Ogni struttura ricettiva italiana deve comunicare alla Questura le generalità di chi vi alloggia. Non è una formalità: è un obbligo di pubblica sicurezza previsto dall’articolo 109 del TULPS, con termini stretti e un canale unico — il portale Alloggiati Web della Polizia di Stato.
Questa guida spiega come funziona davvero: i termini che quasi tutti ricordano male, come si ottengono e si recuperano le credenziali, come si compila una schedina, come si invia un file per gruppi numerosi, e come si collega un gestionale per non farlo più a mano.
Chi è obbligato, e da quando
L’obbligo riguarda chiunque dia alloggio a titolo oneroso: alberghi, bed & breakfast, affittacamere, case e appartamenti per vacanze, agriturismi, ostelli, campeggi, strutture extralberghiere in genere.
Non dipende dalla dimensione. Chi affitta un solo appartamento ha lo stesso obbligo di un albergo da duecento camere, e le stesse scadenze.
Va comunicato ogni ospite, non il solo intestatario della prenotazione: i familiari e i componenti di un gruppo vanno trasmessi singolarmente, collegati al capofamiglia o al capogruppo.
I termini: 24 ore, ma non sempre
Questa è la regola che viene ricordata male più spesso.
- Soggiorni oltre le 24 ore → le generalità devono pervenire alla Questura entro 24 ore dall’arrivo.
- Soggiorni non superiori alle 24 ore → il termine scende a 6 ore dall’arrivo.
La seconda ipotesi è quella che sorprende: il day-use, la sosta di una notte con partenza all’alba, il gruppo che arriva la sera e riparte la mattina. Sono i casi in cui il tempo utile è un quarto di quello che si crede.
C’è poi un vincolo tecnico che rende la regola più rigida di quanto sembri: il portale accetta come data di arrivo soltanto quella odierna o quella del giorno precedente. Se ti accorgi dopo tre giorni di non aver inviato una schedina, il sistema non te lo lascia sistemare. Devi rivolgerti alla Questura competente.
I giorni di permanenza dichiarati all’arrivo hanno un massimo di 30. Per soggiorni più lunghi la schedina va reinviata.
L’obbligo discende dall’articolo 109 del TULPS, con la disciplina attuativa del decreto legge 53/2019 e del decreto ministeriale 16 settembre 2021.
L’identificazione deve essere di persona
Questa è la novità che più strutture non hanno recepito, e riguarda chi ha automatizzato il check-in.
Con la circolare del Ministero dell’Interno del 18 novembre 2024, il Viminale ha chiarito che l’identificazione dell’ospite deve avvenire de visu — di persona. Le procedure da remoto, quelle in cui l’ospite carica il documento in digitale e accede con una key box o un sistema automatico, sono state dichiarate inidonee ad assolvere l’obbligo dell’articolo 109.
Vale per alberghi, ostelli, affitti brevi e persino i posti barca.
In pratica: il software può mandare le schedine al posto tuo, ma non può guardare in faccia l’ospite al posto tuo. Chi ha sostituito il ricevimento con una cassetta delle chiavi e un modulo online non è in regola, per quanto puntuali siano gli invii.
È una distinzione che conta anche quando si valuta un gestionale: automatizzare la trasmissione è legittimo e utile; automatizzare l’identificazione non è consentito, e chi te lo promette ti sta esponendo.
Va detto anche che le sanzioni per la mancata comunicazione non sono amministrative ma penali — l’articolo 17 del TULPS prevede l’arresto o l’ammenda — e che l’invio tardivo è equiparato al mancato invio. Non esiste un ritardo tollerato.
Le credenziali: come si ottengono
L’autorità che rilascia le credenziali è la Questura territorialmente competente, non il portale. La richiesta si presenta dopo che la struttura è stata regolarmente segnalata al Comune (SCIA o comunicazione al SUAP).
Qui serve una premessa che quasi nessuna guida fa, e che spiega perché tante si contraddicono fra loro.
Il funzionamento del portale è nazionale. Il modo di chiedere le credenziali è locale. Tutto quello che leggi in questa guida su termini, schedine, tracciato del file, ricevute e web service discende dal decreto del Ministero dell’Interno pubblicato in Gazzetta il 14 ottobre 2021, in vigore dal 12 gennaio 2022: vale identico da Bolzano a Ragusa. La richiesta iniziale delle credenziali, invece, la gestisce ogni Questura a modo proprio — e in qualche provincia perfino i singoli Commissariati.
