Integração do SPID: como as empresas aceitam o login SPID de Itália
Como uma empresa aceita o SPID: o fluxo do utilizador, os atributos e o código fiscal que recebe, os preços da AgID por utilizador único, níveis e regras AML, agregadores vs. convenções diretas e alternativas para estrangeiros.
Em resumo
O SPID (Sistema Pubblico di Identità Digitale) é a identidade digital pública federada de Itália: fornecedores de identidade privados acreditados pela AgID emitem as credenciais de acesso, e qualquer serviço que assine a convenção da AgID pode aceitá-las.[1][3] Não existe uma única API SPID: uma empresa liga-se através das regras SAML2 ou OpenID Connect da federação, diretamente ou através de um agregador, e paga aos fornecedores de identidade por utilizador único.[4][6]
- Notificado à UE nos níveis reduzido, substancial e elevado.[2]
- O SPID de nível 2 ou superior conta como identificação à distância nos termos da lei italiana de combate ao branqueamento de capitais (AML).[8]
- Devolve nome, apelido, local e data de nascimento, sexo, código fiscal e código SPID; sem retrato.[5]
Se procurou uma API SPID, a resposta curta é que o SPID não é um único endpoint. É uma federação gerida pela AgID (Agenzia per l'Italia Digitale), na qual cerca de uma dúzia de fornecedores de identidade (IdP) privados detêm as contas dos utilizadores e todos os prestadores de serviços se ligam segundo as mesmas regras.[1][2] As administrações públicas são obrigadas a aceitar o SPID, e as empresas privadas podem aderir.[4]
Este guia destina-se a uma empresa que pretende aceitar o SPID como parte utilizadora (RP): o fluxo do utilizador, os dados, a lei, as vias de ligação, os preços e as alternativas.
O que é o SPID
O SPID é uma credencial de acesso, não um cartão. A pessoa cria uma identidade junto de um fornecedor acreditado e usa-a para iniciar sessão em qualquer ponto da federação.[1] O fornecedor pede um documento de identificação válido e ainda o cartão de saúde ou o cartão do código fiscal.[1]
SPID
O sistema público de identidade digital de Itália
Adoção: quantas pessoas utilizam o SPID
As autenticações passaram de 143,872,687 em 2020 para 1,220,153,029 em 2025.[1] O ritmo de novas identidades abrandou, de cerca de 262,000 por semana no final de 2020 para cerca de 46,000 por semana em março de 2026.[1]
A página da AgID não indica um total de identidades nem uma proporção de adultos, à data de 5 de outubro de 2026. Segundo a SmartWorld, que cita dados da AgID, mais de 41 milhões de cidadãos têm SPID.
O que o utilizador vê
Os ecrãs variam consoante o fornecedor de identidade. A faixa mostra o padrão habitual, não o design de um fornecedor específico.
Verifique a sua identidade
Inicie sessão com a sua identidade digital pública.
Entra con SPID
Utilizar antes um documento de identificação
1O utilizador toca em "Entra con SPID" na sua página de registo.
Escolha o seu fornecedor
Escolha o fornecedor que emitiu o seu SPID.
- Fornecedor ASelecionar
- Fornecedor BSelecionar
- Fornecedor CSelecionar
2O utilizador escolhe o seu fornecedor de identidade na lista padrão.
Iniciar sessão
Introduza o seu nome de utilizador e a sua palavra-passe SPID.
Iniciar sessão
3O utilizador introduz o nome de utilizador e a palavra-passe na página do fornecedor.
Confirmar início de sessão
Confirme com o segundo passo do seu fornecedor.
Confirmar
4No nível 2, o utilizador confirma com o segundo passo do fornecedor.
Partilhe os seus dados
- NomePartilhado
- Data de nascimentoPartilhada
- Código fiscalPartilhado
Permitir
5O utilizador autoriza a partilha dos dados pedidos e regressa com uma resposta assinada.
Não está documentada nenhuma variante entre dispositivos para o SPID no seu todo; depende do fornecedor.
Vídeo pendente: flow-redirect
Um início de sessão por redirecionamento com uma eID nacional, do princípio ao fim.
