Come funziona SPID: guida completa 2026

Lo SPID — Sistema Pubblico di Identità Digitale — ha cambiato in modo sostanziale il rapporto tra cittadini e pubblica amministrazione italiana, riducendo a pochi clic operazioni che in passato richiedevano file agli sportelli, moduli cartacei e settimane di attesa; eppure, a distanza di anni dalla sua introduzione, molte persone continuano a percepirlo come qualcosa di oscuro o tecnicamente ostico, quando in realtà la logica che lo governa è abbastanza lineare. Capire come funziona lo SPID non significa soltanto sapere come si ottiene un account: significa comprendere l'architettura di fiducia che sta dietro a quel bottone "Entra con SPID" che compare su migliaia di portali pubblici e privati. Il punto di partenza è riconoscere che SPID non è una password qualunque, ma un sistema federato di autenticazione, governato da AgID (Agenzia per l'Italia Digitale) e gestito operativamente da soggetti privati accreditati — i cosiddetti Identity Provider — ciascuno dei quali rilascia credenziali nel rispetto di standard tecnici e di sicurezza comuni.

L'adozione dello SPID in Italia ha subito un'accelerazione significativa nel periodo successivo alla pandemia, quando la spinta verso la digitalizzazione dei servizi pubblici ha reso le credenziali digitali non più una comodità opzionale ma uno strumento di accesso ordinario. Al 2026, quasi quarantacinque milioni di identità digitali risultano attive sul territorio nazionale, e la platea dei servizi raggiungibili tramite SPID si è espansa ben oltre la pubblica amministrazione centrale, includendo enti locali, università, aziende sanitarie, istituti previdenziali e un numero crescente di operatori privati che hanno scelto di integrare il sistema nei propri portali. Questo significa che comprendere come funziona lo SPID ha smesso di essere una questione di interesse marginale per diventare una competenza di base nell'interazione con la dimensione digitale della vita civile.

Ciò che rende SPID diverso da altri sistemi di autenticazione diffusi — le credenziali bancarie, gli account dei social network, i login aziendali — è il fatto che l'identità verificata da un Identity Provider è riconosciuta da tutti i servizi aderenti al sistema, senza che l'utente debba registrarsi nuovamente su ciascuno di essi; si tratta di un meccanismo di Single Sign-On pensato per operare su scala nazionale, con livelli di garanzia differenziati a seconda della sensibilità dell'operazione richiesta.

I livelli di sicurezza e la struttura delle credenziali SPID

Lo standard tecnico su cui si fonda SPID prevede tre livelli di garanzia, noti rispettivamente come Livello 1, Livello 2 e Livello 3, ciascuno dei quali corrisponde a una combinazione diversa di fattori di autenticazione e a un differente grado di certezza sull'identità di chi accede; nella pratica quotidiana, la grande maggioranza dei servizi richiede il Livello 2, che combina una password con un secondo fattore — tipicamente un codice temporaneo generato da un'app o inviato via SMS. Il Livello 1, che si accontenta della sola password, è raramente richiesto dai portali pubblici proprio perché offre garanzie insufficienti per operazioni che implicano dati sensibili o transazioni economiche; il Livello 3, che prevede l'utilizzo di un dispositivo fisico certificato (una smart card o un token hardware), è riservato a scenari ad altissima criticità, come l'accesso a infrastrutture sanitarie o giudiziarie. Questa architettura a livelli è fondamentale per capire come funziona lo SPID nel concreto: non esiste un'unica modalità di autenticazione, ma una scala calibrata sulla sensibilità del dato o del servizio in questione.

Le credenziali SPID — username, password e secondo fattore — vengono gestite interamente dall'Identity Provider scelto dall'utente al momento della registrazione; AgID non conserva né gestisce credenziali di alcun tipo, ma si limita a definire le regole e ad accreditare i provider che soddisfano i requisiti tecnici e organizzativi previsti dalla normativa. Gli Identity Provider attivi al 2026 sono una decina, tra cui Aruba, Infocert, Namirial, Poste Italiane, Register.it, Sielte e TIM: differiscono tra loro per le modalità di riconoscimento offerte, per l'interfaccia delle proprie app di autenticazione e, in alcuni casi, per i costi associati al rilascio delle credenziali, sebbene molti provider continuino a offrire il servizio base in forma gratuita.

Procedura di registrazione e modalità di riconoscimento

Ottenere le proprie credenziali SPID richiede un passaggio obbligatorio che non ha equivalenti nei sistemi di registrazione online ordinari: il riconoscimento dell'identità, ovvero la verifica che la persona che richiede le credenziali sia effettivamente chi dichiara di essere, con lo stesso livello di certezza che si avrebbe allo sportello di un ufficio pubblico. Le modalità attraverso cui questo riconoscimento può avvenire variano da provider a provider e si sono diversificate nel tempo: è possibile procedere di persona presso uno sportello fisico (come gli uffici postali nel caso di Poste Italiane), oppure a distanza tramite videochiamata con un operatore, tramite firma digitale qualificata, tramite carta d'identità elettronica con PIN, o tramite CIE abbinata all'app dedicata. La scelta della modalità di riconoscimento incide principalmente sulla comodità del processo e sui tempi di attivazione: il riconoscimento via CIE o firma digitale qualificata è generalmente il più rapido, poiché può avvenire in autonomia senza appuntamenti; la videochiamata richiede la disponibilità di uno slot orario; lo sportello fisico implica uno spostamento ma offre assistenza diretta.

