Catalogo completo delle funzionalità della suite di firma digitale sgcSign — standard di firma, provider di chiavi, profili per paese, convalida, integrazione con la Trust List UE e report di validazione ETSI per Delphi 7 fino a Delphi 13 Florence, C++Builder e .NET.
sgcSign separa la gestione delle chiavi, le operazioni di firma e i formati di output. Combina qualsiasi provider di chiavi con qualsiasi signer; passa da PFX locale a KMS cloud cambiando un solo componente.
Astrae l'accesso ai certificati e alle chiavi private dietro un'unica interfaccia. File locali, archivio certificati Windows, token hardware PKCS#11, KMS Azure / AWS / Google Cloud, HashiCorp Vault, Certum SimplySign e QTSP remoti CSC v2.
Signer specializzati per ogni formato ETSI: TsgcXAdESSigner, TsgcPAdESSigner, TsgcCAdESSigner, TsgcAuthenticodeSigner. Più TsgcDocumentSigner — un'API unificata di alto livello che seleziona e configura il signer corretto a partire da un profilo per paese. TsgcSAFTPTSigner produce la firma delle fatture Portaria 363/2010 del Portogallo.
TsgcTSAClient (timestamp RFC 3161), TsgcOCSPClient (revoca), TsgcSignatureVerifier (convalida), TsgcX509Certificate (decoder di certificati + verifica dell'emittente), TsgcEUTrustList (LOTL/EUTL), TsgcASiCContainer (packaging ZIP ASiC-S/ASiC-E).
Copertura completa dei formati di firma ETSI a tutti e quattro i livelli AdES (B-B, B-T, B-LT, B-LTA), più Microsoft Authenticode per la firma del codice.
XML Advanced Electronic Signatures. Modalità enveloped, detached ed enveloping. Livelli B-B / B-T / B-LT / B-LTA. SignatureParentElement per formati envelope che fissano il posizionamento della firma (KSeF /v2/auth/xades-signature). Caratteri diacritici polacchi, spagnoli e tedeschi tramite overload WideString a partire da Delphi 7.
PDF Advanced Electronic Signatures. Firme incorporate all'interno del PDF; aspetto della firma visibile con nome del firmatario, motivo, luogo, informazioni di contatto e rettangolo configurabile. Compatibile con Adobe Acrobat. Livelli PAdES-T, -LT tramite TSA + OCSP.
Firme binarie CMS/PKCS#7 su qualsiasi file o flusso di dati. Forme detached e attached. CAdES-BES, CAdES-T (con timestamp), CAdES-XL (a lungo termine con valori di revoca).
Associated Signature Containers. Archivio in formato ZIP che raggruppa uno o più documenti con una firma XAdES o CAdES. Simple (apASiCS, documento singolo) o Extended (apASiCE, manifest + più documenti). La prima voce ZIP è un marcatore mimetype non compresso, così i verificatori rilevano il container nei primi 50 byte circa.
Microsoft Authenticode per file Windows PE (.exe, .dll, .sys, .ocx, .cpl, .scr). Algoritmi di hash SHA-1, SHA-256 (predefinito), SHA-384 e SHA-512. Token di timestamp RFC 3161. Firme nidificate (doppie) per la compatibilità con verificatori legacy e moderni. Disponibile nel server sgcSign. Page hash opzionali, l'equivalente di signtool sign /ph, così Windows può verificare ogni pagina da 4 KB di un driver in modalità kernel (Integrità della memoria, HVCI).
Tutti e quattro i livelli di conformità ETSI supportati per ciascun formato: B-B (di base), B-T (timestamp), B-LT (a lungo termine, con valori di revoca), B-LTA (archiviazione, con timestamp d'archivio). Promuovi una firma da B-B a B-LT aggiungendo un client TSA e un responder OCSP.
