Första gången jag försökte förklara för min mamma vad BankID egentligen gör när hon öppnar Skatteverket, slutade samtalet med att hon sa: ”Det bara funkar.” Det är ungefär den känslan en svensk Pay N Play-bookmaker vill att du ska ha. Du klickar, signerar med fingret, och pengarna är inne. Bakom den enda gesten ligger ett identifieringsflöde som faktiskt är ovanligt sofistikerat — och som efter tolv år i den här branschen fortfarande imponerar på mig när jag stannar upp och tittar på det.
Pay N Play utan BankID är i praktiken otänkbart för en svensk licensierad bookmaker. Den infrastruktur som täcker 99,9 procent av alla svenskar mellan 18 och 67 år är så djupt inbäddad i flödet att operatören inte ens kan välja bort den utan att förlora hela poängen med snabbregistrering. I den här artikeln går jag igenom exakt vad som händer mellan att du trycker ”Logga in med BankID” och att ditt spelkonto öppnar sig.
Grunderna: varför BankID är ryggraden i hela flödet
Om jag skulle välja en enda anledning till att Sverige fick Pay N Play före nästan alla andra länder är svaret enkelt: BankID. Tekniken hade redan vunnit innan spelbranschen ens förstod vad den kunde användas till. När ett land har en e-legitimation som används 7,5 miljarder gånger om året i 7 500 anslutna tjänster, blir det orimligt att bygga något snabbflöde utan att haka i den.
BankID är en mjukvarubaserad identitet utgiven av en bank. Det betyder att din bank redan har gjort den tunga delen av kundkännedomen — verifierat ditt personnummer, kontrollerat din folkbokföringsadress, kontrollerat dina officiella ID-handlingar. När du sedan signerar med BankID på en bettingsida, säger banken implicit till operatören: ”Den här personen är vi säkra på. Vi har koll på vem hen är.”
Det som är intressant är fördelningen av användning. Bank- och finanssektorn står för 51 procent av alla BankID-signeringar, mobila betalningar för 18, offentlig sektor för 5 och övrig privat sektor — där spelbranschen ingår — för 26 procent. Spelbranschen är inte den största kunden, men i absoluta tal handlar det om hundratals miljoner inloggningar och signeringar om året på bookmakers ensamt.
Flödet steg för steg när du sätter in pengar
Jag ska ta dig genom exakt vad som händer i bakgrunden. Det här är ingen marknadsföringsversion — det här är vad du faktiskt utlöser när du trycker ”Sätt in 200 kr”.
Du anger ett belopp på sajten. Operatörens frontend skickar förfrågan till sin betalningsleverantör, oftast Trustly. Trustly öppnar en banksession där du väljer din bank ur en lista. Direkt efter det kommer det första BankID-momentet: du ska autentisera dig mot din bank. Mobilt BankID öppnas, du anger din PIN-kod eller använder fingeravtryck eller Face ID, och banken bekräftar att du är inloggad.
Och nu händer det viktiga som de flesta missar: medan banktransaktionen genomförs, plockar Trustly automatiskt ut den verifierade kundinformationen — namn, personnummer, adress — och skickar vidare till operatören tillsammans med betalningen. Det är här KYC-kontrollen sker, inte i ett separat formulär. Operatören skapar ett spelkonto kopplat till ditt verifierade personnummer i samma sekund som pengarna landar.
När du nästa gång loggar in är det egentligen inte en ”ny” inloggning — det är en återöppning av samma verifierade konto. Du klickar BankID, signerar, och du är inne. Inga lösenord, inga e-postlänkar, ingen återställning. Trustly har under det senaste året skalat ner det här flödet ytterligare med sin nya Azura-generation, där tiden från första klick till första spel kan ligga under 20 sekunder.
