Intégration SPID : comment les entreprises acceptent la connexion SPID italienne

Dernière révision : 5 octobre 2026 · Ne constitue pas un conseil juridique

Si vous cherchez une API SPID, la réponse courte est que SPID n'est pas un point d'accès unique. C'est une fédération gérée par l'AgID (Agenzia per l'Italia Digitale), dans laquelle une douzaine de fournisseurs d'identité (IdP) privés détiennent les comptes des utilisateurs et où chaque fournisseur de services se raccorde selon les mêmes règles.^[1][2] Les administrations publiques doivent accepter SPID, et les entreprises privées peuvent adhérer.^[4]

Ce guide s'adresse aux entreprises qui veulent accepter SPID en tant que partie utilisatrice (RP) : le parcours utilisateur, les données, le droit, les modes de raccordement, les prix et les solutions de repli.

Ce qu'est SPID

SPID est un identifiant de connexion, pas une carte. Une personne ouvre une identité auprès d'un fournisseur accrédité et l'utilise pour se connecter partout dans la fédération.^[1] Le fournisseur demande une pièce d'identité en cours de validité ainsi que la carte sanitaire ou la carte du code fiscal.^[1]

Adoption : combien de personnes utilisent SPID

Les connexions sont passées de 143,872,687 en 2020 à 1,220,153,029 en 2025.^[1] Les nouvelles identités ont ralenti, d'environ 262,000 par semaine fin 2020 à environ 46,000 par semaine en mars 2026.^[1]

La page de l'AgID n'indique ni le total des identités ni la part des adultes au 5 octobre 2026. Selon SmartWorld, qui cite des données de l'AgID, plus de 41 millions de citoyens disposent de SPID.

Ce que voit l'utilisateur

Les écrans varient selon le fournisseur d'identité. Le bandeau montre le parcours habituel, pas la conception d'un fournisseur en particulier.

Aucune variante multi-appareils n'est documentée pour SPID dans son ensemble. Cela dépend du fournisseur.

Ce que reçoit un fournisseur de services SPID

La table des attributs d'AgID (version 1.3, 24 juin 2022) répartit les données entre un ensemble d'identité et des attributs supplémentaires.^[5] Cette répartition a un effet sur le prix. Demander uniquement des attributs d'identité relève de l'« authentification ». Demander un attribut supplémentaire, quel qu'il soit, relève de l'« inscription » et coûte plus cher.^[6]

Attributs SPID par groupe.^[5][6]

L'identifiant national est le code fiscal italien, renvoyé sous la forme fiscalNumber. Le spidCode identifie l'identité SPID elle-même. La version 1.3 a aussi introduit les scopes OpenID Connect « profile » et « email ».^[5] En l'absence de portrait, une comparaison faciale nécessite une étape distincte avec document et selfie.

Niveau de garantie et valeur juridique

Sur la liste des schémas notifiés de la Commission européenne, les niveaux SPID 1, 2 et 3 correspondent aux niveaux faible, substantiel et élevé du règlement eIDAS (identification électronique, authentification et services de confiance). L'Italie a notifié SPID le 10 septembre 2018 (Journal officiel 2018/C 318/02, modifié trois fois depuis).^[2]

En droit national, SPID est le système public de gestion des identités numériques prévu par l'article 64 du Code de l'administration numérique (CAD, décret législatif 82/2005).^[8]

SPID et vigilance LCB-FT à l'égard de la clientèle en Italie

L'article 19(1)(a)(2) du décret législatif 231/2007 considère comme identifié sans présence physique le client qui détient une identité numérique de niveau au moins « significativo » (substantiel) dans le système de l'article 64 du CAD.^[8]

Article 19(1)(a)(2)Décret législatif 231/2007

« L'obbligo di identificazione si considera assolto, anche senza la presenza fisica del cliente, nei seguenti casi: [...] 2) per i clienti in possesso di un'identità digitale, con livello di garanzia almeno significativo, nell'ambito del Sistema di cui all'articolo 64 del predetto decreto legislativo n. 82 del 2005 [...] »

Source : Normattiva, décret législatif 231/2007, article 19^[8]

La même disposition couvre les identités de niveau substantiel issues de schémas notifiés dans l'UE et les certificats de signature qualifiée.^[8] Le niveau 1 de SPID ne suffit pas. Demandez donc le niveau 2 ou 3.