Ogni provider implementa IsgcKeyProvider. Passa tra queste sorgenti di chiavi senza cambiare il codice di firma.
| Componente | Tipo | Caso d'uso |
|---|---|---|
TsgcPFXKeyProvider |
File locale (PKCS#12) | File PFX/.p12 protetti da password. Supporto nativo Windows CNG su Windows, Pascal puro sulle altre piattaforme. |
TsgcPEMKeyProvider |
File locale (PEM) | Certificati PEM con chiavi PKCS#8 cifrate. Decifratura nativa PBES2 / PBKDF2 / AES-CBC — non richiede DLL OpenSSL. |
TsgcWindowsCertStoreProvider |
Archivio Windows | Archivi della macchina locale e dell'utente corrente. Integrazione con Active Directory e Group Policy. |
TsgcPKCS11Provider |
Token hardware | Smart card e HSM tramite driver PKCS#11 — SafeNet, YubiKey, Nitrokey, Thales, Utimaco, ecc. |
TsgcAzureTrustedSigningProvider |
Cloud (Microsoft) | Azure Trusted Signing — il servizio di firma qualificata di Microsoft. Credenziali OAuth2 client. Distinto da Azure Key Vault. |
TsgcAWSKMSKeyProvider |
Cloud (AWS) | AWS Key Management Service. Le chiavi restano in AWS; solo gli hash dei documenti lasciano la rete. |
TsgcGCloudKMSKeyProvider |
Cloud (Google) | Google Cloud Key Management. Autenticazione tramite service account. |
TsgcHashiCorpVaultKeyProvider |
Cloud (self-hosted) | Motore di firma transit di HashiCorp Vault. Le chiavi non lasciano mai il cluster Vault. |
TsgcCertumSimplySignProvider |
QTSP remoto | Certum SimplySign — provider qualificato di firma elettronica polacco. Compatibile con KSeF, ZUS, PUE. |
TsgcCSCKeyProvider |
QTSP remoto (CSC v2) | Client generico Cloud Signature Consortium v2 — Universign, D-Trust sign-me, A-Trust, FNMT Cl@ve Firma, Evrotrust, Intesi Group e qualsiasi QTSP che espone l'API CSC v2. |
Ogni profilo pre-configura algoritmo di hash, canonicalizzazione, livello di firma, policy di timestamp RFC 3161 e aspettative di revoca OCSP per soddisfare il regolatore del paese target. Cambia giurisdizione con una sola riga.
| Profilo | Paese | Sistema | Formato | Livello |
|---|---|---|---|---|
spVeriFactu | Spagna | VeriFactu (AEAT) | XAdES-EPES | B-B |
spTicketBAI | Spagna (Paesi Baschi) | TicketBAI | XAdES-EPES | B-B |
spFacturaeB2B | Spagna | Facturae 3.x / FACe | XAdES-EPES | B-T |
spFatturaPA | Italia | FatturaPA (SDI) | XAdES-BES | B-B |
spSAFTPT | Portogallo | SAF-T PT | RSA-SHA256 | B-B |
spKSeF | Polonia | KSeF (Krajowy System e-Faktur) | XAdES | B-T |
spFacturX | Francia / Germania | Factur-X / ZUGFeRD | XAdES | B-B |
spEFactura | Romania | e-Factura (ANAF) | XAdES | B-T |
spNAVOnline | Ungheria | NAV Online | XML-DSig | B-B |
spFiskalizacija | Croazia | Fiskalizacija | XML-DSig | B-B |
spPeppolBE | Belgio | Peppol UBL 2.0 | XAdES | B-T |
spPeppolBG | Bulgaria | Peppol UBL 2.1 | XAdES | B-T |
spMyDATA | Grecia | myDATA (AADE) | XAdES | B-B |
Portogallo: oltre a firmare il file SAF-T (PT) stesso, il componente dedicato TsgcSAFTPTSigner produce la firma per fattura Portaria 363/2010, la firma RSA-SHA1 i cui quattro caratteri nelle posizioni 1, 11, 21 and 31 vengono stampati sulla fattura e riportati nel QR-code field Q.
TicketBAI: le varianti per provincia spTicketBAIAraba, spTicketBAIBizkaia e spTicketBAIGipuzkoa riportano ciascuna l'identificatore ufficiale di policy di firma e il digest SHA-256 della rispettiva Hacienda provinciale. spTicketBAI corrisponde alla coppia Bizkaia per compatibilità con le versioni precedenti.
EET 2.0 (Repubblica Ceca): la registrazione delle vendite (Elektronická evidence tržeb) non è un profilo di firma, ha un componente tutto suo, TsgcEETClient. Firma ogni vendita registrata secondo WS-Security, la invia all'amministrazione fiscale e rilegge il codice di conferma, il pok. L'obbligo di comunicazione decorre dal 1° gennaio 2027. Scopri di più su EET 2.0.
