# Come funziona il protocollo AS2? Il protocollo AS2 (Applicability Statement 2) è un procedimento con cui due aziende si scambiano file EDI direttamente via Internet, firmati, cifrati e con ricevuta di consegna. È descritto nella RFC 4130 dell'IETF e usa HTTP come trasporto. AS2 non è legato a un settore; nell'industria automobilistica invece si chiede di solito [OFTP2](https://edi-service.eu/it/guida/oftp2/). Per collegarvi vi servono un software AS2, un AS2 ID, un certificato e un indirizzo raggiungibile da Internet. ## Come lavora il protocollo AS2 La RFC 4130 è uscita nel luglio 2005 come «Proposed Standard». Il predecessore AS1 (RFC 3335) trasmetteva file via e-mail; AS2 applica lo stesso principio a HTTP. Una trasmissione si svolge così: 1. Il vostro software impacchetta il file EDI, per esempio una fattura EDIFACT, in un messaggio MIME. 2. Firma il messaggio con la vostra chiave privata e lo cifra con il certificato pubblico del partner (S/MIME, lo stesso procedimento della posta elettronica sicura). 3. Invia il messaggio con un HTTP POST a un indirizzo del partner concordato in precedenza, per esempio `https://as2.partner.example/as2`. 4. Il software del partner decifra, verifica la firma e rimanda una ricevuta, la MDN. Se la connessione sia protetta in più da TLS (cioè HTTPS anziché HTTP) lo stabiliscono i partner. Il file in sé è protetto da firma e cifratura anche se la connessione non usa TLS. Se il vostro partner richiede anche HTTPS lo indica la sua guida EDI. AS2 è un procedimento punto a punto. Non c'è un intermediario come in una VAN (Value Added Network): i file vanno direttamente da server a server. Un confronto con gli altri canali si trova in [Canali di trasmissione EDI](https://edi-service.eu/it/guida/canali-di-trasmissione-edi/). ## AS2 ID e profilo partner Ogni parte ha un AS2 ID. Compare nelle intestazioni HTTP `AS2-From` e `AS2-To` e dice da chi arriva il messaggio e a chi va. Secondo la RFC 4130 l'AS2 ID è lungo da 1 a 128 caratteri ASCII stampabili e distingue tra maiuscole e minuscole. Come valore si presta un numero già esistente; la RFC 4130 cita come esempio il numero DUNS, ma è possibile anche il GLN. Altre informazioni in [GLN e altri codici identificativi](https://edi-service.eu/it/guida/gln-codici-identificativi-edi/). Un profilo partner AS2 completo contiene: | Dato | Esempio (fittizio) | |---|---| | proprio AS2 ID e quello del partner | `9520000000011` e `PARTNERAS2` | | indirizzo (URL) del partner | `https://as2.partner.example/as2` | | certificato del partner per cifratura e verifica della firma | file `partner.cer` | | algoritmi di firma e cifratura | per esempio SHA-256 e AES | | MDN: firmata o no, sincrona o asincrona | firmata, sincrona | | indirizzo di test e indirizzo di produzione | spesso due URL separati | I valori si trovano nella guida EDI del cliente o nel suo modulo di registrazione. Se manca un dato, chiedetelo invece di indovinarlo. ## Scambiare i certificati AS2 usa certificati X.509. Secondo la RFC 4130 i partner possono usare certificati autofirmati; un'autorità di certificazione non è obbligatoria. In pratica ogni parte genera una coppia di chiavi e invia all'altra il certificato pubblico, di solito per e-mail o tramite un portale. La chiave privata resta sempre presso di voi. I certificati scadono. I nuovi certificati vanno scambiati per tempo prima della scadenza, altrimenti falliscono la verifica della firma o la decifratura. Prevedete una data fissa e un monitoraggio. ## La MDN come ricevuta, sincrona o asincrona La MDN (Message Disposition Notification) è la conferma di ricezione. Se è firmata, contiene un valore di controllo sul messaggio ricevuto (MIC, Message Integrity Check). Così potete dimostrare che proprio quel file è arrivato senza modifiche. Nella variante sincrona la MDN torna come risposta alla stessa chiamata HTTP. È semplice, perché non serve una seconda connessione. Con file molto grandi però la connessione può andare in timeout prima che il destinatario abbia finito. Nella variante asincrona il