SPID 연동: 기업이 이탈리아 SPID 로그인을 도입하는 방법
기업이 SPID를 도입하는 방법: 사용자 흐름, 수신하는 속성과 납세자 번호, 고유 사용자당 AgID 요금, 수준과 AML 규정, 애그리게이터와 직접 협약 비교, 외국인을 위한 대체 수단.
요약
SPID(Sistema Pubblico di Identità Digitale)는 이탈리아의 연합형 공공 디지털 신원입니다. AgID가 인증한 민간 신원 제공자가 로그인을 발급하고, AgID의 협약에 서명한 서비스는 모두 이를 수용할 수 있습니다.[1][3] 단일한 SPID API는 없습니다. 기업은 연합의 SAML2 또는 OpenID Connect 규칙에 따라 직접 또는 애그리게이터를 통해 연결하며, 고유 사용자 기준으로 신원 제공자에게 비용을 지불합니다.[4][6]
- 낮음(Low), 상당(Substantial), 높음(High) 수준으로 EU에 통보되었습니다.[2]
- 레벨 2 이상의 SPID는 이탈리아 자금세탁방지(AML) 법상 원격 신원확인으로 인정됩니다.[8]
- 이름, 성, 출생지와 생년월일, 성별, 납세자 번호, SPID 코드를 반환합니다. 얼굴 사진은 반환하지 않습니다.[5]
SPID API를 찾고 계셨다면, 간단히 답하면 SPID는 하나의 엔드포인트가 아닙니다. SPID는 AgID(Agenzia per l'Italia Digitale)가 운영하는 연합 체계입니다. 십여 개의 민간 신원 제공자(IdP)가 사용자 계정을 보유하고, 모든 서비스 제공자는 동일한 규칙에 따라 연결됩니다.[1][2] 공공기관은 SPID를 반드시 수용해야 하며, 민간 기업은 참여할 수 있습니다.[4]
이 가이드는 SPID를 신뢰 당사자(RP)로서 수용하려는 기업을 위한 것입니다. 사용자 흐름, 데이터, 법률, 연동 경로, 가격, 대체 수단을 다룹니다.
SPID란 무엇인가
SPID는 카드가 아니라 로그인입니다. 개인은 인증된 제공자 한 곳에서 신원을 개설하고, 이를 사용해 연합 내 어디서나 로그인합니다.[1] 제공자는 유효한 신분증과 함께 건강보험카드 또는 납세자 번호 카드를 요구합니다.[1]
SPID
이탈리아의 공공 디지털 신원 시스템
도입 현황: SPID 이용자 수
로그인 수는 2020년 143,872,687건에서 2025년 1,220,153,029건으로 증가했습니다.[1] 신규 신원 발급은 둔화되어, 2020년 말 주당 약 262,000건에서 2026년 3월 주당 약 46,000건으로 줄었습니다.[1]
AgID 페이지는 2026년 10월 5일 기준으로 신원 총수도, 성인 중 보유 비율도 제시하지 않습니다. AgID 데이터를 인용한 SmartWorld에 따르면 41백만 명이 넘는 시민이 SPID를 보유하고 있습니다.
사용자에게 보이는 화면
화면은 신원 제공자마다 다릅니다. 이 화면 흐름은 일반적인 패턴을 보여 주며, 특정 제공자의 디자인이 아닙니다.
본인 인증
공공 디지털 신원으로 로그인하세요.
Entra con SPID
대신 신분증 사용
1사용자가 가입 페이지에서 "Entra con SPID"를 누릅니다.
제공자 선택
SPID를 발급한 제공자를 선택하세요.
- 제공자 A선택
- 제공자 B선택
- 제공자 C선택
2사용자가 표준 목록에서 자신의 신원 제공자를 선택합니다.
로그인
SPID 사용자 이름과 비밀번호를 입력하세요.
로그인
3사용자가 제공자 페이지에서 사용자 이름과 비밀번호를 입력합니다.
로그인 확인
제공자의 2단계 인증으로 확인하세요.
