BankID

Översikt

BankID används för säker identifiering och digital signering. TIC Identity abstraherar komplexiteten i BankID:s API och ger dig ett enkelt REST-gränssnitt.

Så fungerar det

QR-kod flöde (rekommenderat)

1. Du startar en session via API:t
2. Du visar en animerad QR-kod för användaren
3. Användaren skannar QR-koden med BankID-appen
4. Användaren identifierar sig med fingeravtryck/kod
5. Du pollar för status och får resultat

Autostart flöde (samma enhet)

1. Du startar en session via API:t
2. Du redirectar till bankid:///?autostarttoken={token}&redirect={url}
3. BankID-appen öppnas automatiskt
4. Användaren identifierar sig
5. Användaren redirectas tillbaka till din app

Animerad QR-kod

BankID:s QR-koder uppdateras varje sekund för att förhindra replay-attacker. QR-koden beräknas med HMAC-SHA256.

Format

bankid.{qrStartToken}.{time}.{qrAuthCode}

Beräkning

const crypto = require('crypto');

function generateQrCode(qrStartToken, qrStartSecret, secondsElapsed) {
  const hmac = crypto.createHmac('sha256', qrStartSecret);
  hmac.update(secondsElapsed.toString());
  const qrAuthCode = hmac.digest('hex');

  return `bankid.${qrStartToken}.${secondsElapsed}.${qrAuthCode}`;
}

// Uppdatera varje sekund
let elapsed = 0;
setInterval(() => {
  const qrData = generateQrCode(token, secret, elapsed++);
  renderQrCode(qrData);
}, 1000);

using System.Security.Cryptography;
using System.Text;

public string GenerateQrCode(string qrStartToken, string qrStartSecret, int secondsElapsed)
{
    using var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(qrStartSecret));
    var hash = hmac.ComputeHash(Encoding.UTF8.GetBytes(secondsElapsed.ToString()));
    var qrAuthCode = Convert.ToHexString(hash).ToLowerInvariant();

    return $"bankid.{qrStartToken}.{secondsElapsed}.{qrAuthCode}";
}

Användarmeddelanden (RFA)

BankID definierar standardmeddelanden (RFA - Recommended for Action) som ska visas för användaren baserat på status. TIC Identity returnerar dessa automatiskt i API-svaren.

Hämta alla meddelanden via GET /api/v1/messages?language=sv

Sessionslivscykel

Tidsgränser

Order-regenerering

TIC Identity regenererar automatiskt BankID-ordern var 25:e sekund (innan 30-sekundersutgången). Nya qrStartToken och qrStartSecret returneras i poll-svaret.

Förlängning (WCAG)

För tillgänglighet kan sessionen förlängas en gång via POST /api/v1/auth/{sessionId}/extend, vilket ger ytterligare 5 minuter.

Säkerhet

• TLS 1.3: All kommunikation krypteras
• Klientcertifikat: TIC Identity autentiserar sig mot BankID med certifikat
• IP-validering: Slutanvändarens IP loggas och kan valideras av BankID
• Animerad QR: Förhindrar replay-attacker
• Personnummer: Kan begränsas till specifik användare

Testmiljö

TIC Identity är konfigurerat mot BankID:s testmiljö i utvecklingsläge. Använd BankID:s testapp för att testa.

Test-personnummer

Skapa test-BankID på demo.bankid.com med valfritt personnummer (t.ex. 199001011234).

Testapp

Ladda ner BankID-testappen från BankID:s utvecklarportal.