Nelle valutazioni IAM le stesse sigle tornano in ogni documento e vengono usate con significati leggermente diversi da ogni fornitore. Qui ognuna ha una definizione neutra dello standard e, dove ha senso, una riga su cosa supporta LoginMaster oggi — comprese le voci che sono ancora sul roadmap.
L'insieme di processi e tecnologie che gestiscono le identità digitali e gli accessi alle applicazioni: autenticazione, autorizzazione, ciclo di vita degli account e tracciabilità degli accessi. È il livello che risponde a due domande — chi è questa persona e a che cosa può accedere.
Con LoginMaster: LoginMaster è una piattaforma IAM enterprise: copre workforce, CIAM, identità B2B multi-tenant e identità non umane nello stesso tenant.
L'IAM applicato alle identità dei clienti finali anziché a quelle dei dipendenti. Le priorità cambiano: registrazione self-service, social login, esperienza di accesso personalizzata, volumi elevati e gestione del consenso privacy.
Con LoginMaster: Registrazione, onboarding, social login e account self-service sono coperti dal modulo CIAM, con i dati personali che restano nel tenant del cliente.
Il meccanismo che permette di autenticarsi una volta sola e accedere a più applicazioni senza reinserire le credenziali. Riduce il numero di password da gestire e concentra in un unico punto le policy di sicurezza e la revoca degli accessi.
Con LoginMaster: SSO con Google Workspace e Microsoft Entra ID via OAuth 2.0 e OpenID Connect. La federazione SAML 2.0 verso altri identity provider è sul roadmap.
Uno standard di autorizzazione delegata: consente a un'applicazione di ottenere un accesso limitato a una risorsa per conto di un utente, senza mai vederne la password. Non è un protocollo di autenticazione — dice cosa un'applicazione può fare, non chi è l'utente.
Con LoginMaster: È il protocollo su cui si appoggia l'integrazione delle applicazioni e la federazione verso gli identity provider aziendali.
Un livello di identità costruito sopra OAuth 2.0: aggiunge l'ID token, che trasporta in modo verificabile chi è l'utente autenticato. È lo standard di riferimento per l'autenticazione di applicazioni web, mobile e API moderne.
Con LoginMaster: Le applicazioni si collegano a LoginMaster via OpenID Connect e verificano la firma del token ricevuto con una chiave dedicata al progetto.
Uno standard di federazione basato su XML, precedente a OIDC e ancora molto diffuso nelle integrazioni con identity provider aziendali storici, come Active Directory Federation Services. Trasporta le asserzioni di identità dentro documenti XML firmati.
Con LoginMaster: Il supporto nativo a SAML 2.0 è sul roadmap di piattaforma: oggi la federazione avviene via OAuth 2.0 e OpenID Connect.
Un formato compatto e firmato per trasportare affermazioni (claims) tra due parti. La firma garantisce che il contenuto non sia stato alterato, ma il payload è solo codificato, non cifrato: non è il posto dove mettere segreti.
Con LoginMaster: I token emessi da LoginMaster sono firmati due volte — dal Tenant e dal Cloud — così l'autenticità è verificabile su due livelli crittografici indipendenti.
L'autenticazione che richiede più di una prova d'identità, combinando qualcosa che sai (password), qualcosa che hai (un dispositivo) e qualcosa che sei (biometria). La 2FA è il caso particolare con esattamente due fattori.
Con LoginMaster: La 2FA è basata su TOTP, compatibile con Google Authenticator e app analoghe, ed è configurabile per progetto: disabilitata, opzionale o obbligatoria.
L'algoritmo che genera codici temporanei a partire da un segreto condiviso e dall'orario corrente, definito dalla RFC 6238. È il meccanismo dietro i codici a sei cifre delle app di autenticazione.
Credenziali senza password basate su una coppia di chiavi crittografiche: la chiave privata resta sul dispositivo dell'utente e viene sbloccata con biometria o PIN. Non esistono segreti condivisi da intercettare, il che le rende resistenti al phishing per progettazione.
Con LoginMaster: Il supporto nativo alle passkey FIDO2/WebAuthn è sul roadmap: oggi l'esperienza passwordless si ottiene tramite SSO federato e un modello zero-knowledge sulle credenziali.
Lo standard che automatizza la sincronizzazione di utenti e gruppi tra sistemi diversi, tipicamente tra un identity provider e le applicazioni collegate. Serve a evitare che l'onboarding e l'offboarding restino operazioni manuali.
Con LoginMaster: Il supporto nativo a SCIM 2.0 è sul roadmap di piattaforma: oggi lo stesso risultato si ottiene con REST API, SDK TypeScript/.NET e webhook.
La gestione di un'identità dal momento in cui entra nell'organizzazione (joiner), attraverso i cambi di ruolo (mover), fino alla revoca completa degli accessi all'uscita (leaver). Il passaggio più critico è il terzo: gli account dimenticati sono una delle superfici d'attacco più comuni.