확인
4레벨 2에서는 사용자가 제공자의 2단계 인증으로 확인합니다.
데이터 공유
- 이름공유됨
- 생년월일공유됨
- 납세자 번호공유됨
허용
5사용자가 요청된 데이터 제공을 허용하고, 서명된 응답과 함께 돌아옵니다.
SPID 전체에 적용되는 크로스 디바이스 방식은 문서화되어 있지 않습니다. 제공자에 따라 다릅니다.
동영상 준비 중: flow-redirect
국가 eID를 이용한 리디렉트 방식 로그인의 전체 과정입니다.
SPID 서비스 제공자가 받는 정보
AgID의 속성 표(버전 1.3, 2022년 6월 24일)는 데이터를 신원 세트와 추가 속성으로 나눕니다.[5] 이 구분은 가격에 영향을 줍니다. 신원 속성만 요청하면 "인증"이고, 추가 속성을 하나라도 요청하면 "등록"이 되어 비용이 더 듭니다.[6]
| 그룹 | 속성(AgID 명칭) | 제공 시점 |
|---|---|---|
| 신원 세트 | spidCode, name, familyName, placeOfBirth, countyOfBirth, dateOfBirth, gender, fiscalNumber | 인증 모드 |
| 연락처 | mobilePhone, email, digitalAddress(공인 전자우편, PEC) | 등록 모드, 요청 시 |
| 주소 및 신분증 | address, domicile, idCard(종류, 번호, 발급 기관, 만료일), expirationDate | 등록 모드, 요청 시 |
| 회사 | companyName, companyFiscalNumber, registeredOffice, ivaCode | 등록 모드, 요청 시 |
| 얼굴 사진 | 없음: 표에 사진 속성이 없습니다 | 제공되지 않음 |
그룹별 SPID 속성.[5][6]
국가 식별자는 이탈리아 납세자 코드이며 fiscalNumber로 반환됩니다. spidCode는 SPID 신원 자체를 식별합니다. 버전 1.3에서는 OpenID Connect 스코프 "profile"과 "email"도 도입되었습니다.[5] 얼굴 사진이 없으므로 얼굴 대조를 하려면 별도의 신분증 및 셀피 단계가 필요합니다.
보증 수준과 법적 지위
유럽연합 집행위원회의 통보된 제도 목록에서 SPID 레벨 1, 2, 3은 eIDAS(전자식별, 인증 및 신뢰 서비스 규정)의 보증 수준 Low, Substantial, High에 각각 대응합니다. 이탈리아는 2018년 9월 10일에 SPID를 통보했습니다(관보 2018/C 318/02, 이후 세 차례 개정).[2]
국내법상 SPID는 디지털 행정법(CAD, 입법령 82/2005) 제64조에 따른 디지털 신원 관리 공공 시스템입니다.[8]
SPID와 이탈리아의 AML 고객확인
입법령 231/2007 제19조(1)(a)(2)는 CAD 제64조 시스템에서 최소 "significativo"(Substantial, 상당) 수준의 디지털 신원을 보유한 고객을 물리적 대면 없이 신원이 확인된 것으로 봅니다.[8]
제19조(1)(a)(2)입법령 231/2007
"L'obbligo di identificazione si considera assolto, anche senza la presenza fisica del cliente, nei seguenti casi: [...] 2) per i clienti in possesso di un'identità digitale, con livello di garanzia almeno significativo, nell'ambito del Sistema di cui all'articolo 64 del predetto decreto legislativo n. 82 del 2005 [...]"
같은 조항은 EU에 통보된 제도의 상당(Substantial) 수준 신원과 적격 서명 인증서도 포함합니다.[8] SPID 레벨 1은 해당하지 않으므로 레벨 2 또는 3을 요청하십시오.
