Co je soubor P7S a jak k němu otevřít podepsaný originál

Soubor P7S je elektronický podpis uložený zvlášť, bez dokumentu, ke kterému patří. Proto se po dvojkliku neotevře jako běžný dokument a proto ho ani nepřevedete do PDF: podepsaný text nebo PDF je vždy jiný soubor. Níže najdete, co přesně v souboru je, kde se s ním v Česku potkáte a jak ho otevřít společně s originálem, abyste viděli obsah i podepisující osobu.

Co je soubor P7S podle standardu

Přípona .p7s patří podle standardu S/MIME 4.0, tedy RFC 8551, typu application/pkcs7-signature, což je podpis ve formátu CMS (Cryptographic Message Syntax, nástupce PKCS#7). Oddíl 3.5.3.1 téhož RFC říká, že tento typ vždy obsahuje jediný objekt SignedData a že pole s podepsaným obsahem (eContent) „MUST be absent“, tedy musí chybět.

V praxi to znamená:

• uvnitř je hodnota podpisu, certifikát podepisující osoby a údaje o podpisu,
• uvnitř není podepsaný dokument,
• dokument leží jinde: vedle v téže složce, mezi ostatními přílohami nebo přímo v těle e-mailu.

Takovému uspořádání se říká oddělený podpis (detached). Dokumentace evropské knihovny DSS ho popisuje jako podpis, který se vztahuje k „external resource(s) separated from it“. Pro zaručené elektronické podpisy se nad CMS používá formát CAdES podle normy ETSI EN 319 122, který umí podpis oddělený i obalující.

Kde se s .p7s v Česku setkáte

Nejčastěji soubor .p7s dostanete jako doprovod k jinému obsahu. Tabulka shrnuje situace, které popisují oficiální zdroje.

K jednotlivým řádkům:

• MOJE daně: Finanční správa popisuje načtení „…potvrzeni.p7s“ přes ELEKTRONICKÁ PODÁNÍ PRO FINANČNÍ SPRÁVU a NAČTENÍ ZE SOUBORU. Aplikace EPO pak ukáže cílový finanční úřad, stav podání, podací číslo a heslo.
• E-mail: název smime.p7s používá přímo příklad v RFC 8551. Poštovní klient s podporou S/MIME podpis zpracuje sám, jinde se zobrazí jako nesrozumitelná příloha.
• ASiC-S: norma ETSI EN 319 162-1 ukládá CAdES podpis do kontejneru jako signature.p7s. Celý kontejner rozbalí ASiC reader pro soubory .asice a .asics.
• Datová schránka: Provozní řád ISDS výslovně povoluje posílat podpisy ve formátech P7S i P7M. Další limity shrnuje stránka o přílohách datové zprávy.

Proč .p7s sám o sobě do PDF nepřevedete

Převod do PDF nejde, protože v souboru .p7s žádný dokument není. Rada přejmenovat příponu na .pdf proto u odděleného podpisu nepomůže: z podpisu nevznikne text, který v něm nikdy nebyl.

Postupujte takto:

1. Podívejte se, jak se soubor jmenuje. Název typu „smlouva.pdf.p7s“ obvykle napovídá, ke kterému souboru podpis patří.
2. Najděte tento originál ve stejné zprávě, e-mailu nebo složce.
3. Pokud originál chybí, požádejte o něj odesílatele. Bez něj nelze zobrazit obsah ani zjistit, zda podpis odpovídá právě tomuto dokumentu.

PDF, které z originálu vytisknete nebo uložíte, je kopie pro čtení. Nemá právní účinky autorizované konverze.

P7S vs P7M: srovnání v tabulce

Hlavní rozdíl je v tom, kde leží dokument: .p7m ho obvykle nese uvnitř, .p7s jen ukazuje na jiný soubor. Obě přípony definuje RFC 8551.

Pokud vám přišel soubor .p7m, postup najdete v návodu jak otevřít podepsaný dokument ve formátu p7m.

Jak otevřít soubor P7S s originálem v prohlížeči

Otevřete .p7s na této stránce a k němu přidejte originál; obojí se čte ve vašem prohlížeči a nic se nenahrává na server. Nic neinstalujete. Návody na otevírání p7s samy často varují, abyste citlivé dokumenty nenahrávali na cizí servery, a tady k tomu nedochází.

1. Uložte si .p7s i dokument, ke kterému patří, například do jedné složky.
2. V horní části stránky vyberte soubor .p7s.
3. Stránka pozná, že jde jen o podpis, a vyzve vás k výběru původního dokumentu. Vyberte ho.
4. Přihlaste se zdarma přes Google. Uvidíte souhrnnou kartu, náhled první strany a panel s tím, kdo dokument podepsal nebo zapečetil, včetně údajů o certifikátu.
5. Pokud potřebujete celý dokument, stažení nebo tisk, odemkněte ho za 3,99 € (zůstane odemčený v tomto prohlížeči), nebo zvolte Pro za 7,99 € / měsíc. Ceny jsou včetně DPH.

Bez přihlášení vidíte výsledek jen rozmazaný. Stejným způsobem otevřete i soubory .p7m, kontejnery ASiC, podepsané XML nebo soubor ZFO z datové schránky.

Co se o podpisu dozvíte a co ne

Stránka ukáže, kdo dokument podepsal, a údaje z certifikátu, například vydavatele jako I.CA nebo PostSignum. Neoznačí ale podpis za platný. Kde krok ověření sama nepřepočítá, výslovně uvede, že ho zkontroluje oficiální validátor.

Pro právně relevantní odpověď potřebujete oficiální ověření:

• EU DSS demo na ec.europa.eu zpracuje i oddělené podpisy CAdES. Evropská komise ale uvádí, že demo slouží „for testing purposes only“.
• Kvalifikované služby ověřování platnosti podle seznamu DIA nabízejí například I.CA, Software602 nebo SEFIRA. I Adobe u vlastního produktu píše, že pro právně závazný závěr je třeba kvalifikovaná služba ověřování platnosti.

Co jednotlivé výsledky validátorů znamenají, vysvětluje stránka ověření elektronického podpisu. Text má informativní povahu a není právní radou.

Otevřete soubor P7S i s dokumentem

Soubor P7S je jen podpis, takže ho vždy otevírejte spolu s originálem. Vyberte oba soubory nahoře na stránce a po bezplatném přihlášení uvidíte dokument i to, kdo ho podepsal.