Moderne architectuur & identity-oplossingen voor webapplicaties
Backend for Frontend (BFF): wat en waarom?
Het BFF patroon houdt in dat je voor elke front-end (bijvoorbeeld SPA, mobiele app of andere client) een speciaal back-endpoint bouwt dat specifiek is afgestemd op die front-end.
Waarom BFF?
- Traditionele grote API’s moeten vaak allerlei verschillende clients bedienen, wat leidt tot complexiteit, security-issues en lastige versiebeheerproblemen.
- Met BFF krijgt elke client een eigen backend, waardoor de communicatie eenvoudiger en veiliger wordt.
- De BFF fungeert als tussenlaag die verzoeken afhandelt, achterliggende services aanroept en de front-end alleen de date geeft die het nodig heeft.
Veiligheid en tokenbeheer
- Front-ends zoals SPA’s gebruiken vaak OAuth/OIDC met bearer-tokens in de browser, wat risico’s met zich meebrengt (token-diefstal via XSS, MITM, extensies enz.)
- BFF’s lossen dit op door de tokens op de server te houden en client-side gebruik te maken van HTTP-only cookies (niet leesbaar via JavaScript).
BFF flow in het kort
-
De front-end start een niet-geauthenticeerde call naar de BFF.
-
De BFF stuurt de gebruiker naar een Identity provider voor login.
-
Na succesvolle login krijgt de BFF tokens en slaat dieveilig op in cookies.
-
Latere API-calls sturen alleen cookies mee, geen tokens in de client.
Verifieerbare credentials (VC’s) en gedecentraliseerde identiteit (DID)
In het tweede deel van deze blog nemen we een deepdive in VC’s en DID.
Wat zijn verifieerbare credentials?
Verifieerbare credentials zijn cryptografisch ondertekende digitale informatiebrokken van een issuer, die een gebruiker (holder) in een digitale wallet bewaart. Ze worden gebruikt om betrouwbare, gecontroleerde informatie te presenteren aan een verifier zonder onnodige data te delen.
Dit past in de bredere gedecentraliseerde identiteit (DID)-wereld:
- Gebruikers beheren identiteit in hun wallet, niet centraal bij een identity provider.
- Verifiers hoeven alleen te vertrouwen op de onder ondertekening van de issuer.
Belangrijke protocollen
Er zijn twee belangrijke OpenID-gebaseerde protocollen:
- OpenID4VCI: voor het uitgeven van credentials (issuer --> wallet).
- OpenID4VP: voor het opvragen/verkrijgen van credentials (verifier --> wallet –> verifier).
Voorbeeld van een VC-workflow:
-
Issuer publiceert een DID-document online met cryptografische sleutels.
-
Wallet krijgt een credential van issuer via OpenID4VCI.
-
Verifier vraagt een presentation request (bijvoorbeeld met een QR-code).
-
Wallet stuurt een verifiable presentation terug, met alleen de gevraagde informatie.
-
Verifier controleert de credential-handtekening en revocatie-status.
Dit vermindert privacy-risico's en maakt identiteit transparanter, veiliger en portable voor gebruikers en systemen.
Beide trends helpen developers betere,modernere en veiligere applicaties te bouwen. Waarbij BFF zorgt voor een veiliger API-patroon en VC’s nieuwe mogelijkheden openen voor identity-management buiten traditionele IAM-systemen.
