In breve
Per nuove integrazioni OIDC è quasi sempre la scelta più semplice: JSON invece di XML, URL di discovery e buon supporto per app mobili e API. Scegli SAML quando te lo impone l'identity provider o l'organizzazione, per esempio con ADFS o federazioni universitarie.
| Criterio | SAML | OIDC |
|---|---|---|
| Formato dati | Asserzioni XML firmate (opzionalmente cifrate) | JSON Web Token (JWT) firmati |
| Trasporto | Redirect del browser e HTTP POST verso l'SP | Redirect più chiamata back-channel al token endpoint |
| Configurazione | Scambio di metadati XML, caricamento certificati | Client ID, secret e URL di discovery /.well-known/openid-configuration |
| App mobili e native | Scomodo, in pratica solo tramite browser integrato | Previsto, con authorization code flow e PKCE |
| API e token | Non pensato per questo | Gli access token per le API fanno parte del modello (OAuth 2.0) |
| Logout | Single Logout previsto, ma spesso inaffidabile | Logout avviato dalla RP, anch'esso non sempre coerente |
| Dove lo trovi | Enterprise, ADFS, federazioni universitarie e PA | IdP moderni, servizi cloud, Keycloak, Entra ID, Authentik |
| Debug | XML in Base64 dentro un POST, servono strumenti del browser | Token leggibili, errori spesso già nell'URL di redirect |
| App Nextcloud | user_saml (SSO & SAML authentication) | user_oidc (OpenID Connect user backend) |
Scegli SAML se …
- l'IdP offre solo SAML, per esempio un ADFS datato o una federazione come IDEM.
- la sicurezza richiede esplicitamente asserzioni firmate e cifrate.
- hai già molte applicazioni collegate via SAML e il team conosce il flusso.
- ti servono solo login da browser e nessun accesso API con token.
Scegli OIDC se …
- stai creando una nuova integrazione e l'IdP supporta entrambi.
- devono autenticarsi anche app mobili, client desktop o API.
- vuoi passare gruppi e attributi come claim senza troppo mapping.
- il team deve poter configurare e fare debug in autonomia.
Insidie dal lavoro quotidiano
- Certificati di firma SAML scaduti: il login si blocca per tutti in un colpo. Metti le scadenze nel monitoraggio.
- Orologi non allineati tra IdP e servizio: asserzioni e token risultano non ancora o non più validi. Controlla NTP ovunque.
- Attributo sbagliato come ID utente: se poi cambiano email o nome nascono account doppi. Usa un ID stabile e immutabile.
- I client WebDAV, CalDAV e di sync non fanno SSO via browser. In Nextcloud prevedi password per app o il login flow.
Domande frequenti
Nextcloud può usare SAML e OIDC insieme?
Le due app si possono installare entrambe, ma in produzione conviene scegliere un solo percorso di login per istanza. Due percorsi paralleli portano presto ad account doppi e responsabilità poco chiare.
SAML è meno sicuro di OIDC?
Non di per sé. Entrambi sono sicuri se configurati bene. La maggior parte dei problemi nasce da errori di configurazione, come firme non verificate o token con durata eccessiva, non dal protocollo.