L'AMLR à partir du 10 juillet 2027

Le règlement européen relatif à la lutte contre le blanchiment de capitaux (AMLR, règlement (UE) 2024/1624) s'applique à partir du 10 juillet 2027.^[9] L'article 22(6)(b) autorise la vérification au moyen de « moyens d'identification électronique qui satisfont aux exigences du règlement (UE) n° 910/2014 en ce qui concerne les niveaux de garantie "substantiel" ou "élevé" ».^[9] C'est notre lecture, pas celle d'un régulateur : SPID au niveau 2 ou 3 convient. Dans son rapport final du 30 septembre 2026 sur des projets de normes, qui n'ont pas encore force de loi, l'AMLA (Autorité de lutte contre le blanchiment de capitaux) indique que les deux moyens de l'article 22(6), le document et l'identification électronique, « restent l'option par défaut, les méthodes de vérification alternatives ne devant être utilisées que lorsqu'aucun des deux moyens exigés par l'AMLR ne peut être utilisé ».^[10]

1. 10 septembre 2018NotificationSPID est inscrit sur la liste de l'UE à trois niveaux.
2. 10 septembre 2019Échelle de l'UEUtilisable auprès de toutes les administrations publiques de l'UE.
3. 12 novembre 2025Règles d'âgeLes contrôles d'âge de l'AGCOM débutent pour les sites italiens et hors UE. Les autres États membres suivent le 1er février 2026.
4. Du 16 au 18 janvier 2026RegistreLe registre SPID migre vers le cloud.
5. 10 juillet 2027AMLRVoie de l'identification électronique à l'échelle de l'UE pour la vigilance à l'égard de la clientèle.

Les jalons de SPID qui comptent pour une entreprise.^{[1][2][9][12]}

Comment une entreprise se connecte : les voies d'accès à l'API SPID

Une entreprise privée devient fournisseur de services SPID en quatre étapes : mettre en œuvre les règles techniques de l'AgID (SAML2), transmettre ses métadonnées à l'AgID pour contrôle et tests, mettre en œuvre le nœud eIDAS lorsque les niveaux 2 ou 3 sont utilisés, et faire signer la convention SPID avec l'AgID par son représentant légal. L'AgID en informe ensuite les fournisseurs d'identité.^[4] La page SPID de l'AgID mentionne aussi la détermination 71/2025, relative aux règles de la « SPID OpenID Connect Federation ».^[1]

Chaque rôle de la fédération, à l'exception de l'utilisateur, signe une convention avec l'AgID. C'est le cas des agrégateurs, qui connectent les fournisseurs de services.^[3] Il existe aussi des intermédiaires certifiés qui proposent plusieurs eID derrière une seule intégration.

Trois façons de se connecter à SPID.^[3][4]

Ce que SPID coûte à une entreprise

L'annexe 4 de l'AgID (DT 166/2019) applique un modèle « pay per user » : chaque utilisateur unique est facturé une fois par an, par fournisseur d'identité et par fournisseur de services.^[6] Les 1,000 premiers utilisateurs uniques en mode authentification sont gratuits pour chaque couple fournisseur de services et fournisseur d'identité.^[6]

Tarifs publics de l'AgID pour les fournisseurs de services privés, hors TVA.^[6]

Au 5 octobre 2026, l'AgID ne publie ni les tarifs des agrégateurs ou intermédiaires, ni de délai d'intégration.

Cas d'usage et règles sectorielles

Vérification de l'âge. Le décret-loi 123/2023 (article 13-bis) oblige les sites pornographiques accessibles en Italie à vérifier que les utilisateurs sont majeurs. La délibération AGCOM 96/25/CONS fixe la méthode.^[11] Les obligations s'appliquent à partir du 12 novembre 2025 pour les sites établis en Italie ou hors de l'UE, et à partir du 1er février 2026 pour les sites établis dans d'autres États membres.^[12] La délibération exige un « double anonymat » : le fournisseur de la preuve d'âge ne doit pas savoir quel site est consulté.^[11] Selon l'annexe A de l'AGCOM, SPID n'est pas pleinement conforme, car la requête envoyée au fournisseur d'identité « contiene il nome a dominio del sito visitato » (contient le nom de domaine du site consulté).^[11] Au 29 septembre 2026, la liste des services concernés publiée par l'AGCOM comptait 79 entrées.^[13] Dans d'autres contextes, la date de naissance signée transmise par SPID prouve l'âge sans photo de document. Voir ce qu'est la vérification par eID.

