Cos'è Documenso
Documenso è una piattaforma open-source per la firma elettronica di documenti, nata nel 2023 come alternativa trasparente e self-hostable a DocuSign, Dropbox Sign e Adobe Sign. Il codice è pubblicato su GitHub (repository documenso/documenso) sotto licenza AGPL-3.0, una licenza copyleft riconosciuta dall'Open Source Initiative, e ha superato le 13.000 stelle, con release frequenti e una community attiva.
Lo stack è interamente in TypeScript: frontend React (React Router/Next.js nelle varie release), API con tRPC e REST, ORM Prisma su PostgreSQL. Il progetto ha sviluppato anche una libreria PDF interna (LibPDF) per applicare firme conformi allo standard PAdES, lo stesso profilo usato in Europa per le firme elettroniche su PDF. Esiste un servizio cloud gestito su documenso.com con un piano gratuito, ma il cuore del progetto resta la versione self-hosted: chiunque può scaricare il codice, installarlo con Docker Compose e gestire in autonomia l'intero ciclo di firma.
A cosa serve
Il caso d'uso è quello quotidiano di qualsiasi azienda: inviare un documento — un preventivo, un contratto di collaborazione, un NDA, una lettera di incarico — e raccogliere una firma con valore legale, con prova di chi ha firmato, quando e da dove.
Il flusso è quello classico che gli utenti di DocuSign già conoscono: si carica un PDF, si posizionano i campi (firma, data, testo libero, checkbox, email, iniziali), si indicano i destinatari con il loro indirizzo email e si invia. Ogni destinatario riceve un link, apre il documento nel browser, compila i campi assegnati e firma digitando, disegnando o caricando un'immagine della propria firma. Non serve un account per firmare. Al completamento, tutte le parti ricevono il PDF finale con allegato un certificato di completamento: un audit trail che registra eventi, timestamp, indirizzi IP e hash crittografico del documento.
Per i flussi ripetitivi esistono i template: si definisce una volta il documento con i campi e lo si riusa per ogni nuovo cliente, oppure si pubblica un direct link che chiunque può aprire e firmare senza che il mittente intervenga. Le firme possono avvenire in parallelo o in sequenza ordinata (prima il commerciale interno, poi il cliente, poi la controparte legale).
Come funziona sotto il cofano
Architettura
Un'installazione self-hosted di Documenso richiede quattro componenti: l'applicazione Node.js, un database PostgreSQL per metadati e utenti, un server SMTP per le email di invito e notifica, e uno storage per i PDF (filesystem locale o qualsiasi servizio S3-compatibile). Il repository include un file docker-compose.yml pronto per la produzione, ed esistono template one-click per piattaforme di hosting come Coolify e Dokploy. Per Kubernetes è disponibile una Helm chart. Un'istanza per un piccolo team gira comodamente su 1 vCPU e 512 MB di RAM: i requisiti sono minimi.
Un dettaglio operativo importante: per firmare i PDF serve un certificato di firma in formato PKCS#12, che non è incluso nel software. La documentazione ufficiale spiega come generarlo; l'applicazione parte anche senza, ma la firma crittografica dei documenti fallisce finché non è configurato.
API e firma incorporata
Documenso espone una REST API completa (oltre al layer tRPC interno) e webhook che scattano sugli eventi del ciclo di vita: documento creato, inviato, aperto, firmato, completato, rifiutato. Questo permette di automatizzare l'intero processo: un gestionale può generare un contratto, inviarlo a Documenso via API e ricevere il webhook di completamento per archiviare il PDF firmato.
La funzione più strategica per chi sviluppa software è l'embedded signing: la schermata di firma può essere incorporata via iframe o tramite SDK React/Vue direttamente dentro il proprio prodotto, senza reindirizzare l'utente su un sito esterno. Su DocuSign questa capacità è storicamente legata ai piani enterprise; in Documenso è parte del progetto open-source. Esistono inoltre integrazioni con Zapier e Make per collegare la firma a migliaia di altre applicazioni senza scrivere codice.
Funzioni recenti
Lo sviluppo è rapido. Tra le novità del periodo 2025-2026: rilevamento automatico dei campi firma sul PDF tramite AI, white-labeling (dominio e branding personalizzati), SAML SSO per i team, e sul cloud gestito certificazioni SOC 2 Type II e conformità HIPAA. Il progetto ha annunciato una Business Edition self-hosted con licenza commerciale per chi vuole supporto formale senza passare al cloud.