Se trovi due guide che dicono cose diverse, quasi sempre è questo: stanno descrivendo due province diverse, senza dirlo.
Come si presenta la richiesta, nei casi che abbiamo verificato:
| Questura | Canale |
|---|---|
| Roma | Esclusivamente PEC |
| Milano | PEC oppure di persona, su appuntamento telefonico |
| Firenze | Di persona o via email all’URP, con moduli distinti per privati e società |
| Napoli | Al Commissariato competente per territorio, non alla Questura |
| Torino | Modulo con email per ricevere le credenziali e telefono per le comunicazioni |
| Chieti | Email o PEC, con indirizzi distinti per Questura, Lanciano e Vasto |
La direzione generale è chiara — si va verso la posta elettronica e si esce dallo sportello — ma l’unica fonte che conta per la tua provincia è la pagina della tua Questura su questure.poliziadistato.it. Lì trovi il modulo giusto, l’indirizzo giusto e l’elenco allegati aggiornato.
Gli allegati variano, ma il nucleo è costante:
- il modulo di richiesta compilato (si scarica dal sito della propria Questura);
- copia del documento d’identità del titolare o legale rappresentante;
- copia della SCIA, della licenza di esercizio o della ricevuta SUAP;
- copia del codice fiscale e, se prevista, attestazione di partita IVA o visura camerale;
- eventuale delega, se chi presenta la richiesta non è il titolare;
- per gli affitti brevi sotto i 30 giorni, alcune Questure chiedono la dichiarazione di locazione occasionale.
Tutto in PDF.
A Milano
L’ufficio è la Divisione Polizia Amministrativa e Sociale — Ufficio AlloggiatiWeb, in via Cordusio 4, quinto piano scala B. Si può procedere in due modi: PEC a dipps146.00n0@pecps.poliziadistato.it, oppure di persona previo appuntamento telefonico (02 6226 6035, 02 7262 8335, 02 6226 6053, 02 7262 8353).
La differenza fra i due canali non è solo la comodità: se vai di persona con la documentazione completa, le credenziali ti vengono rilasciate direttamente; se mandi la PEC, arrivano via email all’indirizzo indicato sul modulo.
Se hai memoria di uno sportello comunale — a Milano le case e appartamenti per vacanze ne avevano uno dedicato — quella prassi non è più il canale di riferimento: oggi si passa dalla Questura.
Tempi. Non sono pubblicati da nessuna Questura. Gli operatori riferiscono in genere da una a due settimane, con punte oltre le tre in alta stagione o nelle province più grandi. È un’indicazione raccolta sul campo, non un termine ufficiale: se stai per aprire, muoviti con margine e non contare sul fatto che le credenziali arrivino prima del primo ospite.
Il corredo che ricevi non è una semplice coppia utente/password. È composto da:
| Elemento | A cosa serve |
|---|---|
| Codici di accesso (nome utente) | Identificano l’utenza |
| Password | Primo fattore |
| Scheda codici | 16 gruppi da 4 cifre, secondo fattore all’accesso |
| PUK | Serve per il recupero delle altre credenziali |
Conservali separatamente dal luogo in cui usi il portale, perché — come vedremo — il recupero funziona solo se ne possiedi almeno due.
Come si accede
L’accesso è a due fattori, e il secondo è cartaceo.
- Vai su
alloggiatiweb.poliziadistato.ite apri Accesso → Codici, oppure il link “Accedi all’Area di Lavoro” nei collegamenti rapidi. - Inserisci nome utente e password.
- Il sistema mostra un tastierino numerico e ti chiede alcune cifre della scheda codici: indica a caso quale numero di quale gruppo digitare.
Attenzione a un dettaglio operativo: dopo tre tentativi errati sui codici il sistema ti riporta all’inserimento di utenza e password. Non è un blocco dell’utenza, ma se stai lavorando di fretta al check-in è un giro a vuoto che conviene evitare.
Due precisazioni, perché su questo punto girano descrizioni sbagliate.
Non arriva nessun SMS. Diverse guide parlano di un OTP inviato al cellulare: non è così. Il secondo fattore è la scheda codici che hai ricevuto dalla Questura, e la Questura di Roma lo mette nero su bianco — per l’accesso ordinario non è richiesto un numero di telefono. Se stai valutando un servizio che ti chiede il cellulare “per l’OTP di Alloggiati Web”, vale la pena capire cosa stia facendo davvero.
