Come rinnovare l’ambiente di sicurezza Entratel: la guida

L’ambiente di sicurezza Entratel, ovvero le chiavi private di cifratura e la relativa password, scade ogni 3 anni. Per rinnovarlo è necessario utilizzare il software dell’Agenzia delle Entrate, Desktop Telematico, dopo aver revocato l’ambiente esistente. Di seguito la procedura passo per passo.

L’ambiente di sicurezza Entratel è il sistema di firma e cifratura dei file telematici composto da chiavi private e password, obbligatorio per gli intermediari. La sua validità è triennale e, alla scadenza, è necessaria la revoca del precedente profilo e la generazione di nuove chiavi tramite il software Desktop Telematico.

Cos’è l’ambiente di sicurezza e perché scade

L’ambiente di sicurezza Entratel rappresenta l’identità digitale dell’intermediario (dottori commercialisti, esperti contabili, consulenti del lavoro, etc) nei rapporti telematici con l’Amministrazione Finanziaria. Si tratta di un ecosistema crittografico composto da chiavi asimmetriche (pubbliche e private) e da una password di protezione specifica, indispensabili per garantire l’integrità e la riservatezza dei dati trasmessi. Senza un ambiente attivo, le funzioni dispositive del portale, come l’invio di dichiarazioni o modelli F24, risultano totalmente inibite.

La validità triennale dei certificati Entratel

La normativa vigente impone un ciclo di vita limitato per queste credenziali al fine di innalzare i livelli di sicurezza informatica.

• Scadenza temporale: L’ambiente di sicurezza scade rigorosamente ogni 3 anni dalla data di generazione o dall’ultimo rinnovo.
• Obbligo di rigenerazione: Ai sensi dell’art. 3, co. 3 del DPR n. 322/98, gli intermediari hanno l’obbligo di procedere alla rigenerazione triennale per mantenere l’abilitazione al servizio.
• Conseguenze del mancato rinnovo: Una volta superata la data di scadenza, è possibile solo la consultazione dei dati, mentre ogni tentativo di firma o invio file produrrà un errore di sistema.

Nella nostra pratica professionale, consigliamo di verificare la scadenza dei certificati almeno 15 giorni prima del termine triennale tramite la funzione “Visualizza certificati” del Desktop Telematico, evitando così blocchi operativi durante le scadenze fiscali.

Per approfondire: Fisconline: come funziona registrazione accesso.

Quando è necessaria la rigenerazione (anche prima della scadenza)

Il rinnovo dell’ambiente di sicurezza non è un’operazione limitata alla scadenza naturale dei certificati. Esistono diverse circostanze critiche in cui l’intermediario è obbligato a rigenerare le chiavi asimmetriche per ripristinare la piena operatività dei servizi dispositivi. Ignorare queste casistiche impedisce la firma dei file telematici e la trasmissione dei documenti all’Agenzia delle Entrate.

Nella nostra pratica professionale, riscontriamo che lo smarrimento del supporto fisico è la causa più frequente di rigenerazione anticipata. Di seguito i casi in cui è indispensabile procedere:

• Danneggiamento o smarrimento: se il supporto di memorizzazione (solitamente una chiavetta USB) contenente le chiavi private è illeggibile o perso.
• Smarrimento della password: qualora venga dimenticata la password di protezione impostata durante la precedente generazione, poiché non è in alcun modo recuperabile.
• Integrità compromessa: in ogni caso in cui l’ambiente di sicurezza non risulti più integro o utilizzabile per motivi tecnici.
• Aggiornamento certificati: quando è necessario procedere al rinnovo dei certificati digitali specifici per la firma e la cifratura.

Nota operativa: Anche se l’ambiente di sicurezza è già scaduto, la procedura prevede obbligatoriamente una fase di revoca prima di poter generare il nuovo profilo. Non è possibile sovrascrivere direttamente un ambiente obsoleto senza averlo prima annullato nel sistema centrale.

Tabella: Fasi rinnovo ambiente di sicurezza Entratel

Fase 1: Revoca dell’ambiente precedente

Il primo passo operativo per il rinnovo consiste nell’annullamento delle chiavi correnti, un’operazione che deve essere eseguita anche se l’ambiente di sicurezza risulta già scaduto. La procedura di revoca avviene interamente online, accedendo all’area riservata del sito dell’Agenzia delle Entrate tramite credenziali SPID, CIE o credenziali Entratel ancora valide.

Una volta effettuato l’accesso, è necessario navigare nel menu superiore selezionando la voce “Profilo utente“. Dal menu laterale di sinistra, occorre cliccare su “Credenziali di sicurezza” e successivamente scegliere la funzione “Ripristino dell’ambiente di sicurezza” all’interno della sezione “Gestione certificati“.

