Identità e autenticazione

Ogni volta che un dipendente clicca “Accedi con Google” o “Accedi con Microsoft”, succede qualcosa di piccolo ma significativo: un’azienda USA apprende quando, dove e a quale servizio quella persona si è autenticata. L’identity provider — il sistema che conferma “sì, questa persona è chi dichiara di essere” — si trova al centro di ogni interazione digitale. Vede tutto.

E in Europa, l’infrastruttura di identità è prevalentemente americana. Okta ha riportato 2,61 miliardi di dollari di fatturato per l’anno fiscale 2025, servendo 19.100 clienti. Microsoft Entra ID è abbinato a Microsoft 365 ed è quindi l’identity provider predefinito per centinaia di milioni di organizzazioni.

La controversia DigiD: sovranità nella pratica

DigiD è il sistema di identità digitale del governo olandese — con 16,5 milioni di utenti registrati e oltre 500 milioni di login all’anno. L’infrastruttura di DigiD era gestita da Solvinity, una società olandese di managed hosting. Nel 2024, Kyndryl — l’ex divisione servizi infrastrutturali di IBM, ora società indipendente quotata negli USA — ha acquisito Solvinity. Da un giorno all’altro, l’azienda che gestiva l’infrastruttura di identità del governo olandese era sotto il controllo aziendale USA.

Il Parlamento olandese ha reagito duramente. Il governo si è impegnato a non rinnovare il contratto Solvinity/Kyndryl oltre il 2028 e a migrare DigiD su infrastruttura sovrana.

eIDAS 2.0: la risposta europea

La risposta dell’UE alla frammentazione dell’identità è eIDAS 2.0 (UE 2024/1183), adottato nell’aprile 2024. Il suo pezzo forte è il Portafoglio europeo di identità digitale (EUDIW) — un portafoglio digitale emesso dal governo che ogni Stato membro dell’UE deve offrire ai propri cittadini entro il 2026.

FranceConnect: la storia di successo

FranceConnect — la federazione di identità nazionale della Francia — è operativo dal 2016 e ha oltre 43 milioni di utenti a metà 2024, collegato a oltre 1.400 servizi.

Il sistema dimostra che la federazione di identità gestita dal governo funziona su larga scala.

Keycloak e Authentik: identità sovrana per le organizzazioni

Due identity provider open source sono emersi come principali alternative a Okta e Microsoft Entra ID:

Keycloak

Keycloak è il peso massimo. Originariamente sviluppato da Red Hat (ora IBM), Keycloak è un progetto CNCF incubating. Migliaia di organizzazioni in tutto il mondo usano Keycloak in produzione.

Authentik

Authentik è l’alternativa più recente — un approccio più moderno e developer-friendly con setup iniziale più semplice.

Cosa fare concretamente

Questo mese (basso sforzo, alto valore informativo):

1. Verificate la vostra catena di approvvigionamento dell’identità. Mappate non solo il vostro fornitore software, ma il provider di hosting, il contractor di supporto e le loro strutture proprietarie.
2. Sapete dove vivono i vostri dati di identità. Se la risposta è “i server USA di Okta” o “il cloud di Microsoft”, questa è una decisione di sovranità.

Questo trimestre (vittorie rapide, beneficio di sicurezza immediato):

3. Implementate FIDO2 per gli utenti ad alta sicurezza. Le chiavi hardware eliminano il vettore di attacco più comune (phishing). Una YubiKey costa 50 €; una violazione delle credenziali costa ordini di grandezza in più.

Quest’anno (progetto significativo, migrazione di 3-6 mesi):

4. Valutate Keycloak o Authentik per le applicazioni interne. I risparmi annuali (35.000-70.000 € per un’organizzazione di 500 persone rispetto a Okta) finanziano lo sforzo di migrazione entro 12 mesi.

Prima del 2027 (scadenza normativa):

5. Preparatevi per eIDAS 2.0. Ogni Stato membro UE deve offrire il portafoglio europeo di identità digitale entro il 2026.

Fonti

• Okta FY2025 revenue and market share (Okta investor relations)
• FranceConnect statistics (DINUM)
• eIDAS 2.0 regulation (EUR-Lex)
• Keycloak joins CNCF (CNCF blog, 2023)
• CLOUD Act full text (Congress.gov)

Panoramica tematica: Identità e autenticazione