# Garda Informatica Agent: come usiamo la libreria ufficiale dell'Unione Europea (DSS) per garantire firme eIDAS compliant

_Pubblicato il 09/06/2026_

Nello sviluppo di software gestionali in cloud su misura, l'integrazione della Firma Elettronica Qualificata (FEQ) massiva introduce sfide architetturali non banali. Da un lato vi è la necessità di garantire la massima sicurezza e la conformità legale imposta dal Regolamento Europeo eIDAS; dall'altro, bisogna preservare le performance del sistema ed evitare l'esborso economico ricorrente richiesto dalle API proprietarie dei tradizionali QTSP (Qualified Trust Service Provider).

Per risolvere questo binomio senza scendere a compromessi tecnici, in Garda Informatica abbiamo progettato un'architettura ibrida basata sul nostro **Garda Informatica Agent** e sul framework ufficiale promosso dalla Commissione Europea: la libreria **[DSS (Digital Signature Services)](https://ec.europa.eu/digital-building-blocks/sites/spaces/DIGITAL/pages/467109107/Digital+Signature+Service+-+DSS)**.

## Cos'è la libreria Digital Signature Services (DSS) e perché l'abbiamo scelta

La libreria *DSS* è un progetto open-source gestito direttamente dalla Commissione Europea. È lo strumento di riferimento utilizzato per validare e creare firme elettroniche conformi ai profili standard stabiliti dall'**ETSI** (European Telecommunications Standards Institute) in attuazione del regolamento eIDAS.

Dal punto di vista ingegneristico, basare il componente di firma del nostro framework [META-Sviluppo RAPIDO](https://www.gardainformatica.it/framework-gestionali-web.md) su *DSS* offre tre vantaggi fondamentali:

* **Conformità nativa:** La libreria riceve aggiornamenti costanti per recepire le evoluzioni delle specifiche ETSI e delle decisioni di esecuzione eIDAS.
* **Interoperabilità totale:** Garantisce che i documenti firmati tramite la nostra soluzione siano pienamente validi e riconoscibili in tutti gli Stati membri dell'Unione Europea.
* **Astrazione dei formati:** Permette di gestire con un unico motore logico i diversi formati di firma richiesti dai vari scenari di business.

## L'architettura dell'integrazione: Cloud e PKCS#11

Il problema principale delle applicazioni web/cloud risiede nell'impossibilità di accedere direttamente all'hardware locale dell'utente (come i lettori di smart card USB) per motivi di sicurezza dei browser.

Il **Garda Informatica Agent** agisce come un ponte software che espone un canale di comunicazione sicuro verso l'applicazione cloud, interfacciandosi direttamente con il dispositivo crittografico hardware (lettore di smart card) tramite lo standard [PKCS#11](https://en.wikipedia.org/wiki/PKCS_11).

### Il workflow di firma massiva (fino a centinaia di file)

Il processo di firma è stato ottimizzato per ridurre al minimo l'overhead di rete e garantire la massima velocità di esecuzione:

1. **Calcolo dell'Impronta (Digest) sul Cloud:** Il software gestionale cloud non invia l'intero file (che potrebbe pesare decine o centinaia di megabyte) al PC dell'utente. Utilizzando le primitive crittografiche, calcola l'impronta digitale (*digest*) di pochi byte per ciascun documento da firmare.
2. **Trasferimento dei Dati:** Il gestionale invia l'elenco dei soli *digest* al *Garda Informatica Agent* installato localmente sul PC dell'utente.
3. **Interazione Hardware via PKCS#11:** L'Agent interroga il driver della smart card (la DLL del fornitore della carta) conforme allo standard *PKCS#11*.
4. **Autorizzazione Utente:** L'Agent mostra all'utente il riepilogo delle operazioni e richiede l'inserimento del PIN in modalità protetta. Il PIN viene processato direttamente dall'hardware della carta e non transita mai verso il cloud.
5. **Generazione della Firma:** Il microprocessore della smart card calcola la firma crittografica sul *digest* e la restituisce all'Agent.
6. **Finalizzazione sul Cloud:** L'Agent rimanda i *digest* firmati al gestionale cloud. Quest'ultimo, sfruttando la libreria *DSS*, ricompone il file finale inserendo la firma nel contenitore standard richiesto (PAdES, XAdES, CAdES, ecc.).

