EUDI-Wallet · Anmeldung · W3C Digital Credentials API
Mit der EUDI-Wallet anmelden.
Direkt aus dem Browser.
Auf der CodeB-Anmeldeseite kann Ihr Browser Ihre Wallet-App direkt fragen – kein QR-Code zum Scannen, kein Link zum Kopieren. Der Browser zeigt, welche Wallets antworten können, Ihre Wallet zeigt, wer was fragt, und die Antwort geht verschlüsselt an die fragende Website. Dafür dient die W3C Digital Credentials API.
W3C Digital Credentials API · OpenID4VP 1.0 (signierte und unsignierte Anfragen, dc_api.jwt) · ISO/IEC TS 18013-7 Anhang C (org-iso-mdoc) · SD-JWT VC · ISO mdoc
Erscheint auf der Anmeldeseite nur, wenn der Browser es unterstützt; für alle anderen Browser bleibt der QR-Code.
Kurz gesagt
- Was
- Anmeldung mit Ihrer europäischen digitalen Identität (EUDI): Ihr Browser gibt die Anfrage der Website an eine Wallet-App auf Ihrem Gerät weiter und bringt die Antwort zurück – die W3C Digital Credentials API.
- Wo
- Auf der CodeB-Anmeldeseite (Anmeldung mit der EU-Wallet) und damit für jede Anwendung, die Personen über CodeBs OpenID Connect mit der EU-Wallet anmeldet.
- Sie brauchen
- Einen Browser, der die API anbietet (zum Beispiel aktuelles Chrome auf Android), und eine Wallet-App, die sie beantwortet, etwa CodeB Wallet für Android.
- Geteilt wird
- Nur, was die Website fragt und Sie bestätigen: für die Anmeldung Ihr Name aus der PID oder Ihre CodeB-Anmeldekarte.
- Schutz
- Die Antwort ist für die Website verschlüsselt und vom Browser an deren Webadresse gebunden; die Website signiert ihre Anfrage.
- Sonst
- Browser ohne die API behalten QR-Code und „Wallet öffnen“-Link – dort ändert sich nichts.
So funktioniert es
Drei Schritte. Der Browser übernimmt die Übergabe statt eines QR-Codes.
„Wallet über diesen Browser verwenden“ wählen
Auf der Anmeldeseite erscheint die Schaltfläche, wenn Ihr Browser die Digital Credentials API unterstützt. Die Website bereitet eine Anfrage für genau diese Anmeldung vor.
Wallet wählen und bestätigen
Browser und Telefon zeigen die Wallets, die antworten können. Ihre Wallet zeigt, wer fragt, ob die Website geprüft ist und welche Angaben genau; Sie teilen oder lehnen ab.
Angemeldet
Die verschlüsselte Antwort geht über den Browser zurück an die Website, die sie wie jede Wallet-Antwort prüft und Sie anmeldet.
Warum es sicher ist
An die Website gebunden
Der Browser fügt der Anfrage die Webadresse der Seite hinzu, und die Wallet bindet ihre Antwort daran. Eine Antwort für eine andere Website funktioniert hier nicht.
Verschlüsselt
Die Antwort ist für einen Schlüssel verschlüsselt, der nur für diese eine Anmeldung erzeugt wurde (dc_api.jwt bzw. HPKE bei ISO mdoc). Nur die fragende Website kann sie lesen.
Die Website weist sich aus
Die Anfrage ist mit dem Zertifikat der Website signiert, wie beim QR-Code. Ihre Wallet prüft das, bevor sie etwas anzeigt.
Dieselben Prüfungen wie immer
Aussteller-Signatur, Holder-Schlüssel, Nonce und Widerruf werden genau wie bei der Anmeldung per QR-Code geprüft. Eine unverschlüsselte Antwort wird abgelehnt.
Nur das Nötige
Selektive Offenlegung: Die Anfrage nennt die Angaben, für die Anmeldung nur Ihren Namen oder Ihre Anmeldekarte.
Kein Tracking
Keine Skripte Dritter und keine Analyse auf der Anmeldeseite; die Browser-API läuft lokal zwischen Ihrem Browser und Ihrer Wallet.
