Guida passo passo

Verificare un pacchetto di prove ProofSnap

Nel 2026 un pacchetto di prove ProofSnap si verifica in tre modi: nel pannello laterale dell'estensione ProofSnap, nel Verificatore di autenticità gratuito su getproofsnap.com oppure con gli script verify.sh e verify.ps1 contenuti nello ZIP. Ognuno ricalcola l'impronta SHA-256 di ogni file, controlla la firma RSA di manifest.json e mostra le marche temporali che collocano il pacchetto nel tempo.

Di , fondatore e responsabile tecnico di ProofSnap, che sviluppa il verificatore e gli script di verifica. ·

Apri il Verificatore di autenticità Verifica con gli script

Vale per

Pacchetti web, video, di sessione e di file

Tre vie

Pannello laterale, sito web, script

Account

Non serve sul sito web

A cosa serve questa guida

Un pacchetto di prove serve a poco se non si può verificare: chi riceve lo ZIP vuole sapere che nessun file è cambiato dopo l'acquisizione. Tu lo verifichi subito dopo l'acquisizione e di nuovo prima di consegnarlo. La controparte o un consulente tecnico verificano lo stesso ZIP in seguito, per conto proprio, con o senza ProofSnap. Questa guida mostra le tre vie passo per passo e spiega come leggere gli esiti.

Chi la usa e per cosa

  • Avvocati e studi legali: controllano lo ZIP prima di depositarlo o di inviarlo alla controparte, per esempio quando riguarda una recensione falsa o un post diffamatorio.
  • Consulenti tecnici e periti informatici, come CTP e CTU: ripetono la verifica sul proprio computer con verify.sh o verify.ps1, senza dipendere da ProofSnap.
  • Uffici legali aziendali, compliance e DPO: verificano i pacchetti ricevuti da colleghi o fornitori prima di archiviarli in una pratica.
  • Investigatori privati e giornalisti: mostrano a un cliente o a una redazione che la pagina acquisita non è stata ritoccata in seguito.
  • Agenzie di brand protection ed e-commerce: controllano le prove di annunci contraffatti o di condizioni di vendita cambiate prima di inviare una diffida.
  • Chi riceve un pacchetto: la controparte o un giudice verifica il file ricevuto nel Verificatore di autenticità, senza account.

Tre modi per verificare

Tutti e tre i modi controllano le stesse cose: che ogni file sia ancora quello sigillato al momento dell'acquisizione e quali marche temporali indicano quando il pacchetto esisteva. Scegli la via adatta a chi deve fare la verifica.

Via A · Passaggi da 2 a 6

Nel pannello laterale di ProofSnap

Per te, subito dopo l'acquisizione o prima di inviare il pacchetto. Servono l'estensione ProofSnap e l'accesso con un account ProofSnap.

Via B · Passaggio 7

Nel Verificatore di autenticità

Per la controparte, un giudice o chiunque altro. Qualsiasi browser, nessuna installazione, nessun account.

Via C · Passaggi da 8 a 10

Con gli script nello ZIP

Per un consulente tecnico che vuole una verifica sul proprio computer, indipendente da ProofSnap.

Hai un piano della dashboard ProofSnap? La dashboard ha un proprio controllo dei pacchetti: vedi Nella dashboard ProofSnap.

Che cosa dimostra una verifica riuscita

La verifica di un pacchetto di prove ProofSnap risponde a tre domande distinte. Integrità: ogni file ha ancora l'impronta SHA-256 registrata in manifest.json. Coerenza: la firma RSA in manifest.sig corrisponde al manifest, quindi neanche l'elenco delle impronte è stato modificato. Tempo: una prova OpenTimestamps mostra che il manifest esisteva al più tardi al momento di un determinato blocco Bitcoin. Una marca temporale qualificata di Disig a.s., prestatore di servizi fiduciari qualificato nell'elenco di fiducia dell'UE, lo collega a una data e a un'ora.

La firma dimostra solo l'integrità, perché la sua chiave viene generata all'interno del pacchetto; il tempo lo dimostrano le marche temporali. Né la firma né le marche temporali dicono chi ha acquisito la pagina. Gli script verify.sh e verify.ps1 eseguono gli stessi quattro controlli (integrità dei file, firma del manifest, marca temporale eIDAS, ancoraggio Bitcoin) e terminano con uno di tre codici di uscita: 0 per PASS, 1 per FAIL e 2 per INCOMPLETE.

