Hvem kan integrere BankID i en app i Norge?

BankID-integrasjon i en app er ikke lenger en eksotisk øvelse. De fleste utviklingsselskaper som jobber med app- og systemutvikling har vært borti det, enten direkte mot BankID eller via en identitetsleverandør som samler flere innloggingsmetoder. Spørsmålet er sjelden om noen kan koble på BankID teknisk, det er om leverandøren forstår helheten: sikkerhet, personvern, logging og hva som skjer når noe går galt.

Hva innebærer BankID-integrasjon egentlig?

BankID i en app betyr som regel at appen sender brukeren gjennom en autentiseringsflyt, enten via BankID sin egen app, kodebrikke eller mobil BankID, og får tilbake en bekreftet identitet. Teknisk sett er dette en OpenID Connect- eller OAuth-basert integrasjon mot en identitetstjeneste.

Det som ofte undervurderes er alt rundt selve innloggingen:

• Avtale og oppsett hos BankID eller en identitetsleverandør, med riktig miljø for test og produksjon
• Sikker håndtering av tokens slik at identitetsdata ikke lekker eller lagres feil
• Logging og sporbarhet, spesielt viktig i helse og offentlig sektor der audit er et krav, ikke et nice-to-have
• Feilhåndtering når brukeren avbryter, mister nett, eller BankID-tjenesten er nede

En integrasjon som «bare fungerer» i demo, men mangler dette rundt, blir fort en sårbarhet i produksjon.

Hvem kan levere dette?

Det finnes grovt sett tre typer leverandører, og de passer til ulike behov.

Frilansere og mindre digitalbyråer kan sette opp BankID-innlogging i enklere apper og nettsider, spesielt hvis identitetsleverandøren allerede har gode kodeeksempler. Dette passer godt for enklere prosjekter med begrenset omfang, der konsekvensene av feil er lave.

Spesialiserte utviklingsselskaper utvikler gjerne BankID-integrasjon som en del av et større system, der innloggingen henger sammen med resten av arkitekturen: databaser, tilgangsstyring, integrasjoner mot andre fagsystemer. Her er BankID sjelden hovedleveransen, men en byggekloss i noe større, priset som en del av et fastprisprosjekt.

Store konsulenthus løser dette godt i store, langvarige program der BankID er én av mange komponenter i et omfattende system, gjerne med konsulenter som sitter on-site hos kunden over tid. Det passer for organisasjoner som uansett skal ha mange ressurser inne over lang tid.

Valget handler mindre om hvem som «kan» BankID, og mer om hvilken leveransemodell som passer prosjektets størrelse og tidshorisont.

Hva bør du sjekke hos leverandøren?

Før du velger hvem som skal integrere BankID, er det noen konkrete spørsmål som er verdt å stille.

Har de gjort tilsvarende integrasjoner før? Ikke nødvendigvis identisk, men noe som viser at de forstår autentiseringsflyt, tokenhåndtering og sikker sesjonshåndtering. Be gjerne om eksempler eller referanser.

Forstår de kravene til logging og GDPR? Dette er spesielt relevant om appen håndterer helsedata, personopplysninger eller brukes i offentlig sektor. En leverandør som ikke stiller spørsmål om dette tidlig, har kanskje ikke tenkt nok på det.

Hvor driftes løsningen? BankID-integrasjon involverer sensitive data, og hvor appen og backend driftes bør være avklart tidlig. STUDIO X drifter på norsk eller EU/EØS-basert skydrift, noe som er relevant for de fleste norske kunder med krav til datalokasjon.

Hvem eier koden etterpå? Dette bør avtales før signering. I de aller fleste prosjekter hos oss eier kunden koden, inkludert BankID-integrasjonen, slik at dere ikke er låst til én leverandør for videre drift og videreutvikling.

Hvordan foregår en typisk BankID-integrasjon hos et utviklingsselskap?

Prosessen ligner de fleste andre skreddersydde utviklingsprosjekter, men med noen ekstra steg knyttet til sikkerhet.

1. Avklaring av omfang: hvilken type BankID-flyt trengs, hvilke systemer skal identiteten kobles mot, og hvilke krav til logging og audit gjelder.
2. Oppsett av testmiljø mot BankID eller identitetsleverandøren, slik at integrasjonen kan testes uten å berøre produksjonsdata.
3. Utvikling og sikkerhetstesting, der tokenhåndtering, sesjoner og feilscenarioer testes grundig før lansering.
4. Produksjonssetting med overvåking av innloggingsflyt, slik at feil fanges opp raskt.

For mindre og mellomstore prosjekter kan dette gjerne prises direkte til fastpris. I større prosjekter, der BankID skal kobles mot flere fagsystemer og eksisterende infrastruktur, kan et kort forprosjekt være fornuftig for å avklare omfanget før prisen låses.

Er BankID alltid riktig valg?

Ikke nødvendigvis. Noen prosjekter trenger enklere innlogging, som e-post og passord eller sosiale innloggingsmetoder, og legger BankID på som et senere steg for verifisering av identitet i spesifikke flyter, som signering av avtaler eller tilgang til sensitive data. Det er verdt å diskutere med leverandøren om BankID trengs fra dag én, eller om det kan legges til når behovet oppstår. En ærlig leverandør sier fra hvis dere overkompliserer noe som kunne vært enklere i starten.

Vårt perspektiv i STUDIO X

Vi har utviklet løsninger med krav til sikker autentisering og audit, blant annet i prosjekter for offentlig sektor der personvern og sporbarhet er en forutsetning, ikke et tillegg. Vi bruker gjenkjennelig, standard teknologi som kunden selv eier koden til, slik at BankID-integrasjonen ikke blir en svart boks etter levering.

Om du vurderer BankID i en app dere skal utvikle, kan du lese mer om hvordan vi tenker rundt sikkerhet i BankID, GDPR og audit fra start, eller se hvordan vi jobber med apputvikling og integrasjoner mer generelt. Har dere et konkret behov, ta kontakt så ser vi på omfanget sammen.