Un SAML Service Provider (SP) è l'applicazione o il gateway che dipende da un Identity Provider (IdP) esterno per autenticare un utente. In un flusso SAML tipico, lo SP reindirizza l'utente all'IdP, riceve una assertion firmata in risposta e poi crea la sessione locale se la assertion è valida. Di solito lo SP non verifica direttamente la password dell'utente; si fida della risposta dell'IdP.
Questo ruolo è importante perché lo SP fa parte della catena di fiducia dell'autenticazione. Se la gestione SAML è configurata in modo errato o presenta vulnerabilità, gli attaccanti possono causare errori di accesso, confusione delle sessioni o, in alcuni casi, aggiramento dell'autenticazione. I difensori si concentrano su una rigorosa validazione delle firme, sui controlli di audience e temporali, sulla gestione sicura dei certificati e sull'applicazione tempestiva delle patch al software dello SP. Negli ambienti enterprise, molte applicazioni dipendenti fanno affidamento su un solo SP, quindi un guasto qui può rapidamente trasformarsi in una diffusa interruzione dell'accesso.