Secure Start från maj 2024 och varför det dök upp
I maj 2024 kom en regel som många spelare inte ens märkte men som förändrade en hel del bakom kulisserna. Alla företag som använder BankID är sedan dess skyldiga att aktivera funktionen Secure Start. Bakgrunden var en våg av social engineering där bedragare ringde upp människor, fick dem att öppna BankID-appen, och under samma session lurade dem att signera transaktioner som bedragaren initierat från sin egen dator.
Secure Start tvingar igång BankID-flödet från den enhet där tjänsten används. Sitter du på din bettingsajt på mobilen ska BankID öppnas på samma mobil — inte initieras från någon annans dator. Det låter trivialt men det är det inte. För Pay N Play betyder det att hela flödet ankras på en enhet, vilket gör det betydligt svårare för en utomstående att genomföra en ren kapning.
I praktiken: du som spelare märker inget annat än kanske att vissa konstiga inloggningsförsök från okända datorer inte längre fungerar. Operatörer och betalningsleverantörer har däremot fått skriva om delar av sin integration. Det kostade pengar i branschen men höjde säkerheten påtagligt.
Biometri, PIN-kod eller QR — vilket sätt fungerar bäst?
De tre vanligaste sätten att signera ett BankID-moment ger samma juridiska resultat men beter sig olika i praktiken. Biometri — Face ID eller fingeravtryck — är snabbast och det jag själv använder dagligen. Inloggning på en sportsbook tar bokstavligen två sekunder från det att jag plockar upp telefonen.
PIN-kod är fallback. Den fungerar alltid när biometri av någon anledning är blockerad, exempelvis efter omstart, efter för många misslyckade försök eller om operativsystemet har stängt av biometrisensorn. Lite långsammare men inte långsamt nog för att märkas i en Pay N Play-kontext.
QR-kod är scenarion där du sitter på en dator och har BankID på mobilen. Du läser av rutan på skärmen med BankID-appen, signerar i mobilen, och datorn loggar in dig. För dig som främst spelar på mobilen är QR ointressant. För desktop-spelare är det standard. Och eftersom Secure Start kräver att BankID-appen öppnas aktivt, är QR-flödet faktiskt ett av de bättre skyddade — bedragaren behöver fysiskt få dig att skanna något du själv ser.
Vanliga felmeddelanden och vad de faktiskt betyder
Här kommer de fel jag oftast ser när folk hör av sig och frågar varför inget fungerar.
”Vi kan inte verifiera din identitet just nu” är det vanligaste. Det betyder oftast inte att något är fel med ditt BankID — det betyder att kommunikationen mellan operatören, Trustly och BankID-servern hängde upp sig. Vänta 30 sekunder, försök igen. Om det upprepas är det ett tecken på att hela kedjan har problem, inte att du är blockerad.
”BankID-appen kunde inte startas” pekar nio gånger av tio på Secure Start. Du försöker initiera från en enhet och förväntar dig att appen ska öppnas på en annan. Eller så har du nyligen bytt telefon och inte spärrat det gamla BankID:t — då ligger det två aktiva certifikat i systemet och appen vet inte vilket den ska välja.
”Ditt BankID är inte tillåtet att användas för den här tjänsten” är ovanligare och tyder på att operatören har en regel som blockerar exempelvis BankID på fildatorbanker (alltså bankIDs som inte är mobila). Det förekommer hos vissa Pay N Play-bookmakers eftersom mobilt BankID anses säkrare.
”Personen är registrerad i Spelpaus” — det här är inte ett fel, utan ett besked. Du har stängt av dig själv från svenskt licensierat spel. Det går inte att förhandla bort, oavsett operatör. Det enda som kan ändra det är att din Spelpaus-period löper ut.
När du har grunderna i flödet på plats är nästa steg att förstå vem som faktiskt levererar betalningsdelen — och där är Trustly det dominerande namnet i Sverige. Jag har skrivit en separat genomgång av Trustly i svensk betting och hur deras infrastruktur ser ut, om du vill djupdyka i den sidan.