Sì, la PEC si integra tramite API: attivazione, invio singolo, invio massivo e verifica degli indirizzi sono tutte operazioni gestibili via chiamate REST, senza intervento manuale sulla webmail.
La raccomandazione pratica è semplice: scegliete API REM/eIDAS‑ready quando possibile, testate ogni flusso in sandbox prima del rollout, e automatizzate da subito il controllo degli esiti invece di verificarli a mano casella per casella.
Prima di scrivere una riga di codice, verificate questi quattro punti:
- Metodo di autenticazione previsto dal provider (API key, OAuth2 o certificato client)
- Endpoint disponibili per registrazione, attivazione e invio
- Presenza di un ambiente sandbox separato da quello di produzione
- Sistema di webhook o polling per le notifiche di stato
Punti chiave
L’integrazione API PEC funziona quando combina autenticazione solida, test in sandbox rigorosi e conformità agli standard AGID ed eIDAS fin dalla progettazione.
| Punto | Dettagli |
|---|---|
| Preferire API REM‑ready | Riduce il rischio di dover riscrivere il codice quando lo standard europeo diventerà operativo. |
| Testare sempre in sandbox | Validate indirizzi, allegati e retry prima di ogni invio massivo reale. |
| Separare le credenziali | Chiavi di sandbox e produzione mai condivise, per evitare invii accidentali. |
| Automatizzare la rendicontazione | Il controllo manuale degli esiti non scala con i volumi aziendali. |
| Verificare prima di inviare | TrovaPEC offre ricerca massiva e verifica degli indirizzi PEC via web services prima dell’invio integrato. |
Indice
- Cosa fanno le API PEC e in quali scenari servono davvero
- Quali requisiti tecnici servono per l’autenticazione?
- Quali endpoint servono per attivazione e invio PEC
- Come testare l’integrazione prima di andare in produzione
- Come restare conformi ad AGID e allo standard eIDAS
- Quanto costa integrare le API PEC e come funziona il provisioning
- Come TrovaPEC semplifica ricerca indirizzi e invio massivo
- Consigli pratici per riuscire con l’integrazione
- Provate l’integrazione API PEC con TrovaPEC
- Fonti
Cosa fanno le API PEC e in quali scenari servono davvero
Un’integrazione API PEC copre in genere cinque funzioni: verifica dell’indirizzo, registrazione e attivazione della casella, invio singolo, invio massivo e consultazione della casella con relativa rendicontazione. Non tutti i provider offrono tutte e cinque le funzioni nello stesso pacchetto, quindi la prima cosa da chiarire con il fornitore è quale sottoinsieme serve al vostro caso d’uso.
Nella pratica aziendale, l’integrazione API PEC ricorre soprattutto in tre scenari:
- CRM o gestionale che invia notifiche legali automatiche: scadenze contrattuali, solleciti di pagamento, comunicazioni obbligatorie generate dal sistema senza passare da un operatore umano.
- Invii batch per l’amministrazione clienti: comunicazioni identiche o quasi identiche a centinaia di destinatari, tipiche di uffici legali, associazioni di categoria e società di recupero crediti.
- Verifica preventiva degli indirizzi: prima di ogni invio massivo, un controllo automatico riduce i rimbalzi e gli errori di consegna.
Il vantaggio operativo non è solo la velocità. È la riduzione degli errori umani nelle notifiche con valenza legale, dove un indirizzo sbagliato o una casella non attiva può invalidare l’intero processo di notifica.
Quali requisiti tecnici servono per l’autenticazione?
I provider PEC adottano in genere tre modelli di autenticazione: API key statica per integrazioni semplici, OAuth2 per flussi che richiedono token con scadenza e revoca granulare, e certificati client TLS per contesti a maggiore sensibilità, tipici della pubblica amministrazione o di enti regolamentati.
