API de Smart-ID: guia de la RP API v3 per a desenvolupadors

Darrera revisió: 5 d'octubre de 2026 · No constitueix assessorament jurídic

Aquesta és la guia tècnica de l'API de Smart-ID: punts d'accés, sessions, comprovacions de la resposta, proves en l'entorn de demostració i validesa jurídica. Per als contractes i les normes de prevenció del blanqueig de capitals per país, llegiu la nostra guia d'integració de Smart-ID.

Smart-ID d'un cop d'ull

Smart-ID és una aplicació mòbil de SK ID Solutions AS. Un servei la fa servir, a través de l'API de Relying Party de SK, per iniciar la sessió d'un usuari o per recollir una signatura.^[13] Una part de cada clau es troba al servidor de SK, que l'Autoritat del Sistema d'Informació d'Estònia (RIA) anomena "servei de servidor de gestió de claus de Smart-ID".^[4]

Adopció: usuaris i transaccions

Lituània és el mercat més gran de Smart-ID, amb 1,857,471 usuaris, seguida de Letònia, amb 1,198,463, i d'Estònia, amb 797,395, segons el comptador en directe de smart-id.com del 5 d'octubre de 2026.^[1] SK informa de "gairebé 100 milions de transaccions cada mes".^[2]

A Estònia, Smart-ID té "una quota de mercat de gairebé el 60 per cent" de les autenticacions, segons ERR News. El comptador només dona totals; cap font primària indica la proporció d'adults de cada país que fan servir Smart-ID (5 d'octubre de 2026).

Què veu l'usuari

La RP API v3 arriba a l'aplicació de tres maneres: un codi QR dinàmic entre dispositius, un enllaç Web2App o App2App al mateix telèfon, o una notificació push.^[12] SK comercialitza l'experiència amb QR i d'aplicació a aplicació com a Smart-ID+, que "ja no depèn d'introduir el codi d'identificació personal en un lloc web".^[8]

Com funciona l'API v3 de Smart-ID

L'API és REST sobre HTTPS amb JSON en UTF-8.^[19] Quatre famílies d'endpoints POST obren una sessió i retornen un sessionID; un GET retorna el resultat.^[13]

Les famílies d'endpoints de l'RP API v3, segons la visió general de SK.^[13]

Inici de sessió entre dispositius simplificat, amb un enllaç de dispositiu.^[12][18]

Esculls:

• Cada sol·licitud inicial de la v3 porta un rpChallenge aleatori que genereu vosaltres; va substituir el nonce de la v2 contra els atacs de repetició.^[20]
• El sessionSecret no ha d'arribar mai al vostre frontend, i cada flux té una sola sol·licitud de sessió, fins i tot quan mostreu el QR i l'enllaç alhora.^[18]
• En els fluxos de notificació, calculeu el codi de quatre xifres a partir del SHA-256 de rpChallenge.^[17]
• SK us autentica per la IP d'origen més el relyingPartyUUID, i exigeix la fixació de claus HTTPS.^[19]
• La documentació de SK indica que un usuari sense compte rep un HTTP 404, i us demana que mostreu un sol missatge per a tots els casos d'error, contra l'enumeració.^[19]

Què rep una empresa de l'API de Smart-ID

Una sessió finalitzada retorna state, result.endResult, el certificat de l'usuari a cert i un objecte signature. El serialNumber del titular conté el codi d'identitat, per exemple PNOEE-30001010004, i el prefix indica el país.^[15]

La verificació de la resposta d'SK us exigeix:^[15]

• Comproveu que state és COMPLETE, que endResult és OK i que el protocol és ACSP_V2 (inici de sessió) o RAW_DIGEST_SIGNATURE.
• Valideu la cadena només amb les CA d'SK, amb OCSP o CRL.
• Exigiu tots els identificadors de política de Smart-ID, perquè els altres certificats d'SK fallin.
• Compareu certificateLevel amb el nivell que requeriu.
• Reconstruïu la càrrega signada i verifiqueu la signatura.
• Verifiqueu els valors de l'URL de callback en els fluxos al mateix dispositiu.

