For AI agents: fetch the complete documentation index at /llms.txt, the full documentation corpus at /llms-full.txt, the agent skill at /skill.md, or this page as Markdown at /nl/docs/web/apple-sign-in.md (or send Accept: text/markdown).
Apple-inloggen toevoegen
Registreer een App ID, een Services ID en een Sign in with Apple-sleutel in het Apple Developer-portaal en verbind het clientpaar met de app.
Walkthrough voor beginners
Vereisten: de webapp lokaal draaiend (Ship in 5 minuten), een gemigreerde database voor echte accounts (Database instellen) en een Apple Developer Program-lidmaatschap — hetzelfde account van $99 per jaar dat de mobiele-accountgids inschrijft, dus voltooi die stap eerst als u dat nog niet heeft gedaan. Alles in het ontwikkelaarsportaal hieronder kost niets extra.
Waarom het ertoe doet: App Store-review vereist Sign in with Apple wanneer een iOS-app sociale inlog van derden zoals Google of GitHub aanbiedt, en het is ook een solide laagdrempelige knop op het web — Apple-gebruikers loggen in met het account dat al op hun apparaten staat.
Snelle begrippen: een App ID is de geregistreerde identifier van uw app (com.yourcompany.yourapp). Een Services ID is een tweede identifier die Apple uitgeeft voor web- en serverlogin — die wordt uw client-ID. Een return-URL is het exacte adres waarnaartoe Apple een ingelogde gebruiker mag terugsturen — de Better Auth-callback van de kit. Een geheime sleutel is het .p8-bestand dat Apple u eenmalig geeft; u maakt er zelf het clientgeheim van.
1. Registreer een App ID met de Sign in with Apple-capability. 2. Registreer een Services ID die ernaar verwijst en uw domein plus return-URL bevat. 3. Maak een Sign in with Apple-sleutel en download het .p8-bestand. 4. Zet de sleutel om in een client-secret-JWT en stel de drie env-waarden in.
Een eerlijke beperking: Apple's return-URL's moeten absolute https://-adressen op een geregistreerd domein zijn — localhost en gewone http worden geweigerd, dus de knop kan op een kale lokale server niet volledig worden uitgeoefend. Verifieer op uw gedeployde URL, of exposeer de lokale server via een https-tunnel (bijvoorbeeld cloudflared tunnel of ngrok) en registreer het tunnel-domein plus zijn callback tijdens het testen.
De App ID registreren
1. Open developer.apple.com/account en log in met het account dat het Developer Program-lidmaatschap bevat.
2. Open Certificates, Identifiers & Profiles → Identifiers en klik op de blauwe +-knop.
3. Selecteer App IDs → Continue, houd het type op App → Continue.
4. Description: uw productnaam. Bundle ID: kies Explicit en voer de reverse-domainvorm com.yourcompany.yourapp in — als u de iOS-app shippt, gebruik dan exact de ios.bundleIdentifier in apps/mobile/app.json zodat beide platforms één App ID delen.
5. Vink in de capabilitylijst Sign in with Apple aan → Continue → Register.
Verwacht: de identifier verschijnt in de Identifiers-lijst met de Sign in with Apple-capability ingeschakeld. Hergebruik deze ene App ID — de Services ID en de sleutel koppelen er beide aan als de primaire app.
De Services ID en return-URL registreren
1. Klik terug in Identifiers opnieuw op +, kies Services IDs → Continue.
2. Description: iets als yourapp web sign-in. Identifier: nog een reverse-domainnaam — com.yourcompany.yourapp.web is de conventie — bewust anders dan de App ID. Deze Services ID is de client-ID die de server gebruikt voor web-login; kopieer hem exact, daarna Continue → Register.
3. Selecteer de nieuwe Services ID in de lijst, vink Sign in with Apple aan en klik op Configure.
4. Zet in het dialoogvenster Primary App ID op de App ID uit de vorige sectie. Voeg onder Website URLs uw domein toe (bijvoorbeeld yourdomain.com) en voeg onder Return URLs https://yourdomain.com/api/auth/callback/apple toe — dat pad is de Better Auth-callback van de kit, {APP_URL}/api/auth/callback/apple. Save → Continue → Save.