Perché conta per il mercato italiano
Il costo del modello a plico
I servizi commerciali di firma elettronica usano un pricing a utente e a plico (envelope): un piccolo team che firma qualche decina di contratti al mese arriva facilmente a spendere tra i 75 e i 120 euro mensili, e i limiti sui plichi spingono verso piani superiori. Con Documenso self-hosted il costo è quello del server (pochi euro al mese su un VPS europeo) e i documenti sono illimitati. Per un'agenzia o uno studio che firma volumi crescenti, la differenza si misura in migliaia di euro l'anno.
Sovranità dei dati e GDPR
Un contratto firmato contiene dati sensibili: accordi commerciali, condizioni economiche, dati personali delle controparti. Self-hostare significa che questi documenti non lasciano mai la propria infrastruttura, il che semplifica di molto la gestione della conformità GDPR: niente trasferimenti verso cloud extra-UE, niente sub-responsabili aggiuntivi da mappare nel registro dei trattamenti. Per studi legali, consulenti e aziende in settori regolati è spesso il motivo principale della scelta.
Il punto delicato: eIDAS e i livelli di firma
Qui serve precisione, soprattutto per un lettore italiano. Il regolamento europeo eIDAS distingue tre livelli: firma elettronica semplice (SES), avanzata (AES) e qualificata (QES). Documenso produce di default firme elettroniche semplici con audit trail e sigillo crittografico PAdES: valide e opponibili per la grande maggioranza dei contratti commerciali B2B e B2C (preventivi, ordini, NDA, lettere di incarico), dove la legge non richiede una forma specifica e vale la libertà di forma.
Non è però una firma elettronica qualificata: la QES, che in Europa ha efficacia equivalente alla firma autografa per legge, richiede un certificato qualificato rilasciato da un prestatore di servizi fiduciari accreditato (in Italia i QTSP dell'AgID, come InfoCert, Aruba o Namirial) e un dispositivo sicuro di firma. Documenso ha il supporto a firme avanzate e qualificate in roadmap tramite integrazione con provider esterni (lo standard CSC per le firme remote è nel backlog pubblico), ma oggi non lo offre nativamente. Per atti che richiedono per legge la forma scritta con firma qualificata o digitale — si pensi a certi contratti immobiliari o alle gare pubbliche — serve ancora un QTSP. Per la pratica commerciale ordinaria, la firma semplice con audit trail solido è nella maggior parte dei casi sufficiente, come dimostra l'ampia giurisprudenza sulla libera valutazione del giudice.
Licenza AGPL: cosa implica
L'AGPL-3.0 consente uso, modifica e self-hosting gratuiti, anche internamente in azienda, senza limiti. Il vincolo scatta solo se si modificano i sorgenti e si offre il servizio a utenti esterni via rete: in quel caso le modifiche vanno pubblicate. Chi vuole incorporare Documenso in un prodotto commerciale chiuso può acquistare una licenza commerciale che svincola dall'AGPL. Per l'uso interno di una PMI — firmare i propri contratti — non c'è alcun obbligo aggiuntivo.
Limiti da conoscere
Documenso è uno strumento focalizzato: firma documenti, e basta. Non gestisce la generazione di proposte, il contract lifecycle management o la raccolta pagamenti. Rispetto a DocuSign mancano ancora la verifica avanzata dell'identità (OTP via SMS, documento d'identità), l'invio massivo nativo dall'interfaccia (fattibile via API), firma di persona su tablet e l'ecosistema di centinaia di integrazioni native del leader di mercato. Le alternative open-source più vicine sono DocuSeal (Ruby on Rails, più orientato ai form, con QES già disponibile come add-on) e OpenSign.
Dove trovarlo
- Repository GitHub:
github.com/documenso/documenso(licenza AGPL-3.0) - Sito e cloud gestito con piano gratuito:
documenso.com - Documentazione, guide Docker e configurazione del certificato:
docs.documenso.com
Per provarlo basta un VPS con Docker: si clona il repository, si configura il file .env con database, SMTP e certificato di firma, e si lancia il compose. In un'ora si ha un servizio di firma elettronica funzionante, sotto il proprio dominio, con documenti illimitati e pieno controllo dei dati.