Hai un documento da firmare, inserisci la smart card nel lettore, apri il programma e... niente. Il dispositivo non viene trovato, oppure il PIN sembra giusto ma la firma fallisce, oppure tutto funzionava fino a ieri e dopo il riavvio per gli aggiornamenti non va più. Con Windows 11 succede spesso, soprattutto su computer nuovi o appena aggiornati. La buona notizia è che le cause sono quasi sempre le stesse e si possono controllare in ordine, dalla più banale alla più tecnica. Questa guida ti accompagna in quei controlli. Se a un certo punto ti accorgi che non te la senti di andare avanti, fermati: un intervento sbagliato sul PIN può bloccare il dispositivo.
Prima di tutto: che firma hai?
"Firma digitale" è un nome solo per oggetti diversi, e i problemi cambiano a seconda del tipo.
- Smart card con lettore. La tessera, simile a un bancomat, va inserita in un lettore collegato via USB. Servono il driver del lettore, il software (middleware) della carta e il programma di firma.
- Token USB. Sembra una chiavetta e contiene carta e lettore insieme. Spesso ha il software a bordo o da scaricare dal sito del certificatore.
- Firma remota. Il certificato è custodito dal certificatore e si firma con credenziali e un codice usa e getta da app o SMS. Qui driver e lettori non c'entrano: se non funziona, il problema riguarda l'account, l'app o la connessione.
Guarda anche chi ha emesso il certificato: sulla tessera, sulla confezione o nel contratto trovi il nome del certificatore (per esempio Aruba, InfoCert, Namirial) e spesso la camera di commercio o l'ente che te l'ha consegnata. Ti servirà per scaricare il software giusto.
I sintomi e cosa vogliono dire
| Cosa vedi | Causa più probabile | Da dove partire |
|---|---|---|
| Il programma dice "nessun dispositivo trovato" | Lettore senza driver, servizio Smart Card fermo, carta inserita male | Controlli 1 e 2 |
| Il lettore si vede, la carta no | Manca o è vecchio il software della carta | Controllo 3 |
| Funzionava, si è fermato dopo gli aggiornamenti | Software di firma non compatibile con modifiche di sicurezza di Windows | Controlli 3 e 4 |
| PIN rifiutato o "dispositivo bloccato" | PIN errato più volte | Controllo 6, senza fare altri tentativi |
| Firma fatta, ma risulta non valida | Certificato scaduto o revocato | Controllo 6 |
| Funziona nel programma, non nel sito web | Certificato di autenticazione non disponibile al browser | Controllo 7 |
| PC nuovo e sottile, nulla si installa | Processore ARM senza driver compatibili | Controllo 8 |
Controllo 1: il lettore è visto da Windows?
Scollega e ricollega il lettore, possibilmente direttamente su una porta USB del computer e non su un hub o sulla tastiera. Poi apri Gestione dispositivi (tasto destro sul pulsante Start) e cerca la voce Lettori di smart card.
- Se il lettore compare senza simboli, Windows lo vede: passa al controllo successivo.
- Se compare con un triangolo giallo, il driver manca o non funziona. Molti lettori usano il driver standard di Windows; per gli altri serve quello del produttore, da scaricare dal suo sito o dalla pagina del certificatore che ti ha venduto il kit.
- Se non compare affatto, prova un'altra porta e un altro cavo. Se ancora niente, il lettore potrebbe essere guasto: provalo su un secondo computer.
Controlla anche il verso della carta: il chip dorato deve entrare dalla parte giusta. Sembra una banalità, ma è una delle chiamate più frequenti.
Controllo 2: il servizio Smart Card è attivo?
Windows usa un servizio di sistema chiamato Smart Card per dialogare con i lettori. Su un PC dove non è mai stata usata una carta, può non essere ancora attivo. Premi Windows + R, scrivi services.msc e cerca la voce Smart Card: lo stato dovrebbe essere "In esecuzione". Se è fermo, avvialo; se è disabilitato, il tipo di avvio va riportato su Manuale o Automatico. In un PC aziendale questa impostazione potrebbe essere gestita dall'amministratore di rete: in quel caso chiedi a lui prima di cambiarla.