2027년 7월 10일부터 적용되는 AMLR
EU 자금세탁방지규정(AMLR, 규정(EU) 2024/1624)은 2027년 7월 10일부터 적용됩니다.[9] 제22조(6)(b)는 "보증 수준 '상당' 또는 '높음'과 관련하여 규정(EU) No 910/2014의 요건을 충족하는 전자신원확인수단"을 통한 검증을 허용합니다.[9] 이는 규제기관이 아닌 당사의 해석입니다. 레벨 2 또는 3의 SPID는 이에 해당합니다. 아직 법률이 아닌 기술기준 초안에 관한 2026년 9월 30일자 최종 보고서에서 AMLA(자금세탁방지청)는 제22조(6)의 두 수단, 즉 신분증과 eID가 "여전히 기본 옵션이며, 대체 검증 방법은 AMLR이 요구하는 두 수단 중 어느 것도 사용할 수 없는 경우에만 사용해야 한다"고 밝힙니다.[10]
- 2018년 9월 10일통보SPID가 세 가지 수준으로 EU 목록에 등재됩니다.
- 2019년 9월 10일EU 전역모든 EU 공공행정기관에서 사용할 수 있습니다.
- 2025년 11월 12일연령 규정이탈리아 및 비EU 사이트에 대한 AGCOM 연령 확인이 시작됩니다. 다른 회원국은 2026년 2월 1일에 뒤따릅니다.
- 2026년 1월 16일부터 18일까지레지스트리SPID 레지스트리가 클라우드로 이전됩니다.
- 2027년 7월 10일AMLR고객확인을 위한 EU 전역의 eID 경로.
기업에 중요한 SPID 주요 일정.[1][2][9][12]
기업의 연결 방식: SPID API 경로
민간 기업은 네 단계를 거쳐 SPID 서비스 제공자가 됩니다. AgID 기술 규칙(SAML2)을 구현하고, 점검과 테스트를 위해 메타데이터를 AgID에 제출하고, 레벨 2 또는 3을 사용하는 경우 eIDAS 노드를 구현하고, 법정대리인이 AgID와 SPID 협약에 서명합니다. 이후 AgID가 신원제공자에게 이를 통지합니다.[4] AgID의 SPID 페이지에는 "SPID OpenID Connect Federation" 규칙에 관한 결정 71/2025도 게재되어 있습니다.[1]
사용자를 제외한 모든 연합 역할은 AgID와 협약을 체결합니다. 서비스 제공자를 연결하는 애그리게이터도 포함됩니다.[3] 하나의 통합으로 여러 eID를 제공하는 인증 브로커도 있습니다.
직접 연결
자체 서비스 제공자 협약
- SAML2 또는 OpenID Connect를 직접 운영합니다
- AgID가 메타데이터를 점검하고 테스트합니다
- 법정대리인이 AgID와 서명합니다
대량 처리와 자체 개발팀에 적합합니다
애그리게이터
SPID 애그리게이터를 통해 연결
- 애그리게이터가 연합 연결을 보유합니다
- 애그리게이터는 AgID와 자체 협약에 서명합니다
- 귀사는 애그리게이터와 계약을 체결합니다
하나의 제도만 쓰는 소규모 팀에 적합합니다
멀티 eID 브로커
하나의 통합, 여러 eID
- 다른 국가 eID와 나란히 쓰는 SPID
- 모든 제도에 하나의 응답 형식
- 같은 흐름 안에서 신분증 대체 인증
국경 간 온보딩에 적합
SPID에 연결하는 세 가지 방법.[3][4]
기업이 부담하는 SPID 비용
AgID 부속서 4(DT 166/2019)는 "사용자당 과금(pay per user)" 모델을 사용합니다. 고유 사용자마다 신원 제공자별, 서비스 제공자별로 연 1회 요금이 부과됩니다.[6] 인증 모드의 첫 1,000명 고유 사용자는 서비스 제공자와 신원 제공자 쌍마다 무료입니다.[6]
| IdP별 연간 고유 사용자 수 | 인증, 레벨 1 및 2 | 등록, 레벨 1 및 2 | 인증, 레벨 3 | 등록, 레벨 3 |
|---|---|---|---|---|
| 0~1,000 | €0 | €3.50 | €0 | €7 |
| 1,000 초과 | €0.40 | €3.50 | €7 | €7 |
민간 서비스 제공자 대상 AgID 공시 가격, 부가가치세 별도.[6]
2026년 10월 5일 현재 AgID는 애그리게이터 또는 브로커 가격이나 온보딩 소요 기간을 공개하지 않습니다.
