Come diventare soggetti aggregatori di SPID per pubblici servizi?

In questo approfondimento una panoramica su come diventare soggetti aggregatori di SPID per pubblici servizi. Ecco i dettagli della procedura e l’elenco attuale dei soggetti aggregatori abilitati.

Lo SPID, come abbiamo ormai imparato,  è il sistema di autenticazione che permette a cittadini ed imprese di accedere ai servizi online della pubblica amministrazione con un’identità digitale unica.

L’identità SPID è costituita da credenziali (nome utente e password) che vengono rilasciate all’utente e che permettono l’accesso a tutti i servizi online.

Per una panoramica su come richiederlo cliccate qui.

Scopriamo, invece, nell’articolo odierno una panoramica sulla procedura per diventare soggetti aggregatori di SPID per pubblici servizi.

Cosa sono i soggetti aggregatori?

Ricordiamo che i soggetti aggregatori di servizi pubblici sono pubbliche amministrazioni o privati che offrono a soggetti pubblici, loro aggregati, la possibilità di rendere accessibili tramite lo SPID i loro servizi. Una pubblica amministrazione può diventare soggetto aggregato o aggregatore, mentre un’azienda solo aggregatore.

Tali soggetti si distinguono dunque in aggregatori di servizi pubblici e aggregatori di servizi privati.

La loro funzione e il loro ruolo

I soggetti aggregatori possono svolgere per il soggetto aggregato la solo funzione di autenticazione con SPID oppure ospitare l’intero servizio.

Tali soggetti agevolano l’ingresso nella federazione SPID dei fornitori di servizi che non ritengono conveniente attivare presso di loro la struttura necessaria per esporre i propri servizi in rete tramite l’autenticazione con lo SPID.

Fra i soggetti pubblici, le Regioni e le Province possono avere un ruolo molto importante di supporto alle piccole pubbliche amministrazioni presenti sul loro territorio.

Ai soggetti aggregatori  di servizi pubblici si applica, la convenzione emanata  da AgID con Determinazione  n. 80/2018.

Scopriamo in breve la procedura da seguire per diventare soggetto aggregatore e l’elenco dei soggetti aggregatori.

Come diventare soggetti aggregatori di SPID

L’Aggregatore, a seguito dell’iscrizione nel Registro SPID, può gestire in totale autonomia i rapporti con i soggetti Aggregati, nel rispetto della convenzione sottoscritta con AGID.

L’Aggregatore può gestire il sistema di autenticazione in modalità “light” e/o in modalità “full”.

Modalità “light” e “full”

La modalità “light” è quella per la quale il Soggetto Aggregatore di servizi pubblici o privati garantisce l’attività di autenticazione tramite l’infrastruttura del Soggetto Aggregato, su cui è stata installata la soluzione fornita dall’Aggregatore. In questo caso, AgID rilascia un certificato di CA intermedia (sub- CA) che l’Aggregatore utilizza per generare certificati di sigillo elettronico per ciascun Aggregato.

La modalità “full” è quella per la quale il Soggetto Aggregatore di servizi pubblici o privati esegue l’attività di autenticazione tramite la propria infrastruttura. In questo caso, AgID rilascia direttamente un certificato di sigillo elettronico.

Il rilascio dei certificati elettronici è regolato dall’Avviso SPID №23.

Uno stesso Soggetto Aggregatore può operare sia in modalità “full” sia in modalità “light”. Le procedure da completare per l’adesione sono due, una tecnica e una amministrativa.

Procedura tecnica

Il sistema SPID si basa sul protocollo SAML2:

