Jeg har brugt et år på at bygge dansk auth med MitID, GDPR-ops og EU-hosting (gratis tier) - vil I give det et kritisk kig?
Disclosure først: jeg er founder, så tag min begejstring med et gran salt.
Jeg har det seneste år bygget Torii (https://torii.so) fra Odense - login og user management, der er bygget til at kunne overleve en leverandørvurdering fra en DPO. Idéen kom af, at auth-delen ofte er "løst" på 10 minutter med en amerikansk udbyder, og så vælter det bagefter, når compliance spørger, hvor persondata ligger, hvem der kan impersonere brugere, og hvordan en artikel 15-anmodning håndteres.
Det, jeg egentlig fisker efter: kritisk feedback på DX'en. Er quickstarten til at følge? Hvad ville få jer til at fravælge det øjeblikkeligt? Og er der MitID-integrationssmerter, jeg burde prioritere? Jeg svarer på alt hernede.
Det tekniske:
- React: en provider + to komponenter (<ToriiProvider>, <SignIn>), sessions med HttpOnly refresh-cookie og kortlivede access-JWTs er håndteret. Backend-SDK'er i 7 sprog (TS, Python, .NET m.fl.).
- MitID via Signicat som en add-on - test-MitID virker direkte i sandbox, uden aftaler eller ventetid. Privacy-first: vi henter kun navne-claimet.
- Ellers: email/password + verifikationskoder, Google, GitHub, MFA (TOTP + recovery codes), organisationer/B2B med roller og invitationer, multi-session, feature flags, Capacitor til native mobil (system-browser + PKCE + deep link).
- GDPR som features, ikke som PDF: append-only audit log med CSV-eksport, indbygget art. 15/20 data-eksport, sletning der kaskaderer korrekt (TOTP-secrets scrubbes, audit-kæden bevarer integritet med PII nullet), og impersonation kræver obligatorisk begrundelse, der lander i loggen.
- Al data at rest ligger hos Hetzner i Falkenstein. Databehandleraftalen er baseret på Datatilsynets standardklausuler og ligger offentligt, sammen med hele sub-processor-listen. Dansk ApS, så vi er under præcis samme regler som jer.
Der er en gratis tier, så I kan prøve hele flowet inkl. test-MitID uden at betale noget.