Nivell de garantia i valor jurídic

Smart-ID no figura a la llista de la UE de sistemes d'identificació electrònica notificats. El sistema notificat d'Estònia (alt, 7 de novembre de 2018) cobreix el document d'identitat i Mobile-ID.^[6]

Advertiment: els e-residents "no es distingeixen dels residents".^[5]

Diligència deguda amb el client en matèria AML a Estònia

La Llei de prevenció del blanqueig de capitals i del finançament del terrorisme d'Estònia (RahaPTS) estableix les vies remotes al § 31(3).^[23]

§ 31(3)RahaPTS (Estònia)

"1) e-identimise süsteemi, millest on teatatud ... (EL) nr 910/2014 ... artikli 9 kohaselt ja mis vastab ... artikli 8 lõike 2 punktis b või c sätestatud usaldusväärsuse tasemele" or "2) kvalifitseeritud usaldusteenust"

Font: Riigi Teataja, RahaPTS^[23]

En termes planers: un sistema d'identificació electrònica notificat de nivell substancial o alt, o un servei de confiança qualificat. La via 1 no hi encaixa. A 5 d'octubre de 2026 no hi ha cap declaració oficial sobre si els certificats qualificats de Smart-ID encaixen en la via 2, per tant consulteu Finantsinspektsioon o un assessor jurídic. La llei AML de Lituània (article 11) i el Reglament del Consell de Ministres núm. 392 de Letònia (punt 7.1) inclouen una signatura electrònica qualificada o segura entre diverses vies remotes.^[28][29]

A partir de 2027: article 22(6) de l'AMLR

El Reglament contra el blanqueig de capitals (AMLR) s'aplica a partir del 10 de juliol de 2027. L'article 22(6)(b) accepta "mitjans d'identificació electrònica que compleixin els requisits del Reglament (UE) núm. 910/2014 pel que fa als nivells de garantia 'substancial' o 'alt' i els serveis de confiança qualificats pertinents".^[30] Els projectes finals de normes de l'Autoritat de Lluita contra el Blanqueig de Capitals (AMLA) de 30 de setembre de 2026, que encara no són llei, accepten la identificació electrònica de nivell substancial o alt "independentment que s'hagin notificat d'acord amb l'article 9".^[31] La nostra pàgina sobre la cartera europea d'identitat digital (EUDI Wallet) tracta el calendari d'eIDAS 2.

Com es connecta una empresa: contracte directe de RP o intermediari

El procés de SK: proveu-ho gratis sense cap acord, trieu les mesures de seguretat, envieu les vostres adreces IP i el nom del servei, signeu, rebeu el vostre RP UUID i comenceu a operar "en pocs dies des de la vostra primera consulta".^[21] Els intermediaris certificats també revenen Smart-ID, i els organismes públics estonians poden utilitzar la passarel·la TARA de RIA.^[5]

Tres maneres d'accedir a Smart-ID.^[21][5]

La llista de preus de SK (a partir de l'1 de juny de 2026) factura cada «sol·licitud d'autenticació o signatura de Smart-ID»: €0.109 amb un mínim mensual de €60, fins a €0.0106 en el pla de 3 milions, i un acord personal per sobre de 5 milions.^[11] SK afirma que Smart-ID+ «no té cap cost addicional» per als RP existents.^[7]

Proves amb l'entorn de demostració

Demo: https://sid.demo.sk.ee/smart-id-rp/v3/, relyingPartyUUID 00000000-0000-4000-8000-000000000000, nom DEMO. Producció: https://rp-api.smart-id.com/v3/.^[14] Comptes de prova per resultat:^[16]