Una volta completato il riconoscimento e verificati i dati anagrafici — nome, cognome, data e luogo di nascita, codice fiscale, estremi del documento d'identità — il provider procede all'emissione delle credenziali, che vengono comunicate all'utente tramite email o direttamente attraverso l'app del provider stesso. Da quel momento, l'identità digitale è attiva e utilizzabile su tutti i servizi che aderiscono al sistema SPID, senza ulteriori passaggi di configurazione specifici per ciascun portale.

Utilizzo pratico di SPID sui servizi pubblici e privati

Quando un utente seleziona "Entra con SPID" su un portale — che sia il sito dell'INPS, il Fascicolo Sanitario Elettronico, il portale dell'Agenzia delle Entrate o un servizio di un'università statale — il browser viene reindirizzato verso il sistema di autenticazione dell'Identity Provider scelto, dove avviene l'effettiva verifica delle credenziali; una volta superata con successo, il provider restituisce al servizio richiedente un'attestazione cifrata dell'identità verificata, senza mai trasmettere la password dell'utente al portale di destinazione. Questo meccanismo, basato sul protocollo SAML 2.0 (Security Assertion Markup Language), garantisce che le credenziali rimangano sempre all'interno del perimetro dell'Identity Provider, riducendo drasticamente il rischio che un'eventuale compromissione di un singolo servizio esponga le credenziali di accesso dell'utente. L'attributo set — cioè l'insieme di dati anagrafici condivisi con il servizio richiedente — è definito contrattualmente e normato: ogni portale può richiedere solo le informazioni strettamente necessarie all'erogazione del servizio, e l'utente è informato in anticipo su quali dati verranno trasmessi.

Sul versante dei servizi privati, l'integrazione di SPID come sistema di autenticazione ha aperto scenari interessanti: banche, assicurazioni, operatori di telecomunicazioni e piattaforme di e-commerce possono adottare SPID per semplificare i processi di onboarding e ridurre i costi legati alla verifica dell'identità dei propri clienti, scaricando di fatto su un'infrastruttura pubblica certificata l'onere di garantire l'autenticità dell'identità digitale. Per l'utente, questo si traduce nella possibilità di aprire conti correnti, attivare contratti o accedere a servizi personalizzati senza dover ripetere da zero la verifica documentale presso ciascun operatore.

SPID e CIE: differenze operative e coesistenza nel sistema italiano

Un elemento che genera frequente confusione riguarda il rapporto tra SPID e la Carta d'Identità Elettronica (CIE), che dal 2021 è stata progressivamente abilitata come strumento autonomo di autenticazione ai servizi digitali tramite l'app "CieID" e il chip NFC integrato nel documento; entrambi i sistemi rispondono allo stesso obiettivo — identificare il cittadino in modo certo nell'accesso ai servizi digitali — ma differiscono per infrastruttura, gestione e modalità operative. La CIE è emessa direttamente dal Ministero dell'Interno e non richiede alcuna registrazione aggiuntiva: chi possiede una carta d'identità elettronica valida può abilitarla all'autenticazione digitale seguendo una procedura breve sull'app CieID, senza dover scegliere un provider o fornire ulteriori dati. SPID, al contrario, richiede il passaggio di riconoscimento descritto in precedenza ed è gestito da soggetti privati accreditati; offre però una maggiore flessibilità in termini di modalità di autenticazione e una struttura di app più matura sul piano dell'esperienza utente, almeno nella percezione comune.

La coesistenza dei due sistemi è normata dalla stessa AgID, che ha progressivamente armonizzato i livelli di garanzia riconosciuti dall'uno e dall'altro: al Livello 2 di SPID corrisponde il livello "significativo" della CIE, entrambi accettati dai medesimi portali. La scelta tra i due strumenti dipende quindi principalmente dalle abitudini e dalle preferenze dell'utente, nonché dalla disponibilità o meno di un chip NFC sul proprio smartphone per l'utilizzo della CIE.

Gestione delle credenziali, sicurezza e revoca

Mantenere le proprie credenziali SPID in sicurezza implica alcune pratiche che vanno oltre la semplice scelta di una password robusta: poiché SPID è il punto di accesso a servizi che gestiscono dati fiscali, previdenziali, sanitari e anagrafici, la compromissione delle credenziali espone a rischi ben più seri della perdita di accesso a un account di posta elettronica ordinario. Ogni Identity Provider mette a disposizione strumenti per monitorare gli accessi effettuati — data, ora, servizio raggiunto — e per revocare immediatamente le credenziali in caso di sospetta compromissione; è una funzionalità che vale la pena conoscere e utilizzare periodicamente, anche solo per verificare che non vi siano accessi non autorizzati. La revoca delle credenziali può essere richiesta anche ad AgID direttamente, tramite il portale istituzionale, nei casi in cui il provider non sia più raggiungibile o l'utente voglia interrompere l'utilizzo del sistema; la revoca non comporta la cancellazione dell'identità dall'anagrafe, ma semplicemente la disattivazione delle credenziali digitali associate a quel provider.

Comprendere come funziona lo SPID nella sua dimensione operativa quotidiana significa anche sapere che le credenziali hanno una scadenza — generalmente ogni due anni è necessario rinnovarle o confermare i propri dati — e che il cambio di provider è possibile senza perdere l'accesso ai servizi: si tratta semplicemente di ottenere nuove credenziali presso un provider diverso, mantenendo lo stesso codice fiscale come identificativo univoco nell'intero ecosistema. L'identità digitale, in questo senso, è portabile e indipendente dal singolo operatore che la gestisce, il che rappresenta una delle caratteristiche più rilevanti del sistema dal punto di vista della continuità del servizio per il cittadino.