O que recebe um prestador de serviços SPID
A tabela de atributos da AgID (versão 1.3, 24 de junho de 2022) divide os dados num conjunto de identidade e em atributos adicionais.[5] Esta divisão conta para o preço: pedir apenas atributos de identidade é "autenticação"; pedir qualquer atributo adicional é "registo" e custa mais.[6]
| Grupo | Atributos (nomes AgID) | Quando os recebe |
|---|---|---|
| Conjunto de identidade | spidCode, name, familyName, placeOfBirth, countyOfBirth, dateOfBirth, gender, fiscalNumber | Modo de autenticação |
| Contacto | mobilePhone, email, digitalAddress (correio eletrónico certificado, PEC) | Modo de registo, se solicitado |
| Residência e documento | address, domicile, idCard (tipo, número, entidade emissora, data de validade), expirationDate | Modo de registo, se solicitado |
| Empresa | companyName, companyFiscalNumber, registeredOffice, ivaCode | Modo de registo, se solicitado |
| Retrato | Nenhum: não há atributo de fotografia na tabela | Nunca |
Atributos do SPID por grupo.[5][6]
O identificador nacional é o código fiscal italiano, devolvido como fiscalNumber. O spidCode identifica a própria identidade SPID. A versão 1.3 introduziu também os âmbitos OpenID Connect "profile" e "email".[5] Sem fotografia do titular, a correspondência facial exige uma etapa separada de documento e selfie.
Nível de garantia e valor jurídico
Na lista de sistemas notificados da Comissão Europeia, os níveis 1, 2 e 3 do SPID correspondem aos níveis eIDAS (regulamento relativo à identificação eletrónica, autenticação e serviços de confiança) reduzido, substancial e elevado. Itália notificou o SPID em 10 de setembro de 2018 (Jornal Oficial 2018/C 318/02, alterado três vezes desde então).[2]
No direito nacional, o SPID é o sistema público de gestão de identidades digitais previsto no artigo 64.º do Codice dell'Amministrazione Digitale (CAD, Decreto Legislativo 82/2005).[8]
SPID e diligência devida relativa à clientela para prevenção do branqueamento de capitais em Itália
O artigo 19(1)(a)(2) do Decreto Legislativo 231/2007 considera identificado, sem presença física, o cliente que detenha uma identidade digital de nível pelo menos "significativo" (Substancial) no sistema do artigo 64 do CAD.[8]
Artigo 19(1)(a)(2)Decreto Legislativo 231/2007
"L'obbligo di identificazione si considera assolto, anche senza la presenza fisica del cliente, nei seguenti casi: [...] 2) per i clienti in possesso di un'identità digitale, con livello di garanzia almeno significativo, nell'ambito del Sistema di cui all'articolo 64 del predetto decreto legislativo n. 82 del 2005 [...]"
Fonte: Normattiva, Decreto Legislativo 231/2007, Artigo 19[8]
A mesma disposição abrange as identidades de nível Substancial provenientes de sistemas notificados na UE e os certificados qualificados de assinatura.[8] O SPID de nível 1 não cumpre os requisitos, pelo que deve solicitar o nível 2 ou 3.
O AMLR a partir de 10 de julho de 2027
O Regulamento Antibranqueamento de Capitais da UE (AMLR, Regulamento (UE) 2024/1624) aplica-se a partir de 10 de julho de 2027.[9] O Artigo 22(6)(b) permite a verificação através de "meios de identificação eletrónica que cumpram os requisitos do Regulamento (UE) n.º 910/2014 no que respeita aos níveis de garantia 'substancial' ou 'elevado'".[9] Esta é a nossa leitura, não a de um regulador: o SPID de nível 2 ou 3 cumpre este requisito. No seu relatório final de 30 de setembro de 2026 sobre projetos de normas, que ainda não são lei, a AMLA (Autoridade Antibranqueamento de Capitais) afirma que ambos os meios do Artigo 22(6), documento e identificação eletrónica, "continuam a ser a opção por defeito, devendo os métodos de verificação alternativos ser utilizados apenas quando nenhum dos dois meios exigidos pelo AMLR possa ser utilizado".[10]
- 10 de setembro de 2018NotificadoO SPID entra na lista da UE com três níveis.
- 10 de setembro de 2019À escala da UEUtilizável junto de todas as administrações públicas da UE.
- 12 de novembro de 2025Regras de idadeAs verificações de idade da AGCOM começam para sites italianos e de fora da UE; os restantes Estados-Membros seguem-se a 1 de fevereiro de 2026.
- 16 a 18 de janeiro de 2026RegistoO Registo SPID passa para a nuvem.
- 10 de julho de 2027AMLRVia de identificação eletrónica à escala da UE para a diligência devida quanto à clientela.