Casos d'ús i normes sectorials

• Incorporació de clients amb KYC i AML. Nom i codi personal signats; l'adequació a la normativa AML varia segons el país.^[23][28][29]
• Joc i edat. La Llei del joc d'Estònia prohibeix els jocs d'atzar als menors de 21 anys (§ 34(2)) i obliga els operadors remots a verificar cada jugador i a registrar-ne el codi personal (§ 53(1)).^[24] No hem trobat cap atribut només d'edat a l'API.
• Signatura. Els comptes qualificats signen mitjançant v3/signature; "4 de cada 10 lituans van utilitzar una signatura electrònica qualificada el 2025".^[13][33]
• Telecomunicacions. Cap norma bàltica esmenta Smart-ID per al registre de targetes SIM (5 d'octubre de 2026).

Límits i alternatives

"A Estònia i Letònia, Smart-ID està limitat actualment a les persones amb un número d'identificació nacional estonià o letó"; els no residents a Lituània poden obtenir Smart-ID Basic en dos bancs.^[22] Smart-ID no té límit d'edat, però les vies de registre sí que en tenen (targeta d'identitat letona a partir dels 14 anys), i els comptes de menors de 18 anys necessiten l'autorització dels pares.^[32]

No hem trobat cap interrupció documentada a 5 d'octubre de 2026; el risc és el pesca de credencials (phishing). Gairebé 23 milions d'euros es van robar de comptes bancaris estonians el 2025 mitjançant estafes de PIN, segons ERR News. Des del 29 d'abril de 2026, el registre estonià llegeix la targeta d'identitat per NFC en lloc d'un lector de targetes.^[34]

Primer l'eID, el document com a alternativa; registreu per què ha calgut cada alternativa.^[31]

Llista de comprovació per implementar l'API de Smart-ID

Desenvolupeu primer amb la demo gratuïta de SK i deixeu el contracte per a quan el vostre codi funcioni.^[21] La verificació de la resposta és el nucli de la feina.^[15]

• Desenvolupeu contra l'URL de demo i els comptes de prova publicats.^[14][16]
• Prioritzeu els fluxos d'enllaç de dispositiu; permeteu la notificació només en dispositius coneguts.^[13]
• Genereu un rpChallenge aleatori nou per a cada inici de sessió.^[20]
• Fixeu la clau HTTPS de SK i mantingueu sessionSecret al servidor.^[19][18]
• Executeu tots els passos de la verificació de la resposta de SK.^[15]
• Envieu a SK les vostres IP i el nom del servei i, després, signeu.^[21]
• Documenteu la vostra base jurídica per a l'ús en AML a cada país.^[23]
• Afegiu una ruta documental per als usuaris sense Smart-ID.

Com us ajuda Didit amb Smart-ID

Smart-ID està actiu a Didit per a la verificació d'eID a Estònia, Letònia, Lituània i Bèlgica. Didit gestiona la connexió amb SK, de manera que us estalvieu el contracte de RP, la llista d'IP permeses i el codi de certificats.

A la consola, aneu a Workflows, al pas ID Verification, a Countries, trieu el país i marqueu Smart-ID a "Wallets accepted". Per API, definiu methods.EST.wallet, creeu una sessió i llegiu GET /v3/session/{id}/decision/ o el webhook: verification_method és "wallet" amb un objecte wallet_verification, segons la documentació de carteres d'identitat digital.^[35] L'usuari aprova un codi de comparació a l'aplicació Smart-ID. Didit no demana mai el PIN.

Obteniu el nom complet, la data de naixement, el codi personal bàltic, el nivell de garantia (etiquetat com a High) i una comprovació de signatura. No hi ha adreça ni retrat. Els usuaris sense Smart-ID passen a la verificació de documents amb lectura del xip NFC ($0.15), detecció de vida i comparació facial. El KYC complet costa $0.33 i el cribratge AML, $0.20. Només es facturen els inicis de sessió amb identificació electrònica completats. Una verificació amb Smart-ID completada costa $0.20 (pàgina de preus), i totes les identificacions electròniques són a la pàgina de carteres d'identitat digital.