Le tre vie a confronto

Il verificatore del pannello laterale legge pacchetti fino a circa 1,8 GB, ma la memoria del browser può esaurirsi già da circa 900 MB. Per i pacchetti più grandi usa verify.sh o verify.ps1, che controllano file per file pacchetti di qualsiasi dimensione.

A: pannello lateraleB: sito webC: script nello ZIP
Chi la usaTu, prima dell'invioChiunque riceva il pacchettoUn consulente tecnico sul proprio computer
Account ProofSnapNecessarioNon necessarioNon necessario
Dove funzionaChrome o Edge con ProofSnapQualsiasi browser recentemacOS, Linux, Windows
Usa i server di ProofSnapPer le due verifiche temporaliPer le due verifiche temporaliNo
Video di grandi dimensioniFino a circa 1,8 GBLimitato dalla memoria del browserNessun limite di dimensione

Prima di iniziare

  • Il pacchetto di prove in formato ZIP, esattamente come è stato scaricato.
  • Una connessione a internet per le verifiche temporali nel pannello laterale e sul sito web.
  • Per una certificazione di file: il file originale, se vuoi confrontarlo con il certificato.

Passaggio 1, per tutti

Lavora sullo ZIP originale

Ogni via descritta qui controlla lo ZIP esattamente come lo ha prodotto ProofSnap, che contenga un'acquisizione web, un video, una sessione su più schede o una certificazione di file. Questo stesso ZIP è anche ciò che consegni alla controparte, al tuo avvocato o al giudice. Conserva l'originale intatto e lavora su copie.

  1. 1Lo ZIP. Rinominare il file ZIP non crea problemi: i controlli guardano i file che contiene. Non aggiungere file, non toglierne e non comprimerlo di nuovo.
  2. 2manifest.json. L'elenco di tutti i file con la loro impronta SHA-256, firmato in manifest.sig con la chiave contenuta in publickey.pem. Quando ci sono, le marche temporali Bitcoin ed eIDAS sono apposte su questo file.
  3. 3verification/. Gli script e la guida in testo semplice per controllare il pacchetto senza ProofSnap, vedi i passaggi da 8 a 10.
Un esempio di pacchetto di acquisizione web con OpenTimestamps ed eIDAS, aperto in un file manager (semplificato). L'elenco esatto dipende dal piano e dalle opzioni.

Via A

Verificare nel pannello laterale di ProofSnap

Il verificatore è integrato nell'estensione, accanto agli strumenti di acquisizione. Nell'interfaccia italiana si chiama «ProofSnap Verificatore di Fiducia».

Passaggio 2, nel pannello laterale

Apri il ProofSnap Verificatore di Fiducia

Apri il pannello laterale di ProofSnap e scorri oltre le opzioni di acquisizione. Il riquadro ProofSnap Verificatore di Fiducia si trova subito sopra «Certificazione file» ed è chiuso all'inizio. Per vederlo ti serve un account ProofSnap con un piano o dei crediti; chi non ha ProofSnap usa il sito web (passaggio 7).

  1. 1Icona di ProofSnap. Apre il pannello laterale. La scheda del browser che hai aperto non conta.
  2. 2ProofSnap Verificatore di Fiducia. Fai clic sul titolo per aprire il riquadro.
Il verificatore si trova sotto le opzioni di acquisizione e sopra «Certificazione file». Funziona su qualsiasi scheda. Pannello laterale ricostruito sull'interfaccia dell'estensione; piano e numeri sono esempi.

Passaggio 3, nel pannello laterale

Carica lo ZIP e fai clic su Verifica file zip

Il verificatore accetta un pacchetto di acquisizione web o video, un pacchetto di sessione, una certificazione di file, una certificazione combinata di più file e un pacchetto batch con uno ZIP per file. Riconosce da solo il tipo di pacchetto leggendo il manifest.