Con LoginMaster: Provisioning, cambi di ruolo e deprovisioning si automatizzano via REST API, SDK e webhook, con revoca immediata di accessi, chiavi API e sessioni.
Un modello di sicurezza che non concede fiducia implicita in base alla posizione di rete: ogni richiesta di accesso viene verificata, i privilegi sono ridotti al minimo necessario e si assume che una compromissione possa già essere avvenuta.
Con LoginMaster: Si traduce in accesso condizionale, 2FA configurabile per progetto, isolamento crittografico tra tenant e nessun amministratore in grado di scavalcare le credenziali di un utente.
Le policy che decidono se e come concedere un accesso in base al contesto della richiesta anziché applicare sempre la stessa regola. È il meccanismo con cui l'MFA diventa adattiva invece che uniforme.
Con LoginMaster: Le policy sono impostate per progetto: la 2FA può essere richiesta a tutti gli utenti, solo a determinati ruoli, oppure lasciata opzionale.
L'architettura con cui una singola piattaforma serve più organizzazioni tenendone separati dati e configurazioni. La differenza che conta è come avviene la separazione: una regola applicativa può essere aggirata da un bug, una chiave crittografica no.
Con LoginMaster: Ogni tenant ha una propria coppia di chiavi e ogni progetto una chiave dedicata, con certificati e salt univoci: la compromissione di un tenant non tocca gli altri.
Il modello in cui i dati personali degli utenti risiedono esclusivamente sul tenant del cliente, mentre il cloud del fornitore opera solo su dati cifrati e pseudonimizzati e non contiene mai email, nomi o credenziali in forma leggibile.
Con LoginMaster: È l'architettura su cui è costruita la piattaforma: l'accesso del fornitore ai dati degli utenti è impossibile per progettazione, non vietato da policy.
Argon2 è la funzione di hashing delle password vincitrice della Password Hashing Competition, progettata per essere costosa in memoria e quindi resistente agli attacchi con hardware dedicato. Il split-salt distribuisce il salt fra due sistemi distinti, così nessuno dei due basta da solo a tentare un attacco offline.
Con LoginMaster: Le credenziali sono protette con Argon2 e il salt è diviso tra Tenant e Cloud.
Le identità che non appartengono a una persona: service account, dispositivi IoT, agenti AI, integrazioni automatiche. Nella maggior parte delle organizzazioni superano numericamente quelle umane, ma restano governate con strumenti pensati per i dipendenti.
Con LoginMaster: Dispositivi e agenti hanno identità dedicate con credenziali a privilegio minimo, revocabili singolarmente e tracciate negli audit log.
Il Regolamento generale sulla protezione dei dati dell'Unione Europea. Per l'IAM i punti che pesano di più sono la minimizzazione dei dati, la protezione fin dalla progettazione e la capacità di dimostrare chi ha avuto accesso a cosa e quando.
Con LoginMaster: La conformità è una proprietà dell'architettura: i dati personali non lasciano il tenant del cliente e il cloud tratta solo dati cifrati e pseudonimizzati.
La direttiva europea che alza i requisiti di cybersicurezza per i settori essenziali e importanti, dalla sanità all'energia alla pubblica amministrazione. Sul fronte identità richiede autenticazione forte, gestione del rischio e tracciabilità degli accessi.
Con LoginMaster: 2FA configurabile per progetto, crittografia multi-livello, isolamento crittografico tra tenant e token a doppia firma coprono i requisiti di identità.
Lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni. I controlli più rilevanti per l'IAM riguardano la gestione degli accessi, la crittografia e la sicurezza delle comunicazioni.
Con LoginMaster: L'architettura è allineata a questi controlli e i log di accesso sono pronti per l'audit. Il mapping puntuale è sulla pagina dedicata alla conformità.
Il principio per cui i dati sono soggetti alle leggi del paese in cui risiedono e sono trattati. Nell'IAM diventa concreto quando ci si chiede quale giurisdizione può obbligare il fornitore a consegnare le identità dei tuoi utenti.
Con LoginMaster: La piattaforma è progettata e sviluppata in Italia, con hosting e dati esclusivamente in Europa, e i dati personali non lasciano il tenant del cliente.
Per gli approfondimenti in forma di articolo — differenze fra OAuth, OIDC e SAML, 2FA e MFA a confronto, NIS2 e gestione degli accessi — vedi il blog. Per provare gli standard sul campo, gli strumenti gratuiti includono un formatter XML/SAML.
Sapere cosa significa SCIM non dice se ti serve. Quella risposta dipende da quante applicazioni hai integrato e da quale directory usi già: è la conversazione da cui parte ogni valutazione seria.
Procedure passo-passo, esempi di richieste e confronti espliciti fra le opzioni disponibili.
Guida operativa completa: broker di identità, registrazione dell'app, federazione OIDC e SAML 2.0 verso Entra ID e Google Workspace, mappatura dei claim, revoca e collaudo.
Modello dei tenant, risoluzione del tenant, federazione SSO per cliente, white-label, isolamento crittografico e onboarding: le decisioni che determinano quanto costerà il tuo prossimo cliente enterprise.