Limites et solutions de repli

• Mineurs. Tous les adultes peuvent activer SPID. Un parent titulaire d'un SPID de niveau 2 peut en demander un pour un mineur en vertu de la détermination AgID 133/2022.^[7]
• Étrangers et non-résidents. Le fournisseur demande une pièce d'identité italienne (carte d'identité, passeport ou permis de conduire), la carte sanitaire ou la carte du code fiscal, une adresse e-mail et un mobile personnel.^[7]
• Frais facturés aux utilisateurs par les fournisseurs. Selon CorCom, certains fournisseurs d'identité ont commencé à facturer aux utilisateurs des frais annuels en 2025.
• Horizon des conventions. Selon SmartWorld, les conventions des fournisseurs d'identité ont été renouvelées en octobre 2025 pour 24 mois, prolongeables de 36 mois au maximum.
• Sécurité. La détermination AgID 241/2025 a renforcé le contrôle du code fiscal lors de la délivrance.^[1]

CIE est notifiée aux niveaux faible, substantiel et élevé, et une société privée déjà admise à SPID peut se prévaloir de cette admission pour satisfaire aux exigences d'honorabilité et de compétence de la fédération CIE.^[2][14] Voir Intégration de CIE ID. L'IT-Wallet, ouvert avec CieID ou SPID, a atteint 10.1 millions d'activations au 17 février 2026. Voir la page du portefeuille européen d'identité numérique (EUDI Wallet) et L'IT-Wallet pour les entreprises.^[15]

Pour tous les autres, le parcours documentaire lit la puce du passeport ou de la carte d'identité par NFC (communication en champ proche), vérifie le caractère vivant et compare le visage. Les projets de normes de l'AMLA maintiennent des solutions alternatives pour les clients qui ne peuvent être vérifiés par aucun des moyens de l'article 22(6), et l'établissement doit justifier pourquoi.^[10] Comment fonctionne la vérification de la puce NFC explique le contrôle de la puce.

eID d'abord, parcours documentaire en repli.

Liste de contrôle pour l'intégration API de SPID

• Choisir le parcours : convention directe, agrégateur ou courtier multi-eID.^[3]
• Fixer le niveau minimal : niveau 2 pour l'entrée en relation LCB-FT.^[8]
• Lister les attributs nécessaires et rester en mode authentification lorsque c'est possible.^[6]
• Budgéter par utilisateur unique, par fournisseur d'identité et par an.^[6]
• Soumettre vos métadonnées à l'AgID pour contrôles et tests.^[4]
• Ajouter CIE pour les utilisateurs qui ont la carte mais pas SPID.^[14]
• Prévoir un repli documentaire pour les utilisateurs sans SPID.
• Ne pas utiliser SPID pour les contrôles d'âge des contenus pour adultes, sauf si la règle de la double anonymité est respectée.^[11]

Comment Didit facilite la vérification eID en Italie

Didit ajoute SPID sur demande. En Italie aujourd'hui, Didit vérifie les utilisateurs par le parcours documentaire : lecture de la puce NFC, détection du vivant et correspondance faciale, ainsi que le filtrage LCB-FT sur les listes de sanctions, de PEP et de surveillance, dans un seul workflow. Une vérification KYC complète coûte $0.33, la vérification NFC $0.15 et le filtrage LCB-FT $0.20. La documentation sur les portefeuilles d'identité numérique montre comment les eID nationales s'articulent avec le parcours documentaire.

Questions fréquentes

Sources

1. SPID, AgID, mis à jour le 13 avril 2026.
2. Aperçu des schémas eID prénotifiés et notifiés au titre d'eIDAS, Commission européenne, mis à jour le 2 février 2026.
3. SPID, Convenzioni, AgID.
4. Diventa fornitore di servizi, spid.gov.it.
5. Tabella attributi SPID, version 1.3, AgID, 24 juin 2022.
6. Allegato 4, Corrispettivi (DT 166/2019), AgID.
7. Identità digitale, FAQ, AgID.
8. Décret législatif 231/2007, article 19, Normattiva.
9. Règlement (UE) 2024/1624 (AMLR), articles 22 et 90, EUR-Lex.
10. Rapport final, projet de RTS au titre de l'article 28(1) de l'AMLR, AMLA, 30 septembre 2026.
11. Delibera 96/25/CONS et annexe A, AGCOM, 8 avril 2025.
12. Tutela minori, age verification, AGCOM.
13. Comunicazione 30 ottobre 2025, liste version 5, AGCOM, 29 septembre 2026.
14. Federazione CIE, Manuale operativo, ministère de l'Intérieur.
15. IT-Wallet supera quota 10 milioni di attivazioni, Département pour la transformation numérique, 17 février 2026.

Comparez SPID avec toutes les autres eID nationales sur la page de vérification eID.