Sul lato infrastrutturale, il set minimo di requisiti comprende:
- Connessione TLS 1.2 o 1.3 su tutti gli endpoint, senza eccezioni per ambienti interni
- Gestione delle chiavi segrete tramite vault o secret manager, mai in variabili d’ambiente in chiaro nel repository
- Crittografia at‑rest per gli allegati che contengono dati sensibili, prima ancora dell’invio
- Ruoli e permessi distinti se più team o più applicazioni condividono le stesse credenziali
Dal lato organizzativo, l’attivazione di una nuova casella richiede quasi sempre un modulo di richiesta, un documento d’identità del titolare e, per le aziende, la visura o il certificato di attribuzione della partita IVA. Questi documenti si allegano spesso via upload API, non solo via portale web.
Un consiglio: separate sempre le credenziali di sandbox da quelle di produzione fin dal primo commit. È l’errore più comune nei progetti PEC: qualcuno testa in sandbox con le chiavi di produzione, e un invio di prova finisce davvero nella casella del destinatario reale.
Quali endpoint servono per attivazione e invio PEC
Un’integrazione completa prevede in genere questi endpoint, indipendentemente dal provider scelto:
- GET verifica disponibilità casella, per controllare se un indirizzo esiste già prima di registrarlo
- POST registrazione della nuova casella con i dati anagrafici del titolare
- PATCH attivazione, spesso dopo l’upload dei documenti richiesti
- POST invio, con corpo del messaggio, destinatari e allegati
- GET stato/inbox, per consultare esiti di consegna e messaggi ricevuti
- Webhook per le notifiche push, alternativa al polling continuo
La documentazione di riferimento di Openapi mostra esattamente questo pattern: verifica del dominio, registrazione, attivazione, gestione dei rinnovi e comunicazione automatica al registro delle imprese, tutto via chiamate distinte. Un flusso minimo di test segue quindi questa sequenza: si verifica la disponibilità dell’indirizzo, si registra la casella, si caricano i documenti richiesti, si attende l’attivazione e infine si effettua un invio di prova con allegato reale, non un file vuoto.
Per accelerare l’integrazione, quasi tutti i provider seri distribuiscono file OpenAPI 3 (OAS3) e collezioni Postman pronte all’importazione. Questo evita di scrivere il primo client da zero: importate la collezione, sostituite le credenziali sandbox e iniziate a testare in pochi minuti, come mostra il workspace pubblico di Postman dedicato alle API di questo tipo.
Un consiglio: se il provider fornisce sia file OAS3 sia collezione Postman, partite dal file OAS3: genera automaticamente anche i client SDK nei linguaggi più comuni, risparmiando settimane di lavoro manuale sul mapping dei campi.
Come testare l’integrazione prima di andare in produzione
Il rollout corretto segue tre fasi:
- Sandbox: importate la collezione Postman o il file OAS3 e testate ogni endpoint isolatamente.
- Pilota su un sottoinsieme reale: un piccolo gruppo di destinatari reali, non simulati, per validare l’intero ciclo di notifica.
- Monitoraggio e scaling: solo dopo il pilota si aumentano i volumi e si attiva l’invio massivo su tutta la base clienti.
Durante la fase sandbox, i test obbligatori includono:
- Validazione formale degli indirizzi PEC prima dell’invio
- Invio con allegati di dimensioni realistiche, non file di pochi kilobyte
- Simulazione di errori (indirizzo inesistente, casella piena, timeout) e verifica della logica di retry
- Test di carico per gli invii massivi, per verificare i limiti di rate imposti dal provider
La PEC Massiva di Openapi espone proprio questo tipo di ambiente separato, con dominio dedicato per il test e limiti di frequenza documentati, utile come riferimento per capire cosa aspettarsi da un servizio pensato per volumi elevati.
Come restare conformi ad AGID e allo standard eIDAS
In Italia, AGID definisce i requisiti tecnici e organizzativi che i gestori PEC devono rispettare per mantenere l’iscrizione al pubblico elenco dei gestori certificati. Un’integrazione che si appoggia a un gestore accreditato AGID eredita automaticamente questa conformità, ma il team di sviluppo deve comunque gestire correttamente firma, tracciatura delle ricevute e conservazione a norma dei messaggi inviati.
