# 5 Dubbi sull'implementazione di OpenID Connect SPID e CIE per un Aggregatore Full **URL:** \ **Category:** SPID\ **Created:** [20 Gennaio 2025, 10:31am UTC](https://forum.italia.it/t/5-dubbi-sullimplementazione-di-openid-connect-spid-e-cie-per-un-aggregatore-full/43619 "2025-01-20T10:31:38Z")\ **Posts on this page:** 6\ **Page:** 1
**Author:** ![AMGefil-strapgef](https://forum.italia.it/user_avatar/forum.italia.it/amgefil-strapgef/32/14560_2.png) [@AMGefil-strapgef](https://forum.italia.it/u/AMGefil-strapgef)\ **Post date:** [20 Gennaio 2025, 10:31am UTC](https://forum.italia.it/t/5-dubbi-sullimplementazione-di-openid-connect-spid-e-cie-per-un-aggregatore-full/43619/1 "2025-01-20T10:31:38Z")
Buongiorno, stiamo lavorando all’implementazione di SPID e CIE basati su OpenID Connect per un aggregatore full , che funge da Relying Party (RP). Abbiamo riscontrato alcuni dubbi specifici relativi alla configurazione e alla migrazione al nuovo protocollo, e vorremmo il vostro supporto per chiarirli. Di seguito i quesiti organizzati per tema: ### **1. Well-Known Configuration o Well-Known Federation?** - Essendo Gefil un aggregatore full che opera come Relying Party (RP), dobbiamo utilizzare il file `.well-known/openid-configuration` o `.well-known/openid-federation` per la configurazione? - In quali casi è obbligatorio o consigliato l’uso della Federation rispetto alla configurazione tradizionale? - Esistono linee guida specifiche per gli aggregatori full nella gestione di SPID OpenID Connect? ### **2. Data Limite per la Migrazione a OpenID Connect** - La migrazione a SPID e CIE basati su OpenID Connect è obbligatoria? - Se sì, qual è la **data limite** fissata per completare questa migrazione? - Come possiamo gestire i Comuni che utilizzano ancora versioni precedenti del protocollo? ### **3. Supporto per OpenID Connect SPID e Stato dell’Arte** - Esiste un **canale ufficiale di supporto** (forum, mailing list o helpdesk) per implementare OpenID Connect SPID e CIE? - Gli Identity Provider (IdP) hanno già adottato completamente OpenID Connect? Ci sono differenze tra di loro nel supporto a questo protocollo? - Dove possiamo trovare un elenco ufficiale e aggiornato degli `.well-known/openid-configuration` per tutti gli IdP SPID? * * * ### **4. Registrazione del Client con gli IdP** - Per registrare il client, è obbligatorio utilizzare la modalità automatica? - Quali sono i passaggi corretti per completare una registrazione automatica senza errori? - Esistono casi in cui è permessa una registrazione manuale del client? ### **5. Gestione dei Token JWT** - Quali sono le best practice per la validazione dei token JWT emessi dagli Identity Provider SPID? - Come gestire in modo sicuro la scadenza e il rinnovo dei token JWT durante le sessioni? **Conclusione:** Vi ringraziamo in anticipo per il supporto e per ogni indicazione utile. Nel caso sia preferibile aprire un post separato per ciascun dubbio, fatecelo sapere, e procederemo a suddividerli. Grazie ancora per la disponibilità! **Mario Abbruscato** ---
**Author:** ![AGS](https://forum.italia.it/user_avatar/forum.italia.it/ags/32/835_2.png) [@AGS](https://forum.italia.it/u/AGS)\ **Post date:** [20 Gennaio 2025, 1:20pm UTC](https://forum.italia.it/t/5-dubbi-sullimplementazione-di-openid-connect-spid-e-cie-per-un-aggregatore-full/43619/2 "2025-01-20T13:20:20Z")
Rispondo ai punti 2, 3 e 4 1. Per SPID non è operativa la federazione basata su OpenID Connect (OIDC). Quindi non solo non è obbligatoria, al momento non è proprio possibile eseguire una affiliazione utilizzando questo protocollo. Per CIE la federazione OIDC è operativa, ma, sebbene consigliata, al momento non mi risultano obbligatorietà. 2. Non esiste un canale di supporto ufficiale, ma si possono ottenre informazioni da altri sviluppatori tramite questo forum, oppure tramite il [canale Slack di Developers Italia](https://developersitalia.slack.com/). Per le altre domande vedi il punto precedente. 3. Per CIE vale quanto definito nel [Sito CIE](https://www.cartaidentita.interno.gov.it/pa-e-imprese/come-attivare-entra-con-cie/) e nei documenti linkati nella pagina. Per SPID vale quanto detto al punto 2. ---