Marcos do SPID relevantes para uma empresa.[1][2][9][12]
Como uma empresa se liga: as vias de API do SPID
Uma empresa privada torna-se fornecedor de serviços SPID em quatro passos: implementar as regras técnicas da AgID (SAML2), enviar os seus metadados à AgID para verificação e testes, implementar o nó eIDAS quando são usados os níveis 2 ou 3, e obter a assinatura da convenção SPID com a AgID pelo seu representante legal. A AgID informa depois os fornecedores de identidade.[4] A página SPID da AgID indica também a Determinação 71/2025, sobre as regras da "SPID OpenID Connect Federation".[1]
Todos os intervenientes da federação, exceto o utilizador, assinam uma convenção com a AgID, incluindo os agregadores, que ligam os prestadores de serviços.[3] Existem também intermediários certificados que oferecem vários meios de identificação eletrónica através de uma única integração.
Direta
A sua própria convenção como prestador de serviços
- Opera o SAML2 ou o OpenID Connect por conta própria
- A AgID verifica e testa os seus metadados
- O seu representante legal assina com a AgID
Adequa-se a volumes elevados e a equipas internas
Agregador
Ligar-se através de um agregador SPID
- O agregador detém a ligação à federação
- Assina a sua própria convenção com a AgID
- Assina um contrato com o agregador
Adequado a equipas pequenas com um único sistema
Intermediário multi-eID
Uma integração, muitas eID
- O SPID ao lado de outros eID nacionais
- Um único formato de resposta para todos os esquemas
- Alternativa por documento no mesmo fluxo
Adequado ao onboarding transfronteiriço
Três formas de ligação ao SPID.[3][4]
Quanto custa o SPID a uma empresa
O Anexo 4 da AgID (DT 166/2019) utiliza um modelo de "pagamento por utilizador": cada utilizador único é faturado uma vez por ano, por fornecedor de identidade e por fornecedor de serviços.[6] Os primeiros 1,000 utilizadores únicos em modo de autenticação são gratuitos para cada par de fornecedor de serviços e fornecedor de identidade.[6]
| Utilizadores únicos por ano, por IdP | Autenticação, níveis 1 e 2 | Registo, níveis 1 e 2 | Autenticação, nível 3 | Registo, nível 3 |
|---|---|---|---|---|
| 0 a 1,000 | €0 | €3.50 | €0 | €7 |
| Mais de 1,000 | €0.40 | €3.50 | €7 | €7 |
Preços públicos da AgID para fornecedores de serviços privados, sem IVA.[6]
À data de 5 de outubro de 2026, a AgID não publica preços de agregadores ou intermediários, nem um prazo de adesão.
Casos de utilização e regras setoriais
| Caso de utilização | O que dizem as regras | Fonte |
|---|---|---|
| Onboarding KYC (Know Your Customer) e AML | O nível 2 ou superior conta como identificação à distância | Normattiva[8] |
| Contas de jogo online | Segundo a Informazione Fiscale, a agência das alfândegas e monopólios (ADM) permite contas abertas com SPID ou com o cartão de identidade eletrónico (CIE) a partir de 13 de novembro de 2025 | Informazione Fiscale |
| Verificação de idade em sites para adultos | O SPID, na sua forma atual, não cumpre integralmente a regra de duplo anonimato da AGCOM | AGCOM[11] |
Verificação de idade. O Decreto-Lei 123/2023 (Artigo 13-bis) obriga os sites pornográficos que servem Itália a verificar que os utilizadores são maiores de idade. A Deliberação AGCOM 96/25/CONS define o método.[11] As obrigações aplicam-se a partir de 12 de novembro de 2025 aos sites situados em Itália ou fora da UE e a partir de 1 de fevereiro de 2026 aos sites situados noutros Estados-Membros.[12] A deliberação exige "duplo anonimato": o fornecedor da prova de idade não pode saber que site é visitado.[11] O Anexo A da AGCOM indica que o SPID não cumpre integralmente esta regra, porque o pedido enviado ao fornecedor de identidade "contiene il nome a dominio del sito visitato" (contém o nome de domínio do site visitado).[11] A lista de serviços abrangidos da AGCOM tinha 79 entradas a 29 de setembro de 2026.[13] Noutros contextos, a data de nascimento assinada do SPID comprova a idade sem fotografia de documento. Veja o que é a verificação por eID.
Limites e alternativas
- Menores. Todos os adultos podem ativar o SPID. Um progenitor com SPID de nível 2 pode pedir um para um menor ao abrigo da Determinação AgID 133/2022.[7]
- Estrangeiros e não residentes. O fornecedor pede um documento de identificação italiano (cartão de identidade, passaporte ou carta de condução), o cartão de saúde ou o cartão do código fiscal, um endereço de email e um telemóvel pessoal.[7]
- Taxas cobradas pelos fornecedores aos utilizadores. De acordo com o CorCom, alguns fornecedores de identidade começaram a cobrar uma taxa anual aos utilizadores em 2025.
