OpenID Connect · OAuth 2.1

Innlogging i din app — uten passord, med data i Norge

Norsk innlogging med åpen standard (OpenID Connect). Data i Norge. Ingen passorddatabase hos deg. Et norsk alternativ til Auth0 og Clerk — uten proprietært SDK.

OIDC Discovery

https://id.autonomina.no/.well-known/openid-configuration
import NextAuth from "next-auth";

export const { handlers, signIn, signOut, auth } = NextAuth({
  providers: [
    {
      id: "autonomina",
      name: "Autonomina ID",
      type: "oidc",
      issuer: "https://id.autonomina.no",
      clientId: process.env.AUTONOMINA_CLIENT_ID,
      clientSecret: process.env.AUTONOMINA_CLIENT_SECRET,
      authorization: { params: { scope: "openid profile email kyc" } },
    },
  ],
});

OAuth 2.1 / PKCE

PKCE S256 er påkrevd for alle klienter. Ingen implicit flow. RFC 7636.

JWKS-rotasjon

RS256-nøkler publiseres på /api/oauth/jwks. Verifiser JWT lokalt uten roundtrip.

SCIM 2.0 provisioning

Provisioner og deaktiver brukere via /api/scim/v2/Users. Bygget for norske SaaS-stacker.

HMAC Webhooks

user.verified og consent.revoked med HMAC-SHA256, replay-beskyttelse og SSRF-skjerming.

In-memory KYC-endepunkt

POST /api/kyc/verify krever innlogging. Bildet lagres ikke hos oss. Det leses hos identitetsleverandør og slettes etter avgjørelsen.

Passkeys (FIDO2)

WebAuthn som eneste innloggingsfaktor. Ingen passord å hashe, resette eller lekke.

HMAC Webhooks

Registrer en webhook-URL på klienten. Vi signerer payload med HMAC-SHA256 og headeren X-Autonomina-Signature. Typiske hendelser: user.verified, consent.revoked.