Se un portale ti chiede SPID livello 2 o SPID livello 3, non significa necessariamente che devi creare una nuova identità digitale. I livelli indicano semplicemente quanto deve essere forte il sistema di autenticazione utilizzato per accedere a quel determinato servizio.
Nella pratica, lo SPID di livello 2 è quello utilizzato più comunemente: oltre a username e password richiede una seconda verifica, per esempio un codice temporaneo OTP oppure l’autorizzazione tramite l’app del proprio gestore SPID. Il livello 3 aggiunge invece ulteriori misure di sicurezza e può prevedere strumenti specifici messi a disposizione dall’Identity Provider, compresi dispositivi fisici. La distinzione ufficiale tra i tre livelli è indicata dal portale SPID.
La cosa più importante da sapere è un’altra: non sei normalmente tu a decidere quale livello utilizzare. È il servizio online al quale stai tentando di accedere a stabilire il livello SPID richiesto.
Cosa significa SPID livello 2
SPID prevede livelli di sicurezza crescenti.
Il livello 1 utilizza semplicemente username e password. Il livello 2, invece, aggiunge un secondo elemento di autenticazione: può essere, per esempio, un codice OTP oppure una verifica effettuata attraverso l’app del gestore SPID installata sullo smartphone.
È quindi una forma di autenticazione più sicura rispetto alla semplice password.
Per capire la differenza in modo pratico, possiamo immaginare una porta con due serrature:
SPID livello 1:
username + password.
SPID livello 2:
username + password + una seconda conferma dell’accesso.
A seconda del gestore utilizzato, questa seconda verifica può avvenire con modalità differenti. Per questo è meglio seguire sempre le indicazioni visualizzate dal proprio Identity Provider anziché cercare un pulsante o un menu identico per tutti.
Cosa significa SPID livello 3
Lo SPID livello 3 rappresenta un livello di sicurezza superiore.
Secondo la descrizione ufficiale del sistema SPID, prevede le credenziali SPID insieme a ulteriori soluzioni di sicurezza e può richiedere anche dispositivi fisici, come una smart card, forniti o supportati dal gestore dell’identità digitale.
Non bisogna quindi confondere il livello 3 con un semplice OTP aggiuntivo.
Il secondo fattore utilizzato normalmente per il livello 2 e gli strumenti previsti per il livello 3 rispondono a requisiti di sicurezza differenti.
Ed è proprio per questo motivo che il livello 3 non viene richiesto indiscriminatamente per qualsiasi operazione online.
SPID livello 2 e livello 3: qual è la differenza pratica?
La differenza fondamentale riguarda il livello di affidabilità richiesto durante l’autenticazione.
Con SPID livello 2, dopo aver inserito le proprie credenziali viene richiesta una seconda conferma. È il meccanismo con cui molti utenti hanno già familiarità quando autorizzano un accesso tramite app oppure utilizzano un codice temporaneo.
Il livello 3 richiede invece strumenti di autenticazione con caratteristiche di sicurezza più elevate.
C’è però un dettaglio fondamentale: non tutti i gestori SPID offrono necessariamente le stesse modalità e gli stessi livelli. Il sito ufficiale SPID mette infatti a disposizione una comparazione degli Identity Provider indicando, tra le varie caratteristiche, anche i livelli di sicurezza supportati.
Se quindi un servizio richiede espressamente il livello 3, la prima verifica da fare riguarda proprio il proprio gestore.
Quando serve SPID livello 2
Il livello 2 viene utilizzato quando il servizio richiede una sicurezza maggiore rispetto alla sola combinazione username-password.
In termini pratici, quando durante l’accesso compare la richiesta di una seconda verifica tramite OTP o app del gestore, si sta utilizzando un meccanismo riconducibile al livello 2 SPID.
Non è quindi necessario attivare ogni volta qualcosa di nuovo.
Se utilizzi già abitualmente SPID e autorizzi gli accessi con l’app del tuo provider oppure con un codice temporaneo, è molto probabile che tu abbia già utilizzato SPID livello 2.
Quando serve SPID livello 3
Il livello 3 serve quando il fornitore del servizio richiede espressamente quel livello di sicurezza.
Non è corretto quindi pensare che sia un aggiornamento obbligatorio dello SPID o una nuova versione che tutti devono attivare.
