Sendity Client
Oberfläche im Browser, Verifizierung auf dem Server.
Der Sendity Web Client ist die Anmeldeoberfläche im Browser. Er zeigt den Challenge-Code, die Kanalaktionen und den Fortschritt an und löst Browser-Events aus. Kampagnenkonfiguration, Kanal-Routing und Verifizierungsregeln bleiben auf dem Server.
Betrachten Sie ihn als sichtbaren Rand des Ablaufs: einfach in eine Login-Seite einzubauen, aus Sicherheitssicht aber bewusst schlank. Er kann Ihrem Frontend mitteilen, dass eine Verifizierung stattgefunden hat. Ob eine Person angemeldet ist, entscheidet er nicht. Diese Entscheidung bleibt bei Ihrem Backend oder Framework-Adapter.
Binden Sie ihn dort ein, wo die Anmeldung stattfindet.
Verwenden Sie das Element <sendity-auth> direkt oder eine Komponente eines Framework-Adapters in Ihrem Login-, Registrierungs- oder Step-up-Ablauf. Der Client stellt Challenge und Kanalauswahl dar, legt die Session Ihrer Anwendung aber nicht selbst an.
Lassen Sie den Server die Verifizierungsaktion festlegen.
Der Client sendet die Kampagnen-ID, den aktuellen Origin und lokalisierte Nachrichtenvorlagen an die Sendity API. Die API liefert eine verification_action mit Kanal, optionalem Transport, Hauptempfänger und vollständiger Aktions-URL zurück. Die Verifizierung per Telefon kann WhatsApp oder den konfigurierten SMS/RCS-Ablauf nutzen. Der Client verwendet die vom Server erzeugte URL unverändert für Button und QR-Code. Eine optionale RCS-Service-ID bleibt im sms:-Link kodiert.
Erst prüfen, dann die Session öffnen.
Browser-Events sind Signale der Oberfläche. Ihr Backend muss das signierte Ergebnis prüfen, wiederverwendete oder abgelaufene Ergebnisse zurückweisen, das verifizierte Subjekt einem lokalen Nutzer zuordnen und erst dann die Session anlegen. Framework-Adapter automatisieren diesen Weg, die Vertrauensgrenze bleibt aber dieselbe.
Laufzeitvertrag
Der öffentliche Vertrag ist bewusst klein: eine Kampagnen-ID als public-key, optionale Darstellungsattribute, die gemeinsame Eigenschaft für den Eckenradius und Benachrichtigungen per CustomEvent. Zugangsdaten der Anwendung bleiben in Ihrem Backend. Ein kurzlebiges AuthRequest-Secret liefert die API zurück; es liegt nur im Session Storage des Browsers. Ein Client Secret der Anwendung wird nie in die Seite geschrieben.
<script type="module" src="https://sendity.io/vendor/sendity/client/sendity-client.js"></script>
<sendity-auth
public-key="app_01HX..."
lang="en"
></sendity-auth>