Aspetti economici e tecnici dell'implementazione di SPID per i fornitori di servizi online privati

La diffusione crescente dei servizi digitali ha portato molte aziende private a valutare l’integrazione di SPID come meccanismo di autenticazione e onboarding certificato.

Questo articolo analizza in modo tecnico ciò che serve realmente per integrare SPID, quali sono le complessità da considerare e quando affidarsi ad un aggregatore rappresenta la soluzione più efficiente.

Prima di addentrarti in questo argomento, se non conosci il funzionamento di SPID e i principali attori in gioco, potrebbe esserti molto utile la guida “SPID: come funziona, perché è sicuro e quali dati condivide” 

Integrazione SPID: cosa comporta dal punto di vista tecnico

Per interagire correttamente con gli Identity Provider, i Service provider, ossia i fornitori di servizi online, devono implementare protocolli tecnici standardizzati che garantiscano sicurezza e affidabilità:

• SAML2

• OpenID Connect

L’implementazione prevede procedure di collaudo coordinate con l’AgID (Agenzia per l’Italia Digitale), che verifica il corretto funzionamento del sistema di autenticazione e la capacità del service provider di accettare i dati di ritorno dagli IdP.

Successivamente, viene sottoscritta una convenzione con l’AgID, che definisce obblighi tecnici e comportamentali, inclusa la conservazione dei dati per un periodo minimo di cinque anni.

Questo processo può risultare complesso, soprattutto per aziende senza risorse interne dedicate allo sviluppo tecnico.

Il ruolo dell’aggregatore: semplificare il processo

Gli aggregatori svolgono il ruolo di facilitatori tra i Service Provider e gli Identity Provider . La loro funzione non si limita alla gestione tecnica, ma include anche una serie di obblighi amministrativi e normativi stabiliti da AgID con la Determinazione n. 80/2018.

Più precisamente, gli aggregatori SPID sono soggetti certificati da AgID che svolgono un ruolo cruciale nel facilitare l’integrazione del sistema di identità digitale all’interno dei servizi online di aziende e Pubbliche Amministrazioni. La loro presenza è stata determinante per la diffusione su larga scala di SPID, perché eliminano gran parte della complessità tecnica e amministrativa normalmente richiesta ai Service Provider.

Dal punto di vista tecnico, l’aggregatore mette a disposizione una soluzione già sviluppata, collaudata e certificata da AgID. Questo permette al Service Provider di attivare SPID senza dover eseguire internamente le procedure tecniche, né gestire i meccanismi di comunicazione, sicurezza e affidabilità richiesti dalla normativa.

Ancora più significativi sono i vantaggi amministrativi: il service provider non deve affrontare alcuna procedura di collaudo o certificazione, perché questi adempimenti sono già stati svolti dall’aggregatore. Che si assume, inoltre, precisi obblighi normativi, come:

• comunicare ad AgID l’elenco dei soggetti aggregati, i servizi erogati, i livelli di sicurezza adottati e gli attributi SPID richiesti;
• mantenere i log delle autenticazioni per due anni;
• segnalare tempestivamente incidenti o violazioni;
• aggiornarsi costantemente sulle evoluzioni tecniche e normative.

In sintesi, affidarsi a un aggregatore significa ridurre drasticamente la complessità tecnica, eliminare gli oneri burocratici, accelerare i tempi di integrazione e assicurare piena conformità alla normativa.

Aspetti economici: costi di SPID per aziende private

Dal punto di vista economico, l’integrazione di SPID presenta dinamiche completamente diverse per Pubbliche Amministrazioni e soggetti privati.

Per l’utilizzo di SPID sui siti della PA, infatti, gli Identity Provider non percepiscono alcun compenso per le singole autenticazioni, poiché lo Stato riconosce loro un contributo forfettario annuale, legato al numero complessivo di identità attivate.

Per i Service Provider privati, invece, è prevista una tariffazione regolamentata da AgID, consultabile nel listino pubblico. Questa tariffazione è stata progettata per remunerare l’attività dell’Identity Provider senza risultare eccessivamente onerosa per le aziende che vogliono offrire SPID ai propri utenti.

Il principio su cui si basa questo modello è quello di utente unico annuale: l’azienda paga esclusivamente la prima autenticazione SPID effettuata da un certo utente nell’arco dell’anno solare, indipendentemente dal numero di accessi successivi. Inoltre, il costo varia in funzione della tipologia di dati richiesti all’Identity Provider.

Vediamola nel dettaglio.

Tariffazione SPID per fornitori di servizi privati:

• Prime 1.000 autenticazioni annue: gratuite.

• Autenticazioni successive: 0,40 € per utente unico.

• La tariffa varia in base al livello di autenticazione richiesto (1, 2 o 3) e ai dati richiesti, quindi, per autenticazione semplice o per registrazione completa (che richiede più dati).

Conclusione

Per le aziende private, l’adozione di SPID rappresenta un investimento. La scelta di implementare internamente il servizio o affidarsi a un aggregatore dipende dalle risorse e dalla complessità del progetto: gli aggregatori certificati, come Webloom, offrono una soluzione pronta, snella e conforme, rendendo più accessibile l’attivazione dello SPID anche alle realtà con minori capacità tecniche interne.

Scopri di più sulla nostra soluzione Armonia AUTENTICA.

Vuoi approfondire questo argomento segui I vantaggi di SPID per i fornitori di servizi online privati