Protokolle
Die Website bietet mehrere Anfrageformate an; Browser und Wallet nehmen eines, das beide unterstützen.
| Protokoll | Was es ist | Verwendet für |
|---|---|---|
openid4vp-v1-signed | Von der Website signierte OpenID4VP-1.0-Anfrage (Anhang A), Antwortmodus dc_api.jwt, expected_origins | PID oder CodeB-Anmeldekarte, SD-JWT VC und ISO mdoc |
openid4vp-v1-unsigned | Dieselbe Anfrage ohne Signatur, für Wallets, die nur unsignierte Anfragen annehmen | wie oben |
org-iso-mdoc | ISO/IEC TS 18013-7 Anhang C: DeviceRequest mit Reader-Authentifizierung, HPKE-verschlüsselte DeviceResponse | PID im Format ISO mdoc |
Fragen und Antworten
Was ist die W3C Digital Credentials API?
Eine Browser-Schnittstelle (navigator.credentials.get mit einer digital-Anfrage), über die eine Website eine Wallet auf demselben Gerät nach einem Nachweis fragt. Browser und Betriebssystem zeigen die Wallets, die antworten können, und geben die Antwort an die Website zurück. Sie ersetzt QR-Code und eigenen Link.
Brauche ich weiterhin eine Wallet-App?
Ja. Der Browser reicht die Anfrage nur weiter; beantwortet wird sie von einer Wallet-App. CodeB Wallet für Android beantwortet diese Anfragen (Einstellung „Meine Dokumente Websites und Apps anbieten“, standardmäßig an). Eine Webseite kann für diese API keine Wallet sein, daher nutzt die CodeB-Web-Wallet weiter QR-Code oder Link.
Welche Browser unterstützen das?
Browser, die die Digital Credentials API anbieten, zum Beispiel aktuelles Chrome auf Android. Die Anmeldeseite prüft das selbst und zeigt die Schaltfläche nur, wo es funktioniert.
Was, wenn mein Browser es nicht unterstützt?
Dann ändert sich nichts: QR-Code mit der Wallet scannen oder die Wallet über den Link auf demselben Gerät öffnen.
Ist das sicher?
Ja. Der Browser bindet die Antwort an die Webadresse der Seite, die Antwort ist für einen Schlüssel dieser Anmeldung verschlüsselt, und die Website signiert ihre Anfrage. Die Website prüft die Antwort genau wie bei der Anmeldung per QR-Code.
Welche Protokolle werden verwendet?
OpenID4VP 1.0 in der Form für die Digital Credentials API (signierte und unsignierte Anfragen, verschlüsselte dc_api.jwt-Antworten) und ISO/IEC TS 18013-7 Anhang C (org-iso-mdoc) für die PID im Format ISO mdoc.
Müssen Relying Parties etwas ändern?
Nein. Anwendungen, die Personen über CodeBs OpenID Connect mit der EU-Wallet anmelden (acr urn:codeb:acr:eudi-wallet), kommen auf dieselbe Anmeldeseite; die Browser-Option erscheint dort von selbst.
Ist die Digital Credentials API ein fertiger Standard?
Sie ist ein W3C-Entwurf, den Browser bereits ausliefern. Wir folgen dem Entwurf und passen uns an, wenn er sich ändert.
Ist das zertifiziert?
Nein. Es folgt den veröffentlichten Spezifikationen; es ist keine zertifizierte EUDI-Wallet und kein zertifiziertes Relying-Party-Produkt.
Verwandte Seiten
Anmeldung mit der EU-Wallet
Mit PID oder CodeB-Anmeldekarte anmelden: QR-Code, Link oder Browser.
CodeB Wallet für Android
Die Wallet-App für Browser-Anfragen, QR-Codes und Prüfungen vor Ort.
Für Entwickler
Die drei Aufrufe hinter der Browser-Anmeldung und das Client-Skript js/web-dc-api.js (Englisch).
Jetzt ausprobieren
Öffnen Sie die Anmeldeseite in Chrome auf Ihrem Android-Telefon mit installierter CodeB Wallet und wählen Sie „Wallet über diesen Browser verwenden“.