In SAML e in altri sistemi di accesso federato, il Service Provider è l'applicazione o il sito web che vuole autenticare un utente facendo affidamento su un sistema di identità esterno. Di solito non verifica direttamente la password dell'utente. Invece, riceve un'asserzione firmata da un Identity Provider e decide se creare una sessione locale.
Questo ruolo è importante perché lo SP rappresenta il confine di fiducia. Se lo SP convalida l'asserzione in modo errato, accetta una firma non valida o tratta una verifica fallita come un successo, un attaccante può accedere senza una prova valida dell'identità. Negli attacchi reali, i difetti nel codice lato SP possono trasformare un singolo errore logico in un bypass dell'autenticazione. Chi difende dovrebbe trattare la convalida dello SP come un'attività critica per la sicurezza: verificare le firme in modo rigoroso, confrontare i valori attesi di audience e recipient, rifiutare tutti gli errori di verifica e mantenere aggiornato il software SP. Una MFA forte e i controlli di accesso aiutano, ma non sostituiscono una corretta verifica lato SP.