Firma digitale con SPID: cos'è e quando funziona davvero

Una firma prevista dalla legge dal 2020

Il 23 marzo 2020 AgID emana la Determinazione n. 157/2020, che istituisce la firma con SPID sulla base dell’articolo 20 del Codice dell’amministrazione digitale (CAD): una norma giuridica che regola la sottoscrizione elettronica di atti e contratti tramite l’identità digitale SPID. Un documento firmato così ha lo stesso valore giuridico della firma autografa: soddisfa il requisito della forma scritta e produce gli effetti dell’articolo 2702 del codice civile, la norma che regola l’efficacia probatoria della scrittura privata. Lo scopo dichiarato da AgID era favorire il completamento della digitalizzazione dei documenti, offrendo ai cittadini uno strumento in più oltre alla firma digitale qualificata già esistente.

L’adesione, però, resta volontaria: i gestori di identità digitale non sono obbligati ad attivare il servizio di firma. È un dettaglio che spiega molto di quello che succede dopo.

Come funziona il meccanismo tecnico

Il flusso tecnico è preciso. Un «Erogatore del servizio» — nel gergo delle linee guida, il sito o l’app di un ente o di un’azienda, lo stesso tipo di attore che intercetta la tua richiesta quando navighi online, secondo il percorso descritto in Come funziona Internet — mostra un pulsante «Firma con SPID». L’utente sceglie tra gli Identity Provider, cioè i gestori SPID, quello che offre il servizio di firma. Il documento da firmare deve rispettare requisiti precisi: formato PDF/A-2a, non protetto da password, non cifrato e modificabile solo per l’apposizione della firma in formato PAdES.

La garanzia di autenticità non passa per un registro pubblico distribuito, come accade nella blockchain: qui la fiducia è affidata a due soggetti verificati, che devono entrambi dotarsi di sigilli elettronici qualificati conformi alle raccomandazioni AgID e al regolamento eIDAS. Il documento firmato deve garantire «sicurezza, integrità e immodificabilità» e la sua riconducibilità inequivocabile all’autore.

Firma elettronica avanzata o qualificata: non sono la stessa cosa

Il regolamento europeo eIDAS, del 2014, distingue tre livelli di firma elettronica. La firma elettronica semplice è la più debole: dati elettronici usati dal firmatario per firmare, senza requisiti aggiuntivi. La Firma Elettronica Avanzata (FEA) deve soddisfare quattro condizioni dell’articolo 26: essere connessa unicamente al firmatario, idonea a identificarlo, creata con dati che il firmatario controlla in modo esclusivo e collegata al documento in modo da rilevare ogni modifica successiva. La firma con SPID, secondo le linee guida AgID, rientra in questa categoria.

La Firma Elettronica Qualificata (FEQ) — quella che la maggior parte delle persone chiama semplicemente «firma digitale» — è un gradino sopra: una FEA creata con un dispositivo di firma qualificato e basata su un certificato qualificato. Sono due requisiti tecnici in più, che comportano anche un processo di attivazione diverso.

Chi offre davvero la firma con SPID

Tra i gestori SPID elencati dal sito ufficiale spid.gov.it — tra gli altri TIM id, Poste ID, InfoCert ID, Aruba, Sielte id e Lepida — è Lepida quello che documenta più chiaramente il servizio di firma ex art. 20 CAD. La sua pagina ufficiale è però esplicita su un punto: «il servizio non è contrattualizzabile da singoli utenti privati». I destinatari sono enti soci di Lepida ed enti terzi che sottoscrivono un contratto specifico, con tariffe pensate per organizzazioni — 2 euro più IVA l’anno per dipendente abilitato per gli enti soci, 8 euro più IVA per gli enti terzi con un minimo di 50 utenti — non per il cittadino che vuole firmare da solo un documento personale.

Esempio pratico: immagina un Comune che vuole far firmare online il modulo di iscrizione a un servizio comunale. Se il Comune si è convenzionato con Lepida, può mostrare ai cittadini il pulsante «Firma con SPID» previsto dalle linee guida: chi ha già SPID firma il modulo senza costi aggiuntivi e senza attivare nient’altro. Se invece un privato cittadino vuole firmare da solo un contratto personale — per esempio un accordo di lavoro autonomo — quella stessa strada, con quel meccanismo preciso, nel 2026 non è a sua disposizione: dovrà rivolgersi a un servizio come quello di InfoCert, che è un’altra cosa.

Cosa vendono InfoCert, Poste e gli altri gestori

Cercando online «firma digitale con SPID» si trovano soprattutto pagine come quella di InfoCert, intitolata «Firma Digitale con SPID Online». Il prodotto descritto, però, non è la firma con SPID delle linee guida AgID: SPID viene usato come metodo di autenticazione per applicare una firma digitale qualificata — o, in alternativa nello stesso flusso, una firma avanzata — a un documento. Nessuna attivazione separata è richiesta oltre al possesso di uno SPID valido, ma il servizio si paga: un pacchetto di tre firme, valido un anno, costava 19,90 euro più IVA, con una marca temporale che rende la firma valida per vent’anni.

La pagina ufficiale di PosteID racconta un percorso diverso, e quasi opposto: descrive come usare una firma digitale già attiva da più di 180 giorni per ottenere le credenziali SPID, non come usare SPID per firmare un documento. È un promemoria utile: molti dei servizi che compaiono cercando «SPID» e «firma digitale» insieme collegano i due strumenti in un modo che non è quello previsto dall’articolo 20 del CAD.

Quanto costa, quindi

La risposta cambia a seconda di chi la pone. Per un ente che integra il servizio ex art. 20 CAD tramite Lepida, la firma con SPID ha un costo contenuto e prevedibile, pensato per l’organizzazione, non per il singolo firmatario. Per il cittadino privato che nel 2026 cerca un modo per firmare un proprio documento, la strada più comune passa da un prodotto come quello di InfoCert: SPID come chiave d’accesso, e una firma digitale qualificata o avanzata acquistata a parte. Sapere quale delle due cose si sta cercando — e quale si sta effettivamente comprando — evita di pagare per un servizio credendo che sia gratuito, o di aspettarsi gratis un prodotto che, nella pratica del 2026, i gestori riservano alle organizzazioni.