Send returnUrl via server

[martin-lindstrom]

From BankID:

ReturURL kan nu skickas via server
Det är nu också möjligt att skicka in ReturURL via server för att höja säkerheten ytterligare. Det är en kraftfull åtgärd för att försvåra bedrägerier. Resultatet är att anrop som startas på samma enhet (med autostart-token) kommer att anropa den retur-URL som skickats via servern när identifieringen/underskriften är slutförd. Eventuell retur-URL som anges i start-URL när BankID-appen startades kommer ignoreras.

Returadressen som du anger bör också innehålla en så kallad nonce om sessionen. När användaren återvänder till din app/webbsida bör din tjänst verifiera att identifieringen/underskriften lyckades och att enheten som tar emot returnURL är samma enhet som startade identifieringen/underskriften.