Nella nostra pratica professionale, avvisiamo sempre i clienti che questa operazione è irreversibile. Una volta confermato il ripristino, le vecchie chiavi smetteranno di funzionare immediatamente e sarà obbligatorio completare l’intera procedura di rigenerazione per tornare operativi.

Recupero del PIN di revoca e numero busta

Per convalidare la revoca, il sistema richiede l’inserimento di due dati fondamentali che l’intermediario deve avere a disposizione:

• Numero della busta: si riferisce al numero della busta rilasciata dall’Ufficio territoriale dell’Agenzia delle Entrate al momento dell’abilitazione come intermediario.
• PIN di revoca: è il codice scelto dall’utente durante la precedente generazione dell’ambiente.

Se non ricordi il PIN di revoca, puoi cercarlo nel file PDF creato dal software Entratel tre anni prima. Qualora entrambi i dati fossero irreperibili, sarà necessario recarsi fisicamente presso un ufficio dell’Agenzia delle Entrate per richiedere il ripristino dei codici di autenticazione.

Fase 2: Configurazione e generazione nuove chiavi

Dopo aver completato la revoca sul sito web dell’Agenzia, la procedura si sposta sul software Desktop Telematico installato sulla propria postazione di lavoro. Questa fase è cruciale: è qui che vengono create le nuove chiavi asimmetriche (pubblica e privata) necessarie per firmare e cifrare i documenti.

Checklist pre-generazione: i requisiti del supporto fisico

Prima di cliccare su “Genera ambiente”, assicurati di aver predisposto correttamente l’hardware per evitare errori di sovrascrittura o permessi negati:

• Supporto dedicato: utilizza una chiavetta USB o una cartella locale che sia completamente vuota. Se il percorso indicato non è vuoto, il software tenterà di sovrascrivere i file esistenti dopo averne creato una copia di backup.
• Percorso univoco: indica un percorso di sicurezza nuovo e differente da quello utilizzato nei tre anni precedenti per evitare conflitti con i vecchi certificati scaduti.
• Stampa di sicurezza: al termine della generazione, utilizza la funzione “Stampa” per conservare i dati della richiesta. Questo documento è l’unico che riporta il PIN di revoca appena scelto, essenziale per il prossimo rinnovo tra tre anni.

Creazione della cartella di lavoro su Desktop Telematico

Prima di generare l’ambiente, è necessario configurare correttamente l’applicazione Entratel per evitare conflitti con i vecchi file.

• Avvio e Accesso: avviare Desktop Telematico, selezionare l’utente e inserire la password di accesso.
• Selezione Applicazione: scegliere la voce “Entratel” dal menu Applicazioni.
• Archivio documenti: indicare la cartella che ospiterà i file telematici predisposti.
• Percorso dell’ambiente: è fondamentale specificare una nuova cartella di lavoro, diversa dalla precedente, per memorizzare le nuove chiavi.

Generazione dei file UTEF e UTEC

Per avviare la creazione effettiva, selezionare dal menu Sicurezza l’opzione “Imposta Ambiente“. In questa fase, il software richiederà l’inserimento dei dati di abilitazione originali.

• Pincode: il codice di 20 cifre (16 + 4 di controllo) presente nella sezione 3 della busta di abilitazione.
• Codice Fiscale: i dati dell’utente abilitato al servizio.
• Progressivo di sede: solitamente 000 per le sedi principali o utenti singoli.
• Nuovo PIN di revoca: un codice a scelta (da 15 a 20 caratteri) da utilizzare per future revoche senza recarsi in ufficio.
• Password di protezione: un codice (8-15 caratteri, almeno una lettera e un numero) che proteggerà il supporto fisico delle chiavi.

Durante questa fase, il sistema genererà tre file fondamentali nel percorso scelto: UTEF.P12 (firma), UTEC.P12 (cifratura) e infine UTENTE.KS (repository completo). Assicuratevi che il supporto scelto (chiavetta USB o cartella dedicata) sia vuoto prima di iniziare per evitare sovrascritture errate.

Anatomia dell’ambiente di sicurezza: i file UTEF, UTEC e KS

Per una gestione consapevole, è fondamentale conoscere la funzione dei file che il software genererà nel percorso scelto. Non si tratta di semplici documenti, ma di veri e propri “contenitori” crittografici:

• UTEF.P12: questo file racchiude la coppia di chiavi (pubblica e privata) dedicata esclusivamente alla firma dei file telematici.
• UTEC.P12: contiene la coppia di chiavi necessaria per la cifratura dei documenti, garantendo che solo l’Agenzia delle Entrate possa leggerne il contenuto.
• UTENTE.KS: è il repository finale e più importante, poiché integra al suo interno entrambe le coppie di chiavi (firma e cifratura) una volta validato il certificato.
• req.ccc: questo file viene creato nella cartella “Documenti -> Da inviare” e rappresenta la richiesta formale di certificato da trasmettere al sistema.