Controllo 3: software di firma e middleware aggiornati
Il programma con cui firmi (per esempio ArubaSign, GoSign Desktop di InfoCert, FirmaCerta di Namirial o quello indicato dal tuo certificatore) non basta da solo: sotto c'è il software che sa parlare con quel modello di carta. Quando cambi PC o passi a Windows 11, la causa più comune del problema è un pacchetto vecchio, recuperato da un CD o da un vecchio download, oppure due programmi di firma diversi installati insieme che si contendono la carta.
- Vai sul sito ufficiale del tuo certificatore, nella sezione download o assistenza, e scarica l'ultima versione del programma di firma per Windows. Evita siti di download generici.
- Se il certificatore distingue i pacchetti per modello di carta o di token, scegli quello del tuo dispositivo: il modello è scritto sulla carta o nella documentazione del kit.
- Se hai programmi di firma di altri certificatori che non usi più, valuta di disinstallarli.
- Riavvia il computer dopo l'installazione, anche se non viene chiesto.
- Apri il programma e verifica che il dispositivo compaia nell'elenco prima di provare a firmare.
InfoCert, per esempio, indica GoSign Desktop come compatibile con Windows 10 e versioni successive: se usi ancora un programma più vecchio, con Windows 11 è normale che dia problemi.
Controllo 4: si è fermata dopo gli aggiornamenti di Windows
Con gli aggiornamenti di sicurezza del 14 ottobre 2025 Microsoft ha cambiato il modo in cui Windows gestisce le chiavi RSA dei certificati presenti sulle smart card, per correggere una vulnerabilità (CVE-2024-30098). In sintesi, quelle chiavi sono ora gestite da un componente più moderno di Windows e non più da quello vecchio che alcuni programmi si aspettavano di trovare. Le applicazioni scritte in modo non aggiornato possono non riuscire più a usare la carta. Le versioni di Windows 11 coinvolte vanno dalla 22H2 alla 25H2, ma il cambiamento riguarda anche Windows 10 e Windows Server.
Cosa fare in pratica:
- Aggiorna il software di firma e il middleware all'ultima versione disponibile: è la soluzione vera, perché è il programma che deve adeguarsi.
- Non disinstallare gli aggiornamenti di Windows per far ripartire la firma: lasceresti il PC esposto a tutte le altre falle corrette nello stesso pacchetto.
- Esiste un'impostazione temporanea di compatibilità, indicata da Microsoft nel registro di sistema (valore DisableCapiOverrideForRSA), che riporta il comportamento precedente. Riduce però la protezione e Microsoft ne ha previsto la rimozione con gli aggiornamenti di febbraio 2027. È un intervento da far valutare a un tecnico, solo in attesa che il software venga aggiornato.
Lo stesso principio vale per qualsiasi blocco che compare dopo un aggiornamento: prima si aggiorna il programma che ha smesso di funzionare, poi, solo se serve, si cercano soluzioni temporanee.
Controllo 5: e Java?
Java è il sospettato abituale, ma oggi c'entra meno di una volta. I browser moderni non eseguono più le vecchie "applet" Java, quindi i siti che chiedevano Java per firmare nel browser hanno cambiato sistema da anni. Java serve ancora ad alcune applicazioni installate sul PC, fra cui diversi software pubblici e gestionali. Se il programma che usi lo richiede, installa la versione indicata nelle sue istruzioni. Due situazioni da evitare: tante versioni di Java installate una sopra l'altra, nessuna aggiornata, e la convinzione che reinstallare Java risolva un problema che invece è del lettore o del middleware.
Controllo 6: PIN bloccato o certificato scaduto
Se il programma vede la carta ma non riesce a firmare, guarda bene il messaggio di errore.
PIN errato o dispositivo bloccato. Dopo un certo numero di PIN sbagliati la carta si blocca per proteggersi. Non provare altri codici "a caso": si sblocca con il PUK, che trovi nella busta consegnata insieme al dispositivo, usando la funzione di sblocco del programma di firma. Se hai perso anche il PUK, devi rivolgerti al certificatore o all'ente che ti ha rilasciato la firma.
Certificato scaduto. Ogni certificato ha una data di scadenza, visibile nel programma di firma aprendo i dettagli del certificato. Una firma apposta con un certificato scaduto non è valida. Il rinnovo si fa prima della scadenza, seguendo la procedura del certificatore; dopo la scadenza, di solito, serve un nuovo dispositivo o un nuovo certificato.