A livello europeo, la PEC italiana sta convergendo verso lo standard REM (Registered Electronic Mail), previsto dal regolamento eIDAS per garantire interoperabilità tra sistemi di posta certificata di paesi diversi. Le API progettate come REM‑ready permettono di inviare e ricevere messaggi certificati restando compatibili con questa evoluzione, riducendo la necessità di riscrivere il codice quando lo standard diventerà pienamente operativo.
Nella pratica, questo significa tre cose per chi integra:
- Verificare che il provider mantenga metadati e ricevute in un formato tracciabile e conforme
- Capire come PEC e firma digitale si combinano quando un documento richiede entrambe le garanzie
- Prevedere la conservazione a norma degli allegati, non solo del corpo del messaggio
Quanto costa integrare le API PEC e come funziona il provisioning
I modelli di prezzo più comuni combinano un canone fisso, spesso annuale per la casella PEC, con un costo variabile per invio oltre una soglia incluida. I piani orientati all’invio massivo aggiungono in genere fasce di prezzo a scaglioni: più invii mensili, minore il costo unitario.
In fase di provisioning aspettatevi:
- Tempi di attivazione che vanno da poche ore a qualche giorno lavorativo, secondo il provider e la completezza della documentazione fornita
- Richiesta di documenti anagrafici e, per le aziende, dati camerali
- Possibilità di personalizzare il dominio della casella per allineamento con il brand aziendale
Sul lato costi IT, pesano anche lo storage per la conservazione a norma nel tempo e le condizioni di SLA offerte dal fornitore per supporto tecnico e tempi di risposta in caso di anomalie.
Come TrovaPEC semplifica ricerca indirizzi e invio massivo
TrovaPEC affronta un problema che precede la stessa integrazione: prima di inviare, serve un indirizzo PEC verificato e aggiornato. Il servizio effettua ricerca massiva di indirizzi PEC partendo da elenchi di partite IVA o codici fiscali, normalizza le anagrafiche e verifica lo stato delle partite IVA prima di passare all’invio.
I punti che contano per un team IT:
- Indice aggiornato tramite l’Indice Nazionale degli Indirizzi PEC, quindi risultati coerenti con i dati ufficiali
- WebServices richiamabili per automatizzare ricerca e verifica su elenchi anche molto grandi
- Servizio di invio PEC massivo integrabile nel flusso, con rendicontazione degli invii effettuati
Per iniziare, basta accedere ai WebServices e caricare un primo elenco di test: il supporto tecnico guida sull’integrazione nei casi con volumi elevati o requisiti particolari di normalizzazione dati.
Consigli pratici per riuscire con l’integrazione
Nei progetti enterprise, la priorità tecnica numero uno resta la gestione degli errori: retry con backoff progressivo, non retry immediati che sovraccaricano l’endpoint. L’errore più comune è sottovalutare i limiti di rate durante gli invii massivi, scoprendoli solo in produzione. Un accorgimento semplice, ma spesso ignorato, è impostare alert automatici sugli esiti mancati oltre una certa soglia percentuale, invece di controllare i log manualmente ogni mattina.
Provate l’integrazione API PEC con TrovaPEC
A differenza di un’integrazione costruita da zero con un singolo gestore PEC, TrovaPEC unisce in un solo punto d’accesso la ricerca massiva degli indirizzi, la verifica delle partite IVA e l’invio massivo, riducendo il numero di fornitori diversi da gestire nello stesso flusso.
Per un team IT questo significa meno integrazioni parallele da mantenere: un solo set di credenziali, una sola documentazione da seguire, un solo referente per il supporto tecnico. I WebServices di TrovaPEC si affiancano bene a strumenti gestionali già in uso, come le piattaforme di gestione note spese, quando serve automatizzare comunicazioni certificate legate a processi amministrativi. Chi vuole partire subito può consultare la guida completa sul funzionamento della PEC oppure richiedere direttamente l’accesso al servizio di invio PEC massivo per testare un primo lotto di indirizzi.