Wat is het P7M-bestandsformaat?
.p7m-bestanden zijn verantwoordelijk voor het opslaan van versleutelde of digitaal ondertekende e-mailberichten en documenten als een binaire PKCS#7/CMS-container. In een dergelijk bestand worden de inhoud, eventuele bijlagen, de cryptografische handtekening en de certificaatketen van de ondertekenaar samen opgeslagen. Het formaat is eveneens gebruikelijk als een algemene container voor ondertekende documenten: een daadwerkelijk bestand - zoals een PDF of een XML-factuur - wordt letterlijk ingebed in de .p7m-schil, die de handtekeninglaag toevoegt.
De container is normaal gesproken DER-gecodeerd binair (ASN.1 magic bytes 0x30 0x82 op offset 0); er bestaat ook een Base64-tekstvariant van dezelfde structuur die begint met MII.... In tegenstelling tot .p7s, wat een losstaande handtekening is die het brondocument apart houdt, bundelt .p7m het originele document en de handtekening in één enkel zelfstandig bestand.
Toegang tot versleutelde berichten
.p7m-bestanden hebben één hoofddoel - de bescherming van informatie in een bericht tegen ongeoorloofde toegang door derden. Om een versleutelde .p7m te lezen, is het bezit van een privésleutel vereist die overeenkomt met de publieke sleutel die werd gebruikt om het bericht te verzegelen. De privésleutel van de ontvanger blijft hetzelfde voor verschillende berichten, zodat de beoogde ontvanger gemakkelijk toegang heeft tot elk nieuw bericht zonder extra configuratie.
.p7m-bestanden worden vaak gebruikt voor het verzenden van gevoelige, beschermde gegevens in de medische, financiële of zakelijke sector..p7m-bestanden gebruiken de Secure/Multipurpose Internet Mail Extensions (S/MIME) standaard als hun methode voor ondertekening en versleuteling; de onderliggende specificatie is CMS (RFC 5652).- In de EU - vooral in Italië - is
.p7mde standaardcontainer voor CAdES (CMS Advanced Electronic Signatures) gekwalificeerde elektronische handtekeningen, die volledige rechtskracht hebben. - Berichten die zijn ondertekend of versleuteld in
.p7m-bestanden verschijnen meestal onder de bestandsnaamsmime.p7m.
Dergelijke .eml e-mailberichten bieden alleen informatie binnen een header, met een leeg inhoudsveld dat zichtbaar is voor de e-mailclient. De tekst en bestanden van het bericht bevinden zich in de versleutelde of ondertekende bijlage zelf. Om het binnenste document te extraheren of een handtekening te verifiëren zonder speciale software, zijn openssl smime -verify of openssl smime -decrypt veelgebruikte opdrachtregelopties.
Beveiliging & veiligheid
RISICO: MEDIUMEen .p7m is data, geen programma, dus het kan niet uit zichzelf worden uitgevoerd - maar het draagt een vertrouwenswaarde die van belang is. Voor ONDERTEKENDE .p7m-bestanden is „openen” veilig, maar het gaat om het VERIFIËREN: een geldige handtekening vertelt je wie er heeft getekend en dat het document ongewijzigd is; controleer of het certificaat van de ondertekenaar wordt vertrouwd en niet is verlopen/ingetrokken, niet alleen dat er „een handtekening bestaat”. Het binnenste document (bijv. een PDF) verdient nog steeds de normale voorzichtigheid zodra het is geëxtraheerd. Voor VERSLEUTELDE .p7m heb je JOUW privésleutel nodig om te ontsleutelen - stuur je privésleutel nooit naar iemand en upload een vertrouwelijk/versleuteld .p7m-bestand niet naar een willekeurige online „opener”. Geef de voorkeur aan officiële verificatiediensten (Aruba/Agid) en lokale tools (Dike/OpenSSL) voor gevoelige documenten.
