Prove, non rassicurazioni.
Ogni album da disegno conserva una cronologia completa e firmata. Sigillare prende il momento che contava — la pagina su cui tutti si sono trovati d'accordo — e lo trasforma in un documento che puoi consegnare a qualcuno che non ha un account, non ha le chiavi e non ha alcun motivo particolare per crederti.
Una cronologia convince chi è già dentro
La cronologia delle versioni è eccellente per chiarire tra colleghi «cosa abbiamo cambiato martedì scorso». È molto più debole proprio nella situazione per cui si tengono davvero i documenti: un sinistro, una verifica, una controversia — quando chi legge sta fuori dalla tua organizzazione e il suo mestiere è presumere che il documento sia stato sistemato dopo i fatti.
Uno screenshot non dimostra nulla. Un'esportazione in PDF non dimostra nulla. Nemmeno un'esportazione del database dimostra nulla, perché il database lo controlli tu. Ciò che regge davanti a quel lettore è un documento che può verificare da solo, realizzato con chiavi che sa distinguere e datato da qualcuno che non ha interessi nell'esito. Questo è un sigillo.
Quattro cose succedono quando sigilli una pagina
Fissa lo stato esatto
Il sigillo cattura precisamente il contenuto che hai approvato — ogni tratto, sulle pagine coinvolte — invece di un rimando a «la versione attuale», che continua a spostarsi. Scegli una singola pagina o l'intero album.
Firma sul tuo dispositivo
La tua chiave non lascia mai il tuo computer. Prima di usarla, l'app ti mostra esattamente cosa stai per firmare e chiede il tuo consenso esplicito — non si firma mai in silenzio.
Fatti datare da un esterno
La firma viene inviata a un'autorità di marcatura temporale RFC 3161 indipendente, che restituisce un token firmato. La data non dipende dal tuo orologio, da quello di un collega o dal nostro.
Mettilo agli atti, per sempre
Il sigillo viene scritto in un archivio che sa soltanto aggiungere e compare come pietra miliare sulla linea del tempo delle versioni, verificato di nuovo ogni volta che qualcuno lo guarda.
Nulla di tutto questo richiede una connessione nel momento in cui disegni. Un sigillo creato offline riceve la marca temporale appena il dispositivo riesce a raggiungere un'autorità, e il documento lo dice invece di fingere il contrario.
Tanti firmatari quanti ne richiede la decisione
«Cofirma e controfirma» indica due intenzioni, non due persone. Non c'è alcun limite di due, e i due meccanismi rispondono a domande diverse.
Cofirma
Una dichiarazione, molte firme. Tutti firmano un contenuto identico byte per byte, ciascuno con la propria chiave e la propria marca temporale — e il verificatore riferisce su ciascuna separatamente, così «tre approvazioni su quattro sono valide» non collassa mai in «il sigillo non è valido». Usala quando le parti affermano la stessa cosa su un piano di parità.
Poiché l'archivio sa soltanto aggiungere, due persone possono cofirmare nello stesso momento su dispositivi diversi, offline, senza coordinarsi — ed entrambe le firme sopravvivono alla fusione.
Controfirma
Una nuova dichiarazione che si vincola a una precedente. Usala quando la seconda approvazione riguarda la prima — «ho visto ciò che ha approvato l'impresa e lo accetto» — quando chi firma ha bisogno di una propria annotazione, oppure quando è passato tanto tempo che il lavoro potrebbe essere andato avanti.
La cofirma ti dà un insieme non ordinato di pari. La controfirma ti dà una catena ordinata. Entrambe vengono esportate insieme, così il quadro completo di chi ha approvato cosa sta in un unico file.
Decidi tu quanto rivela il file
Prove più forti vogliono dire mostrare di più. La finestra di esportazione mette in chiaro questo compromesso invece di decidere al posto tuo — quattro livelli, ognuno dimostra più del precedente e ognuno rivela più del precedente. Nulla al di fuori delle pagine sigillate viene mai incluso e nessuna chiave di decifratura lascia il tuo dispositivo.
