Una guida essenziale per chi vuole integrare SPID nella propria offerta digitale.

Negli ultimi anni SPID è diventato uno degli strumenti più utilizzati in Italia per accedere ai servizi digitali, lo affermano i dati di attivazione e utilizzo ancora in crescita.

Se per molto tempo è stato considerato un sistema “solo per la Pubblica Amministrazione”, oggi rappresenta un’opportunità importante anche per i fornitori di servizi online privati: banche, assicurazioni, piattaforme HR, gaming, freelance, studi professionali e molte altre realtà.

Ma come funziona SPID dietro le quinte?

Questa guida offre una panoramica su come lavora, quali attori sono coinvolti e quali garanzie di sicurezza introduzione.

 I protagonisti del sistema SPID

Dietro un login SPID si muovono tre attori principali, ognuno con un ruolo preciso.

Service Provider - chi richiede Spid

Sono Pubbliche Amministrazione, Aziende private o liberi professionisti che mottono a disposizione i propri servizi su un proprio sito web, oppure consentono lo svolgimento di alcune attività nella propria App o piattaforma digitale, tramite l'accesso con SPID.

Identity Provider – Chi autentica

Gli Identity Provider o gestori d’identità, sono soggetti privati accreditati da AgID che rilasciano le identità SPID e gestiscono il processo di autenticazione. Ogni cittadino può scegliere l’identity provider che preferisce tra quelli accreditati (Poste, InfoCert e altri).

Hanno responsabilità elevate, tra cui:

• Rilasciare l’identità digitale, verificando l’identità del cittadino;

• custodire i dati dell’utente in modo sicuro;

• garantire l’affidabilità delle credenziali;

• autenticare l’utente su richiesta del service provider.

In pratica, il service provider non deve più preoccuparsi della verifica dell’identità ma la esternalizza a un soggetto certificato che è, appunto, l’identity provider.

AgID (Agenzia per l’Italia Digitale) – chi vigila

È l’ente pubblico che:

• accredita, certifica e delega gli Identity Provider tramite una convenzione recentemente estesa al 2030

• definisce e aggiorna le regole tecniche;

• vigila sul corretto funzionamento del sistema;

Come funziona l’autenticazione SPID: il flusso tecnico passo per passo

Sebbene l’esperienza utente sia semplice, il processo alla base è articolato e garantisce un elevato livello di sicurezza

Ecco cosa succede quando il service provider propone l’autenticazione tramite SPID.

Step 1: L’utente entra con spid e seleziona il proprio Identity Provider

 L’utente entra nel sito/app del service provider e clicca “Entra con SPID”. A questo punto sceglie, tra i gestori SPID disponibili, quello presso cui ha attivato la propria identità digitale.

Il browser dell’utente viene automaticamente reindirizzato verso il sito del gestore d’identità che gestisce tutta la fase di autenticazione.

Step 2: Inserimento credenziali d’accesso

In questa fase, a seconda del livello di sicurezza richiesto, l’utente può dover inserire username +password o, in aggiunta, dover confermare l’accesso tramite app e digitare un codice OTP (one time password) ricevuto sullo smartphone o, ancora, scansionare un QR code.

Nel paragrafo successivo, approfondiremo meglio i livelli di sicurezza, a cosa servono e quali strumenti di accesso prevedono.

Step 3: Consenso dell’utente sui dati richiesti

Un volta inserite le credenziali, l’Identity Provider mostra all’utente quali dati sono stati richiesti e sta per trasmettere al Service Provider. Trasmissione per la quale viene richiesto il consenso dell’utente.

Qualora l’utente negasse il suo consenso si interromperebbe tutto il processo. Dando il consenso, invece, questi dati verranno trasmessi al service provider.

Step 4: Trasmissione dei dati e accesso

Dato il consenso e completata l’autenticazione, il gestore d’identità reindirizza l’utente al sito del service provider dove ora può accedere all’area interessata.

I livelli di sicurezza SPID

 Come anticipato, SPID permette di scegliere tra tre diversi livelli di sicurezza. A stabilire il livello di sicurezza è il Service Provider, e lo fa in base alla tipologia di dato trattato e al rischio dell’operazione.

Vediamo rapidamente le caratteristiche dei 3 livelli:

Livello 1 – autenticazione a un fattore

Accesso tramite username e password. Poco utilizzato a causa della scarsa robustezza.

Livello 2 – Autenticazione a due fattori

Richiede username e password + conferma tramite smartphone (OTP, app, push).
È il livello più diffuso: bilancia sicurezza e facilità d’uso.

Livello 3 – Certificato digitale

Richiede, in più, l’utilizzo di un certificato digitale rilasciato da un’autorità di certificazione su dispositivo sicuro. Molto sicuro ma poco diffuso, anche perché prevede un costo aggiuntivo al momento del rilascio dello SPID.

Come scegliere il livello giusto?

Dipende principalmente dai dati trattati.
Per operazioni che espongono dati sensibili o comportano rischi economici (es. finance, assicurazioni, lavoro), il livello 2 è lo standard.

Per approfondire questo argomento ti invitiamo a leggere Livelli di sicurezza SPID: quanti sono e come si differenziano

Quali dati può richiedere un Service Provider

La normativa impone un principio chiave: il Service Provider deve chiedere solo i dati strettamente necessari.

In generale viene fatta una distinzione in base a due tipologie di esigenze:

Autenticazione (utente già registrato)

Se l’utente è già noto alla piattaforma (ha già effettuato una registrazione) sarà sufficiente autenticarlo e, in questo caso, verranno richiesti solo alcuni attributi di base:

• Nome e cognome

• Codice fiscale

• Data di nascita

Prima registrazione

Nei casi in cui l’utente è nuovo alla piattaforma saranno richiesti dei dati aggiuntivi. A seconda delle esigenze specifiche, il service provider potrebbe richiedere anche:

• email

• indirizzo di residenza

• estremi del documento identificativo

• PEC, se disponibile

• e altri dati

Perché SPID è un modello solido per la sicurezza digitale

Riassumiamo i motivi che lo rendono così affidabile:

• la verifica dell'identità è fatta da Enti certificati: niente rischio di falsi profili;

• l’accesso può richiedere, se necessario, più fattori (maggiore sicurezza);

• niente sfugge al consenso finale dell’utente che deve confermare quali dati vuole condividere;

• il sistema è costantemente aggiornato e monitorato da AgID;

• milioni di utenti lo usano già: meno barriere e più fiducia.

Conclusione

SPID offre quindi un equilibrio ideale tra sicurezza e semplicità, un aspetto molto apprezzato dagli utenti.

Se vuoi sapere di più su questo argomento guarda il webinar I vantaggi di SPID per i fornitori di servizi online privati oppure richiedi una consulenza