Formaatdetails
in een notendopVOLLEDIGE NAAMPKCS#7 / S/MIME Message (digitally signed or encrypted)
ONTWIKKELAARRSA Security (PKCS#7) / IETF (S/MIME, CMS - RFC 5652)sinds PKCS#7 (1990s); S/MIME / CMS standardized in RFC 5652. Heavily used for EU/Italian legal e-signatures (CAdES)
CATEGORIEBeveiligings-/certificaatbestanden
MIME-TYPEapplication/pkcs7-mime
TYPEBinaire PKCS#7/CMS-container (meestal DER-gecodeerd), soms Base64; omhult het originele bestand plus handtekening en/of versleuteling
STANDAARDOpen · royaltyvrij
MAGIC BYTES · BESTANDSSIGNATUUR
OFFSET
0001
HEX
3082
ASCII
0·
Een .p7m is normaal gesproken een binaire PKCS#7/CMS-structuur (DER), dus het begint met de ASN.1 SEQUENCE tag 0x30 gevolgd door een lengte, gewoonlijk 0x30 0x82 .... Sommige .p7m-bestanden zijn Base64-gecodeerde tekst (dan beginnen ze met „MII...”). De container omhult het DAADWERKELIJKE document samen met een digitale handtekening (signed-data) en/of versleuteling (enveloped-data) - het echte bestand (een PDF, XML-factuur, enz.) wordt van binnenuit geëxtraheerd.
Programma's die P7M-bestanden openen
Windows4 apps
OpenSSL
Open-source Extraheer het binnenste bestand: „openssl smime -verify -in bestand.p7m -inform DER -noverify -out document.pdf” (of „openssl cms ...”). Voeg -CAfile toe om de ondertekenaar daadwerkelijk te valideren.
Dike (InfoCert)
Gratis Italiaanse/EU ondertekende documenten: open Dike, gebruik de functie Verifiëren/Openen, sleep de .p7m erin - het controleert de handtekening en extraheert het binnenste document. Gratis.
Aruba Sign
Gratis Gratis Aruba-app voor digitale handtekeningen: klik op Verifiëren, selecteer de .p7m, en bekijk/bewaar vervolgens het bijgevoegde document en de handtekeningdetails. 
Adobe Acrobat Reader
Gratis Als de .p7m een PDF omhult, kan Acrobat de ondertekende PDF openen en de handtekeningstatus tonen. Werkt voor ondertekende PDF's; niet voor willekeurige versleutelde .p7m. 
macOS3 apps
Aruba Sign / Dike
Gratis Beiden bieden macOS-versies: verifieer de handtekening en extraheer het document op dezelfde manier als op Windows.
OpenSSL / LibreSSL
Open-source Terminal: „openssl smime -verify -in bestand.p7m -inform DER -noverify -out uit.pdf” om het binnenste bestand eruit te halen. Vooraf geïnstalleerd (LibreSSL).
Keychain Access (encrypted case)
Ingebouwd Voor een S/MIME VERSLEUTELDE .p7m, zorg ervoor dat je privésleutel/certificaat in de sleutelhanger staat, zodat Mail het kan ontsleutelen. Geen zelfstandige .p7m-viewer. 
Linux2 apps
OpenSSL
Open-source Extraheer het binnenste bestand: „openssl smime -verify -in bestand.p7m -inform DER -noverify -out document.pdf” (of „openssl cms ...”). Voeg -CAfile toe om de ondertekenaar daadwerkelijk te valideren.
Aruba Sign
Gratis Gratis Aruba-app voor digitale handtekeningen: klik op Verifiëren, selecteer de .p7m, en bekijk/bewaar vervolgens het bijgevoegde document en de handtekeningdetails.
Web1 app
Aruba / Agid online signature checkers
Gratis Upload een .p7m naar een officiële handtekening-verificatiedienst om het document en de geldigheid van de handtekening te bekijken. Vermijd het uploaden van versleutelde/vertrouwelijke bestanden naar sites van derden. Technische details
diepe specificaties| Containerformaat | PKCS#7 / CMS (Cryptographic Message Syntax) |
| Geldende specificatie | IETF RFC 5652 (CMS); eerdere RFC 2315 (PKCS#7 v1.5) |
| MIME-type | application/pkcs7-mime |
| Standaard S/MIME bestandsnaam | smime.p7m |
| Binaire codering | DER (Distinguished Encoding Rules) - ASN.1 binaire structuur |
| Alternatieve codering | Base64-tekst (begint met „MII…”) - dezelfde CMS-structuur, andere transportcodering |
| Magic bytes (DER) | 0x30 0x82 op bestands-offset 0 - ASN.1 SEQUENCE tag gevolgd door een 2-byte lengteveld |
| CMS-inhoudstypen | SignedData, EnvelopedData (versleuteld), SignedAndEnvelopedData, CompressedData |
