# SPID e Shibboleth

**URL:** <https://forum.italia.it/t/spid-e-shibboleth/15203>\
**Category:** SPID\
**Created:** [19 Giugno 2020, 6:27am UTC](https://forum.italia.it/t/spid-e-shibboleth/15203 "2020-06-19T06:27:51Z")\
**Posts on this page:** 3\
**Page:** 1

<div class="post-metadata">

**Author:** ![r.beretta](https://forum.italia.it/letter_avatar_proxy/v4/letter/r/94ad74/32.png) [@r.beretta](https://forum.italia.it/u/r.beretta)\
**Post date:** [19 Giugno 2020, 6:27am UTC](https://forum.italia.it/t/spid-e-shibboleth/15203/1 "2020-06-19T06:27:51Z")

</div>

Buongiorno,  
qualcuno ha implementato l’accesso a SPID con Shibboleth che, di fatto, è uno standard in ambito SAML?  
Noi, anche sulla base di diverse discussioni presenti su questo Forum (es. [https://forum.italia.it/t/shibboleth-service-provider-e-spid/117](https://forum.italia.it/t/shibboleth-service-provider-e-spid/117)) e su progetti presenti su GitHub Italia, alcuni targati Team Digitale come questo [https://github.com/italia/spid-sp-shibboleth](https://github.com/italia/spid-sp-shibboleth) abbiamo realizzato una soluzione basata su tale framework. Soluzione attiva e funzionante da un paio di anni.

Adesso, effettuando delle validazioni, ci siamo accorti che alcuni controlli non passano.  
In particolare sono i controlli che verificano l’attributo **InResponseTo** della risposta SAML.  
Abbiamo quindi scoperto che Shibboleth non gestisce tale attributo e quindi non sarebbe compatibile con SPID.

Dato che non penso di essere l’unico ad avere usato Shibboleth, volevo chidervi se avete riscontrato anche voi tale problema e come l’avete risolto.

Grazie  
Ruggero

---

<div class="post-metadata">

**Author:** ![marangiom](https://forum.italia.it/letter_avatar_proxy/v4/letter/m/97f17d/32.png) [@marangiom](https://forum.italia.it/u/marangiom)\
**Post date:** [22 Giugno 2020, 8:17am UTC](https://forum.italia.it/t/spid-e-shibboleth/15203/2 "2020-06-22T08:17:20Z")

</div>

Ciao  
è un problema noto

> [@Errore Shibboleth - InResponseTo](https://forum.italia.it/t/errore-shibboleth-inresponseto/10761):
>
> Salve a tutti, ho configurato un SP utilizzando Shibbolet 3.0.4. Sto affrontando un comportamento davvero strano all’interno di una shibboleth security policy: Bearer policy control. Secondo la documentazione, si suppone che esegua 4 diversi controlli durante la convalida di una SAML Response. Tra questi, il controllo oggetto del problema è checkCorrelation. Non funziona; Dovrebbe funzionare per impostazione predefinita ed è abilitato per impostazione predefinita, ma non riesco a farlo funzi…

si risolve ignorando felicemente la questione come tutti quelli che hanno implementato SPID con shibboleth 😃  
ciao  
M

---

<div class="post-metadata">

**Author:** ![r.beretta](https://forum.italia.it/letter_avatar_proxy/v4/letter/r/94ad74/32.png) [@r.beretta](https://forum.italia.it/u/r.beretta)\
**Post date:** [22 Giugno 2020, 4:01pm UTC](https://forum.italia.it/t/spid-e-shibboleth/15203/3 "2020-06-22T16:01:44Z")

</div>

Ciao,  
non so se sentirmi sollevato o meno…  
La mia paura è che, comuqnue, la soluzione non è strettamente compliant alle specifiche. Quindi, se adesso Agid applica in maniera più rigorosa i controlli, potrebbe essere che la soluzione non venga più qualificata. Mi chiedo anche cosa succede alle implementazioni già in produzione…

Forse l’unica che potrebbe\dovrebbe esprimersi in merito è Agid stessa.

Grazie mille  
Saluti