Firme conformi a eIDAS per i requisiti di diritto del lavoro degli Stati membri (ad es. § 126a BGB in Germania, FEQ in Italia). Preconfigurati per giurisdizione; caricati in TsgcXAdESSigner tramite Profile.LoadProfile(spEmploymentXX).
| Profilo | Paese | Livello | Hash | Timestamp | OCSP | Note |
|---|---|---|---|---|---|---|
spEmploymentDE | Germania | B-LT | SHA-256 | Sì | Sì | QES richiesta dal § 126a BGB per contratti in forma scritta. |
spEmploymentIT | Italia | B-LT | SHA-256 | Sì | Sì | Firma qualificata FEQ; i portali INPS accettano sia XAdES sia CAdES. |
spEmploymentES | Spagna | B-T | SHA-256 | Sì | No | AdES sufficiente. I portali SEPE / TGSS richiedono FNMT o DNIe. |
spEmploymentFR | Francia | B-T | SHA-256 | Sì | No | AdES sufficiente; QES preferita per la firma remota ai sensi di DSP2 / RGS. |
spEmploymentAT | Austria | B-LT | SHA-256 | Sì | Sì | QES tramite Handy-Signatur / ID Austria comune. |
spEmploymentBE | Belgio | B-LT | SHA-256 | Sì | Sì | QES tramite carta eID (BeID). |
spEmploymentPT | Portogallo | B-LT | SHA-256 | Sì | Sì | QES tramite Cartão do Cidadão / Chave Móvel Digital. |
spEmploymentNL | Paesi Bassi | B-T | SHA-256 | Sì | No | AdES generalmente accettato; QES per alcuni portali HR (UWV). |
spEmploymentPL | Polonia | B-T | SHA-256 | Sì | No | QES tramite Profil Zaufany o certificato qualificato quando il contratto va a ZUS / PUE. |
Pipeline di convalida completa più integrazione con la Trust List UE e il report di validazione XML standardizzato ETSI TS 119 102-2 — prova legale della validità della firma accettata dai tribunali del lavoro UE e dai verificatori della pubblica amministrazione.
TsgcSignatureVerifier copre l'intera pipeline: controlli sui digest, verifica delle firme RSA / ECDSA, validazione della catena dei certificati, controllo della revoca OCSP, RevocationValues incorporati per Long-Term Validation e lookup di frammenti basato su Id per SignedProperties.
TsgcEUTrustList analizza la List of Trusted Lists ETSI TS 119 612 e circa 31 Trusted List per Stato membro. Classifica qualsiasi certificato X.509 come qualificato eIDAS confrontandolo con il registro UE aggiornato. Caching in modalità offline per deployment air-gapped.
Report di validazione XML standardizzato (v1.2.1) prodotto per ogni verifica — il formato accettato dai tribunali del lavoro UE e dai verificatori della pubblica amministrazione come prova legale della validità della firma.
TsgcTSAClient si connette a qualsiasi autorità di marcatura temporale RFC 3161. Promuove le firme da B-B a B-T, B-LT e B-LTA — verificabili molto tempo dopo la scadenza del certificato di firma.
TsgcOCSPClient esegue controlli RFC 6960 Online Certificate Status Protocol. Revoca in tempo reale, con la risposta OCSP incorporata nelle firme B-LT in modo che il documento rimanga verificabile anche quando il responder è successivamente offline.
TsgcX509Certificate espone tutti i campi mostrati da un decoder online: dimensione della chiave, nomi degli algoritmi, numero di serie (con due punti e decimale), distinguished name RFC 2253 / LDAP, policy dei certificati, identificatori di chiave, impronte SHA-1 / SHA-256 / MD5 e il pin SubjectPublicKeyInfo SHA-256. Verifica crittograficamente la firma dell'emittente (RSA ed ECDSA), risolve la CA dall'URL AIA caIssuers ed esegue un controllo OCSP automatico tramite CheckCertificateAuto.
Inclusive C14N (xml-c14n11) ed Exclusive C14N (xml-exc-c14n) per un'elaborazione coerente delle firme XML. Ogni profilo per paese seleziona la canonicalizzazione attesa dal suo regolatore.
Crittografia Windows CNG / BCrypt su Windows, un motore in Pascal puro su Linux64, macOS, iOS e Android. Non richiede DLL OpenSSL. PBES2 / PBKDF2 / AES-CBC nativi per PEM PKCS#8 cifrati. WinHTTP per le operazioni di rete su Windows, il client HTTP della RTL di Delphi sulle altre piattaforme.