1. Consulta le regole tecniche, gli avvisi SPID e la tabella anomalie, con le indicazioni necessarie a guidarti durante l’implementazione di SPID e le linee guida interfacce e informazioni. Queste ultime hanno l’obiettivo di guidarti nell’utilizzo delle componenti grafiche necessarie a garantire la riconoscibilità di SPID tra gli utenti.
2. Implementa l’autenticazione con SPID sui tuoi Sul repository https://developers.italia.it/it/spid sono disponibili librerie per i diversi linguaggi di programmazione e risorse utili per l’integrazione ai quali puoi fare riferimento
3. Elabora un metadata relativo ad un aggregato fittizio, per effettuare il collaudo finale, seguendo le indicazioni riportate nelle regole tecniche, nell’Avviso SPID №6 e nell’Avviso SPID №22.
4. Accertati del corretto funzionamento della tua implementazione prima di richiedere ad AgID la  verifica   tecnica. Verifica autonomamente la correttezza del metadata di cui al punto 3, usando lo SPID Validator, e la conformità della tua implementazione ai requisiti tecnici, utilizzando in locale sia lo SPID Validator che l’ ambiente di test   (l’ambiente   di   test è anche disponibile online all’indirizzo https://demo.spid.gov.it). In particolare, occorre verificare il corretto funzionamento in relazione ad ognuno dei test indicati nel seguente documento SPID Quality Assessment Document. Per utilizzare l’ambiente di test online, occorre registrare il proprio metadata all’indirizzo https://demo.spid.gov.it/validator. È possibile utilizzare l’ambiente di test in modalità Demo, configurando sul SP il metadata https://demo.spid.gov.it/metadata.xml, oppure è possibile utilizzare l’ambiente di test in modalità                           Validator,            configurando             sul             SP             il            metadata https://demo.spid.gov.it/validator/metadata.xml. Per maggiori informazioni circa l’utilizzo dell’ambiente di test o per segnalare eventuali problemi fare riferimento al repository ufficiale GitHub.
5. Rendi disponibile il metadata di cui al punto 3 su una URL ‘https’ del tuo dominio e inserisci tra gli IdP del bottone “Entra con SPID” un ulteriore IdP del tool SPID Validator, il cui metadata è disponibile alla seguente URL: https://validator.spid.gov.it/metadata.xml.
6. AgID provvederà a verificare il metadata ricevuto e la correttezza dell’implementazione. Se necessario, saranno segnalate le modifiche necessarie a garantire il rispetto delle regole Se AgID richiede delle modifiche dovrai ripetere la procedura a partire dal punto 3.

Procedura amministrativa

Completata la procedura tecnica, AgID invierà al referente amministrativo, indicato nel modulo di cui al punto 5 della procedura tecnica, la copia della convenzione e il modulo per la richiesta di emissione di certificato elettronico (CSR), in conformità con l’Avviso SPID №23.

La convenzione, il modulo e il CSR devono essere restituite, compilate e sottoscritte con firma elettronica qualificata, via PEC a protocollo@pec.agid.gov.it.

Entro pochi giorni la convenzione ti tornerà controfirmata dal Direttore Generale di AgID insieme al suddetto certificato elettronico.

Se non provvederai a restituire la convenzione firmata entro 30 giorni solari prendi immediati contatti con AgID per concordare altro termine, altrimenti i tuoi servizi saranno tolti dalla federazione e non saranno più accessibili con SPID.

Il documento con la procedura completa

A questo link potete consultare il documento con la procedura completa.

Il regolamento aggiornato dell’AgID

Inoltre si fa presente che l’Agenzia per l’Italia Digitale ha emanato il regolamento che disciplina l’adesione al sistema pubblico per la gestione dell’identità digitale di cittadini e imprese da parte dei soggetti aggregatori.

In particolare, il testo fornisce indicazioni e chiarimenti in merito:

• ai modelli organizzativi del servizio
• alla convezione stipulata con AgID
• al ruolo e ai requisiti che sono necessari per l’adesione dei soggetti aggregatori
• agli obblighi e alle responsabilità conseguenti
• al procedimento di adesione e a quello di cessazione
• alle attività di vigilanza di AgID
• e alla protezione dei dati personali.

Entro 270 giorni dall’emanazione del regolamento, l’Agenzia per l’Italia Digitale provvederà all’aggiornamento della convenzione per l’adesione dei fornitori di servizi privati, individuali o aggregatori di servizi a SPID, e della Convenzione per l’adesione dei soggetti aggregatori di servizi pubblici a SPID.

Potete consultare qui di seguito il testo completo del regolamento.

L’elenco dei soggetti aggregatori

Qui di seguito potete consultare l’elenco degli aggregatori di servizi pubblici cui ci si può rivolgere.