il quadro burocratico, 👉 Leggi qui: Fatturazione elettronica su Linux: quali software usare.