Integração com o SPID: como empresas aceitam o login SPID da Itália

Última revisão: 5 de outubro de 2026 · Não constitui aconselhamento jurídico

Se você pesquisou por uma API do SPID, a resposta curta é que o SPID não é um único endpoint. É uma federação administrada pela AgID (Agenzia per l'Italia Digitale), na qual cerca de uma dúzia de provedores de identidade (IdPs) privados mantêm as contas dos usuários e todo provedor de serviço se conecta seguindo as mesmas regras.^[1][2] As administrações públicas são obrigadas a aceitar o SPID, e as empresas privadas podem aderir.^[4]

Este guia é para empresas que querem aceitar o SPID como parte confiante (relying party, RP). Ele cobre o fluxo do usuário, os dados, a lei, as formas de integração, os preços e as alternativas.

O que é o SPID

O SPID é um login, não um cartão. A pessoa abre uma identidade com um provedor credenciado e a usa para entrar em qualquer serviço da federação.^[1] O provedor pede um documento de identidade válido e também o cartão de saúde ou o cartão do código fiscal.^[1]

Adoção: quantas pessoas usam o SPID

Os logins passaram de 143.872.687 em 2020 para 1.220.153.029 em 2025.^[1] O ritmo de novas identidades caiu, de cerca de 262.000 por semana no fim de 2020 para cerca de 46.000 por semana em março de 2026.^[1]

A página da AgID não informa o total de identidades nem a parcela de adultos em 5 de outubro de 2026. Segundo o SmartWorld, que cita dados da AgID, mais de 41 milhões de cidadãos têm SPID.

O que o usuário vê

As telas variam conforme o provedor de identidade. A sequência mostra o padrão usual, não o design de um provedor específico.

Não há variante entre dispositivos documentada para o SPID como um todo. Isso depende do provedor.

O que um provedor de serviços SPID recebe

A tabela de atributos da AgID (versão 1.3, 24 de junho de 2022) divide os dados em um conjunto de identidade e atributos adicionais.^[5] A divisão afeta o preço: solicitar apenas atributos de identidade é "autenticação". Solicitar qualquer atributo adicional é "cadastro" e custa mais.^[6]

Atributos do SPID por grupo.^[5][6]

O identificador nacional é o código fiscal italiano, retornado como fiscalNumber. O spidCode identifica a própria identidade SPID. A versão 1.3 também introduziu os escopos OpenID Connect "profile" e "email".^[5] Sem foto, uma correspondência facial exige uma etapa separada de documento e selfie.

Nível de garantia e validade jurídica

Na lista de esquemas notificados da Comissão Europeia, os níveis 1, 2 e 3 do SPID correspondem aos níveis Reduzido, Substancial e Elevado do eIDAS (regulamento sobre identificação eletrônica, autenticação e serviços de confiança). A Itália notificou o SPID em 10 de setembro de 2018 (Jornal Oficial 2018/C 318/02, alterado três vezes desde então).^[2]

Na legislação nacional, o SPID é o sistema público de gestão de identidades digitais nos termos do Artigo 64 do Código da Administração Digital (CAD, Decreto Legislativo 82/2005).^[8]

SPID e diligência devida do cliente para PLD na Itália

O artigo 19(1)(a)(2) do Decreto Legislativo 231/2007 considera identificado, sem presença física, o cliente que possui uma identidade digital de nível pelo menos "significativo" (substancial) no sistema do artigo 64 do CAD.^[8]

Artigo 19(1)(a)(2)Decreto Legislativo 231/2007

"L'obbligo di identificazione si considera assolto, anche senza la presenza fisica del cliente, nei seguenti casi: [...] 2) per i clienti in possesso di un'identità digitale, con livello di garanzia almeno significativo, nell'ambito del Sistema di cui all'articolo 64 del predetto decreto legislativo n. 82 del 2005 [...]"

Fonte: Normattiva, Decreto Legislativo 231/2007, artigo 19^[8]

A mesma disposição abrange identidades de nível substancial de esquemas notificados na UE e certificados de assinatura qualificada.^[8] O SPID nível 1 não se enquadra. Por isso, exija o nível 2 ou 3.