Preguntes freqüents

Fonts

1. Pàgina d'inici de Smart-ID, comptador d'usuaris en temps real, SK ID Solutions, consultat el 5 d'octubre de 2026.
2. 2025: impulsant la confiança digital més enllà de les fronteres, SK ID Solutions, 19 de gener de 2026.
3. Confiança i competència en la identitat digital a Europa, e-Estonia, 2026.
4. Identitat electrònica (eID), Autoritat del Sistema d'Informació (RIA).
5. Especificació tècnica de TARA, RIA.
6. Visió general dels sistemes d'identificació electrònica prenotificats i notificats en virtut d'eIDAS, Comissió Europea, consultat el 5 d'octubre de 2026.
7. Smart-ID+, SK ID Solutions.
8. Com em protegeix del frau el nou Smart-ID, preguntes freqüents de Smart-ID.
9. El govern d'Estònia adopta Smart-ID+ per reforçar la seguretat, SK ID Solutions, 28 de gener de 2026.
10. Per què de vegades veig un codi de confirmació i de vegades tres, preguntes freqüents de Smart-ID.
11. Llista de preus, SK ID Solutions, vigent des de l'1 de juny de 2026.
12. Relying Party API: introducció, SK ID Solutions, versió 3.2.3.
13. Relying Party API: visió general dels endpoints de l'API, SK ID Solutions.
14. Paràmetres tècnics dels entorns, SK ID Solutions.
15. Relying Party API: verificació de respostes, SK ID Solutions.
16. Comptes de prova per a proves automatitzades, SK ID Solutions.
17. Relying Party API: fluxos basats en notificacions, SK ID Solutions.
18. Relying Party API: fluxos amb enllaç de dispositiu, SK ID Solutions.
19. Relying Party API: descripció tècnica de l'API, SK ID Solutions.
20. Relying Party API: registre de canvis, SK ID Solutions.
21. Procés d'integració per a proveïdors de serveis electrònics, Smart-ID.
22. Poden els estrangers i els no residents utilitzar Smart-ID, preguntes freqüents de Smart-ID.
23. Rahapesu ja terrorismi rahastamise tõkestamise seadus (RahaPTS), § 31, Riigi Teataja.
24. Hasartmänguseadus (Llei del joc), Riigi Teataja.
25. Elektroniskā identifikācija, Ministeri de Defensa de Letònia.
26. Smart-ID ha obtingut l'estatus qualificat local per a l'autenticació a Letònia, SK ID Solutions, 29 de maig de 2023.
27. Smart-ID i Mobile-ID, reconeguts com a eines aprovades per l'Estat a Lituània, SK ID Solutions, 19 de desembre de 2024.
28. Llei de prevenció del blanqueig de capitals i del finançament del terrorisme, article 11, Lituània, text consolidat d'INFOLEX.
29. Reglament del Consell de Ministres núm. 392, Letònia, likumi.lv.
30. Reglament (UE) 2024/1624 (AMLR), EUR-Lex, Diari Oficial del 19 de juny de 2024.
31. Informe final, projecte de RTS en virtut de l'article 28(1) de l'AMLR, AMLA, 30 de setembre de 2026.
32. Limitacions d'edat per utilitzar Smart-ID, preguntes freqüents de Smart-ID.
33. SK ID Solutions va emetre gairebé tres milions de certificats a Lituània el 2025, SK ID Solutions, 7 de maig de 2026.
34. El registre a Smart-ID amb el document d'identitat estonià ja està disponible per NFC, Smart-ID, 29 d'abril de 2026.
35. Carteres d'identitat digital, documentació de Didit.
36. Relying Party API: interaccions, SK ID Solutions.

Smart-ID és un dels cinc eID actius a la verificació eID de Didit. Vegeu també què és la verificació eID i la guia de l'API de BankID Suècia.