Nel panorama tecnologico del 2026, l’IT Wallet rappresenta il fulcro dell’identità digitale italiana ed europea. Per gli architetti software e gli sviluppatori, comprendere le fondamenta di questo sistema è essenziale per garantire l’interoperabilità dei servizi. Questa guida tecnica analizza in profondità i protocolli, gli standard e le logiche di integrazione che governano il nuovo ecosistema basato sul regolamento eIDAS 2.0, superando i concetti tradizionali legati esclusivamente a SPID e CIE.

Evoluzione dell’Identità Digitale Europea

L’evoluzione dell’identità digitale europea culmina nell’architettura IT Wallet, un sistema basato sul regolamento eIDAS 2.0. Questo framework supera i vecchi modelli federati di SPID e CIE, introducendo un paradigma decentralizzato basato su Verifiable Credentials per garantire maggiore privacy e interoperabilità transfrontaliera.

Secondo la documentazione ufficiale dell’Architecture and Reference Framework (ARF) dell’Unione Europea, il passaggio fondamentale è la transizione da un modello di autenticazione centralizzato (Identity Provider che autentica l’utente verso il Service Provider) a un modello user-centric. In questo nuovo scenario, lo smartphone dell’utente diventa un vero e proprio portafoglio crittografico (EUDI Wallet) che conserva attestazioni elettroniche verificabili in modalità offline e online.

Prerequisiti e Standard Tecnologici

Per comprendere a fondo l’architettura IT Wallet, i tecnici devono padroneggiare standard specifici definiti dall’Unione Europea. I prerequisiti includono la conoscenza di OpenID Connect for Verifiable Credentials (OIDC4VC), formati di crittografia a chiave pubblica e il protocollo ISO 18013-5 per i documenti mobili.

L’infrastruttura si basa su una serie di protocolli rigorosi che garantiscono la sicurezza e l’interoperabilità a livello continentale. Di seguito, i principali standard da implementare:

• OIDC4VCI (OpenID4VerifiableCredentialIssuance): Il protocollo utilizzato per l’emissione delle credenziali dal provider al wallet dell’utente.
• OIDC4VP (OpenID4VerifiablePresentations): Lo standard che permette al wallet di presentare le credenziali a un Verifier in modo sicuro.
• ISO/IEC 18013-5 (mdoc): Lo standard nativo per i documenti di guida mobili (mDL), adottato per garantire la compatibilità hardware a livello di sistema operativo (iOS/Android).
• W3C Verifiable Credentials: Il modello di dati standard per esprimere le credenziali sul web in formato JSON-LD o JWT.

Componenti Core dell’Architettura

I componenti principali dell’architettura IT Wallet si dividono in tre attori fondamentali: l’Issuer (che emette le credenziali), l’Holder (il portafoglio digitale dell’utente, integrato nell’App IO) e il Verifier (il Service Provider che richiede i dati tramite protocolli standardizzati).

L’infrastruttura italiana, gestita in coordinamento con PagoPA S.p.A. e l’Istituto Poligrafico e Zecca dello Stato (IPZS), implementa il cosiddetto Trust Framework. Questo registro di fiducia garantisce che solo gli enti autorizzati possano emettere o richiedere credenziali. L’App IO funge da Holder principale per i cittadini italiani, gestendo il ciclo di vita delle chiavi crittografiche salvate nel Secure Enclave o nel Trusted Execution Environment (TEE) del dispositivo mobile.

Il Ruolo di SPID e CIE nel Nuovo Ecosistema

Nell’attuale architettura IT Wallet, SPID e CIE non scompaiono ma evolvono in strumenti di livello di garanzia “Alto” (LoA High). Fungono da radice di fiducia (Root of Trust) per l’onboarding iniziale dell’utente e l’emissione del Personal Identification Data (PID).

In base alle specifiche tecniche AgID, quando un utente configura l’IT Wallet per la prima volta, utilizza la CIE (tramite NFC) o un’identità SPID di livello 3 per autenticarsi verso l’Issuer governativo. Questo processo genera il PID (Personal Identification Data), la credenziale base che attesta l’identità legale dell’utente e che funge da prerequisito per ottenere credenziali derivate (es. patente di guida, tessera sanitaria, titoli di studio).