O AMLR a partir de 10 de julho de 2027

O Regulamento Antibranqueamento de Capitais da UE (AMLR, Regulamento (UE) 2024/1624) se aplica a partir de 10 de julho de 2027.^[9] O artigo 22(6)(b) permite a verificação por meio de "meios de identificação eletrônica que cumpram os requisitos do Regulamento (UE) n.º 910/2014 no que diz respeito aos níveis de garantia 'substancial' ou 'elevado'".^[9] Esta é a nossa leitura, não a de um regulador: o SPID de nível 2 ou 3 se enquadra. Em seu relatório final de 30 de setembro de 2026 sobre projetos de normas, que ainda não são lei, a AMLA (Autoridade Antibranqueamento de Capitais) afirma que os dois meios do artigo 22(6), documento e identificação eletrônica, "continuam sendo a opção padrão, e os métodos alternativos de verificação só devem ser usados quando nenhum dos dois meios exigidos pelo AMLR puder ser usado".^[10]

1. 10 de setembro de 2018NotificadoO SPID entra na lista da UE em três níveis.
2. 10 de setembro de 2019Em toda a UEUtilizável em todas as administrações públicas da UE.
3. 12 de novembro de 2025Regras de idadeAs verificações de idade da AGCOM começam para sites italianos e de fora da UE. Os demais Estados-Membros seguem em 1 de fevereiro de 2026.
4. 16 a 18 de janeiro de 2026RegistroO Registro SPID migra para a nuvem.
5. 10 de julho de 2027AMLRVia de identificação eletrônica em toda a UE para a diligência devida do cliente.

Marcos do SPID que importam para uma empresa.^{[1][2][9][12]}

Como uma empresa se conecta: as vias de API do SPID

Uma empresa privada se torna provedora de serviços SPID em quatro etapas: implementar as regras técnicas da AgID (SAML2), enviar seus metadados à AgID para verificação e testes, implementar o nó eIDAS quando os níveis 2 ou 3 forem usados e fazer seu representante legal assinar a convenção SPID com a AgID, que então informa os provedores de identidade.^[4] A página do SPID da AgID também lista a Determinação 71/2025, sobre as regras da "SPID OpenID Connect Federation".^[1]

Todas as funções da federação, exceto o usuário, assinam uma convenção com a AgID, inclusive os agregadores, que conectam os provedores de serviços.^[3] Também existem intermediários certificados que oferecem várias identificações eletrônicas por meio de uma única integração.

Três formas de se conectar ao SPID.^[3][4]

Quanto o SPID custa para uma empresa

O Anexo 4 da AgID (DT 166/2019) adota um modelo de "pagamento por usuário": cada usuário único é cobrado uma vez por ano, por provedor de identidade e por provedor de serviços.^[6] Os primeiros 1.000 usuários únicos no modo de autenticação são gratuitos para cada par de provedor de serviços e provedor de identidade.^[6]

Preços públicos da AgID para provedores de serviços privados, sem IVA.^[6]

Em 5 de outubro de 2026, a AgID não publica preços de agregadores ou intermediários, nem um prazo de onboarding.

Casos de uso e regras setoriais

Verificação de idade. O Decreto-Lei 123/2023 (artigo 13-bis) obriga os sites pornográficos que atendem a Itália a verificar se os usuários são maiores de idade. A Resolução AGCOM 96/25/CONS define o método.^[11] As obrigações se aplicam a partir de 12 de novembro de 2025 para sites na Itália ou fora da UE e a partir de 1 de fevereiro de 2026 para sites em outros Estados-Membros.^[12] A resolução exige "dupla anonimidade": o provedor da prova de idade não pode saber qual site é visitado.^[11] O Anexo A da AGCOM afirma que o SPID não está totalmente em conformidade, porque a solicitação enviada ao provedor de identidade "contiene il nome a dominio del sito visitato" (contém o nome de domínio do site visitado).^[11] A lista de serviços abrangidos da AGCOM tinha 79 entradas em 29 de setembro de 2026.^[13] Em outros contextos, a data de nascimento assinada do SPID comprova a idade sem foto de documento. Veja o que é a verificação por eID.