| EU-handtekeningprofiel | CAdES (CMS Advanced Electronic Signatures, ETSI EN 319 122) - ondersteunt gekwalificeerd niveau onder eIDAS |
| Ingebedde certificaten | X.509-certificaten van ondertekenaar en tussenliggende CA-keten opgeslagen in de container |
| Ondertekeningsalgoritmen | RSA (PKCS#1 v1.5, PSS) en ECDSA; digest-algoritmen SHA-256, SHA-384, SHA-512 |
| Versleutelingsalgoritmen | AES-128 en AES-256 (CBC/GCM); Triple-DES voor legacy-compatibiliteit |
| Binnenste document | Elk bestandstype (PDF, XML-factuur, platte tekst, enz.) letterlijk ingebed en extraheerbaar |
| Vereiste voor ontsleuteling | Privésleutel van de ontvanger die overeenkomt met het X.509 publieke sleutelcertificaat gebruikt tijdens versleuteling |
| Wettelijk gebruik | Standaard gekwalificeerd e-handtekeningformaat voor de Italiaanse overheid (PA), gecertificeerde e-mail (PEC) en grensoverschrijdende EU-documenten |
| Uitgebracht | PKCS#7 (1990s); S/MIME / CMS standardized in RFC 5652. Heavily used for EU/Italian legal e-signatures (CAdES) |
| Open standaard | Ja · royaltyvrij |
| Specificatie | www.rfc-editor.org |
P7M conversies
Mogelijk
.P7M .PDFGIDS
Ja - als de .p7m een ondertekende PDF bevat, kunt u deze extraheren met gratis tools; het binnenste bestand…
Hoe te converteren
.P7M .XMLGIDS
Ja - als de .p7m een ondertekend XML-bestand bevat, zoals een Italiaanse e-factuur, kunt u de originele .xml…
Hoe te converteren
.P7M .P7SGIDS
Ja - OpenSSL kan het binnenste document uit een .p7m extraheren en een losse .p7s-handtekening produceren,…
Hoe te converteren
Community V&A
gevraagd door gebruikers
I
Veelgestelde vragen
Wat is een .p7m-bestand?
Een digitaal ondertekend (en soms versleuteld) document in PKCS#7/S/MIME-formaat. Het echte bestand - vaak een PDF of een XML-e-factuur - is erin verpakt, samen met een handtekening die bewijst wie het heeft ondertekend en dat het niet is gewijzigd. Het is de standaard voor wettelijk geldige e-handtekeningen in Italië/EU.
Hoe open ik een .p7m-bestand?
Gebruik een tool voor digitale handtekeningen die het binnenste document verifieert en extraheert: het gratis DiKe (InfoCert) of Aruba Sign op Windows/Mac/Linux, Adobe Acrobat als het een PDF omhult, of OpenSSL („openssl smime -verify -in bestand.p7m -inform DER -noverify -out uit.pdf”). Een gewone tekstverwerker zal het document niet tonen.
Waarom heet mijn bestand iets.pdf.p7m?
Omdat de .pdf het originele document is en de .p7m de digitale handtekening-container eromheen. Verifieer/extraheer de .p7m om de binnenste PDF terug te krijgen; je kunt hem niet zomaar hernoemen naar .pdf - hij zit nog steeds verpakt.
Hoe extraheer ik het document uit een .p7m zonder speciale software?
Gebruik OpenSSL: „openssl smime -verify -in bestand.p7m -inform DER -noverify -out document.pdf” (of „openssl cms ...”). De vlag -noverify slaat de vertrouwenscontrole over om alleen te extraheren; voeg -CAfile toe om ook de handtekening te valideren.
Is een .p7m-bestand versleuteld of alleen ondertekend?
Meestal alleen ONDERTEKEND - het document is leesbaar zodra je het extraheert, en de handtekening bewijst de authenticiteit. Sommige .p7m-bestanden zijn VERSLEUTELD (S/MIME), en die hebben de bijbehorende privésleutel nodig om te ontsleutelen. Een handtekeningtool of OpenSSL zal je vertellen welke van de twee het is.
Kan ik een .p7m openen op mijn telefoon?
Ja - Aruba en InfoCert bieden mobiele apps om ondertekende .p7m-documenten te verifiëren en te bekijken, en sommige PEC/e-factuur-apps openen ze rechtstreeks. Voor versleutelde .p7m moet je nog steeds je privésleutel geconfigureerd hebben.
Referenties
1RFC 5652 - Cryptographic Message Syntax (CMS/PKCS#7)www.rfc-editor.org
2InfoCert DiKe - free digital-signature softwarewww.firma.infocert.it