Il certificato digitale non esiste più. Era il vecchio meccanismo di accesso, dismesso il 18 agosto 2022 e sostituito proprio dai codici dispositivi. Se hai documentazione o procedure interne che lo citano, sono da buttare.
Una volta dentro, la pagina iniziale mostra la Questura competente per la tua struttura, eventuali avvisi, l’ultimo accesso e l’ultima ricevuta disponibile.
Inserire una schedina
Dal menù Inserimento. Il primo campo determina tutto il resto:
- Ospite singolo — compili i suoi dati e invii.
- Capo famiglia — dopo i suoi dati inserisci quelli dei familiari.
- Capo gruppo — stessa logica per i componenti del gruppo.
Per ogni persona servono: data di arrivo, giorni di permanenza, cognome, nome, sesso, data di nascita, luogo di nascita (comune e provincia se in Italia, stato se all’estero) e cittadinanza.
Il documento d’identità — tipo, numero e luogo di rilascio — va indicato solo per l’ospite singolo, il capofamiglia e il capogruppo. Per familiari e membri del gruppo non serve.
L’invio per file: quando le schedine sono tante
Per gruppi numerosi, o per chi esporta da un gestionale senza collegamento diretto, il portale accetta un file di testo. Le regole sono rigide e il file viene rifiutato per intero se non le rispetta:
- codifica UTF-8;
- una riga per ogni alloggiato, massimo 1.000 righe per file;
- ogni riga esattamente 168 caratteri, con i campi a lunghezza fissa completati con spazi bianchi;
- i primi 134 caratteri (11 campi) sono obbligatori per tutti; i restanti 34 (documento d’identità) solo per ospite singolo, capofamiglia e capogruppo — per gli altri vanno 34 spazi;
- familiari e componenti del gruppo vanno nelle righe immediatamente successive al proprio capofamiglia o capogruppo;
- fine riga CRLF (ASCII 13 + 10) su ogni riga tranne l’ultima.
Comuni, stati e tipi di documento non si scrivono in chiaro: vanno usati i codici delle tabelle pubblicate nella sezione Supporto Tecnico del portale. Le province seguono le sigle automobilistiche, con l’eccezione di Roma = RM.
Prima dell’invio definitivo conviene sempre usare la funzione di test, che valida il file senza trasmetterlo.
Le ricevute: il punto in cui più strutture sono scoperte
Ogni giorno in cui hai trasmesso qualcosa, il portale genera una ricevuta in PDF con la data, il numero di schedine inviate e il numero di protocollo. È firmata digitalmente e riporta un QR code di controllo della Polizia di Stato.
Il problema è la finestra: il portale rende scaricabili soltanto le ricevute degli ultimi 30 giorni. Oltre quel termine non le recuperi più.
La conservazione è a carico della struttura, e la ricevuta è l’unica prova di avvenuta comunicazione che hai in caso di controllo. Se non hai un’abitudine di scarico mensile, oggi è il giorno buono per crearla.
Se perdi le credenziali
Dal menù Supporto → Recupera Credenziali. Il meccanismo è a incastro: puoi recuperare un elemento solo se ne possiedi almeno altri due.
| Vuoi recuperare | Ti servono |
|---|---|
| Codici di accesso | Password + PUK |
| Password | Scheda codici + PUK |
| Scheda codici | Password + PUK |
| PUK | Password + Scheda codici |
Il PUK compare in tre righe su quattro: è l’elemento da custodire con più cura. Se hai perso tutto, il recupero online non è possibile e si torna alla Questura.
Più appartamenti sotto la stessa utenza
Chi gestisce più unità — case e appartamenti per vacanze, property manager — trova nel menù la voce Appartamenti, da cui aggiungere e disabilitare le unità in autonomia, e associare a ciascuna le schedine.
Un vincolo da conoscere prima di provarci: il comune di un appartamento può ricadere solo nella provincia della Questura di appartenenza. Se gestisci unità in province diverse ti servono utenze diverse, una per Questura.
Collegare il gestionale: il web service
Il portale espone un web service per la cooperazione applicativa, pensato esattamente per questo: far partire le schedine dal gestionale della struttura senza che nessuno apra il browser.