## Formati di firma supportati e casi d'uso

Grazie alla flessibilità della libreria *DSS*, la nostra soluzione supporta tutti i principali standard di firma europei, permettendoci di coprire esigenze verticali molto diverse tra loro:

| Formato | Standard ETSI | Estensione Tipica | Caso d'Uso Comune |
| --- | --- | --- | --- |
| **PAdES** (PDF Advanced Electronic Signatures) | ETSI EN 319 142 | `.pdf` | Rapporti di prova di laboratori chimici, contratti, faldoni documentali aziendali. |
| **XAdES** (XML Advanced Electronic Signatures) | ETSI EN 319 132 | `.xml` | Dichiarazioni di consumo di energia elettrica per l'Agenzia delle Dogane, flussi documentali B2B e B2G. |
| **CAdES** (CMS Advanced Electronic Signatures) | ETSI EN 319 122 | `.p7m` | Depositi atti legali, buste crittografiche standard per la Pubblica Amministrazione. |
| **ASiC** (Associated Signature Containers) | ETSI EN 319 162 | `.zip` / `.asice` | Strutture dati complesse formate da più file e firme associate all'interno di un unico archivio. |

Tutti questi formati possono essere declinati nei profili di validazione previsti (come il profilo **-BES**, richiesto per le comunicazioni doganali e i laboratori), garantendo la compatibilità con i sistemi di verifica automatica delle autorità riceventi.

## Sicurezza e Performance: i vantaggi dell'approccio ingegneristico

L'implementazione basata su *DSS* e *Garda Informatica Agent* offre garanzie superiori rispetto alle tradizionali integrazioni API remote:

* **Zero Data Leakage:** Le chiavi private di firma rimangono confinate all'interno del chip crittografico della smart card dell'utente. Il software in cloud non entra mai in possesso delle credenziali né del materiale crittografico sensibile.
* **Scalabilità Infrastrutturale:** Poiché il calcolo crittografico pesante (la cifratura asimmetrica) viene delegato all'hardware locale e il payload di rete è ridotto a pochi byte per file, l'infrastruttura cloud del gestionale non subisce rallentamenti, nemmeno durante la firma simultanea di centinaia di documenti.
* **Indipendenza dal Fornitore (No Vendor Lock-in):** Lo standard *PKCS#11* a basso livello e la libreria *DSS* ad alto livello svincolano completamente l'azienda dalle API dei singoli certificatori. Se un utente possiede già una smart card valida emessa da un qualsiasi QTSP accreditato AGID, il sistema funzionerà nativamente senza modifiche al codice e senza costi di licenza aggiuntivi.

## Integrate la Firma Elettronica Qualificata nei vostri flussi di lavoro

*Garda Informatica Agent* è uno dei componenti del nostro framework [META-Sviluppo RAPIDO](https://www.gardainformatica.it/framework-gestionali-web.md). Sviluppare un software gestionale su misura non significa ridefinire ogni volta la ruota, ma saper orchestrare tecnologie solide per rispondere a specifiche esigenze di business, azzerando i costi di licenza superflui e i vincoli di lock-in.

Se la vostra azienda gestisce volumi elevati di documenti da firmare digitalmente e cercate una soluzione cloud personalizzata:

**[Contattate i nostri ingegneri](https://www.gardainformatica.it/index.md#contatti)** per analizzare i requisiti tecnici del vostro progetto e valutare l'integrazione del *Garda Informatica Agent* nei vostri processi aziendali.

**Autore:** [Lorenzo Chiodi](https://www.gardainformatica.it/blog/lorenzo-chiodi.md) - Senior software developer con più di 19 anni di esperienza nello sviluppo di soluzioni web based, enterprise, su misura. Dal 2011 socio fondatore di Garda Informatica Snc condivide questa avventura col fratello Giovanni.