활용 사례와 업종별 규정
| 활용 사례 | 규정 내용 | 출처 |
|---|---|---|
| KYC(Know Your Customer, 고객확인) 및 AML 온보딩 | 레벨 2 이상은 비대면 신원확인으로 인정 | Normattiva[8] |
| 온라인 도박 계정 | Informazione Fiscale에 따르면 관세·전매청(ADM)은 2025년 11월 13일부터 SPID 또는 전자신분증(CIE)으로 개설한 계정을 허용합니다 | Informazione Fiscale |
| 성인 사이트 연령 확인 | 현재 형태의 SPID는 AGCOM의 이중 익명성 규칙을 완전히 준수하지 않습니다 | AGCOM[11] |
연령 확인. 법률명령 123/2023(제13-bis조)은 이탈리아에 서비스하는 포르노 사이트에 사용자가 성인인지 확인할 의무를 부과합니다. 확인 방법은 AGCOM 결정 96/25/CONS가 정합니다.[11] 의무는 이탈리아 또는 EU 역외 사이트에는 2025년 11월 12일부터, 다른 회원국 사이트에는 2026년 2월 1일부터 적용됩니다.[12] 이 결정은 "이중 익명성"을 요구합니다. 연령 증명 제공자는 사용자가 어느 사이트를 방문하는지 알아서는 안 됩니다.[11] AGCOM 부속서 A는 신원 제공자에게 보내는 요청이 "contiene il nome a dominio del sito visitato"(방문한 사이트의 도메인 이름을 포함한다)는 이유로 SPID가 완전히 준수하지 않는다고 밝힙니다.[11] 2026년 9월 29일 기준 AGCOM의 적용 대상 서비스 목록에는 79건이 등재되어 있었습니다.[13] 그 밖의 용도에서는 SPID의 서명된 생년월일로 신분증 사진 없이 연령을 증명할 수 있습니다. eID 인증이란 무엇인가를 참고하십시오.
한계와 대체 수단
- 미성년자. 모든 성인은 SPID를 활성화할 수 있습니다. 레벨 2 SPID를 보유한 부모는 AgID 결정 133/2022에 따라 미성년자를 위한 SPID를 신청할 수 있습니다.[7]
- 외국인 및 비거주자. 제공자는 이탈리아 신분증(신분증, 여권 또는 운전면허증), 건강보험카드 또는 납세자번호 카드, 이메일, 본인 명의 휴대전화를 요구합니다.[7]
- 이용자에게 부과되는 제공자 수수료. CorCom에 따르면 일부 신원 제공자는 2025년부터 이용자에게 연회비를 부과하기 시작했습니다.
- 협약 기간. SmartWorld에 따르면 신원 제공자 협약은 2025년 10월에 24개월 기간으로 갱신되었으며 최대 36개월까지 연장할 수 있습니다.
- 보안. AgID 결정 241/2025는 발급 시 납세자번호 확인을 강화했습니다.[1]
CIE는 Low, Substantial, High 수준으로 통보되어 있으며, 이미 SPID에 승인된 민간 기업은 CIE 연합의 적격성 요건에 대해 그 승인을 근거로 삼을 수 있습니다.[2][14] CIE ID 연동을 참조하십시오. CieID 또는 SPID로 개설하는 IT-Wallet은 2026년 2월 17일까지 활성화 10.1백만 건에 도달했습니다. EU 디지털 신원(EUDI) 지갑 페이지와 기업을 위한 IT-Wallet을 참조하십시오.[15]
그 외 모든 이용자에게는 문서 경로를 사용합니다. NFC(근거리 무선 통신)로 여권 또는 신분증 칩을 읽고, 라이브니스를 확인하고, 얼굴을 대조합니다. AMLA의 기준 초안은 제22(6)조의 어느 수단으로도 검증할 수 없는 고객을 위한 대체 솔루션을 유지하며, 기업은 그 사유를 정당화해야 합니다.[10] NFC 칩 검증의 작동 방식에서 칩 확인을 설명합니다.