Supporta ogni compilatore Delphi da Delphi 7 a RAD Studio 13, oltre a C++Builder. Le unit moderne sono protette per la compatibilità legacy (ad es. TsgcASiCContainer richiede i generics di D2010+; compila come unit vuota su D7 senza problemi).
Porting C# parallelo per .NET Framework 2.0–4.8, .NET Core, .NET 5–10 e .NET Standard. Stessi nomi di classe Tsgc*; stessa superficie API della libreria Delphi.
Codice sorgente completo incluso con ogni licenza. Ispeziona, personalizza, controlla ed estendi. Nomi di classe dei componenti registrati per l'integrazione design-time nell'IDE.
Tutti i timestamp X.509 / CRL / OCSP / TSA sono memorizzati come valori TDateTime UTC, in linea con RFC 5280, RFC 3161 e RFC 6960. Conversione in ora locale tramite le proprietà *Local su ciascun componente.
Ridistribuzione binaria gratuita. Firma quanti documenti vuoi senza costi per documento e senza licenze per deployment.
spFatturaPA per l'Italia, spKSeF per la Polonia
// Firma una fattura VeriFactu spagnola
var
vKeyProvider: TsgcPFXKeyProvider;
vSigner: TsgcDocumentSigner;
begin
vKeyProvider := TsgcPFXKeyProvider.Create(nil);
try
vKeyProvider.FileName := 'certificate.pfx';
vKeyProvider.Password := 'secret';
vKeyProvider.LoadFromFile;
vSigner := TsgcDocumentSigner.Create(nil);
try
vSigner.KeyProvider := vKeyProvider;
vSigner.Profile := spVeriFactu;
memoSigned.Text := vSigner.SignXML(memoXML.Text);
finally
vSigner.Free;
end;
finally
vKeyProvider.Free;
end;
end;// Firma Authenticode con Azure Trusted Signing
var
vKeyProvider: TsgcAzureTrustedSigningProvider;
vSigner: TsgcAuthenticodeSigner;
begin
vKeyProvider := TsgcAzureTrustedSigningProvider.Create(nil);
vSigner := TsgcAuthenticodeSigner.Create(nil);
try
vKeyProvider.TenantId := '00000000-0000-0000-0000-000000000000';
vKeyProvider.ClientId := '11111111-1111-1111-1111-111111111111';
vKeyProvider.ClientSecret := 'my-client-secret';
vKeyProvider.AccountName := 'my-trusted-signing-account';
vKeyProvider.CertificateProfileName := 'public-trust';
vKeyProvider.Endpoint := 'https://eus.codesigning.azure.net';
vKeyProvider.Connect;
vSigner.KeyProvider := vKeyProvider;
vSigner.Level := alBES; // alT additionally requires a TSAClient
vSigner.SignFile('myapp.exe', 'myapp-signed.exe');
finally
vSigner.Free;
vKeyProvider.Free;
end;
end;// PAdES-T con aspetto di firma visibile
var
vKeyProvider: TsgcWindowsCertStoreProvider;
vSigner: TsgcPAdESSigner;
vTSA: TsgcTSAClient;
begin
vKeyProvider := TsgcWindowsCertStoreProvider.Create(nil);
vSigner := TsgcPAdESSigner.Create(nil);
vTSA := TsgcTSAClient.Create(nil);
try
vKeyProvider.StoreName := 'MY';
vKeyProvider.StoreLocation := cslCurrentUser;
vKeyProvider.SelectCertificateBySubject('Acme Corp');
vTSA.URL := 'https://freetsa.org/tsr';
vSigner.KeyProvider := vKeyProvider;
vSigner.TSAClient := vTSA;
vSigner.Reason := 'Approvato';
vSigner.Location := 'Madrid, Spagna';
vSigner.VisibleSignature.Enabled := True;
vSigner.SignPDFFile('contract.pdf', 'contract-signed.pdf');
finally
vTSA.Free;
vSigner.Free;
vKeyProvider.Free;
end;
end;Sicurezza, controllo della firma e operatività presenti nel server sgcSign. Le build registrate e di prova includono ogni funzionalità; l'ultima colonna mostra cosa offre la Community Edition.