L'immagine
La dichiarazione, ogni firma, i token di marca temporale e un'immagine delle pagine sigillate. Dimostra chi ha sigillato cosa e quando — ma l'immagine in sé si regge sulla parola di chi firma.
Rivela: Solo le pagine approvate, come immagine piatta.
La catena
Aggiunge i metadati di ogni modifica dietro quelle pagine. Chi riceve il file verifica l'intera cronologia delle modifiche e attribuisce ogni modifica a una chiave — senza però scoprire nulla su cosa contenesse ciascuna modifica.
Rivela: Chi ha modificato qualcosa e in che ordine. Non cosa ha disegnato.
Il contenuto
Aggiunge i dati della pagina stessa, così chi riceve il file rigenera il disegno sul proprio computer e smette di dare fiducia all'immagine.
Rivela: Il contenuto finale delle pagine sigillate.
La cronologia completa
Aggiunge il registro grezzo delle modifiche. Chi riceve il file ripercorre il disegno dal nulla, lo vede arrivare allo stato sigillato e collega ogni modifica al suo documento firmato.
Rivela: Tutto, compresi i tratti che hai cancellato — un registro delle modifiche li conserva per sempre. L'app ti avvisa prima che tu scelga questo livello.
Chi riceve il file ha bisogno di un browser. Nient'altro.
Lo ZIP porta con sé il proprio verificatore — un unico file che funziona interamente sul suo computer. Nessun account da noi, nessun software da comprare, nessuna chiave da parte tua e nessuna connessione di rete, il che significa anche che di quella verifica non viene riferito nulla a nessuno.
Non restituisce un segno di spunta verde. Riporta ogni affermazione separatamente — se il contenuto è inalterato, se ogni firma è valida, cosa stabilisce la marca temporale — e dichiara chiaramente quali affermazioni il livello di divulgazione del file non gli permette di controllare. Uno strumento che dice sempre e solo «valido» non è una prova, è decorazione. Lo stesso vale anni dopo: il formato è documentato e il codice di verifica è aperto, così un pacchetto si può controllare molto tempo dopo che l'app che l'ha creato è andata avanti.
Cosa dimostra un sigillo — e cosa no
Essere precisi qui non è una clausola di esclusione. Una prova che dice più del dovuto vale meno di una prova che indica esattamente dove si ferma, perché la prima cosa che fa la controparte è cercare lo scarto tra l'affermazione e la matematica.
Dimostra
- Che queste persone hanno firmato esattamente questa dichiarazione.
Ogni firma copre una versione fissa e univoca del contenuto ed è legata a questo solo scopo: non si può spostare su un altro documento. Schema di firma: Ed25519. - Che lo hanno fatto entro un momento preciso.
L'ora la conferma un'autorità di marcatura temporale indipendente, non il tuo dispositivo e non noi. RFC 3161, da un fornitore qualificato eIDAS dove ti serve. - Che la dichiarazione copre esattamente questo stato del disegno.
La firma contiene un'impronta dell'intera cronologia delle modifiche della pagina. Cambia un solo tratto e l'impronta non corrisponde più. - Che queste modifiche sono state fatte con queste chiavi, in quest'ordine.
Ogni singola modifica è firmata per conto suo e il suo identificatore si calcola dal contenuto: inserire, togliere o riordinare qualcosa in seguito si nota subito. - Che l'immagine mostrata è ciò che i dati producono davvero.
Dal livello 3 in su il verificatore ridisegna l'immagine dai dati e confronta le due. Sotto quel livello dichiara apertamente di non aver potuto controllare.
Non dimostra
- Che una chiave appartenga a una persona con nome e cognome.
A chi appartiene una chiave lo stabiliscono le parti tra loro, come farebbero con qualsiasi altro documento d'identità. Il pacchetto porta con sé un estratto della rubrica per aiutare. Dove non basta, i certificati qualificati colmano la lacuna — vedi sotto. - Che il disegno non esistesse già prima.
Una marca temporale è un limite superiore, a ogni livello di garanzia. Dimostra che qualcosa esisteva entro un dato momento, mai che prima non esistesse.
Marche temporali qualificate, quando il processo le richiede
L'autorità di marcatura temporale è un'impostazione, non una parte fissa del prodotto. È importante, perché quanto vale una marca temporale in un processo regolamentato dipende interamente da chi l'ha emessa.
