Hai digitato username e password con attenzione, il gestore non segnala password errata, eppure la procedura si interrompe con un errore generico o ti rimanda alla schermata di partenza.
Quando le credenziali SPID sono corrette ma l’accesso viene negato, il blocco dipende quasi sempre dal secondo fattore di autenticazione (OTP disallineato o notifica push fallita), da una sessione browser corrotta (cookie e cache), dal profilo sospeso per documento scaduto o mancato aggiornamento contrattuale, oppure da un disservizio temporaneo del protocollo SAML tra il portale d’accesso e l’Identity Provider.
Il secondo livello non risponde: token fuori sincrono e notifiche perse
Il primo livello di sicurezza valida chi sei, ma l’autenticazione SPID di Livello 2 si completa solo confermando l’accesso tramite app o codice monouso. Se l’interfaccia accetta la password e poi si blocca, l’intoppo risiede quasi sempre in questo passaggio.
Un intoppo frequente riguarda l’orario del telefono. I generatori software di codici OTP (Time-based One-Time Password) calcolano la stringa numerica basandosi sull’orario esatto del dispositivo con finestre di validità di 30 o 60 secondi. Se l’orologio dello smartphone differisce anche solo di un minuto dai server NTP ufficiali, il codice generato risulterà matematicamente non valido. Nelle impostazioni di sistema di iOS o Android la sincronizzazione automatica della data e dell’ora deve rimanere sempre attiva.
Nel caso delle notifiche push su smartphone, i sistemi operativi tendono a ibernare i processi in background per risparmiare batteria. Se l’app del gestore d’identità (come PosteID, Aruba OTP o Namirial OTP) non compare tra quelle escluse dalle restrizioni energetiche, la richiesta di autorizzazione non arriva a schermo. Quando la notifica non compare, è sufficiente aprire direttamente l’app e verificare se la richiesta pendente compare nella schermata principale.
Documento scaduto, anagrafica disallineata e sospensioni contrattuali
L’identità digitale ha una validità subordinata al documento di riconoscimento associato durante l’attivazione. Quando la carta d’identità o il passaporto registrati superano la data di scadenza, il comportamento della piattaforma varia a seconda dell’Identity Provider:
- Alcuni gestori permettono l’accesso all’area personale per consentire il caricamento del documento rinnovato, ma bloccano l’autenticazione verso terze parti (INPS, Agenzia delle Entrate, Fascicolo Sanitario).
- Altri provider revocano o sospendono l’identità fino a verifica completata, mostrando un blocco d’accesso aspecifico sui portali esterni.
La sospensione del servizio può derivare anche da mancate accettazioni di rinnovi contrattuali o modifiche unilaterali delle condizioni d’uso. Un controllo rapido consiste nell’eseguire il login direttamente sul portale di gestione del proprio provider (es. posteid.poste.it, id.aruba.it, infocert.it): se l’accesso lì funziona, il profilo segnalerà immediatamente l’eventuale richiesta di aggiornamento documenti o consensi pendenti.
Errori tecnici di sessione: protocollo SAML, cookie e browser
La comunicazione tra il sito della Pubblica Amministrazione (Service Provider) e il gestore dell’identità (Identity Provider) avviene tramite lo standard SAML2. Durante il passaggio, il browser scambia metadati crittografati e token di reindirizzamento.
Se la cache o i cookie contengono dati di una sessione precedente rimasta aperta o chiusa in modo anomalo, il flusso si spezza. L’utente visualizza schermate bianche, pagine con errore “400 Bad Request” o loop continui di redirect.
I passaggi per escludere problemi locali sono lineari:
- Apri una finestra di navigazione in incognito sul browser ed esegui nuovamente il login.
- Disattiva temporaneamente estensioni di tipo AdBlocker o componenti per la privacy che intercettano i redirect tra domini diversi.
- Se l’errore persiste, prova un browser differente o connettiti da una rete alternativa (passando ad esempio dal Wi-Fi aziendale o domestico alla connessione dati mobile), poiché alcuni firewall o proxy aziendali filtrano i pacchetti di autenticazione federata.
Quando il problema è del gestore o del portale di destinazione
Non sempre l’origine del problema è riconducibile al dispositivo dell’utente. I nodi della federazione SPID subiscono manutenzioni programmate o picchi improvvisi di traffico, tipici durante scadenze fiscali o click day per bonus statali.
Se il problema dipende dall’Identity Provider, le pagine di login dei singoli gestori riportano spesso avvisi specifici. Per monitorare lo stato delle connessioni di rete e i picchi di segnalazione in tempo reale, piattaforme di monitoraggio aggregato come Downdetector mostrano se le difficoltà su specifici provider (come Poste Italiane o TIM) sono diffuse a livello nazionale.
Domande Frequenti
Perché ricevo l’errore “Credenziali bloccate” se la password era giusta?
I sistemi di sicurezza bloccano temporaneamente l’account per tentativi falliti dopo 3-5 inserimenti non riusciti dell’OTP o della password. Il blocco dura generalmente tra 15 minuti e 2 ore. Trascorsa l’attesa, potrai riprovare senza dover necessariamente reimpostare le chiavi d’accesso.
Come sblocco lo SPID se l’app del provider non si apre più?
Riavvia il dispositivo e verifica la presenza di aggiornamenti dell’app negli store ufficiali. Se l’app va in crash continuo, è preferibile disinstallarla e ripetere l’associazione del dispositivo accedendo al pannello web del gestore tramite codice SMS temporaneo o credenziali di emergenza.
Cosa significa l’errore “Autenticazione fallita: codice 19” o simili?
I codici numerici d’errore (definiti dalle regole tecniche AgID) indicano spesso un’anomalia di colloquio tra il sito su cui vuoi entrare e il provider. Nello specifico, errori su base 19 o 20 segnalano discrepanze nei parametri di sicurezza della richiesta o sessioni scadute per superamento dei tempi massimi.
Posso accedere con SPID se ho cambiato numero di telefono senza aggiornarlo?
No. Se il secondo fattore di autenticazione richiede un codice SMS o l’approvazione via notifica collegata a un numero non più attivo, non potrai completare l’accesso. L’aggiornamento del recapito telefonico va eseguito nell’area riservata del provider o tramite procedura di recupero con identificazione de visu o firma digitale.
Prima di reimpostare la password o contattare l’assistenza clienti del gestore, attendi sempre una decina di minuti: nella maggior parte dei casi i blocchi fantasma sono semplici disallineamenti di sessione temporanei che si azzerano chiudendo tutte le schede del browser.
Fonti ufficiali e strumenti di verifica:
- Agenzia per l’Italia Digitale (AgID) – Regole tecniche SPID: agid.gov.it
- Portale ufficiale SPID: spid.gov.it
Giornalista e analista, scrive di economia italiana, innovazione e imprese. Appassionato di tecnologia e finanza, racconta il presente e il futuro delle aziende che fanno muovere il Paese.