Controllo 7: firma ok nel programma, ma il sito non ti riconosce
Molte smart card contengono due certificati: uno per firmare i documenti e uno per farsi riconoscere sui siti (la Carta Nazionale dei Servizi, o CNS). Se il programma di firma funziona ma l'accesso a un portale con la carta non va, il problema è nel percorso fra carta e browser. In genere aiutano tre cose: chiudere completamente il browser prima di inserire la carta, verificare che il certificato di autenticazione compaia fra i certificati personali di Windows (il programma del certificatore di solito offre una funzione per registrarlo) e provare con un altro browser aggiornato.
Controllo 8: computer con processore ARM
Alcuni portatili recenti con Windows 11 hanno processori ARM invece dei classici Intel o AMD. Sono leggeri e durano molto in batteria, ma i driver devono essere scritti apposta per questa architettura: Microsoft avverte che driver e programmi funzionano solo se progettati per i PC Windows con processore ARM. Se il tuo lettore o il tuo token non hanno driver per ARM, non c'è impostazione che tenga. Prima di comprare un portatile da usare per firmare, verifica sul sito del certificatore che il dispositivo sia supportato su quel tipo di processore. Puoi controllare il tuo PC in Impostazioni, Sistema, Informazioni, alla voce "Tipo di sistema".
Quando conviene chiamare un tecnico
Se hai fatto i controlli dall'1 al 3 senza risultati, se il PC è aziendale e non hai i permessi per installare programmi, o se la firma ti serve per una scadenza a ore, conviene farsi aiutare. Un tecnico che conosce i dispositivi di firma sa leggere i registri di Windows, riconosce i conflitti fra middleware diversi e sa quando il problema è nel lettore e non nella carta. Quasi sempre si lavora da remoto: tu inserisci la carta, il tecnico si collega al PC e verifica driver, servizi e software mentre tu guardi. Il PIN lo digiti sempre e solo tu.
In Faberweb configuriamo firma digitale, lettori e token per studi, aziende e privati, insieme a PEC, marche temporali e Desktop Telematico. Ci colleghiamo con AnyDesk o RustDesk, che trovi nella pagina Supporto tecnico; la tariffa è di 43 € + IVA all'ora, la stessa che applichiamo in sede, dove si aggiunge l'uscita in base alla distanza da Lodi Vecchio. Per parlarci chiama lo 0371 464 186 oppure usa il modulo contatti. Se lavori in uno studio contabile, ti può interessare anche la guida sull'informatica per commercialisti; gli altri servizi sono nella pagina Informatica e assistenza.
Domande frequenti
Perché la firma funzionava con Windows 10 e con Windows 11 no?
Di solito perché sul PC nuovo è stato installato un software di firma vecchio, oppure il lettore richiede un driver che Windows 11 non installa da solo. A volte il servizio Smart Card non è ancora attivo. Scaricare l'ultima versione del programma dal sito del certificatore risolve la maggior parte dei casi.
Devo installare Java per usare la firma digitale?
Non necessariamente. Molti programmi di firma attuali non lo richiedono, mentre alcune applicazioni installate sul PC sì. Installa Java solo se il programma che usi lo indica nelle istruzioni, nella versione richiesta, ed evita di accumulare versioni vecchie.
Ho sbagliato il PIN tre volte: la firma è persa?
No, di norma il dispositivo si blocca ma si può sbloccare con il PUK, il codice che trovi nella busta ricevuta insieme alla firma, dalla funzione di sblocco del software del certificatore. Il numero di tentativi ammessi dipende dal dispositivo. Se hai perso il PUK, contatta il certificatore o l'ente che ti ha rilasciato la firma.
Conviene disinstallare l'ultimo aggiornamento di Windows se la firma si è bloccata?
Meglio di no. Gli aggiornamenti correggono molte falle di sicurezza e toglierli espone il computer. La strada giusta è aggiornare il software di firma; per i casi legati alle modifiche di ottobre 2025 Microsoft ha previsto un'impostazione temporanea di compatibilità, da far valutare a un tecnico e destinata a sparire con gli aggiornamenti di febbraio 2027.
La firma digitale si può sistemare da remoto?
Quasi sempre sì. Basta che la carta sia inserita nel tuo PC e che tu avvii il programma di assistenza remota: il tecnico controlla driver, servizi e software. Il PIN lo digiti tu, il tecnico non deve conoscerlo. In sede si va solo se il lettore è guasto o se serve sostituire componenti.