| Funzionalità | Cosa fa | Community Edition |
|---|---|---|
| Accesso a due fattori | Codici TOTP da qualsiasi app di autenticazione più 10 codici di recupero monouso. admin.require_2fa lo rende obbligatorio per ogni utente della console e un amministratore può reimpostare un secondo fattore perso. |
Sì |
| Accesso con OpenID Connect | Accesso alla console tramite Microsoft Entra ID, Okta, Keycloak, Google o qualsiasi provider standard, con PKCE. Gli utenti collegano un'identità esterna al proprio account e le richieste di account possono, se vuoi, attendere l'approvazione di un amministratore. | Sì |
| Console rafforzata | Header di sicurezza e una Content Security Policy rigorosa su ogni risposta, una policy delle password configurabile, password temporanee sostituite al primo accesso e sessioni che terminano quando cambiano il ruolo o i diritti che le sostengono. | Sì |
| Segreti cifrati a riposo | Password dei provider, PIN, credenziali cloud e segreti dei webhook memorizzati con AES-256-GCM sotto una chiave master legata alla macchina. --protect-secrets cifra sul posto una configurazione esistente. |
Sì |
| Approvazioni obbligatorie | Approvazione richiesta per provider o per progetto, verificata dal server su ogni percorso di firma, compresa la firma dell'hash grezzo per signtool /dlib. Ogni approvazione firma una sola volta. |
No |
| Ciclo di vita delle chiavi API | Rigenerazione con una finestra di sovrapposizione fino a 7 giorni, scadenza modificabile, proprietari delle chiavi, un elenco di provider consentiti per chiave e chiavi self-service per gli operatori con api_keys.self_service. Una chiave può anche iniziare la validità al primo utilizzo: è valida per N giorni a partire dalla prima chiamata autenticata, con una data obbligatoria di attivazione entro cui usarla, così una chiave mai usata non resta valida per sempre. Le sottochiavi funzionano solo dopo l'attivazione della chiave principale, l'attivazione viene registrata nel log di audit come apikey.activate e Community limita entrambi i valori a 30 giorni. |
Una sola chiave attiva, scadenza fino a 30 giorni |
| Protezione dai tentativi di PIN PKCS#11 | Smette di effettuare il login a un token dopo max_pin_attempts PIN errati e non usa mai l'ultimo tentativo se non è impostato allow_final_pin_try, così un PIN sbagliato non blocca mai un token hardware. |
No (nessun provider PKCS#11) |
| Timestamp server predefiniti | Un elenco a livello di server di timestamp server RFC 3161 provati in ordine con fallback automatico, tsa_urls per singolo provider e no_timestamp per saltare la marca temporale in una richiesta. |
Sì |
sgcsign timestamp |
Aggiunge una marca temporale RFC 3161 a un file già firmato con Authenticode, provando a turno ogni server --tsa. |
Sì |
--page-hashes |
Authenticode: aggiunge un hash per ogni pagina da 4 KB dell'immagine, l'equivalente di signtool sign /ph, usato dai driver in modalità kernel con Integrità della memoria (HVCI). |
Sì |
| Backup pianificati e cifrati | Un unico archivio AES-256-GCM con la configurazione, il database, la chiave master e i file di chiavi e certificati, creato secondo una pianificazione o dalla console. --archive restore lo ripristina o sposta il server su una nuova macchina. |
Sì |
| Monitoraggio della scadenza dei certificati | Controllo giornaliero dei certificati di firma e TLS con avvisi a 30, 14, 7 e 1 giorno nella dashboard, nel webhook cert.expiring, via email e in una metrica Prometheus. |
Solo dashboard ed email |
| Notifiche email | Email per blocchi degli account, modifiche del secondo fattore e delle password, backup falliti e certificati in scadenza, tramite SMTP con STARTTLS o TLS implicito. Su Windows non servono librerie OpenSSL. | Sì |
| Installer per Windows | sgcSignServer_Setup.exe installa il servizio Windows, crea il primo amministratore, apre la porta del firewall e configura TLS con un certificato autofirmato o un file PFX esistente. |
No, la Community funziona dallo zip con start.bat (HTTP semplice) |
| Profili salvati nella CLI | sgcsign config mantiene le impostazioni in profili con nome e sgcsign auth set-key memorizza la chiave API, nella CLI Delphi e nello strumento .NET esegece.sgcsign.cli. |
Sì |