I migliori servizi di timestamp RFC 3161 per la conformità UE (2026)

Se devi dimostrare che un documento esisteva in un determinato momento e da allora non è cambiato, il timestamp RFC 3161 è il meccanismo standard. Ma “ottenere un timestamp RFC 3161” nasconde una scelta vera. Alcuni fornitori ti consegnano un token di timestamp grezzo. Altri te ne danno uno legalmente qualificato ai sensi di eIDAS. Altri ancora ti danno un artefatto probatorio completo e verificabile. Questa guida confronta le opzioni che contano per la conformità UE e ti dice quale scegliere e per cosa.

Se vuoi capire come funziona il timestamping affidabile, leggi prima il nostro approfondimento su i timestamp RFC 3161 e quando sono legalmente obbligatori. Questo articolo riguarda la scelta di un fornitore.

Quattro aspetti che contano davvero

1. Qualificato o di base? Ai sensi di eIDAS (Regolamento (UE) 910/2014), un timestamp elettronico qualificato emesso da un prestatore di servizi fiduciari qualificato (Qualified Trust Service Provider, QTSP) gode di una presunzione legale di accuratezza e integrità. Un timestamp RFC 3161 di base è tecnicamente valido ma non gode di alcuna presunzione particolare. Per prove di alto valore o regolamentate, la qualifica conta. Per i controlli di integrità interni, spesso no.

2. Con sede nell’UE o no? Per il lavoro sensibile alla sovranità, dove ha sede il fornitore e dove finiscono i tuoi dati possono contare quanto il timestamp stesso. Un QTSP belga controllato da una capogruppo extra-UE non racconta la stessa storia di sovranità di un fornitore di proprietà europea.

3. Come ti integri. Alcuni fornitori espongono un semplice endpoint RFC 3161, ideale per pipeline di firma, OpenSSL e strumenti PDF. Altri aggiungono un’API REST o JSON. Scegli in base al tuo stack.

4. Token o artefatto probatorio? Un token di timestamp prova esattamente una cosa: questo hash esisteva in questo momento. Un artefatto probatorio completo unisce quel token a una catena di hash, a una traccia di audit e a un pacchetto verificabile che puoi consegnare a un tribunale o a un revisore. Decidi di cosa hai davvero bisogno prima di fare acquisti.

Prestatori di servizi fiduciari qualificati dell’UE

Scegli uno di questi quando ti serve un token di timestamp legalmente qualificato con il massimo peso legale e vuoi che il tuo fornitore si trovi all’interno dell’UE.

• Evidency (Francia). Timestamping qualificato, sigillatura e archiviazione con approccio API-first, da un QTSP qualificato dall’ANSSI. Ideale per i team UE che vogliono timestamp eIDAS qualificati tramite un’API REST pulita. I prezzi partono da circa 500 euro al mese, senza piano gratuito. Vedi evidency.io.
• D-Trust / Bundesdruckerei (Germania). Il QTSP del gruppo statale tedesco Bundesdruckerei. I suoi timestamp qualificati sono garantiti verificabili per un massimo di 30 anni, con una fonte di tempo sincronizzata sul segnale tedesco DCF77. Ideale per prove a lungo termine e legalmente vincolanti da un fornitore sostenuto dallo Stato. Vedi d-trust.net.
• Certum / Asseco (Polonia). Un’autorità di certificazione sottoposta ad audit dal 2002, che offre timestamping qualificato più una TSA pubblica di base gratuita (time.certum.pl) per uso privato e senza scopo di lucro. Ideale per i team UE che vogliono un fornitore qualificato con una comoda opzione gratuita per iniziare i test. Vedi certum.eu.
• SK ID Solutions (Estonia). Timestamp qualificati tramite RFC 3161 standard, pensati per elevati volumi enterprise. L’accesso avviene tramite RFC 3161 su HTTP anziché tramite un’API REST, con prezzi di livello enterprise. Ideale per il timestamping qualificato ad alto volume. Vedi skidsolutions.eu.
• Utimaco Timestamp-as-a-Service (Germania). Timestamp qualificati da un affermato fornitore di HSM e PKI, tramite un’interfaccia RFC 3161, con una prova di 30 giorni anziché un piano gratuito permanente. Ideale per i team che vivono già nel mondo HSM e PKI. Vedi utimaco.com.

CA globali con entità qualificate nell’UE

Se usi già una grande autorità di certificazione, due di queste offrono timestamping qualificato nell’UE, con un’avvertenza: l’entità qualificata è europea, ma la capogruppo no.