Flusso di Integrazione per i Service Provider

L’integrazione dei servizi nell’architettura IT Wallet richiede ai Service Provider di implementare il ruolo di Verifier. Il flusso prevede la generazione di una richiesta di presentazione (Presentation Request), la validazione crittografica della Verifiable Credential e la verifica dello stato di revoca.

Per un team di sviluppo che deve integrare l’autenticazione tramite IT Wallet nel proprio portale, i passaggi tecnici sono i seguenti:

• Registrazione nel Trust Registry: Il Service Provider deve registrarsi presso l’autorità nazionale per ottenere i certificati eIDAS (QWACs/QSEALs) necessari per firmare le richieste.
• Generazione della Presentation Request: Il backend del Verifier genera un URI (spesso mostrato come QR Code) basato su OIDC4VP, specificando quali attributi sono richiesti (es. solo la maggiore età).
• Risoluzione e Consenso: L’App IO scansiona il QR Code, risolve la richiesta, mostra all’utente quali dati verranno condivisi e richiede l’autorizzazione biometrica (FaceID/TouchID).
• Trasmissione e Validazione: Il Wallet invia il VP Token al backend del Verifier. Il Verifier deve validare la firma dell’Issuer, la firma dell’Holder (Proof of Possession) e controllare la blockchain o il registro di revoca (Status List 2021) per assicurarsi che la credenziale sia ancora valida.

Esempi Pratici di Implementazione

Analizzando esempi pratici dell’architettura IT Wallet, un caso d’uso tipico è la verifica della maggiore età. Invece di trasmettere l’intera data di nascita, il sistema utilizza la Selective Disclosure, inviando al Verifier solo un token crittografico che attesta il superamento dei 18 anni.

La Selective Disclosure (SD-JWT) è una delle innovazioni più potenti introdotte per la privacy. In un payload tradizionale SAML2 (come avveniva con SPID), il Service Provider riceve l’intera anagrafica. Con l’IT Wallet, il payload JSON contiene dei salt crittografici per ogni attributo. L’utente può decidere di rivelare solo l’attributo age_over_18: true, mantenendo nascosti nome, cognome e data di nascita esatta. Il Verifier può comunque verificare matematicamente che quell’attributo appartiene a una credenziale valida emessa dallo Stato, grazie alle firme crittografiche allegate.

Risoluzione dei Problemi Comuni

Durante lo sviluppo e l’integrazione con l’architettura IT Wallet, i tecnici affrontano spesso sfide legate alla validazione delle firme e alla gestione dei certificati. La risoluzione dei problemi richiede un’attenta analisi dei log del Trust Registry e la verifica delle chiavi pubbliche eIDAS.

I problemi di integrazione più frequenti riscontrati dai DevOps e dagli architetti software includono:

• Fallimento della Proof of Possession (PoP): Si verifica quando la firma generata dal dispositivo dell’utente non corrisponde alla chiave pubblica legata alla credenziale. Assicurarsi che il binding crittografico sia gestito correttamente dalle librerie OIDC.
• Errori di validazione della Status List: Se il Verifier non riesce a scaricare l’ultimo bitstring di revoca, rifiuterà la credenziale. È fondamentale implementare un sistema di caching robusto per le Status List.
• Disallineamento dei formati (mdoc vs SD-JWT): Alcuni wallet europei potrebbero preferire il formato mdoc (ISO) rispetto a SD-JWT. I Verifier devono supportare entrambi i formati per garantire la piena conformità eIDAS 2.0 transfrontaliera.

Conclusioni

In sintesi, l’architettura IT Wallet rappresenta un salto quantico per l’identità digitale in Europa. Adottando gli standard eIDAS 2.0, gli sviluppatori possono creare servizi più sicuri, interoperabili e rispettosi della privacy, garantendo agli utenti il pieno controllo sui propri dati personali.

L’abbandono progressivo dei vecchi flussi SAML in favore di OIDC4VC e delle Verifiable Credentials richiede un aggiornamento delle competenze tecniche, ma offre in cambio un ecosistema resiliente, decentralizzato e pronto per le sfide del Web3 e dei servizi digitali transfrontalieri. L’IT Wallet non è solo un’app, ma un’infrastruttura di fiducia su cui costruire il futuro dei servizi digitali europei.

Domande frequenti