**Author:** ![damikael](https://forum.italia.it/user_avatar/forum.italia.it/damikael/32/15758_2.png) [@damikael](https://forum.italia.it/u/damikael)\ **Post date:** [21 Gennaio 2025, 8:36am UTC](https://forum.italia.it/t/5-dubbi-sullimplementazione-di-openid-connect-spid-e-cie-per-un-aggregatore-full/43619/3 "2025-01-21T08:36:04Z")
Buongiorno @AMGefil-strapgef , confermo quanto già indicato da @AGS, invece per quanto riguarda gli altri punti: 1 - occorre utilizzare .well-known/openid-federation 5 - - Per la validazione delle response e dei token ottenuti dai provider occorre fare riferimento alle [regole tecniche](https://docs.italia.it/italia/spid/spid-cie-oidc-docs/it/versione-corrente/index.html) . - Riguardo alla scadenza e il rinnovo dei token, in particolare, è utile considerare quanto indicato in [Buone Pratiche - Modalità di aggiornamento dei metadata OpenID Core](https://docs.italia.it/italia/spid/spid-cie-oidc-docs/it/versione-corrente/seccons_bcps.html#buone-pratiche). Per verificare la propria implementazione, inoltre, è possibile utilizzare il [Validatore OIDC per RP](https://github.com/AgID/spid-oidc-check-rp). > **[Michele D'Amico @damikael](https://www.micheledamico.it)** > > Michele D'Amico @damikael - Software Engineer, Full Stack Web Developer, DevOps, ICT Consultant ---
**Author:** ![Salvatore\_Madonia](https://forum.italia.it/user_avatar/forum.italia.it/salvatore_madonia/32/14593_2.png) [@Salvatore\_Madonia](https://forum.italia.it/u/Salvatore_Madonia)\ **Post date:** [17 Febbraio 2025, 9:47am UTC](https://forum.italia.it/t/5-dubbi-sullimplementazione-di-openid-connect-spid-e-cie-per-un-aggregatore-full/43619/4 "2025-02-17T09:47:36Z")
Buongiorno, sono interessato anche io alla possibilità di creare un RP che possa usare sia SPID che CIE ma mi sembra di capire che con protocollo OIDC al momento non sia possibile ? o sono in errore ? Come da indicazioni fornite in risposta all’utente precedente ho provato il tool per la validazione OIDC per RP, ma non funziona; il container viene buildato regolarmente ma quando mi collego non viene visualizzato nulla. Grazie per la disponibilità, Salvatore Madonia. ---
**Author:** ![AGS](https://forum.italia.it/user_avatar/forum.italia.it/ags/32/835_2.png) [@AGS](https://forum.italia.it/u/AGS)\ **Post date:** [17 Febbraio 2025, 1:39pm UTC](https://forum.italia.it/t/5-dubbi-sullimplementazione-di-openid-connect-spid-e-cie-per-un-aggregatore-full/43619/5 "2025-02-17T13:39:48Z")
> [@Salvatore\_Madonia](#): > > Buongiorno, sono interessato anche io alla possibilità di creare un RP che possa usare sia SPID che CIE ma mi sembra di capire che con protocollo OIDC al momento non sia possibile ? o sono in errore ? Con CIE è possibile usare OIDC, con SPID no. ---
**Author:** ![ferrerogg](https://forum.italia.it/letter_avatar_proxy/v4/letter/f/b38774/32.png) [@ferrerogg](https://forum.italia.it/u/ferrerogg)\ **Post date:** [14 Aprile 2025, 9:09am UTC](https://forum.italia.it/t/5-dubbi-sullimplementazione-di-openid-connect-spid-e-cie-per-un-aggregatore-full/43619/6 "2025-04-14T09:09:20Z")
Buongiorno, ci sono novità sulla federazione OIDC per quanto riguarda SPID? La mia azienda ha richiesto ad Agid lo stato di implementazione dei vari IdP/OP SPID e la risposta è stata che tutti implementerebbero il protocollo OIDC, ma nella risposta non ho letto esplicitamente che anche la federazione è attiva (magari è sottinteso, o magari ci sono ancora dei tempi tecnici di mezzo). Per quanto riguarda CIE invece la federazione sarebbe attiva, è corretto?