Centrale identiteit
Gebruik de stabiele OIDC sub als identity key. E-mail is een
attribuut en nooit de primaire identiteitssleutel.
Identity infrastructure
Authenticatie die je applicatie niet zelf hoeft te bouwen.
VelvetID is CyberVelvet's centrale Identity & Access Management-platform voor first-party applicaties en goedgekeurde integraties. Je applicatie integreert via OAuth 2.0 en OpenID Connect; VelvetID beheert identiteit, authenticatie en de centrale beveiligingspolicy.
Integraties zijn niet publiek self-service. Clientregistratie en toegang worden uitgegeven voor CyberVelvet-applicaties en goedgekeurde integraties.
01 / CONCEPT
VelvetID levert een authenticatie-uitkomst, geen loginmethode.
Je applicatie hoeft niet te weten of een gebruiker met een wachtwoord, MFA, een bestaande SSO-sessie of een toekomstige methode is geauthenticeerd. De centrale policy bepaalt wat nodig is; de integratie blijft hetzelfde.
Applicatiegrens blijft intact
VelvetID beheert gedeelde IAM. Je eigen applicatie blijft eigenaar van businessdata, businessrollen en applicatiespecifieke workflows.
Policy zonder integratiewijziging
Sterkere authenticatie kan centraal worden afgedwongen zonder dat iedere aangesloten applicatie zijn loginflow opnieuw hoeft te bouwen.
02 / INTEGRATIE
De browser beweegt. Je backend houdt de controle.
De gebruiker wordt voor authenticatie naar VelvetID gestuurd. Gevoelige integratiehandelingen blijven server-side en je applicatie maakt na succesvolle authenticatie zijn eigen beveiligde sessie.
Start in je applicatie
Maak een authorization request met de geregistreerde client, redirect URI,
state, nonce en S256 PKCE.
VelvetID authenticeert
VelvetID resolveert de geldende policy en voltooit de vereiste authenticatiestappen in centrale context.
Code terug naar je app
De browser keert alleen terug naar een exact geregistreerde redirect URI. Je backend verwerkt de authorization code.
Eigen applicatiesessie
Valideer de OIDC-uitkomst, koppel op sub en maak daarna de
lokale sessie van je applicatie aan.
03 / PROTOCOL
Standaarden vormen de publieke grens.
Protocolmetadata hoort niet in applicatiecode te worden gegokt of hardcoded. Start bij discovery en laat de provider zijn ondersteunde endpoints en metadata publiceren.
Authorization Code
Browsergebaseerde authenticatie met server-side code exchange.
S256
Code challenge protection is onderdeel van het authorization contract.
openid · email
openid identificeert OIDC; e-mail wordt alleen via de e-mailscope gedeeld.
/.well-known/…
Gebruik provider metadata als bron voor de actuele protocol-endpoints.
04 / SECURITY
De integratiegrens is bewust klein.
VelvetID is security-infrastructuur. De veilige route is daarom voorspelbaar: browser redirects voor authenticatie, server-side vertrouwelijke handelingen en zo min mogelijk identity-data in de consumer.
Geen secrets in de browser
Client secrets, management credentials en gevoelige API-operaties blijven aan de serverzijde.
Exacte redirect URI's
Redirects en post-logout redirects worden tegen expliciet geregistreerde waarden gevalideerd.
Minimale claims
De stabiele subject identifier is de basis. Aanvullende persoonsgegevens worden alleen gedeeld wanneer de relevante scope dat toestaat.
App-autorisatie blijft expliciet
Een geldige VelvetID-identiteit betekent niet automatisch dat iemand toegang heeft tot iedere aangesloten applicatie.
Begin bij discovery, niet bij een handgeschreven endpointlijst.
De OpenID Provider Configuration beschrijft de actuele protocolgrens. Voor Laravel-integraties kan de officiële server-side VelvetID SDK de OIDC-plumbing afschermen zodra je applicatie als client is geregistreerd.