  1. 1Clicca per caricare o trascina e rilascia. Scegli lo ZIP. Il suo nome compare in blu sotto l'area di caricamento.
  2. 2Verifica file zip. Esegue tutti i controlli nel tuo browser. Le due verifiche temporali interrogano il servizio di verifica di ProofSnap, quindi resta online. I pacchetti molto grandi (da circa 900 MB, di solito video lunghi) possono esaurire la memoria del browser; oltre circa 1,8 GB il verificatore ti rimanda agli script del passaggio 8.
Il riquadro aperto, con lo ZIP selezionato. Finché non scegli un file, il pulsante resta sbiadito e non si può cliccare.

Passaggio 4, nel pannello laterale

Leggi l'esito

L'esito riassume tutti i controlli in una sola riga. Passaci sopra con il mouse per leggere una breve spiegazione.

  1. 1Integrità: corrisponde. Tutti i controlli crittografici sono riusciti: i file corrispondono al manifest e il manifest corrisponde alla firma creata con la chiave del pacchetto. Il verificatore mostra questa riga solo dopo aver davvero controllato la firma e ricalcolato le impronte dei file.
  2. 2Integrità: modificata. Le prove sono state alterate o sono incomplete: almeno un controllo non è riuscito. Più sotto trovi che cosa fare.
  3. 3Mostra verifica tecnica. Apre i singoli controlli (passaggio successivo).
Sopra: un pacchetto integro. Sotto: lo stesso punto quando un controllo non è riuscito.

Passaggio 5, nel pannello laterale

Apri la verifica tecnica

Ogni riga è un controllo. Una barra blu indica un controllo superato o un'informazione, una barra rossa un controllo non riuscito. Le righe che compaiono dipendono da ciò che contiene il pacchetto.

  1. 1manifest.json. La firma RSA del manifest viene verificata con la chiave pubblica del pacchetto. Dimostra che il manifest non è cambiato da quando è stato firmato.
  2. 2Integrità dei file. Di ogni file elencato nel manifest si ricalcola l'impronta SHA-256 e la si confronta. La firma e la chiave vengono scritte dopo il manifest, quindi se ne controlla la presenza. I pacchetti di sessione comprendono i file di ogni scheda, i pacchetti video la registrazione.
  3. 3Catena di custodia. L'ora dell'acquisizione è plausibile (non nel futuro, non più vecchia di 30 anni), forensic_log.json corrisponde all'impronta registrata in chain_of_custody.json, la sua catena di hash viene ricalcolata passo per passo e l'hash finale della catena corrisponde. La riga che nomina la norma ISO riporta ciò che dichiara chain_of_custody.json; non è una valutazione.
  4. 4Contesto dell'acquisizione. Versione dell'estensione, quanti server orari hanno confermato l'ora dell'acquisizione, il punteggio di integrità del dispositivo e il numero di operazioni registrate. Un pacchetto di sessione elenca anche tutte le schede che comprende.

Le righe delle marche temporali

  1. 5OpenTimestamps. Il blocco Bitcoin in cui è ancorato il manifest, con la sua data. Poco dopo un'acquisizione questa riga indica che la conferma è in attesa (vedi il passaggio 11). Manca nelle acquisizioni Essential, a meno che non sia stato usato un credito eIDAS o Video SnapPack.
  2. 6Marca temporale qualificata UE. La marca temporale qualificata è valida per questo manifest: emittente e ora in UTC. Disig a.s. è un prestatore di servizi fiduciari qualificato nell'elenco di fiducia dell'UE.
  3. 7Marca temporale qualificata UE (LTV). Un secondo controllo che non ha bisogno di alcun server: impronta, firma, catena di certificati e stato di revoca, tutto da eidas_validation.json nel pacchetto. Se il servizio eIDAS non è raggiungibile, questo controllo viene eseguito da solo.
  4. 8Emittente. Ricorda che la chiave di firma viene generata all'interno del pacchetto: la firma dimostra l'integrità, le marche temporali il tempo.
Verifica tecnica del pacchetto di esempio, qualche ora dopo l'acquisizione. I valori sono esempi.

Passaggio 6, certificazioni di file

Confronta il file originale con il certificato

Per una certificazione di file il verificatore aggiunge un riquadro che confronta qualsiasi file tu vi trascini con l'impronta certificata. Usalo per dimostrare che la copia che tu o la controparte avete oggi è proprio il file che è stato certificato. L'impronta del file viene calcolata nel tuo browser e il file non viene caricato.

