Innlogging i din app — uten passord, med data i Norge
Norsk innlogging med åpen standard (OpenID Connect). Data i Norge. Ingen passorddatabase hos deg. Et norsk alternativ til Auth0 og Clerk — uten proprietært SDK.
OIDC Discovery
https://id.autonomina.no/.well-known/openid-configurationimport NextAuth from "next-auth";
export const { handlers, signIn, signOut, auth } = NextAuth({
providers: [
{
id: "autonomina",
name: "Autonomina ID",
type: "oidc",
issuer: "https://id.autonomina.no",
clientId: process.env.AUTONOMINA_CLIENT_ID,
clientSecret: process.env.AUTONOMINA_CLIENT_SECRET,
authorization: { params: { scope: "openid profile email kyc" } },
},
],
});OAuth 2.1 / PKCE
PKCE S256 er påkrevd for alle klienter. Ingen implicit flow. RFC 7636.
JWKS-rotasjon
RS256-nøkler publiseres på /api/oauth/jwks. Verifiser JWT lokalt uten roundtrip.
SCIM 2.0 provisioning
Provisioner og deaktiver brukere via /api/scim/v2/Users. Bygget for norske SaaS-stacker.
HMAC Webhooks
user.verified og consent.revoked med HMAC-SHA256, replay-beskyttelse og SSRF-skjerming.
In-memory KYC-endepunkt
POST /api/kyc/verify krever innlogging. Bildet lagres ikke hos oss. Det leses hos identitetsleverandør og slettes etter avgjørelsen.
Passkeys (FIDO2)
WebAuthn som eneste innloggingsfaktor. Ingen passord å hashe, resette eller lekke.
HMAC Webhooks
Registrer en webhook-URL på klienten. Vi signerer payload med HMAC-SHA256 og headeren X-Autonomina-Signature. Typiske hendelser: user.verified, consent.revoked.