Il principio è molto più semplice: ogni servizio può richiedere un determinato livello di autenticazione e l’utente deve disporre di credenziali e strumenti compatibili con quel livello. Il portale ufficiale SPID specifica infatti che ogni servizio richiede un determinato livello di sicurezza.
Se il portale che stai utilizzando accetta il livello 2, avere anche il livello 3 non offre normalmente un vantaggio pratico per quell’accesso.
Come risolvere se il servizio richiede un livello SPID diverso
Se sei davanti a una scadenza e il portale rifiuta l’accesso, evita di modificare subito password, reinstallare applicazioni o richiedere un nuovo SPID. Prima conviene capire qual è esattamente il livello richiesto.
1. Controlla il messaggio mostrato dal servizio
Verifica se il portale indica esplicitamente:
- SPID livello 2;
- SPID livello 3;
- oppure semplicemente un errore di autenticazione.
Un errore generico non significa automaticamente che il problema sia il livello dello SPID.
2. Verifica cosa supporta il tuo gestore SPID
Accedi alle informazioni ufficiali del tuo Identity Provider e controlla quali livelli di sicurezza mette a disposizione.
Sul sito SPID è disponibile anche una pagina ufficiale per confrontare i gestori in base, tra le altre caratteristiche, ai livelli di sicurezza supportati.
3. Se viene richiesto il livello 2, controlla il secondo fattore
Se il servizio richiede SPID livello 2 ma l’accesso non va a buon fine, il problema potrebbe riguardare la seconda verifica.
Per esempio:
- mancata ricezione o scadenza dell’OTP;
- autorizzazione non completata nell’app del gestore;
- dispositivo non più associato correttamente;
- credenziali SPID bloccate o non utilizzabili.
Le modalità esatte dipendono dal gestore, quindi è preferibile seguire le istruzioni ufficiali dell’Identity Provider senza affidarsi a percorsi di menu trovati in vecchie guide online.
4. Se viene richiesto il livello 3, verifica che sia disponibile
Se il servizio specifica chiaramente che occorre SPID livello 3, controlla che il tuo gestore supporti quel livello e quali strumenti richieda per utilizzarlo.
Non bisogna presumere che il livello 3 sia già attivo solo perché si possiede uno SPID funzionante di livello 2.
5. Controlla anche le alternative previste dal portale
Alcuni servizi pubblici possono prevedere più sistemi di identificazione digitale. Se nella pagina di accesso sono presenti alternative come CIE o CNS, verifica direttamente sul portale ufficiale se possono essere utilizzate per la pratica che devi effettuare.
Le modalità disponibili cambiano da servizio a servizio.
Domande frequenti
SPID livello 2 è quello che uso normalmente?
Molto spesso sì. Se per accedere inserisci le credenziali SPID e poi confermi tramite app oppure attraverso un codice OTP, stai utilizzando il meccanismo previsto per il livello 2.
Posso scegliere io SPID livello 2 o livello 3?
Il livello necessario viene stabilito dal servizio al quale vuoi accedere. Il sito ufficiale SPID specifica che ogni servizio richiede un determinato livello di sicurezza.
Se ho SPID livello 2 devo creare un nuovo SPID per il livello 3?
Non necessariamente. Devi verificare se il tuo attuale gestore mette a disposizione il livello 3 e quali strumenti richiede per utilizzarlo. Se non lo supporta, occorre valutare le opzioni disponibili tra gli Identity Provider.
SPID livello 3 significa semplicemente usare due OTP?
No. Il livello 3 prevede ulteriori soluzioni di sicurezza rispetto al normale sistema utilizzato per il livello 2 e può comprendere anche dispositivi fisici specifici.
In breve
La distinzione da ricordare è semplice: SPID livello 2 utilizza una seconda verifica oltre alle credenziali, mentre SPID livello 3 prevede misure di autenticazione ancora più robuste.
Soprattutto, il livello non va scelto a caso: è il servizio online a stabilire quale sicurezza richiedere.
Se un accesso importante continua a non funzionare, soprattutto in prossimità di una scadenza, conviene verificare sia le indicazioni aggiornate del portale che stai utilizzando sia quelle del proprio gestore SPID. Le procedure e gli strumenti di autenticazione possono infatti essere aggiornati nel tempo.
Giornalista e analista, scrive di economia italiana, innovazione e imprese. Appassionato di tecnologia e finanza, racconta il presente e il futuro delle aziende che fanno muovere il Paese.