  1. 1Lo ZIP della certificazione. Verificalo prima, come nei passaggi da 3 a 5.
  2. 2Verifica che il file originale corrisponda al certificato. Trascina l'originale. Il file corrisponde al certificato significa che questo file esisteva già alla data e all'ora certificate. Il file NON corrisponde significa che l'impronta è diversa: non è il file che è stato certificato. Puoi trascinare più file insieme, per esempio gli originali di una certificazione combinata.
  3. 3Esito. Riguarda il pacchetto stesso, come per qualsiasi altro pacchetto.
  4. 4Tipo di pacchetto. «File Certification» con l'impronta certificata, oppure «Certificazione combinata di file» con il numero dei file.
Una certificazione di file, con il file originale trascinato nel riquadro aggiuntivo. Nome del file e impronta sono esempi; l'elenco continua più sotto.

Per chi usa la dashboard

Nella dashboard ProofSnap

Con un piano a pagamento, la dashboard ProofSnap controlla un pacchetto in Strumenti > Verifica un pacchetto; in modalità sandbox lo strumento non compare. Trascina lo ZIP, per esempio uno scaricato da Cronologia acquisizioni. Lo ZIP viene verificato nel tuo browser e non viene caricato. A ProofSnap arriva solo l'impronta SHA-256 di manifest.json, per cercarla nel registro di emissione.

  1. 1Esito. Verificato. Pacchetto integro., Verifica non riuscita. Pacchetto modificato. oppure Pacchetto non valido., con l'impronta SHA-256 di manifest.json a cui si riferiscono le marche temporali e il registro.
  2. 2Firma del manifest e hash dei file. La firma RSA di manifest.json e l'impronta SHA-256 di ogni file elencato nel manifest. Anche un file presente nello ZIP ma non elencato nel manifest rende l'esito modificato.
  3. 3Associato a questo pacchetto. I file .ots e .tsr si riferiscono proprio a questo manifest.json. La dashboard non controlla il blocco Bitcoin né la catena di certificati della TSA: lo fanno il Verificatore di autenticità (passaggio 7) e gli script (passaggi da 8 a 10).
  4. 4Registro di emissione ProofSnap. Emesso da ProofSnap, con la data in cui ProofSnap ha registrato questo manifest al momento dell'emissione. Non registrato compare in grigio e non è un segno di manomissione: i pacchetti emessi prima dell'introduzione del registro non vi compaiono.

È accettata anche l'esportazione di una pratica: ogni pacchetto di acquisizione al suo interno viene controllato ed elencato con il proprio esito. Se il browser non riesce a leggere uno ZIP, lo strumento lo segnala e rimanda al verificatore online.

Strumenti > Verifica un pacchetto nella dashboard, semplificato: ogni riga spiega anche il proprio controllo in una frase. Nome del file, dimensione, impronta e data sono esempi.

Via B

Verificare sul sito web

Per chiunque riceva il pacchetto. Non serve installare nulla: il Verificatore di autenticità funziona in qualsiasi browser.

Passaggio 7, sul sito web

Verifica su getproofsnap.com, senza account

La controparte, un giudice o un consulente tecnico possono aprire il Verificatore di autenticità su questo sito con qualsiasi browser, senza ProofSnap e senza account. Esegue lo stesso tipo di controlli ed elenca ogni risultato riga per riga. Lo ZIP viene aperto nel browser; per le verifiche Bitcoin ed eIDAS la pagina invia al servizio di verifica di ProofSnap il manifest, la sua impronta e i token delle marche temporali.

  1. 1Trascina lo ZIP. Oppure fai clic per sceglierlo.
  2. 2Verifica pacchetto di prove. Avvia i controlli.
  3. 3Risultati della verifica. Un segno di spunta blu indica un controllo superato, una X scura un controllo non riuscito.
  4. 4Dati del pacchetto. Tipo, ID e ora dell'acquisizione, presi dal manifest.
  5. 5Firma del manifesto verificata. Lo stesso controllo del pannello laterale.
  6. 6Impronta corrispondente. Una riga per file. Un file modificato mostra Impronta non corrispondente, un file assente File mancante.
  7. 7Catena di custodia. Impronta del registro forense, catena di hash, norma dichiarata e integrità del dispositivo.
  8. 8Marche temporali. Il blocco Bitcoin con la sua data nell'ora locale, la marca temporale eIDAS e il controllo offline LTV. Per la certificazione di un singolo file la pagina controlla anche in automatico il file originale contenuto nello ZIP.
Il verificatore su questo sito, semplificato: l'intestazione del sito è omessa. Risultati dello stesso pacchetto di esempio del passaggio 5.

