Slik vet et nettsted hvem du er, uten å få passordet ditt

Du åpner BankID-appen, kjenner igjen ansiktet ditt eller taster passordet, og noen sekunder senere er du inne på skatteetaten.no, nettbanken eller en nettbutikk du aldri har brukt før. Tjenesten har aldri sett deg, aldri fått passordet ditt, og likevel vet den nøyaktig hvem du er. Trikset er at den aldri spør deg direkte.

Tre parter, ikke to

Det ser ut som en samtale mellom deg og nettstedet, men det er egentlig tre parter inne i bildet: deg, banken din (gjennom BankID) og tjenesten du prøver å logge inn på. Når du trykker «logg inn med BankID», sender ikke tjenesten deg et passordfelt den selv kontrollerer. Den sender deg videre til en innloggingsside driftet av BankID, og det er der – ikke hos tjenesten – du legitimerer deg.

Et konkret eksempel på hvordan det ser ut i praksis: du oppgir fødselsnummeret ditt, og BankID-appen din får et varsel du må godkjenne. Etter godkjenningen ber flyten deg om BankID-passordet, fortsatt i BankID sin egen del av prosessen, beskriver Curity i sin integrasjonsguide for utviklere som skal koble tjenester til BankID. Når du har bekreftet hvem du er, går ikke svaret tilbake som «her er passordet, sjekk selv» – tjenesten får bare beskjed om at BankID står inne for deg, i en form den kan stole på. Det tekniske grensesnittet BankID tilbyr utviklere er bygget på OpenID Connect, en industristandard for nettopp denne typen bekreftelse mellom tre parter, ifølge BankIDs egen utviklerside .

Omveien er selve poenget. Skulle et nettsted en dag begynne å be deg taste BankID-passordet rett inn på sin egen side, i stedet for å sende deg videre til BankID, er det et tegn på at noe er galt – for slik er det ikke bygget opp. Det er BankID, og bare BankID, som noensinne skal se det passordet.

Nettstedet velger hvor strengt det skal være

Ikke alle innlogginger krever det samme. «Hvert enkelt nettsted bestemmer hvilket sikkerhetsnivå de ønsker å tilby», skriver BankID på sin egen tjenesteside – en nettbutikk kan nøye seg med et lavere nivå enn nettbanken din. Innlogging med BankID og passord alene oppfyller likevel kravene til det høyeste tillitsnivået, «tillitsnivå Høy», ifølge BankID selv . Det nivået anbefaler BankID spesifikt der noe står på spill: ved betaling av store beløp eller utveksling av sensitive data, ifølge samme kilde . Har du logget inn med ansikt, finger eller PIN, holder ikke nødvendigvis det alene – tjenesten kan be deg om det personlige passordet i tillegg før den slipper deg videre til noe som krever mer tillit enn selve innloggingen ga. Biometrien er den raske veien inn; passordet er reserven som hentes frem når innsatsen stiger. Oppdager systemet noe som ikke stemmer med hvordan du pleier å logge inn, kan du bli bedt om å bekrefte identiteten på nytt underveis – «det kan for eksempel være når vi oppdager noe unormalt med påloggingen», heter det på samme side. Nøyaktig hva som regnes som unormalt, og hvordan det oppdages, er ikke noe BankID beskriver i detalj offentlig – og det er rimelig: en oppskrift på hva som slipper gjennom, ville vært mest til nytte for noen som ville prøve seg.

Skalaen bak et par sekunder

Det som tar deg noen sekunder, skjer i et system med et helt annet omfang. BankID har i dag 4,6 millioner brukere og brukes hos 16 000 tjenester i privat og offentlig sektor, med nesten 1 milliard innlogginger og signeringer i året, ifølge Stø , selskapet som drifter BankID på vegne av bankene. De første norske kundene fikk BankID i 2004, ifølge Støs egen historie .

Hvem står egentlig bak knappen

BankID eies ikke av én bank, men av bankene i Norge sammen, gjennom Vipps Holding AS, skriver BankID . Selskapet som gjør jobben het frem til nylig BankID BankAxept AS, skilt ut som eget selskap fra Vipps i 2022. I mai 2025 byttet selskapet navn til Stø AS – men BankID og BankAxept selv beholdt navnene sine, det var bare den samlende bedriften bak som fikk nytt navn, ifølge pressemeldingen fra BankID . I 2023 kom BankID med biometri, ansikt eller fingeravtrykk i stedet for kode, ifølge samme historieoversikt som daterer selve starten i 2004.

Det du egentlig gjør når du logger inn med BankID, er altså å be en tredjepart alle involverte stoler på, bekrefte identiteten din på dine vegne – uten å gi fra deg noe du ikke ville gitt fra deg til banken selv.