1이탈리아 이용자에게 SPID를 먼저 제시
AML 온보딩에는 레벨 2 이상을 요청합니다.
이용자가 요청한 레벨로 SPID를 완료했는가
서명된 속성 사용
제공자로부터 받은 이름, 생년월일, 납세자번호.
문서 경로로 전환
NFC 칩 판독, 라이브니스, 얼굴 대조. 사유를 기록합니다.
2심사 및 결정
제재 및 정치적 주요 인물(PEP) 심사 후 결정합니다.
eID 우선, 문서 경로는 대체 수단.
SPID API 연동 체크리스트
- 경로 결정: 직접 협약, 애그리게이터 또는 멀티 eID 브로커.[3]
- 최소 레벨 설정: AML 온보딩에는 레벨 2.[8]
- 필요한 속성을 목록화하고, 가능한 경우 인증 모드를 유지합니다.[6]
- 고유 이용자별, 신원 제공자별, 연도별로 예산을 책정합니다.[6]
- 확인 및 테스트를 위해 메타데이터를 AgID에 제출합니다.[4]
- 카드는 보유하지만 SPID가 없는 이용자를 위해 CIE를 추가합니다.[14]
- SPID가 없는 이용자를 위한 문서 대체 경로를 구축합니다.
- 이중 익명성 규칙을 충족하지 않는 한 성인 콘텐츠 연령 확인에는 SPID를 사용하지 않습니다.[11]
Didit이 이탈리아의 eID 검증을 지원하는 방법
Didit은 요청 시 SPID를 추가합니다. 현재 이탈리아에서 Didit은 문서 방식으로 사용자를 인증합니다. NFC 칩 판독, 라이브니스, 얼굴 대조에 더해 제재, PEP 및 감시 목록에 대한 AML 스크리닝을 하나의 워크플로에서 수행합니다. 전체 KYC 확인은 $0.33, NFC 인증은 $0.15, AML 스크리닝은 $0.20입니다. 디지털 ID 지갑 문서에서 국가 eID가 문서 방식과 어떻게 함께 운영되는지 확인할 수 있습니다.
Didit이 제공하는 것
- NFC 칩 판독, 라이브니스, 얼굴 대조를 포함한 문서 확인
- 제재, PEP 및 감시 목록에 대한 AML 스크리닝
- 모든 확인의 증거
귀사가 유지하는 것
- 위험 평가 및 AML 정책
- 온보딩 결정
- 어떤 eID를 수용할지에 대한 선택
핵심 요약
- SPID는 단일 API가 아니라 연합 체계입니다. AgID의 SAML2 또는 OpenID Connect 규칙에 따라 직접 또는 애그리게이터를 통해 연결합니다.
- 민간 서비스 제공자는 연간 고유 사용자당 비용을 지불하며, 신원 제공자 및 서비스 제공자별 최초 1,000명의 인증 사용자는 무료입니다.
- 레벨 2 이상의 SPID는 입법령 231/2007 제19조에 따른 비대면 신원확인으로 인정됩니다.
- SPID는 얼굴 사진을 반환하지 않으며, AGCOM에 따르면 성인 사이트 연령 확인에서 이중 익명성을 완전히 충족하지 않습니다.
자주 묻는 질문
기업이 SPID를 사용하는 비용은 얼마입니까?
인증 모드에서는 신원 제공자 및 서비스 제공자별로 연간 최초 1,000명의 고유 사용자가 무료이며, 이후 레벨 1과 2는 고유 사용자당 €0.40입니다. 추가 속성을 요청하면 사용자당 €3.50입니다. 레벨 3은 사용자당 €7이며, 최초 1,000명에 대한 인증은 예외입니다. 가격은 부가가치세 별도입니다.[6]
SPID는 어떤 데이터를 반환합니까?