Via C

Verificare senza ProofSnap

Ogni pacchetto contiene i propri script di verifica nella cartella verification. Sono elencati nel manifest firmato, quindi sono coperti dalla stessa firma delle prove.

Passaggio 8, senza ProofSnap

Esegui verify.sh su macOS o Linux

Per una verifica che non dipende da nulla di ProofSnap, decomprimi una copia del pacchetto ed esegui lo script che contiene. Serve solo ciò che macOS e Linux hanno già: una shell, awk e uno strumento SHA-256 (shasum, sha256sum o openssl), più openssl per i passaggi della firma e di eIDAS. Lo script non scrive nulla nel pacchetto.

  1. 1Avvio. Dalla cartella decompressa: bash verification/verify.sh.
  2. 2Integrità dei file. Ricalcola l'impronta SHA-256 di ogni file elencato nel manifest: OK, MISMATCH o MISSING. Un file presente nella cartella ma non elencato nel manifest viene segnalato come NOT COVERED.
  3. 3Firma del manifest. Controlla manifest.sig con openssl. Verified OK è la risposta di openssl stesso.
  4. 4eIDAS. Confronta l'impronta contenuta nel token qualificato con manifest.json, controlla il certificato radice del pacchetto rispetto all'impronta pubblicata di CA Disig QCA4 e verifica la firma del token. Stampa il comando openssl per l'intera catena di certificati.
  5. 5OpenTimestamps. Stampa il comando per controllare l'ancoraggio Bitcoin con il client OpenTimestamps (ots), da installare a parte.
  6. 6RESULT. PASS (codice di uscita 0), FAIL quando un controllo è stato eseguito e non è riuscito (1), oppure INCOMPLETE quando mancava uno strumento (2), e questo non indica un difetto del pacchetto.
Terminale semplificato su Linux con OpenSSL 3. Ogni riga sotto il comando è stampata da verify.sh così come appare; nome della cartella e impronta sono esempi.

Passaggio 9, senza ProofSnap

Esegui verify.ps1 su Windows

Decomprimi una copia del pacchetto, apri PowerShell (versione 5 o successiva) in quella cartella ed esegui il comando qui sotto. Lo script svolge gli stessi quattro passaggi di verify.sh.

  1. 1Avvio. powershell -ExecutionPolicy Bypass -File verification\verify.ps1 dalla cartella decompressa.
  2. 2Integrità dei file. Usa Get-FileHash, incluso in Windows, e confronta anche i valori SHA-512 riportati nel manifest. Questa parte non richiede altro.
  3. 3Senza OpenSSL. Windows non lo include, quindi i passaggi della firma e di eIDAS segnalano che non è stato possibile eseguirli. Installa OpenSSL 3 ed esegui di nuovo lo script per una verifica completa.
  4. 4RESULT. L'esito è INCOMPLETE solo perché due controlli non sono stati eseguiti; tutto ciò che è stato eseguito è riuscito.
Finestra di Windows PowerShell semplificata su un computer senza OpenSSL, la situazione predefinita di Windows. Righe come le stampa verify.ps1; la cartella è un esempio.

Passaggio 10, senza ProofSnap

Oppure segui a mano VERIFICATION_GUIDE.txt

I consulenti tecnici che preferiscono digitare ogni comando da sé, o che non possono eseguire script, trovano la procedura manuale in verification/VERIFICATION_GUIDE.txt. Fa parte del pacchetto firmato, come gli script.

  1. 1Evidence ID. Collega la guida a questo pacchetto.
  2. 2A) Gli script. I comandi dei passaggi 8 e 9.
  3. 3B) Online. L'indirizzo del verificatore online, passaggio 7.
  4. 4C) A mano. Quattro passaggi, ciascuno con il comando esatto.
  5. 5STEP 1. Ricalcola l'impronta SHA-256 di ogni file e confrontala con il manifest.
  6. 6STEP 2. Il comando openssl per la firma del manifest. Più avanti: il comando eIDAS, con note su OpenSSL 3 e sul LibreSSL che macOS installa con il nome openssl, e il comando OpenTimestamps.
L'inizio della guida in un visualizzatore di testo semplice (semplificato). Prosegue con lo step 3 (eIDAS), lo step 4 (OpenTimestamps) e la catena di hash. L'evidence ID è un esempio.

