4.5. Certificati qualificati di sigillo elettronico¶

SP e IdP si dotano, presso un QTSP, di un certificato elettronico qualificato per la creazione di sigilli elettronici.

Detti certificati qualificati sono conformi alle raccomandazioni emanate con le LL.GG. sui certificati elettronici (cit.), allo standard X.509 versione 3, e contengono le seguenti informazioni aggiuntive:

1. Il campo SubjectDN, contenente i seguenti attributi:
   1. serialNumber (ᴏɪᴅ 2.5.4.5) — contiene per gli IdP e i SP, alternativamente, secondo il seguente ordine:
      • la partita IVA indicata con il prefisso ‘VAT’, come prescritto dal §5.1.4 punto 1 della norma ETSI EN 319-412-1 (es. “VATIT-12345678901”);
      • il codice fiscale indicato con il prefisso ‘CF:’, come prescritto dal §5.1.4 punto 3 della suddetta norma (es. “CF:IT-01234567890”);
      • il numero assegnato dal Registro Imprese, indicato con il prefisso ‘NTR’, come prescritto dal §5.1.4 punto 2 della suddetta norma (es. “NTRIT-1234567890”);
      • per gli SP pubblici, il codice IPA, così come risulta nel campo ipaEntityCode del registro SPID, preceduto dal prefisso ‘PA:’, come prescritto dal §5.1.4 punto 3 della suddetta norma (es. “PA:IT-agid”).
   2. commonName (ᴏɪᴅ 2.5.4.3) — contenente, mediante un elemento di tipo dNSName, il nome di dominio – privo di qualsiasi carattere wildcard – di cui al punto 5.
2. Il campo CertificatePolicies (ᴏɪᴅ 2.5.29.32), contenente i seguenti attributi:
   1. PolicyIdentifier — valorizzato come:
      • spidSignature (ᴏɪᴅ 1.3.76.16.4.11);
   2. una limitazione d’uso indicata mediante la presenza di un campo userNotice (ᴏɪᴅ 2.5.29.49), di tipo explicitText, valorizzato con la seguente stringa bilingue: “Certificato usabile solo per il processo di sottoscrizione di cui all'art.20 del CAD/This certificate may be used only for elecrronic signing pursuant to the Italian Digital Administration Code, art.20.”.
3. keyUsage (ᴏɪᴅ 2.5.29.15) — contenente i valori digitalSignature e keyEncipherment, cioè i bit #0 e #2, valorizzati a 1, come da specifica RFC 5280.
4. extendedKeyUsage (ᴏɪᴅ 2.5.29.16) — contenente sia l’elemento id-kp-serverAuth (ᴏɪᴅ 1.3.6.1.5.5.7.3.1) che l’elemento id-kp-clientAuth (ᴏɪᴅ 1.3.6.1.5.5.7.3.2).
5. subjectAltName (ᴏɪᴅ 2.5.29.17) — valorizzata con elemento unico di tipo dNSName e contenente il dominio dell’URL completo (così come riportato nel registro SPID) presso il quale l’ente federato rende disponibile, agli enti federati della tipologia opposta, il servizio di trasferimento sicuro di cui al §5.2.