Elke return-URL moet een absoluut https://-adres op een geregistreerd domein zijn: localhost, kale IP-adressen en http worden geweigerd. Draai voor lokale ontwikkeling de app achter een https-tunnel, voeg het tunnel-domein toe aan de Services ID, registreer https://<tunnel-domain>/api/auth/callback/apple en zet APP_URL op de tunnel-URL tijdens het testen.
Verwacht: de Services ID leest Sign in with Apple → Enabled. Als het portaal uw domein weigert, voltooi dan eerst de domeineigendomsverificatie op de accountpagina.
De Sign in with Apple-sleutel aanmaken
1. Open Keys in de linkerzijbalk → +. Geef de sleutel een naam (bijvoorbeeld yourapp sign-in key), vink Sign in with Apple aan, klik op Configure, kies de App ID als Primary App ID → Save → Continue → Register.
2. Noteer op het bevestigingsscherm de Key ID en klik op Download — het .p8-bestand wordt precies één keer aangeboden. Als u het verliest, trek dan de sleutel in en maak een nieuwe; Apple bewaart geen kopie.
3. Noteer ook uw Team ID — het staat in de rechterbovenhoek van de developer-accountpagina's, naast uw accountnaam.
Verwacht: u heeft nu drie waarden — het .p8-bestand, een Key ID en uw Team ID. Houd het .p8-bestand uit Git: het ondertekent als uw developer-account.
De waarden aan de app toevoegen
De kit verwacht exact de drie regels hieronder — hetzelfde clientId/clientSecret-paar dat elke sociale provider gebruikt. APPLE_CLIENT_ID is de Services ID (com.yourcompany.yourapp.web), niet de App ID.
Apple geeft geen statisch clientgeheim uit, dus APPLE_CLIENT_SECRET is een JWT die u zelf ondertekent vanuit de Team ID, de Key ID en de .p8-privésleutel — de Better Auth-documentatie levert het korte generatorscript ervoor. Een ondertekend geheim blijft maximaal zes maanden geldig: zet een herinnering om het opnieuw te genereren en de env-waarde bij te werken, want login mislukt zodra het vervalt. Plak nooit de inhoud van het .p8-bestand of de kale Key ID in env — alleen de gegenereerde JWT hoort daar.
Het clientgeheim en het .p8-bestand zijn server-only: nooit in NEXT_PUBLIC_/EXPO_PUBLIC_-variabelen en nooit gecommit — in productie zet u ze via de geheimopslag van uw host. Herstart de devserver na het bewerken; env-wijzigingen worden bij het opstarten gelezen.
# apps/web/.env.local
AUTH_APPLE_ENABLED=true
APPLE_CLIENT_ID=com.yourcompany.yourapp.web # the Services ID, not the App ID
APPLE_CLIENT_SECRET=<JWT signed with Team ID + Key ID + .p8>Verifiëren en problemen oplossen
Open uw APP_URL — een gedeployde URL of de https-tunnel — op /auth, klik op de Apple-knop, log in met een willekeurige Apple ID (het hoeft niet het developer-account te zijn) en bevestig dat u ingelogd terugkeert.
De meeste mislukkingen zijn een van drie verwarringen: Services ID versus App ID — de client-ID moet de Services ID voor web-login zijn; een return-URL-mismatch — de callback moet exact gelijk zijn aan een geregistreerde Return URL, inclusief protocol, domein en pad; of een verlopen/ongeldig clientgeheim — genereer de JWT opnieuw, die is slechts een ondertekend token, niet de .p8-inhoud.
Totdat AUTH_APPLE_ENABLED=true is ingesteld, blijft de Apple-optie op /auth uitgeschakeld — controleer de env-namen en herstart. De vlag inschakelen zonder zowel APPLE_CLIENT_ID als APPLE_CLIENT_SECRET laat het opstarten mislukken en noemt de ontbrekende variabele.
De iOS-app bereikt dezelfde backend — ship Sign in with Apple erin zodat App Store-review de andere sociale knoppen accepteert. De mobiele-accountgids legt uit waar review op let.
Wil je verdergaan met de configuratie? Lees Stripe-betalingen toevoegen.