- Horizonte das convenções. Segundo a SmartWorld, as convenções com os fornecedores de identidade foram renovadas em outubro de 2025 por 24 meses, prorrogáveis por um máximo de 36 meses.
- Segurança. A Determinação 241/2025 da AgID reforçou a verificação do código fiscal no momento da emissão.[1]
A CIE está notificada nos níveis reduzido, substancial e elevado, e uma empresa privada já admitida no SPID pode basear-se nessa admissão para cumprir os requisitos de idoneidade da federação CIE.[2][14] Ver Integração do CIE ID. A IT-Wallet, ativada com CieID ou SPID, atingiu 10.1 milhões de ativações até 17 de fevereiro de 2026. Ver a página da carteira europeia de identidade digital (EUDI Wallet) e IT-Wallet para empresas.[15]
Para todos os outros, a via documental lê o chip do passaporte ou do cartão de identificação por NFC (comunicação de campo próximo), verifica a prova de vida e compara o rosto. Os projetos de normas da AMLA mantêm soluções alternativas para os clientes que não possam ser verificados por nenhum dos meios do artigo 22(6), e a empresa tem de justificar porquê.[10] Como funciona a verificação do chip NFC explica a verificação do chip.
1Ofereça o SPID primeiro aos utilizadores italianos
Solicite o nível 2 ou superior para o onboarding de AML.
O utilizador conclui o SPID ao nível que solicitou
Utilize os atributos assinados
Nome, data de nascimento e código fiscal provenientes do fornecedor.
Recorrer à via documental
Leitura do chip NFC, prova de vida e correspondência facial; registe o motivo.
2Fazer a triagem e decidir
Triagem de sanções e de pessoas politicamente expostas (PEP) e, depois, a sua decisão.
Primeiro a eID, com a via documental como alternativa.
Lista de verificação para a integração da API do SPID
- Decida a via: convenção direta, agregador ou intermediário multi-eID.[3]
- Defina o nível mínimo: nível 2 para o onboarding AML.[8]
- Enumere os atributos de que necessita e mantenha-se no modo de autenticação sempre que possível.[6]
- Orçamento por utilizador único, por fornecedor de identidade, por ano.[6]
- Submeta os seus metadados à AgID para verificação e testes.[4]
- Acrescente a CIE para os utilizadores que têm o cartão mas não têm SPID.[14]
- Crie uma alternativa baseada em documento para os utilizadores sem SPID.
- Não utilize o SPID em barreiras de verificação de idade para conteúdos para adultos, salvo se a regra do duplo anonimato for cumprida.[11]
Como a Didit ajuda na verificação de eID em Itália
A Didit adiciona o SPID mediante pedido. Atualmente, em Itália, a Didit verifica os utilizadores pela via documental: leitura do chip NFC, deteção de vivacidade e correspondência facial, além de triagem AML contra listas de sanções, PEP e listas de vigilância, num único fluxo. Uma verificação KYC completa custa $0.33, a verificação NFC $0.15 e a triagem AML $0.20. A documentação sobre carteiras de identidade digital mostra como as eID nacionais funcionam a par da via documental.
A Didit fornece
- Verificação de documentos com leitura do chip NFC, deteção de vivacidade e correspondência facial
- Triagem AML contra listas de sanções, PEP e listas de vigilância
- A prova de cada verificação
Fica a seu cargo
- A avaliação de risco e as políticas AML
- A decisão de admissão do cliente
- A escolha das eID a aceitar
Leve o SPID ao seu registo
Diga-nos onde os seus utilizadores iniciam sessão e comece hoje com a via documental.
Pontos-chave
- O SPID é uma federação, não uma única API: a ligação faz-se segundo as regras SAML2 ou OpenID Connect da AgID, diretamente ou através de um agregador.
- Os prestadores de serviços privados pagam por utilizador único por ano, e os primeiros 1,000 utilizadores de autenticação por fornecedor de identidade e por prestador de serviços são gratuitos.
- O SPID de nível 2 ou superior conta como identificação à distância nos termos do artigo 19 do Decreto Legislativo 231/2007.
- O SPID não devolve fotografia e, segundo a AGCOM, não cumpre plenamente o duplo anonimato na verificação de idade em sites para adultos.
Perguntas frequentes
Quanto custa o SPID para uma empresa?