이름, 성, 출생지 및 출생 군(county), 생년월일, 성별, 납세자 번호, SPID 코드입니다. 연락처, 주소, 신분증 및 회사 데이터는 등록 모드에서만 제공됩니다. 얼굴 사진은 없습니다.[5]
SPID는 이탈리아에서 AML 고객확인(CDD) 요건을 충족합니까?
네, 레벨 2 이상이면 충족합니다. 입법령 231/2007 제19조(1)(a)(2)는 SPID 체계에서 최소 Substantial 등급의 디지털 신원을 비대면 신원확인으로 인정합니다.[8]
SPID의 보증 수준은 무엇입니까?
SPID 레벨 1, 2, 3은 eIDAS 보증 수준 Low, Substantial, High에 각각 대응합니다. 이탈리아는 2018년 9월 10일 이 체계를 유럽연합 집행위원회에 통보했습니다.[2]
미성년자도 SPID를 사용할 수 있습니까?
SPID는 기본적으로 성인용입니다. 레벨 2 SPID를 보유한 부모는 AgID 결정 133/2022에 따라 미성년자의 신원을 신청할 수 있습니다.[7]
외국인도 SPID를 발급받을 수 있습니까?
이탈리아 서류가 있는 경우에만 가능합니다. 이탈리아 신분증과 함께 건강보험 카드 또는 납세자 번호 카드가 필요합니다.[7] 외국인 고객을 위해 문서 방식을 마련하세요.
이탈리아 성인 사이트의 연령 확인에 SPID를 사용할 수 있습니까?
현재로서는 불가능합니다. AGCOM 결정 96/25/CONS는 이중 익명성을 요구합니다. AGCOM은 신원 제공자에게 보내는 요청에 사이트의 도메인 이름이 포함되기 때문에 SPID가 이 요건을 완전히 충족하지 않는다고 판단했습니다.[11]
SPID 연동에는 얼마나 걸립니까?
2026년 10월 5일 기준으로 AgID는 소요 기간을 공개하지 않습니다. 절차는 기술 규칙 구현, AgID의 메타데이터 검토 및 테스트, 협약 체결로 이루어집니다.[4]
SPID 연동은 어떻게 테스트합니까?
서비스 제공자 메타데이터를 AgID에 제출하면, AgID가 협약 체결 전에 이를 검토하고 테스트합니다.[4] AgID의 제공자 페이지는 이 테스트의 일정을 공개하지 않습니다.
2027년부터 SPID는 AMLR상 인정됩니까?
레벨 2 또는 3이라면 인정된다고 해석합니다. 2027년 7월 10일부터 제22조(6)(b)는 Substantial 또는 High 수준의 eIDAS 수단을 인정합니다.[9]
출처
- SPID, AgID, 2026년 4월 13일 업데이트.
- eIDAS에 따른 사전 통보 및 통보된 eID 제도 개요, 유럽연합 집행위원회, 2026년 2월 2일 업데이트.
- SPID, Convenzioni, AgID.
- Diventa fornitore di servizi, spid.gov.it.
- Tabella attributi SPID, 버전 1.3, AgID, 2022년 6월 24일.
- Allegato 4, Corrispettivi (DT 166/2019), AgID.
- Identità digitale, FAQ, AgID.
- 입법령 231/2007, 제19조, Normattiva.
- 규정 (EU) 2024/1624 (AMLR), 제22조 및 제90조, EUR-Lex.
- 최종 보고서, AMLR 제28조(1)에 따른 RTS 초안, AMLA, 2026년 9월 30일.
- Delibera 96/25/CONS 및 부속서 A, AGCOM, 2025년 4월 8일.
- Tutela minori, age verification, AGCOM.
- Comunicazione 30 ottobre 2025, 목록 버전 5, AGCOM, 2026년 9월 29일.
- Federazione CIE, Manuale operativo, 내무부.
- IT-Wallet supera quota 10 milioni di attivazioni, 디지털 전환부, 2026년 2월 17일.
eID 인증 페이지에서 SPID를 다른 모든 국가 eID와 비교해 보십시오.