Il meccanismo è in due tempi. Il gestionale si autentica con le credenziali più una chiave dedicata, la WSKEY, e ottiene in cambio un token temporaneo con una data di scadenza; le trasmissioni successive viaggiano con quel token. Sono disponibili anche le operazioni di test, l’elenco delle schedine trasmesse, il download delle ricevute e la gestione degli appartamenti.
La WSKEY si genera dall’area riservata, alla voce Chiave Web Service sotto il proprio nome utente. Due vincoli che vale la pena conoscere prima di trovarseli addosso:
- se ne può generare una sola al giorno;
- a ogni cambio password va rigenerata.
Il secondo è quello che rompe le integrazioni: si cambia la password del portale per policy interna, e l’invio automatico smette di funzionare senza un errore evidente al check-in. Se colleghi un gestionale, metti il cambio password e la rigenerazione della WSKEY nella stessa procedura.
Il punto
Alloggiati Web non è complicato. È ripetitivo, a termine breve e senza rete di sicurezza: i dati li hai già presi al check-in, li ridigiti su un portale, e se sbagli il giorno non puoi correggere da solo.
È esattamente il genere di lavoro che una struttura non dovrebbe fare a mano — ed è il motivo per cui il portale un web service ce l’ha.
Domande frequenti
Entro quanto tempo vanno comunicati gli ospiti?
Entro 24 ore dall'arrivo. Se il soggiorno non supera le 24 ore, il termine scende a 6 ore dall'arrivo. Il portale accetta come data di arrivo soltanto quella odierna o quella del giorno precedente: se ti accorgi in ritardo di non aver inviato una schedina, il sistema non ti lascia rimediare da solo e devi rivolgerti alla Questura competente.
Chi è obbligato a usare Alloggiati Web?
Chiunque dia alloggio a titolo oneroso: alberghi, B&B, affittacamere, case e appartamenti per vacanze, agriturismi, ostelli, campeggi. L'obbligo nasce dall'articolo 109 del TULPS e non dipende dalla dimensione della struttura — vale anche per chi affitta un solo appartamento.
Devo conservare le ricevute di invio?
Sì, ed è il punto su cui più strutture si trovano scoperte. Il portale tiene disponibili per il download soltanto le ricevute degli ultimi 30 giorni: passato quel termine non sono più recuperabili dal portale. La conservazione è a carico della struttura.
Posso far inviare le schedine dal mio gestionale?
Sì. Il portale espone un web service per la cooperazione applicativa: il gestionale si autentica con le credenziali più una chiave dedicata (WSKEY), ottiene un token temporaneo e trasmette le schedine senza passare dal browser. La WSKEY si genera dall'area riservata, se ne può generare una sola al giorno e va rigenerata a ogni cambio password.
Posso identificare gli ospiti da remoto, con key box e documento caricato online?
No. La circolare del Ministero dell'Interno del 18 novembre 2024 ha dichiarato inidonee le procedure da remoto: l'identificazione deve avvenire de visu, di persona. Il gestionale può trasmettere le schedine al posto tuo, ma non può sostituire il riconoscimento dell'ospite. Chi ha sostituito il ricevimento con una cassetta delle chiavi non è in regola, per quanto puntuali siano gli invii.
Come si richiedono le credenziali Alloggiati Web?
Alla Questura territorialmente competente — a Napoli, per esempio, al Commissariato di zona. È l'unico passaggio che cambia da provincia a provincia: Roma accetta esclusivamente PEC, Firenze anche l'email o la presentazione di persona, Milano entrambe le vie. Servono il modulo della propria Questura, il documento d'identità del titolare, la SCIA o la ricevuta SUAP e il codice fiscale, in PDF. Verifica sempre sulla pagina della tua Questura su questure.poliziadistato.it: è l'unica fonte aggiornata per la tua provincia.
L'accesso ad Alloggiati Web usa un OTP via SMS?
No. Il secondo fattore è la scheda codici cartacea rilasciata dalla Questura — 16 gruppi da 4 cifre, di cui il sistema chiede di volta in volta alcune posizioni. Per l'accesso ordinario non è richiesto alcun numero di cellulare. Il vecchio accesso tramite certificato digitale è stato dismesso il 18 agosto 2022.
Ho perso le credenziali: come le recupero?
Dal menù Supporto → Recupera Credenziali del portale. Il recupero funziona solo se sei in possesso di almeno due fra Password, Scheda Codici, PUK e Codici di Accesso: con due di questi il sistema ti restituisce il terzo. Se li hai persi tutti il recupero online non è possibile e devi rivolgerti alla Questura.
