Ökosystem-Integrationen

Für die European Digital Identity Wallet mit CodeB entwickeln.

Ob Sie als Relying Party eine Vorlage anfordern, als öffentliche Stelle Credentials ausstellen, als Wallet-Anbieter Ihre Wallet-Attestation-Trust-Anchors veröffentlichen oder als Betreiber einer nationalen Trust List arbeiten — die Endpunkte, Snippets und Drop-in-Skripte unten koppeln direkt an das Ökosystem der European Digital Identity Wallet an. Referenz: docs.eudi.dev. Nichts auf dieser Seite ist von der Europäischen Kommission bestätigt.

Ehrlicher Umfang. CodeB liefert heute OID4VP FINAL, OID4VCI 1.0 Final, SD-JWT VC, mso_mdoc und HAIP Abschnitt 5.11 Wallet Attestation.

Wählen Sie Ihre Rolle

Verifier / Relying Party

Nutzer melden sich mit ihrer EU Digital Identity Wallet an. CodeB prüft die Präsentation; Ihre App erhält ein OpenID-Connect-id_token.

Setup Getestete Beispiele

Issuer

SD-JWT VC oder mso_mdoc Credentials via OID4VCI Credential Offer ausstellen.

Setup SD-JWT-Offer mdoc-Offer

Wallet-Anbieter

Wallet-Attestation-JWKS/PEM veröffentlichen, damit Verifier HAIP §5.11 erzwingen können.

Setup JWKS-Muster

Trust-Anchor-Betreiber

LOTL, SD-JWT-VC-Issuer oder mDoc-Issuer-Zertifikate in den Verifier-Trust-Store einliefern.

Setup Vollständiger HAIP-Leitfaden

Verifier-Setup

Ihre Website oder App verifiziert Nutzer mit ihrer EU Digital Identity Wallet über Standard-OpenID-Connect. CodeB ist der Verifier: CodeB führt die OpenID4VP-Präsentation durch, prüft sie und übergibt Ihrer Anwendung ein signiertes id_token.

Wallet-Anmeldung für Ihre Website oder App

Leiten Sie den Nutzer mit acr_values=urn:codeb:acr:eudi-wallet zum CodeB-Autorisierungsendpunkt. CodeB führt die Wallet-Präsentation durch, prüft sie und liefert einen Autorisierungscode; Ihr Server tauscht ihn gegen ein signiertes id_token. Geben Sie den Zugang nur frei, wenn dessen acr-Claim urn:codeb:acr:eudi-wallet oder urn:codeb:acr:eudi-wallet-linked ist.

GET /oauth2/v1/authorize?response_type=code &client_id=<IHRE_CLIENT_ID>&redirect_uri=<IHR_CALLBACK> &scope=openid%20profile%20email&state=<s>&nonce=<n> &code_challenge=<S256>&code_challenge_method=S256 &acr_values=urn%3Acodeb%3Aacr%3Aeudi-wallet

Getestete Beispiele für Node.js, Python, PHP, Java, Go und ASP.NET Core: Integrationsbeispiele für die Wallet-Anmeldung. Die OpenID4VP-Endpunkte, die CodeBs eigene Anmeldeseiten nutzen, dokumentiert die EU-Wallet-Verifier-API.

Issuer-Setup

Der Issuer-Flow folgt OID4VCI 1.0 Final (dedizierter Nonce-Endpunkt, Notification-Endpunkt, credentials[]-Response-Format; das Draft-15-Skalarfeld credential bleibt als Rückwärtskompatibilitätsfallback erhalten). Sie deklarieren die unterstützten Credential-Typen, erzeugen pro Holder ein Credential Offer und übergeben dem Wallet einen openid-credential-offer://-Deep-Link.

1. VCTs deklarieren

VCT-Metadaten unter App_Data/<tenant>/vci/ ablegen oder über vci-admin verwalten. Jedes VCT deklariert Format (vc+sd-jwt oder mso_mdoc), Claims und Krypto-Constraints.

