high complexity extracted Authentication & Access Control Confidence: 100%
3
Components
18
Shared
0
User Stories
Yes
Analyzed

Description

Vipps Authentication enables login via the Vipps payment and identity platform, widely used by Norwegian consumers as a trusted digital identity provider. The feature handles the OAuth redirect flow with Vipps Login, validates the returned identity token, and integrates with the Authentication Module to issue platform tokens. Like BankID, Vipps login can return the national ID number to enable member record enrichment in organizations whose records currently lack this identifier, and carries a monthly provider cost that must be shared across participating organizations before launch.

Sources & reasoning

Line 42 names Vipps as preferred by all four organizations, deferred to Fase 2 (= v1.0) alongside BankID. Line 379 explicitly notes the monthly Vipps cost and cost-sharing requirement, confirming it as a concrete deliverable with a commercial prerequisite that must be resolved before release.

  • Alle fire organisasjoner peker på BankID eller Vipps som foretrukket autentisering ved førstegangs innlogging
  • Vipps login-kostnad (350-750 kr/mnd) fordeles mellom organisasjonene - avtal modell

Analysis

Business Value

Vipps is the most widely installed app in Norway and provides a low-friction authentication path for users who may not have active BankID on mobile, maximizing demographic coverage across peer mentors with varying digital literacy levels. The personnummer return value delivers the same member enrichment benefit as BankID, addressing the gap where many member records lack this identifier. The monthly provider cost (350-750 NOK shared across organizations) is justified by reduced onboarding friction and the strategic advantage of meeting users on a platform they already trust for everyday financial transactions.

Implementation Notes

Integration uses Vipps Login's OpenID Connect provider with standard PKCE flow, following the same architectural pattern as BankID to keep the Authentication Module provider-agnostic. Per-tenant Vipps client credentials are stored in organization configuration. The cost-sharing model for the monthly fee must be agreed contractually before release, as noted explicitly in the source documentation. Flutter handles the deep-link callback; the admin portal uses standard HTTP redirect. The implementation reuses the same token issuance pipeline as BankID to avoid duplicating session management logic and to support future providers without further architectural changes.

Quality Assurance

Peer Mentor (primary) · Coordinator (same flow)
1
Scenarios
5
UAT Steps
18
A11y Annotations
2
Role Boundaries
Peer Mentor

Peer Mentor

Quick UAT

  1. Åpne Meander-appen. Bekreft at innloggingsskjermen vises med en synlig «Logg inn med Vipps»-knapp.
  2. Trykk «Logg inn med Vipps» og bekreft at du videresendes til Vipps-appen (eller Vipps i nettleser) for autentisering.
  3. Godkjenn påloggingen i Vipps med PIN eller biometri og bekreft at du sendes tilbake til Meander automatisk.
  4. Bekreft at hjem-skjermen for Peer Mentor-rollen lastes og at brukernavnet ditt vises korrekt.
  5. Logg ut fra Innstillinger og bekreft at du sendes tilbake til innloggingsskjermen uten gjenværende økt.

Quick UAT — Accessibility

  1. Åpne Meander-appen. Bekreft at innloggingsskjermen vises med en synlig «Logg inn med Vipps»-knapp.
    • Screen reader Skjermleser annonserer sideoverskrift «Logg inn» etterfulgt av tilgjengelige innloggingsalternativer i tab-rekkefølge.
    • Keyboard / focus Tab-rekkefølge: overskrift → e-post/passord-felt → «Logg inn med Vipps»-knapp → BankID-knapp.
    • Focus visibility Synlig fokusring på «Logg inn med Vipps»-knapp; knappen har tilgjengelig label «Logg inn med Vipps».
    • Touch target «Logg inn med Vipps»-knapp er minst 24×24 CSS px, anbefalt 44×44 for primærhandling.
    • Contrast Vipps-merkevareknapp oppfyller 4.5:1 kontrast mot bakgrunn; status formidles ikke kun ved farge.
  2. Trykk «Logg inn med Vipps» og bekreft at du videresendes til Vipps-appen (eller Vipps i nettleser) for autentisering.
    • Screen reader TalkBack/VoiceOver annonserer «Åpner Vipps for autentisering» eller tilsvarende live-region-melding før app-bytte.
    • Focus visibility Indikator eller spinner er merket med tilgjengelig label «Laster, vennligst vent» mens omdirigering skjer.
    • Live region 'Videresender til Vipps for autentisering.'
    • Zoom Spinner og ventetekst er lesbare ved 200 % zoom uten avskjæring.
  3. Godkjenn påloggingen i Vipps med PIN eller biometri og bekreft at du sendes tilbake til Meander automatisk.
    • Screen reader Etter retur til Meander annonserer skjermleser «Autentisering vellykket» eller tilsvarende før hjem-skjerm lastes.
    • Focus visibility Fokus flyttes automatisk til første interaktive element på hjem-skjermen etter innlogging.
    • Live region 'Vipps-autentisering fullført. Laster hjem-skjerm.'
  4. Bekreft at hjem-skjermen for Peer Mentor-rollen lastes og at brukernavnet ditt vises korrekt.
    • Screen reader Skjermleser annonserer hjem-skjermens overskrift og velkomstmelding med korrekt brukernavn.
    • Keyboard / focus Alle navigasjonselementer i bunnmenyen er nåbare med Tab og aktiverbare med Enter/Space.
    • Contrast Brukernavn og rolleindikator oppfyller 4.5:1 kontrast; rolle formidles ikke kun ved farge.
  5. Logg ut fra Innstillinger og bekreft at du sendes tilbake til innloggingsskjermen uten gjenværende økt.
    • Screen reader Skjermleser annonserer «Du er nå logget ut» og deretter innloggingsskjermens overskrift.
    • Focus visibility Fokus settes til første innloggingsalternativ (f.eks. e-post-felt eller «Logg inn med Vipps»-knapp) etter utlogging.
    • Live region 'Du er nå logget ut av Meander.'

Role Boundaries

2 role(s) must NOT access this feature
  • Global Administrator

    Global Admin har ingen tilgang til mobilappen; Vipps-innloggingsskjermen vises ikke. Deep-link til autentiseringsflyt returnerer 403 eller omdirigerer til admin-portalen.

  • Prospective Organization Representative

    Prospective Organization-brukere har ingen konto i mobilappen; Vipps-innlogging avvises med feilmelding om ukjent bruker. Ingen økt utstedes.

Expected End State

Brukeren er autentisert via Vipps OAuth-flyten, en plattformøkt er utstedt, og hjem-skjermen for brukerens rolle (Peer Mentor eller Coordinator) vises i Meander-mobilappen.

User Stories

No user stories have been generated for this feature yet.