No modo de autenticação, os primeiros 1,000 utilizadores únicos por ano, por fornecedor de identidade e por prestador de serviços, são gratuitos. Depois, o custo é de €0.40 por utilizador único nos níveis 1 e 2. O pedido de atributos adicionais custa €3.50 por utilizador. O nível 3 custa €7 por utilizador, exceto a autenticação para os primeiros 1,000. Os preços não incluem IVA.[6]
Que dados devolve o SPID?
Nome próprio, apelido, local e província de nascimento, data de nascimento, sexo, código fiscal e código SPID. Os dados de contacto, morada, documento e empresa só são devolvidos no modo de registo. Não há fotografia.[5]
O SPID cumpre o dever de diligência relativo aos clientes em matéria de AML em Itália?
Sim, no nível 2 ou superior. O artigo 19(1)(a)(2) do Decreto Legislativo 231/2007 trata uma identidade digital de nível pelo menos substancial no sistema SPID como identificação à distância.[8]
Que nível de garantia tem o SPID?
Os níveis 1, 2 e 3 do SPID correspondem aos níveis eIDAS reduzido, substancial e elevado. A Itália notificou o sistema à Comissão Europeia em 10 de setembro de 2018.[2]
Os menores podem usar o SPID?
Por predefinição, o SPID destina-se a adultos. Um progenitor com SPID de nível 2 pode pedir uma identidade para um menor ao abrigo da Determinação da AgID 133/2022.[7]
Os estrangeiros podem obter o SPID?
Apenas com documentos italianos: um documento de identificação italiano e o cartão de saúde ou o cartão do código fiscal.[7] Preveja uma via documental para clientes estrangeiros.
Posso utilizar o SPID para verificação de idade em sites para adultos em Itália?
Não, nos termos atuais. A Deliberação 96/25/CONS da AGCOM exige dupla anonimidade, e a AGCOM considerou que o SPID não é totalmente conforme, porque o pedido ao fornecedor de identidade contém o nome de domínio do site.[11]
Quanto tempo demora uma integração com o SPID?
A AgID não publica um prazo, à data de 5 de outubro de 2026. As etapas são a implementação das regras técnicas, a verificação e os testes dos metadados pela AgID e a assinatura da convenção.[4]
Como testo uma integração com o SPID?
Submete os metadados de fornecedor de serviços à AgID, que os verifica e testa antes da assinatura da convenção.[4] A página da AgID dedicada aos fornecedores não publica um calendário para esses testes.
O SPID será aceite ao abrigo do AMLR a partir de 2027?
Na nossa leitura, sim, nos níveis 2 ou 3: a partir de 10 de julho de 2027, o artigo 22(6)(b) aceita meios eIDAS de nível substancial ou elevado.[9]
Fontes
- SPID, AgID, atualizado a 13 de abril de 2026.
- Panorâmica dos regimes de eID pré-notificados e notificados ao abrigo do eIDAS, Comissão Europeia, atualizado a 2 de fevereiro de 2026.
- SPID, Convenzioni, AgID.
- Diventa fornitore di servizi, spid.gov.it.
- Tabella attributi SPID, versão 1.3, AgID, 24 de junho de 2022.
- Allegato 4, Corrispettivi (DT 166/2019), AgID.
- Identità digitale, FAQ, AgID.
- Decreto Legislativo 231/2007, artigo 19, Normattiva.
- Regulamento (UE) 2024/1624 (AMLR), artigos 22 e 90, EUR-Lex.
- Relatório final, projeto de RTS ao abrigo do artigo 28(1) do AMLR, AMLA, 30 de setembro de 2026.
- Delibera 96/25/CONS e Anexo A, AGCOM, 8 de abril de 2025.
- Tutela minori, age verification, AGCOM.
- Comunicazione 30 ottobre 2025, lista, versão 5, AGCOM, 29 de setembro de 2026.
- Federazione CIE, Manuale operativo, Ministério do Interior.
- IT-Wallet supera quota 10 milioni di attivazioni, Departamento para a Transformação Digital, 17 de fevereiro de 2026.
Compare o SPID com todas as outras eID nacionais na página de verificação de eID.
Verifique hoje utilizadores italianos
Comece pela leitura do chip, pela prova de vida e pela correspondência facial, e acrescente o SPID quando o seu volume o exigir.
Artigos relacionados
- Integração do Cl@ve em Espanha: quem se pode ligar e que alternativas usar
- Verificação PhilSys: como as empresas verificam o National ID
- Verificador OpenID4VP: aceitação da carteira de identidade digital europeia (EUDI Wallet)
- Regulamento eIDAS explicado: o que muda com o eIDAS 2 (2024/1183)
- API Smart-ID: guia para programadores da RP API v3
- Identidade digital nacional no mundo: modelos, líderes e normas