PEC: come funziona davvero, tra ricevute, valore legale ed errori comuni

Di PEC si parla spesso come di una «raccomandata via mail». Il paragone aiuta ma nasconde il punto tecnico: la PEC non cifra né garantisce che qualcuno abbia letto il messaggio. Fa una cosa precisa, cioè produce ricevute firmate dai gestori che attestano invio e consegna. Questo articolo spiega come, e cosa conviene controllare quando una PEC «non arriva».

Le regole tecniche sono quelle del DPR 68/2005 e del decreto ministeriale 2 novembre 2005, pubblicato da AgID. Quanto segue segue quei testi; per questioni legali concrete serve comunque un legale, non un blog tecnico.

Come viaggia un messaggio PEC

Il mittente scrive al proprio gestore PEC, non direttamente al destinatario. Il gestore del mittente controlla il messaggio, emette la ricevuta di accettazione e lo chiude in una busta di trasporto, firmata con la propria chiave. La busta contiene il messaggio originale e i dati di certificazione (data e ora di invio, mittente, destinatario, oggetto, identificativo). Viaggia fino al gestore del destinatario, che la consegna senza modificarla nella casella e restituisce al mittente la ricevuta di avvenuta consegna.

Nel messaggio ricevuto ci sono, di norma, tre allegati tecnici: postacert.eml (l’originale), daticert.xml (i dati di certificazione leggibili da una macchina) e smime.p7s (la firma del gestore). I nomi sono quelli usati in pratica dai gestori; la struttura è definita dalle regole tecniche AgID.

Le ricevute: cosa attesta ciascuna

• Ricevuta di accettazione: il tuo gestore ha preso in carico il messaggio. Non dice nulla sul destinatario.
• Ricevuta di presa in carico: è scambiata tra gestori e di solito non la vedi come utente.
• Ricevuta di avvenuta consegna: il messaggio è stato inserito nella casella PEC del destinatario. È l’evento che conta, ma attesta la consegna in casella, non la lettura. Ne esiste una per ogni destinatario.
• Avviso di non accettazione: il gestore non ha accettato il messaggio (errori formali, virus) e il messaggio non sarà consegnato.
• Avviso di mancata consegna: il gestore non è riuscito a consegnare in casella.

La ricevuta di consegna esiste in tre forme: completa (allega dati di certificazione e messaggio originale), breve (dati di certificazione e un estratto) e sintetica (solo dati di certificazione). Se ti serve provare anche il contenuto, la completa è la più comoda; la sintetica da sola prova la consegna, ma non cosa conteneva il messaggio, se non hai conservato l’originale.

Valore legale: cosa si può dire con sicurezza

L’art. 48 del Codice dell’amministrazione digitale prevede che le comunicazioni telematiche che richiedono ricevute di invio e di consegna passino dalla PEC (o da altre soluzioni indicate nelle Linee guida), che l’invio equivalga alla notificazione a mezzo posta «salvo che la legge disponga diversamente» e che data e ora di invio e ricezione siano opponibili ai terzi se rispettano le regole tecniche. Lo stesso articolo contiene una nota di aggiornamento: è prevista la sua abrogazione quando entrerà in vigore un DPCM sulla conformità dei servizi PEC, quindi conviene verificare il testo vigente.

Due cautele pratiche. Primo, il valore di una PEC dipende anche dal tipo di atto: ci sono casi in cui la legge richiede altro. Secondo, la PEC è in evoluzione verso i servizi di recapito certificato europei (regolamento eIDAS, con regole tecniche AgID per il formato REM). Per ora i flussi quotidiani non cambiano, ma è un tema da seguire sulle pagine AgID.

Errori comuni

• Credere che la ricevuta provi la lettura. Prova la consegna in casella.
• Non conservare le ricevute. Il gestore conserva un log delle operazioni per trenta mesi (art. 11 DPR 68/2005, come riportato da fonti di settore). Dopo, devi avere tu l’originale e le ricevute in formato integro. Salvale come file .eml, non come stampa o PDF.
• Ignorare l’avviso di mancata consegna. Arriva se il gestore del destinatario non conferma entro i tempi: le regole tecniche prevedono un preavviso dopo dodici ore senza ricevuta di presa in carico o consegna e un avviso di mancata consegna dopo ulteriori dodici ore, cioè ventiquattro in totale. Va letto e gestito, non archiviato.
• Usare una PEC come casella normale. Una mail ordinaria arrivata a un indirizzo PEC viene consegnata chiusa in una busta di anomalia, che segnala al destinatario che il messaggio non è PEC. Non ha lo stesso valore. Se la ricezione da mittenti non PEC sia consentita dipende dal servizio: va verificato presso il proprio gestore.
• Allegati e virus. Il controllo antivirus fa parte del sistema: un messaggio con virus può essere rifiutato con un avviso di non accettazione per virus. Non è un guasto.
• Inoltrare la PEC e perdere la prova. Un inoltro normale cambia il messaggio. Per conservare il valore serve la busta di trasporto originale, non una copia riscritta.

Cosa controllare lato mail server

Se gestisci un tuo server di posta, la PEC non passa da lì: la casella sta presso il gestore. Quello che può andare storto è il contorno.

• Prelievo con client o script. Se scarichi la PEC via IMAP/POP verso un archivio o un ticketing, usa le impostazioni indicate dal gestore (server, porte, cifratura) e verifica che non venga modificato il messaggio. Salva sempre l’intero .eml con gli allegati daticert.xml e smime.p7s.
• Filtri e regole di smistamento. Un filtro antispam o una regola che sposta o riscrive i messaggi può far sparire una ricevuta. Le ricevute arrivano dal gestore, con oggetti del tipo «ACCETTAZIONE» o «CONSEGNA»: controlla la cartella indesiderata e le quarantene.
• Quota della casella. Una casella piena è una causa classica di mancata consegna. Monitorala e archivia, scaricando in locale, prima di arrivare al limite.
• DNS e raggiungibilità. Se la tua azienda usa un dominio proprio con una casella PEC dedicata, i record MX e gli altri record devono corrispondere a quanto indica il gestore. Un controllo di SPF, DKIM e DMARC sul dominio ordinario resta separato e utile, ma non sostituisce la configurazione PEC.
• Rimbalzi SMTP di un sistema che invia verso PEC. Se un’applicazione manda mail ordinarie a un indirizzo PEC e ricevi un rifiuto, leggi il codice con calma. Se è un «Relay access denied», la nota operativa sul 550 5.7.1 spiega le cause e come correggerle.
• Orologio e log. Se il tuo sistema registra gli invii, tieni l’orario sincronizzato (NTP): in caso di contestazione conta il tempo della ricevuta, ma un tuo log coerente aiuta a ricostruire.

Checklist finale

• Dopo ogni invio, verifica che arrivi la ricevuta di accettazione e poi quella di avvenuta consegna.
• Per gli atti importanti, scegli la ricevuta completa o conserva l’originale inviato.
• Salva messaggio e ricevute come .eml integri in un archivio con backup.
• Tratta ogni avviso di mancata consegna come un evento da seguire, non da archiviare.
• Controlla spam, quarantene e regole di smistamento della casella.
• Monitora lo spazio della casella PEC.
• Non inoltrare la PEC come prova: conserva la busta originale.
• Controlla le comunicazioni del tuo gestore e le pagine AgID per le novità normative.

Se una PEC risulta «non consegnata» e non capisci perché, parti dalle ricevute: dicono dove il percorso si è fermato, prima ancora di guardare il server.