• GlobalSign. Il suo timestamping qualificato UE passa attraverso l’entità belga GMO GlobalSign NV/SA, un QTSP riconosciuto. La capogruppo, GMO Internet Group, ha sede in Giappone, quindi non è un fornitore di proprietà europea nonostante il QTSP belga. Ideale per le organizzazioni già standardizzate sui certificati GlobalSign. Vedi globalsign.com.
• DigiCert. Gestisce una TSA RFC 3161 gratuita e molto diffusa per la firma del codice (timestamp.digicert.com), non qualificata eIDAS, più un timestamp eIDAS qualificato a pagamento, separato, tramite le sue entità DigiCert Europe e QuoVadis presenti nella Trusted List UE. La capogruppo, DigiCert Inc., ha sede negli Stati Uniti. Ideale per i team che usano già DigiCert per i certificati. Vedi digicert.com.

Opzioni gratuite e per sviluppatori

Per test, prototipi o controlli di integrità non critici, non ti serve un fornitore qualificato.

• FreeTSA. Una TSA RFC 3161 gratuita, gestita dalla comunità, che funziona con OpenSSL e curl. La sua dichiarazione delle pratiche non indica alcuna entità giuridica e non offre garanzie, impegni di disponibilità né status qualificato, quindi considerala una prova tecnica, non una prova legale. Vedi freetsa.org.
• La TSA gratuita di DigiCert per la firma del codice e time.certum.pl di Certum sono anch’esse gratuite, e anch’esse di base.

L’avvertenza è la stessa per tutte e tre: un timestamp di base risponde alla domanda “questo file è cambiato?”, ma non gode di alcuna presunzione legale eIDAS. Non farci affidamento dove potresti dover dimostrare l’integrità in tribunale o davanti a un’autorità fiscale.

Modelli diversi: ancoraggio su blockchain e aggregatori

Non tutto ciò che si trova in questo ambito è un QTSP RFC 3161.

• OriginStamp (Svizzera). Invece di emettere token RFC 3161, ancora gli hash dei documenti a blockchain pubbliche come Bitcoin ed Ethereum come prova di esistenza, tramite un’API REST. Ha sede in Svizzera, fuori dall’UE e dal SEE, e non rivendica alcuna qualifica eIDAS. Ideale per gli sviluppatori che vogliono un semplice ancoraggio su blockchain anziché un servizio fiduciario qualificato. Vedi originstamp.com.
• eID Easy (Estonia). Non è essa stessa una TSA. È un’unica API che instrada le richieste di timestamp verso più QTSP terzi, con failover automatico se uno di essi non è disponibile. Ideale per gli sviluppatori che vogliono un’unica integrazione per raggiungere molti fornitori qualificati. Vedi eideasy.com.

Dove si inserisce SealDoc

SealDoc è una piattaforma di prove. Richiede timestamp RFC 3161 a una Time Stamping Authority indipendente dell’UE e li inserisce in ciò che un token di timestamp da solo non ti dà: una catena di hash SHA-384 a prova di manomissione, un Legal Evidence Pack verificabile e la fatturazione elettronica UE (Factur-X, ZUGFeRD, XRechnung e Peppol BIS 3.0). Tutto gira nell’UE, senza alcuna dipendenza da hyperscaler statunitensi.

La differenza è l’unità che ricevi. I fornitori elencati sopra ti consegnano un token di timestamp. SealDoc ti consegna l’artefatto probatorio completo: il documento, il timestamp, la catena di hash e la traccia di audit, riuniti e verificabili in modo indipendente.

Scegli SealDoc quando ti servono l’intero artefatto probatorio e la conformità UE in un’unica soluzione, non solo un timestamp. Scopri cosa aggiunge il livello delle prove.

Come scegliere, in una schermata

• Ti serve un token di timestamp legalmente qualificato e nient’altro: un QTSP dell’UE (Evidency, D-Trust, Certum, SK ID Solutions, Utimaco).
• Sei già standardizzato su una CA globale: il servizio qualificato di GlobalSign o di DigiCert, tenendo presente l’avvertenza sulla capogruppo extra-UE.
• Stai solo facendo test o l’uso non è critico: FreeTSA o la TSA gratuita di Certum, che sono di base e non qualificate.
• Vuoi un artefatto probatorio completo e verificabile più la fatturazione elettronica UE, sotto sovranità europea: SealDoc.

Qualunque cosa tu scelga, verifica due cose prima di impegnarti. Primo, che il timestamp sia davvero qualificato, se il tuo caso d’uso lo richiede, controllando la Trusted List UE anziché i testi di marketing. Secondo, che tu possa ancora verificare il timestamp tra molti anni, indipendentemente dal fornitore. Questo secondo punto è proprio il motivo per cui i token RFC 3161 sono autosufficienti: le prove che archivi oggi devono reggere nel 2035, che il fornitore esista ancora o no.