Limites e alternativas

• Menores. Todos os adultos podem ativar o SPID. Um dos pais com SPID de nível 2 pode solicitar um para um menor nos termos da Determinação AgID 133/2022.^[7]
• Estrangeiros e não residentes. O provedor pede um documento de identidade italiano (carteira de identidade, passaporte ou carteira de motorista), o cartão de saúde ou o cartão do código fiscal, um e-mail e um celular pessoal.^[7]
• Tarifas dos provedores para os usuários. Segundo o CorCom, alguns provedores de identidade começaram a cobrar uma tarifa anual dos usuários em 2025.
• Horizonte das convenções. Segundo o SmartWorld, as convenções dos provedores de identidade foram renovadas em outubro de 2025 por 24 meses, prorrogáveis por até 36 meses.
• Segurança. A Determinação AgID 241/2025 tornou mais rigorosa a verificação do código fiscal na emissão.^[1]

A CIE é notificada nos níveis Baixo, Substancial e Elevado, e uma empresa privada já admitida no SPID pode usar essa admissão para cumprir os requisitos de idoneidade da federação CIE.^[2][14] Veja integração do CIE ID. A IT-Wallet, aberta com CieID ou SPID, chegou a 10.1 milhões de ativações em 17 de fevereiro de 2026. Veja a página da carteira europeia de identidade digital (EUDI Wallet) e IT-Wallet para empresas.^[15]

Para todos os demais, a rota documental lê o chip do passaporte ou da carteira de identidade via NFC (comunicação por campo de proximidade), verifica a prova de vida e faz a correspondência facial. Os projetos de normas da AMLA mantêm soluções alternativas para clientes que não podem ser verificados por nenhum dos meios do Artigo 22(6), e a instituição deve justificar o motivo.^[10] Como funciona a verificação do chip por NFC explica a verificação do chip.

eID primeiro, rota documental como alternativa.

Checklist de integração da API do SPID

• Defina a rota: convenção direta, agregador ou intermediário multi-eID.^[3]
• Defina o nível mínimo: nível 2 para o onboarding de PLD.^[8]
• Liste os atributos de que você precisa e fique no modo de autenticação sempre que puder.^[6]
• Faça o orçamento por usuário único, por provedor de identidade, por ano.^[6]
• Envie seus metadados à AgID para verificações e testes.^[4]
• Adicione a CIE para usuários que têm o cartão, mas não têm SPID.^[14]
• Crie uma alternativa documental para usuários sem SPID.
• Não use o SPID em verificações de idade para conteúdo adulto, a menos que a regra de dupla anonimidade seja cumprida.^[11]

Como a Didit ajuda na verificação de eID na Itália

A Didit adiciona o SPID mediante solicitação. Hoje, na Itália, a Didit verifica usuários pela via documental: leitura do chip NFC, prova de vida e correspondência facial, além de triagem AML em listas de sanções, PEP e listas de observação, em um único fluxo. Uma verificação KYC completa custa $0.33, a verificação NFC custa $0.15 e a triagem AML custa $0.20. A documentação sobre carteiras de identidade digital mostra como as eIDs nacionais funcionam ao lado da via documental.

Perguntas frequentes

Fontes

1. SPID, AgID, atualizado em 13 de abril de 2026.
2. Visão geral dos esquemas de eID pré-notificados e notificados no âmbito do eIDAS, Comissão Europeia, atualizado em 2 de fevereiro de 2026.
3. SPID, Convenzioni, AgID.
4. Diventa fornitore di servizi, spid.gov.it.
5. Tabella attributi SPID, versão 1.3, AgID, 24 de junho de 2022.
6. Allegato 4, Corrispettivi (DT 166/2019), AgID.
7. Identità digitale, FAQ, AgID.
8. Decreto Legislativo 231/2007, Artigo 19, Normattiva.
9. Regulamento (UE) 2024/1624 (AMLR), Artigos 22 e 90, EUR-Lex.
10. Relatório final, projeto de RTS nos termos do Artigo 28(1) do AMLR, AMLA, 30 de setembro de 2026.
11. Delibera 96/25/CONS e Anexo A, AGCOM, 8 de abril de 2025.
12. Tutela minori, age verification, AGCOM.
13. Comunicazione 30 ottobre 2025, lista versão 5, AGCOM, 29 de setembro de 2026.
14. Federazione CIE, Manuale operativo, Ministério do Interior.
15. IT-Wallet supera quota 10 milioni di attivazioni, Departamento para a Transformação Digital, 17 de fevereiro de 2026.

Compare o SPID com todos os outros sistemas nacionais de eID na página de verificação de eID.