Verificare a mano le marche temporali eIDAS e Bitcoin

La marca temporale eIDAS con OpenSSL

La marca temporale qualificata di un pacchetto ProofSnap è il file manifest.json.tsr.

  1. Copia il valore del campo rootCaPem di eidas_validation.json in un file chiamato tsa-root.pem.
  2. Confrontalo con l'impronta pubblicata di CA Disig QCA4 che verify.sh stampa.
  3. Dalla cartella decompressa esegui openssl ts -verify -in manifest.json.tsr -data manifest.json -CAfile tsa-root.pem.

Usa OpenSSL 3, non il LibreSSL che macOS installa con il nome openssl: LibreSSL non sa leggere un attributo delle marche temporali qualificate e segnala un errore anche su una marca valida.

L'ancoraggio Bitcoin con il client OpenTimestamps

Installa il client OpenTimestamps (ots) ed esegui ots verify manifest.json.ots -f manifest.json. Una prova confermata indica il blocco Bitcoin, e questo mostra che il manifest esisteva al più tardi al momento di quel blocco. Una prova ancora in attesa va verificata di nuovo qualche ora dopo.

Esiti

Due esiti da guardare con attenzione

Una marca temporale Bitcoin in attesa e un pacchetto segnalato come modificato.

Quando l'ancoraggio Bitcoin è in attesa

Verifica di nuovo qualche ora dopo

Una marca temporale Bitcoin diventa definitiva solo quando un blocco Bitcoin la include. Subito dopo un'acquisizione la prova è inviata ma non ancora confermata. È normale e non cambia l'esito. Per controllare in modo autonomo una prova .ots, leggi come verificare un file OpenTimestamps.

  1. 1In attesa. Inviato: conferma Bitcoin in attesa (in genere 1-3 ore). Sul sito web: OpenTimestamps: in attesa di conferma nella blockchain di Bitcoin.
  2. 2Verificato. Verifica di nuovo lo stesso ZIP, senza modificarlo, dopo qualche ora: la riga indica allora il blocco Bitcoin. Mostra che il pacchetto esisteva al più tardi al momento di quel blocco. Non cercare di aggiornare o sostituire il file .ots.

Pochi minuti dopo l'acquisizione

Qualche ora dopo, stesso ZIP

La riga OpenTimestamps nella verifica tecnica del pannello laterale. Numero del blocco e data sono esempi.

Quando l'esito indica una modifica

Non riparare lo ZIP: torna all'originale

Apri Mostra verifica tecnica: la riga rossa indica il controllo e di solito il file. Non cercare di correggere il pacchetto: qualsiasi modifica lo farebbe fallire di nuovo. Verifica invece il download originale. Le cause più comuni sono errori di gestione innocui.

  1. 1Un file è stato modificato. Aprire un file del pacchetto e salvarlo, anche senza modifiche visibili, oppure rinominarlo, basta perché non corrisponda più al manifest.
  2. 2Il pacchetto è stato decompresso e compresso di nuovo. Ricomprimere spesso sposta tutto una cartella più in basso, e il verificatore non trova più manifest.json al primo livello dello ZIP. Alcuni programmi aggiungono anche propri file nascosti.

Se anche il download originale risulta modificato, conservalo così com'è e scrivi a support@getproofsnap.com indicando la riga rossa della verifica tecnica.

Un file interno è stato aperto e salvato di nuovo

Il pacchetto è stato decompresso e compresso di nuovo

L'inizio della verifica tecnica in due casi tipici. I nomi dei file sono esempi.

Domande frequenti

Guide correlate

Prove che chiunque può verificare

Hai ricevuto un pacchetto ProofSnap? Controllalo nel Verificatore di autenticità. Vuoi acquisire le tue prove? Installa ProofSnap.

Installa ProofSnap, 7 giorni di prova

Disponibile anche per Microsoft Edge

Approfondimenti: la marca temporale qualificata eIDAS · verificare un file OpenTimestamps

Installa ProofSnap, 7 giorni di prova