Fase 3: Importazione dei nuovi certificati

L’ultima fase del rinnovo consiste nell’abbinare le chiavi generate sul proprio PC con i certificati rilasciati dall’Agenzia delle Entrate. Generalmente, questa operazione avviene in modo automatico se il Desktop Telematico riesce a completare il download del file di risposta entro un intervallo di tempo prefissato.

Se la procedura automatica si conclude correttamente, il sistema aggiorna i repository delle chiavi e crea il file definitivo UTENTE.KS, che contiene sia la componente di firma che quella di cifratura.

Capita spesso che il flusso si interrompa per timeout di connessione. In questo caso, non bisogna allarmarsi: è necessario procedere all’importazione manuale seguendo questi passaggi:

1. Verifica ricevuta: Accedere all’area riservata del sito AdE, sezione “Ricevute“, e cercare il file con estensione .ccc (tipo documento PKS10).
2. Download CERTIF.IN: Se il certificato risulta elaborato (icona della cartellina presente), scaricare il file CERTIF.IN e salvarlo nella cartella “Ricezione” di Entratel sul proprio PC.
3. Importazione Manuale: Aprire l’applicazione Entratel, andare nel menu “Sicurezza” e selezionare la funzione “Importa certificati“.
4. Copia di sicurezza: Una volta terminato, utilizzare sempre la funzione “Copia ambiente” per duplicare le chiavi su un secondo supporto fisico (es. un’altra chiavetta USB).

Al termine, è possibile verificare il corretto esito dell’operazione accedendo a “Sicurezza – Visualizza certificati“. Le nuove chiavi saranno valide per i successivi 3 anni e dovranno essere utilizzate per ogni operazione di autentica e per la visualizzazione delle ricevute.

errori comuni durante il rinnovo

Durante la fase di rigenerazione dell’ambiente di sicurezza, è frequente imbattersi in blocchi tecnici che possono interrompere il flusso di lavoro. Nella nostra pratica professionale, abbiamo rilevato che la maggior parte delle problematiche deriva da una gestione errata dei file temporanei o dallo smarrimento delle credenziali originali.

Di seguito, una tabella risolutiva per i problemi più ricorrenti:

Attenzione alla Password: La password di protezione del supporto è l’unica chiave di accesso ai certificati e non è recuperabile in alcun modo. Se viene dimenticata, l’unica soluzione è ripetere l’intera procedura di revoca e generazione da zero.

Un altro errore comune riguarda il supporto di memorizzazione: se si utilizza una chiavetta USB, questa deve essere inserita correttamente e il percorso deve essere configurato nelle “Impostazioni” del menu “File” di Desktop Telematico prima di cliccare su “Genera ambiente“.

Cosa fare se il PIN di revoca è definitivamente perso?

Se non riesci a recuperare il PIN di revoca né dai tuoi archivi digitali (file PDF di memoria) né dalla stampa cartacea dell’ultimo rinnovo, la procedura online si blocca.

In questa situazione, l’unica via d’uscita è il canale fisico : l’intermediario deve recarsi personalmente presso un ufficio territoriale dell’Agenzia delle Entrate. L’ufficio procederà al ripristino dei codici di autenticazione, permettendoti di resettare l’ambiente di sicurezza e ricominciare la procedura dal Desktop Telematico.

Domande frequenti

Fonti e riferimenti normativi

• D.P.R. 22 luglio 1998, n. 322 (Art. 3, co. 3): Stabilisce l’obbligo triennale di rigenerazione dell’ambiente di sicurezza per gli intermediari abilitati.
• Decreto Legislativo 9 luglio 1997, n. 241: Disciplina i servizi telematici e le modalità di trasmissione delle dichiarazioni.
• Busta di abilitazione dell’Agenzia delle Entrate: Documento tecnico contenente il Pincode (sezione 3) e il numero della busta necessari per la revoca.
• Guida Operativa Desktop Telematico: Manuale d’uso del software per la gestione delle chiavi asimmetriche (UTEF, UTEC, UTENTE.KS).
• Specifiche Tecniche dell’Amministrazione Finanziaria: Definizione dei protocolli di cifratura e firma per la riservatezza e l’integrità dei dati.