Säkerhet

Vad du får utan att göra något

PKCE krävs av alla klienter, även de med hemlighet, och bara S256 godtas. plain skickar verifieraren i klartext i samma anrop den ska skydda och ger därför inget skydd alls.

MFA är obligatoriskt för alla konton. Ingen kan slutföra en inloggning utan andrafaktor. Du behöver inte bygga det, och du kan inte stänga av det.

Callback-adressen matchas exakt. Inga jokertecken, ingen prefixmatchning.

En kod går bara att lösa in en gång. Används samma kod igen återkallas hela kedjan — även refresh token. Det gör ett stulet kodfynd användbart i sekunder, inte i timmar, och gör stölden synlig.

Kontot kontrolleras vid varje token. En refresh token slutar fungera i samma stund kontot stängs av eller medlemskapet dras in.

Konton spärras efter fem misslyckade försök i femton minuter, och antalet försök räknas per konto — inte per session.

Vad du måste göra i din kod

Ditt bibliotek gör det mesta åt dig. Stäng inte av något av följande:

  • Verifiera iss mot https://login.aegiscentralid.se/.
  • Verifiera aud mot ditt eget client_id. En token utfärdad till någon annan klient får aldrig accepteras.
  • Verifiera signaturen mot vår JWKS. Nycklarna hämtas automatiskt från upptäcktsdokumentet.
  • Använd state och jämför det vid återkomsten.
  • Kontrollera exp. En utgången token är inte giltig, hur välsignerad den än är.

Var du lagrar tokens

Har din applikation en server: lagra dem där, och ge webbläsaren bara din egen sessionskaka. Det är det säkra alternativet.

Har den ingen server hamnar tokens i webbläsaren, där varje skript på sidan kan läsa dem. Det är en godtagbar avvägning för en ren frontend, men det är en avvägning — inte ett likvärdigt alternativ.

Klienthemligheten

Visas en enda gång och lagras hashad hos oss. Vi kan inte visa den igen, bara byta ut den. Rotation återkallar alla tokens för klienten.

Lägg den aldrig i frontend-kod, i ett git-repo eller i en mobilapp. En hemlighet som distribueras till användarens enhet är ingen hemlighet — använd en publik klient med PKCE i stället.

Om något ändå går fel

Hittar du ett säkerhetsproblem i Aegis, hör av dig innan du berättar för någon annan. Vi svarar.