# \[LG-SPID-minori\] 7. Limitazione dell’accesso ai servizi in rete

**URL:** <https://forum.italia.it/t/lg-spid-minori-7-limitazione-dell-accesso-ai-servizi-in-rete/23778>\
**Category:** Linee guida SPID per i minori\
**Created:** [12 Maggio 2021, 3:07pm UTC](https://forum.italia.it/t/lg-spid-minori-7-limitazione-dell-accesso-ai-servizi-in-rete/23778 "2021-05-12T15:07:49Z")\
**Posts on this page:** 4\
**Page:** 1

<div class="post-metadata">

**Author:** ![docs-italia](https://forum.italia.it/user_avatar/forum.italia.it/docs-italia/32/709_2.png) [@docs-italia](https://forum.italia.it/u/docs-italia)\
**Post date:** [12 Maggio 2021, 3:07pm UTC](https://forum.italia.it/t/lg-spid-minori-7-limitazione-dell-accesso-ai-servizi-in-rete/23778/1 "2021-05-12T15:07:49Z")

</div>

Per impedire l’accesso a un servizio della società dell’informazione non destinato ai minori o non conforme all’età prevista, evitando che il SP riceva dati personali del minore, è necessario che la verifica sia effettuata dall’IdP e non dal SP.

[Continua a leggere su Docs Italia](https://docs.italia.it/agid/documenti-in-consultazione/lg-spid-minori-docs/it/bozza/limitazione-accesso-servizi-in-rete.html).

---

<div class="post-metadata">

**Author:** ![enricomv](https://forum.italia.it/letter_avatar_proxy/v4/letter/e/e274bd/32.png) [@enricomv](https://forum.italia.it/u/enricomv)\
**Post date:** [19 Maggio 2021, 2:02pm UTC](https://forum.italia.it/t/lg-spid-minori-7-limitazione-dell-accesso-ai-servizi-in-rete/23778/2 "2021-05-19T14:02:49Z")

</div>

Credo che, per evitare che un minore possa accedere ad un SP non adeguato alla sua età, sia indispensabile una configurazione di tipo “deny-all-but” ossia vietare tutto quanto non sia espressamente consentito.

Una tale configurazione permette anche di non dover modificare le attuai configurazioni degli SP SPiD in produzione, se questi non sono destinati ad un pubblico di minorenni.

Usando le estensioni SAML si potrebbe definire:

```
<samlp:Extensions>
    <spid:AgeLimit>
        <spid:UnderAge>Allow</spid:UnderAge>
    </spid:AgeLimit>
</samlp:Extensions>

```

Ed eventualmente con indicazione di range di età

```
<samlp:Extensions>
    <spid:AgeLimit>
        <spid:UnderAge>Allow</spid:UnderAge>
        <spid:MinAge>14</spid:MinAge>
        <spid:MaxAge>17</spid:MaxAge>         
    </spid:AgeLimit>
</samlp:Extensions>
```

---

<div class="post-metadata">

**Author:** ![MR2019](https://forum.italia.it/letter_avatar_proxy/v4/letter/m/e56c9b/32.png) [@MR2019](https://forum.italia.it/u/MR2019)\
**Post date:** [14 Giugno 2021, 11:58am UTC](https://forum.italia.it/t/lg-spid-minori-7-limitazione-dell-accesso-ai-servizi-in-rete/23778/3 "2021-06-14T11:58:53Z")

</div>

**Modalità di verifica delle limitazioni dell’accesso ai servizi in rete**

Le Linee Guida prevedono che “_Per impedire l’accesso a un servizio della società dell’informazione non destinato ai minori o non conforme all’età prevista, evitando che il SP riceva dati personali del minore, è necessario che la verifica sia effettuata dall’IdP e non dal SP_.” Il controllo richiesto prevede l’esecuzione di “calcoli sugli attributi” associati all’identità digitale e non attraverso la messa a disposizione degli attributi stessi nella loro forma nativa. In alternativa, il SP potrebbe richiedere la verifica nella forma “nato non dopo una certa data” in modo da assicurare una età minima del soggetto che accede e rendere verificabili a posteriori request/asserzioni in modalità auto-consistente, senza la necessità di applicare logiche/calcoli applicativi non direttamente derivanti dall’attributo presente sull’identità digitale.

---

<div class="post-metadata">

**Author:** ![Alex\_Capo](https://forum.italia.it/user_avatar/forum.italia.it/alex_capo/32/3133_2.png) [@Alex\_Capo](https://forum.italia.it/u/Alex_Capo)\
**Post date:** [14 Giugno 2021, 12:56pm UTC](https://forum.italia.it/t/lg-spid-minori-7-limitazione-dell-accesso-ai-servizi-in-rete/23778/4 "2021-06-14T12:56:22Z")

</div>

E’ necessario che il SP passi all’IdP le informazioni relative all’“AgeLimit” per consentire o meno l’accesso. Quando non viene comunicato questo attributo, l’IdP deve considerare l’authRequest come non correttamente formata e quindi inibire l’accesso ai minorenni allo specifico servizio?