Incluso
I sigilli ricevono la marca temporale senza costi aggiuntivi da un'autorità pubblica RFC 3161 indipendente. Il token è una vera prova di terza parte sul tempo ed è ciò su cui si gioca la maggior parte delle controversie — semplicemente non è qualificato ai sensi di eIDAS, e il verificatore lo dice invece di lasciarlo nel vago.
Qualificato, come opzione aggiuntiva
Punta lo stesso meccanismo verso un prestatore di servizi fiduciari qualificato eIDAS e ogni sigillo verrà marcato da un'autorità qualificata. Una marca temporale qualificata gode della presunzione legale di esattezza della data e dell'ora, quindi l'onere di smentirla passa alla controparte.
Funziona in modo identico sul nostro hosting e sul tuo server. Poiché il servizio qualificato è a sua volta un abbonamento a pagamento, si paga come opzione aggiuntiva — parlane con noi raccontandoci la tua giurisdizione e i tuoi volumi.
Andare oltre — fino alla firma elettronica qualificata — è un passo diverso, e su cui conviene essere onesti: richiede un certificato qualificato rilasciato a ogni firmatario nominato dopo una verifica dell'identità, con la chiave di firma custodita in un dispositivo certificato. È anche ciò che risolverebbe l'unica cosa che la crittografia da sola non può risolvere, cioè a quale persona appartiene una chiave. È nella roadmap per i clienti il cui processo lo richiede; chiedici a che punto siamo.
Una cosa così non si può innestare su un'app qualsiasi
La maggior parte degli strumenti di disegno memorizza lo stato attuale di un documento e lo sovrascrive mentre lavori. Non c'è nulla da sigillare se non un'istantanea, e nulla da dimostrare se non ciò che l'istantanea afferma di sé.
- L'archivio sa soltanto aggiungere. Le modifiche si sommano, non sovrascrivono nulla — così uno stato passato è ancora lì per essere sigillato, e ancora lì per essere verificato anni dopo.
- Ogni modifica è già firmata. Paternità e ordine sono proprietà dei dati stessi, non voci di un registro che chi ha accesso al database potrebbe riscrivere.
- È cifrato end-to-end. I server contengono testo cifrato, ed è per questo che il file di prova può essere completo senza consegnare a nessuno le tue chiavi — e per questo sigillare funziona sul tuo server esattamente come sul nostro.
- È local-first. Si sigilla sul dispositivo, quindi funziona su un tetto, in uno scantinato o in aereo, e si sincronizza quando atterri.
Questo è MindooDB, il database sotto TeamSketchbook e sotto ogni altra app Haven. Sigillare non è una funzione che ci abbiamo aggiunto sopra — è ciò che l'archivio faceva già, reso visibile e trasportabile.
Quando un disegno deve reggere
Architetti e ingegneri
Metti agli atti quale versione del progetto il committente ha rilasciato per la costruzione, con la data confermata da una terza parte invece che da uno scambio di e-mail.
Assicurazioni e perizie
Sigilla sul posto uno schizzo del danno, offline. Il sigillo nasce quando lo disegni, non quando torni a prendere segnale.
Proprietà intellettuale e stato dell'arte
Dimostra che un progetto esisteva in una forma esatta entro una data precisa — l'uso classico di una marca temporale indipendente.
Agenzie e approvazione del cliente
Trasforma «sì, quella versione» in un documento che nessuna delle due parti può correggere in silenzio dopo, senza comprare una licenza di firma elettronica per ogni revisore.
Istruzione e valutazione
Fissa una consegna alla scadenza, così le modifiche successive risultano visibili come modifiche successive invece che come materia di discussione.
Sigillare fa parte dell'app, non è un'opzione aggiuntiva: nessun costo per firma, nessun costo per busta e nessuna licenza per chi si limita a verificare. Vedi i prezzi.
Sigilla la versione su cui vi siete trovati d'accordo.
Gratis offline o in self-hosting. Apri Haven, installa TeamSketchbook e provalo oggi stesso su una pagina.