destinatario conferma subito la chiamata HTTP e invia la MDN più tardi, su una connessione separata, a un indirizzo che il mittente indica nell'intestazione `Receipt-Delivery-Option`. Per questo anche il mittente deve essere raggiungibile da Internet. ## Errori tipici nelle integrazioni AS2 - AS2 ID scritto male: poiché maiuscole e minuscole contano, `Partneras2` è un ID diverso da `PARTNERAS2`. - Certificato sbagliato o scaduto: il partner ha un nuovo certificato, il vostro software usa ancora quello vecchio. - Firewall: l'indirizzo non è raggiungibile da Internet, oppure la porta del partner è bloccata in uscita. - Il MIC non corrisponde: gli algoritmi delle due parti non coincidono e la MDN viene scartata come non valida. - La MDN asincrona non arriva, perché l'indirizzo di ritorno è interno o viene bloccato. - Test e produzione scambiati: i file di prova finiscono nel sistema di produzione del partner o viceversa. La maggior parte di questi errori emerge al primo test di connessione. Per questo prima di ogni messa in produzione c'è un test con file di prova, finché file e MDN funzionano correttamente in entrambe le direzioni. ## In che cosa AS4 differisce da AS2 AS4 è un procedimento più recente dell'organizzazione di normazione OASIS, standard OASIS dal 23 gennaio 2013. Secondo lo standard è nato per riprendere il successo di AS2. Rispetto ad AS2, OASIS cita tre novità: AS4 è in linea con gli standard dei web service (ebMS 3.0 basato su SOAP), i messaggi si possono prelevare («Pull») e le ricevute sono integrate in modo nativo. Un campo d'impiego importante è Peppol, una rete usata tra l'altro per le fatture elettroniche: secondo la specifica Peppol lo scambio tra i punti di accesso (Access Point) avviene via AS4. Che cosa significa per la fattura elettronica lo spiega [EDI, Web-EDI e fattura elettronica](https://edi-service.eu/it/guida/edi-web-edi-fattura-elettronica/). ## AS2 con edi-service.eu In edi-service.eu AS2 fa parte dei canali di trasmissione, insieme a OFTP2, SFTP, HTTPS ed e-mail, in entrata e in uscita con MDN. Il software gira sul vostro server; per questo il server ha bisogno di un indirizzo fisso e di una porta HTTPS in entrata. Un accesso Peppol proprio (AS4) non lo offriamo. Che cosa è compreso nel prezzo è indicato nelle [domande frequenti](https://edi-service.eu/it/faq/). ## Domande frequenti ### Qual è la differenza tra AS2 e SFTP? AS2 firma e cifra ogni file e con la MDN fornisce una ricevuta di consegna. SFTP trasmette file su una connessione SSH cifrata, ma senza una ricevuta applicativa. Quale strada usare lo stabilisce di solito il vostro cliente. ### Per AS2 serve un certificato acquistato? Non necessariamente. La RFC 4130 ammette certificati autofirmati. Alcuni partner però richiedono un certificato di una determinata autorità di certificazione; in quel caso lo indica la loro guida EDI. ### È meglio una MDN sincrona o asincrona? La sincrona è più semplice e basta per file di dimensioni normali. L'asincrona conviene con file grandi o elaborazioni lunghe, ma richiede che anche il vostro sistema sia raggiungibile dall'esterno. Di solito è il partner a stabilire la variante. ### AS2 è superato perché esiste AS4? No. La RFC 4130 è tuttora valida e AS2 resta in uso per le connessioni dirette tra partner commerciali. AS4 lo incontrate soprattutto in reti come Peppol. Di quale procedimento avete bisogno lo dice la guida EDI del vostro partner. Avete una guida AS2 del vostro cliente e volete sapere se l'integrazione è compatibile con edi-service.eu? [Inviare una richiesta](https://edi-service.eu/it/richiesta/) ## Fonti - RFC Editor: «RFC 4130: MIME-Based Secure Peer-to-Peer Business Data Interchange Using HTTP, Applicability Statement 2 (AS2)», (consultato il 16/10/2026) - RFC Editor: «RFC 3335: MIME-based Secure Peer-to-Peer Business Data Interchange over the Internet», (consultato il 16/10/2026) - OASIS: «AS4 Profile of ebMS 3.0 Version 1.0», OASIS Standard del 23/01/2013, (consultato il 16/10/2026) - OpenPeppol: «Peppol AS4 Profile», (consultato il 16/10/2026)