Allegato Tecnico MIM · sezione 3
Chi entra in una seduta deve essere chi dice di essere
La sezione 3 dell'Allegato chiede identificazione univoca tramite identità digitale, livello minimo L2, nessuna credenziale condivisa, sessioni tracciate e logout automatico per inattività. In DeliberaCerta questo si traduce in una scelta secca: l'unico modo di entrare è «Entra con CIE», e nel sistema le password non esistono proprio.
Un solo modo di entrare
Nella tabella degli utenti non c'è la colonna della password. Non è una configurazione restrittiva: è l'assenza della cosa. Non si può quindi né dimenticare, né riusare, né condividere una credenziale d'ufficio fra il presidente e il segretario — che è il modo in cui, nella pratica, l'identificazione degli organi collegiali si è sempre persa per strada.
L'autenticazione avviene con il protocollo OpenID Connect verso la federazione CIE, con PKCE, parametri state e nonce e verifica della firma del token sulle chiavi pubbliche del provider. In sviluppo esiste un provider fittizio, ma è disponibile solo negli ambienti locali e di test: in produzione non c'è.
Che cosa dice la norma
Sez. 3 — «Identificazione univoca tramite identità digitale; non sono ammesse credenziali condivise». Il requisito è soddisfatto togliendo l'alternativa, non sconsigliandola.
Il livello L2 si verifica, non si dichiara
L'Allegato fissa L2 come livello minimo di autenticazione. DeliberaCerta legge il valore acr restituito nel token di identità e rifiuta l'accesso se il livello è inferiore a quello configurato — L2 per impostazione predefinita. Il rifiuto non è un avviso: è un accesso non concesso, e finisce nel registro attività.
La soglia è configurabile verso l'alto, per gli istituti che vogliano imporre L3 su determinati profili. Verso il basso non scende sotto il minimo di norma.
Nessuna auto-registrazione: chi non è in anagrafica non entra
Al ritorno dalla federazione, il codice fiscale viene normalizzato e cercato nell'anagrafica precaricata dalla segreteria. Se non c'è, l'accesso è rifiutato. Non si crea un utente «in attesa di approvazione», perché un utente creato da sé è esattamente ciò che la norma vuole evitare.
Del tentativo resta traccia — serve per accorgersi di un attacco o di un'anagrafica incompleta — ma il codice fiscale di chi non appartiene alla scuola non viene scritto in chiaro da nessuna parte: se ne conserva un'impronta calcolata con chiave, che permette di contare i tentativi della stessa persona senza sapere chi sia.
Sessioni, dispositivi e inattività
Le sessioni vivono sul database e sono legate all'utente, non a un cookie opaco. Ciascuno vede in Impostazioni l'elenco dei propri accessi attivi e può revocarne uno singolo. L'istituto può inoltre limitare il numero di sessioni contemporanee: superato il limite, la più vecchia decade da sé.
La disconnessione automatica per inattività è attiva con un valore predefinito di 30 minuti, sovrascrivibile per singolo istituto. Anche la disconnessione per inattività compare nel registro attività, distinta dal logout volontario: sono due fatti diversi e vanno raccontati come tali.
Perché conta
Un tablet lasciato acceso in sala professori è, senza queste tre cose, una sessione con diritto di voto. È la ragione per cui l'Allegato le chiede tutte e tre insieme: sessioni visibili, revocabili e con scadenza.
Entrare è una cosa, poter fare è un'altra
Superata la porta, quello che si può fare dipende da una matrice di permessi atomici per ruolo, personalizzabile dall'istituto, più eventuali eccezioni per singola persona (dove il divieto vince sempre sulla concessione). Chi appartiene a più istituti ha un ruolo diverso in ciascuno, e i due mondi non si toccano.
Una precisazione che evita malintesi ricorrenti: avere un permesso non significa avere diritto di voto. Gli aventi diritto di una seduta escono dalla composizione dell'organo, non dalla matrice. Un dirigente che convoca una seduta di un organo di cui non è componente conta nel numero legale e partecipa, ma non vota.
Continua a leggere
Tracciabilità e registro attività
Accessi, rifiuti, disconnessioni per inattività: che cosa resta scritto e perché non si può riscrivere.
Approfondisci →
Verbale digitale e firma con CIE
La stessa identità digitale del login sottoscrive il verbale consolidato, legata alla sua impronta.
Approfondisci →
GDPR, DPIA e conservazione
Minimizzazione dei dati di identità, cifratura, retention applicata e non solo dichiarata.
Approfondisci →
Vuoi vedere DeliberaCerta sulla vostra scuola?
Una dimostrazione dura mezz'ora e si fa sui vostri organi: il vostro consiglio, i vostri numeri, una votazione vera dall'apertura all'esito.