Password CIE scaduta: come cambiarla se l'OTP arriva a un'email che non ricordi

Provate ad accedere a un servizio della Pubblica Amministrazione usando Entra con CIE, inserite codice fiscale (o numero di serie della Carta d’Identità Elettronica) e password e il sistema vi informa che la password è scaduta. Iniziate quindi la procedura per impostarne una nuova, indicate codice fiscale e numero della CIE quindi compare un altro ostacolo: la piattaforma invia un OTP (one-time password) all’indirizzo email certificato.

Il problema è che quell’indirizzo potrebbe essere stato comunicato molto tempo prima, al momento della richiesta della CIE, oppure durante l’attivazione delle credenziali digitali. E non è detto che l’utente ricordi quale sia.

La situazione diventa ancora più curiosa quando, contemporaneamente, l’accesso tramite QR Code e app CieID, anche con password scaduta, continua a funzionare perfettamente. Non c’è alcuna contraddizione: password, app CieID, OTP e lettura fisica della carta appartengono a modalità di autenticazione differenti.

Abbiamo già spiegato nel nostro approfondimento sulle differenze tra CIE e CieID perché una password scaduta possa impedire il login tradizionale senza bloccare l’accesso tramite app. Qui affrontiamo invece il problema dal punto di vista pratico: come tornare in possesso delle credenziali, come capire quali recapiti sono associati alla CIE e cosa fare quando l’OTP finisce su una casella email che non si usa più.

Come cambiare una password CIE scaduta

Se, provando ad accedere a un servizio accessibile con CIE, si dovesse ricevere un messaggio simile a quello riprodotto in figura, significa che il sistema richiede obbligatoriamente il cambio password. La procedura è avviabile con un clic su Modifica password quindi con l’inserimento di codice fiscale e numero stampato sulla CIE fisica.

È proprio a questo punto che, inserendo i dati corretti, la piattaforma informa l’utente dell’invio di un codice di conferma (OTP) all’indirizzo email certificato. La PEC non c’entra nulla: il sistema semplicemente invia un codice numerico sulla mail usata in fase di registrazione e attivazione della CIE. Non specifica però quale, neppure oscurando parte dell’indirizzo email con asterischi.

Quale email è associata alla CIE?

Una persona può aver richiesto la CIE parecchio tempo prima e aver comunicato allo sportello del Comune un indirizzo utilizzato raramente. Oppure può avere successivamente configurato altri recapiti durante l’attivazione delle credenziali CIE.

Almeno per il recupero del PUK, email e cellulare utilizzabili sono quelli comunicati durante la richiesta della Carta presso Comune o Consolato oppure inseriti durante l’attivazione delle credenziali CIE di livello 1 e 2. Se non si ricordano, il Ministero suggerisce di accedere all’Area Personale per recuperarli.

Ed è proprio questa indicazione a suggerire la strada più semplice quando ci si trova davanti a una password scaduta ma si riesce ancora ad autenticarsi in un altro modo.

Se CieID funziona, sfruttatela

Supponiamo il caso concreto: la password CIE risulta scaduta, ma sullo smartphone è già configurata l’app CieID (che vi consigliamo di installare sempre e comunque).

Davanti alla schermata Entra con CIE, è in questo caso ancora possibile aviare l’app CieID, inquadrare il QR Code e autorizzare l’accesso. È la strada migliore che consente di accedere rapidamente a qualunque servizio della Pubblica Amministrazione senza perdite di tempo, bypassando anche il messaggio di password scaduta!

Non solo. CieID è combinabile con un meccanismo biometrico in modo che, per esempio, sia possibile autorizzare ogni accesso senza digitare alcun codice ma soltanto previo riconoscimento dell’impronta digitale in locale.

Per risolvere il problema della password scaduta si può comunque aprire il portale CIE, fare clic su Accedi, quindi scegliere Livello 2, Entra con CIE, inquadrare il codice QR con l’app CieID (pulsante Entra con QR Code), acconsentire alla condivisione dei dati indicati e cliccare in alto su Gestione CieID.

Portandosi nella sezione Gestione CieID, è possibile verificare le informazioni associate alle credenziali, indirizzo email certificato compreso. Da qui è possibile eventualmente modificare anche l’indirizzo di posta elettronica.

Ho anche il cellulare certificato: perché l’OTP va all’email?

La situazione può apparire ancora meno intuitiva quando nel profilo esiste anche un numero di cellulare verificato, ma la procedura di recupero password comunica ugualmente l’invio del codice alla casella email.

Non bisogna confondere, però, l’OTP utilizzato per recuperare o modificare una credenziale con l’OTP impiegato durante un normale accesso di livello 2.

Per l’autenticazione CIE di livello 2 la documentazione ufficiale prevede chiaramente, oltre all’app CieID, un codice temporaneo inviato tramite SMS al numero di cellulare verificato.

Una procedura di recupero password presenta invece un flusso differente e propone direttamente il recapito via email previsto dal sistema. Di conseguenza, il fatto di avere un numero di telefono certificato non implica che, almeno ad oggi, che sia possibile scegliere liberamente SMS al posto dell’email.

È proprio questo uno degli aspetti che può mettere in difficoltà chi ricorda perfettamente il proprio numero di cellulare ma non sa più quale indirizzo email avesse associato alla CIE.

E se CieID non fosse mai stata configurata?

Il caso diventa più delicato quando contemporaneamente la password risulta scaduta, l’utente non ricorda o non può più utilizzare l’email associata e non dispone di un’app CieID già configurata per gli accessi tramite QR Code.

Non significa però che l’identità digitale sia irrecuperabile: la CIE offre infatti un’ulteriore strada ovvero l’autenticazione di livello 3 mediante lettura fisica della carta.

Il livello 3 utilizza il chip integrato nella CIE. Occorrono la carta, il PIN completo di otto cifre e un dispositivo capace di leggerla: può essere uno smartphone Android o iPhone dotato di NFC e dell’app CieID, oppure un computer con lettore di smart card e Software CIE.

Sui servizi che lo consentono, nella schermata Entra con CIE compare infatti l’opzione Entra con lettura carta CIE. In questo caso la password scaduta delle credenziali di livello 1 non rappresenta il fulcro dell’autenticazione: viene utilizzata direttamente la carta fisica insieme al PIN.

Password scaduta ma CieID funziona: non è un’anomalia

Resta infine il comportamento che sorprende più spesso: perché la password è dichiarata scaduta mentre lo stesso utente riesce a entrare immediatamente inquadrando il QR Code con CieID? Come abbiamo spiegato nell’altro approfondimento, i due accessi non utilizzano le stesse credenziali nello stesso modo.

In un caso il sistema deve verificare la specifica password e applicare le relative regole; con il QR Code e un dispositivo già certificato, invece, l’app CieID partecipa a un diverso flusso di autenticazione e la password digitata nel browser non è necessaria.

Il risultato può quindi essere apparentemente paradossale ma perfettamente coerente: la password è inutilizzabile, l’identità digitale no.

Ed è proprio l’accesso ancora disponibile tramite CieID che può diventare il modo più semplice per risolvere il problema, controllare i recapiti registrati e rimettere ordine nelle proprie credenziali senza rischiare di rimanere completamente esclusi dai servizi online.