2. Credential Offer erzeugen

POST /vci.ashx?action=credential-offer Body: { "credential_configuration_ids": ["codeb-org-employee-sd-jwt-vc"], "holder_hint": { "email": "alice@example.com" } } Antwort 200: { "credential_offer_uri": "https://.../vci.ashx?action=offer&id=of_...", "deep_link": "openid-credential-offer://?credential_offer=..." }

3. Kopierfertige Credential-Offer-JSON

issuer-credential-offer-sample.json — SD-JWT VC, Pre-Authorized-Code-Grant (Einmal-Bearer, ohne PIN).
issuer-credential-offer-mdoc-sample.json — mso_mdoc PID, Authorization-Code-Flow.

Wallet-Anbieter-Setup

Wallet-Anbieter veröffentlichen die öffentlichen Schlüssel, die HAIP-§5.11-Wallet-Attestation-JWTs signieren. So können RPs erzwingen, dass eine Vorlage tatsächlich aus einem bestimmten Wallet-Produkt stammt.

1. JWKS veröffentlichen

Statisch unter https://<IHRE_WALLET_DOMAIN>/.well-known/wallet-provider.jwks.json. Musterform: wallet-provider-jwks.json.

2. Beim Tenant hinterlegen

App_Data/<tenant>/trust/wallet-providers/<wallet-provider-id>.jwks.json

3. Wallet-Attestation erzwingen

Oidc:WalletAttestationRequired=true pro Tenant lehnt Vorlagen ohne gültiges HAIP-§5.11-Attestation-JWT ab. Rauchtest: testscripts/wallet-attestation-smoke.py.

Trust-Anchor-Setup

Verifier-Tenants brauchen drei Trust-Stores: LOTL für eIDAS-Zertifikatsketten, SD-JWT-VC-Issuer-Set und mDoc-Issuer-Set. Alle unter App_Data/<tenant>/trust/ als PEM/JSON/DER. Die ausführliche Anleitung inkl. nächtlichem Reconciler und wacs-Cert-Refresh: HAIP Operator Setup.

Deep-Link-Builder (Testhilfe)

Baut schnell eine openid4vp://- oder openid-credential-offer://-URL für Wallet-Interop-Tests. Rein clientseitig. Quellcode: openid4vp-deep-link-builder.js.

Schema client_id request_uri state (opt.) nonce (opt.)

(URL erscheint hier)

Referenz: docs.eudi.dev für Upstream-Referenzimplementierungen und Protokollprofile der European Digital Identity Wallet.

Entwickler-Kochbuecher: OIDC-Anmeldung - JWT-Validierung - M2M-API-Keys - Webhooks

Siehe auch: Wallet-Interoperabilitätsmatrix · Glossar.

Häufige Fragen

Welche Spezifikationen implementiert CodeB für die Integration der European Digital Identity Wallet?

OpenID for Verifiable Presentations (OID4VP) FINAL, OpenID for Verifiable Credential Issuance (OID4VCI) Draft 15, SD-JWT VC (draft-ietf-oauth-sd-jwt-vc), ISO/IEC 18013-5 mso_mdoc und das High Assurance Interoperability Profile (HAIP). Upstream-Referenz: docs.eudi.dev.

Hat CodeB eine offizielle Empfehlung der EU-Kommission?

Nein. CodeB wird nicht von der Europäischen Kommission empfohlen. Diese Integrationsanleitungen implementieren öffentliche Spezifikationen des EUDI-Ökosystems und verweisen auf die Upstream-Dokumentation unter docs.eudi.dev.

Erzwingt der Verifier-Ablauf eine Wallet-Attestierung?

Optional pro Mandant. Setzen Sie Oidc:WalletAttestationRequired=true für den Mandanten, um bei jeder Präsentation eine Wallet-Attestierung gemäß HAIP Abschnitt 5.11 zu verlangen.