Toen Microsoft Entra Verified ID introduceerde, kwam het in de taal van de open identiteitsbeweging: decentrale identifiers, credentials die je in je eigen wallet bewaart, standaarden die in de openbaarheid worden ontwikkeld. Tijdens de publieke preview kostte het uitgeven van credentials aan de Microsoft Authenticator-app niets, en ook de biometrische Face Check-functie was gratis, tot het moment dat die algemeen beschikbaar werd op 12 augustus 2024.
Dat uitgangspunt is stilletjes verschoven. De techniek werkt nog steeds, en delen ervan zijn echt goed gebouwd. Maar de commerciële voorwaarden zijn verschoven van “gratis om te beginnen” naar “afgerekend per gebruik, en achter een Microsoft-licentie geplaatst”. Voor elke organisatie die Verified ID overweegt als fundament van haar digitale identiteit is de belangrijkste vraag niet langer “werkt het”, maar “wat kost het echt om het op schaal te draaien, en aan wiens ecosysteem bind ik me?”
Wat eerst gratis was, wordt nu afgerekend
Vandaag geeft Microsoft Entra Verified ID je een gratis tier van maximaal 50.000 transacties per maand, waarbij een transactie is gedefinieerd als de uitgifte, verificatie of intrekking van een credential. Dat klinkt royaal, totdat je beseft dat elke credential die een burger of klant aan jou toont, meetelt voor dat plafond. Voor een dienst die zich op consumenten of de publieke sector richt, is 50.000 per maand geen hoog plafond.
Op het moment dat je eroverheen gaat, veranderen de voorwaarden op een manier die makkelijk te missen is: om Verified ID boven de gratis tier überhaupt te blijven gebruiken, moet je een Microsoft Entra ID P1- of P2-licentie hebben. Dat zijn geen eenmalige kosten. Het zijn abonnementen per gebruiker per maand (ruwweg $6 en $9 per gebruiker per maand). Met andere woorden: het opschalen van je credentialgebruik voegt niet simpelweg een gebruikstarief toe, het trekt je organisatie de premium identiteitslicenties van Microsoft in, over je hele gebruikersbestand.
Daarbovenop komt Face Check, de biometrische stap die een gezichtsvergelijking maakt tussen een live selfie en de foto in een credential. Face Check wordt afgerekend op €0,216 per verificatie in een pay-as-you-go-model, of het is gebundeld als acht verificaties per seat per maand als je instapt in de Microsoft Entra Suite, waarbij alles daarboven tegen hetzelfde tarief van €0,216 wordt berekend. Veelzeggend: Microsoft rekent een Face Check ook af wanneer de match mislukt, zolang het verzoek voorbij de QR-scan is gekomen.
Een eenvoudig voorbeeld maakt de schaal concreet. Een organisatie die in een jaar identiteitscontroles met hoge betrouwbaarheid uitvoert op 100.000 mensen, betaalt €21.600 alleen al voor de Face Check-verificaties, nog vóór enige licentie, en als haar maandelijkse activiteit de gratis tier overschrijdt, moet elke betrokken gebruiker daarbovenop een betaalde P1- of P2-licentie dragen.
De lock-in zit in de licenties, niet in het tarief
Het subtiele zit in wie betaalt, en waarvoor. Bij Verified ID worden de kosten toegerekend aan de tenant die uitgeeft of verifieert, niet aan de persoon die de credential bezit. De houder heeft geen Microsoft-account en geen licentie nodig. Dat klinkt schoon, maar het betekent dat de volledige kosten, en de volledige afhankelijkheid, bij jou liggen, de exploitant. En de drempel boven de gratis tier is geen gebruiksmeter die je gewoon kunt inboeken, het zijn premium Entra-licenties van Microsoft, een product dat is ontworpen om je eigen personeel te beheren.
Daar zit de kern van de lock-in. Een digitale identiteit voor algemeen gebruik bedient mensen die niet je medewerkers zijn: burgers, klanten, patiënten, studenten. Toch is de enige manier om Verified ID op te schalen, via licenties die zijn opgebouwd rond een enterprise-personeelsbestand. Als je niet al een toegewijde Microsoft Entra-klant bent, maakt het op schaal adopteren van Verified ID je er feitelijk een. Je identiteitsinfrastructuur, je kosten en je roadmap raken verbonden aan de commerciële beslissingen van één leverancier.
En die beslissingen veranderen. Microsoft heeft meer dan eens ingrijpende protocolwijzigingen doorgevoerd die elke credential in de Authenticator-wallet dwongen tot heruitgifte: de wijziging in 2022 van de manier waarop identifiers worden gegenereerd, de migratie van de oude SDK’s naar de nieuwe Wallet Library, en de uitfasering van niet-FIPS-signeersleutels die gepland staat voor 1 juli 2026. De credentials die je gebruikers vandaag bezitten, zijn alleen houdbaar tot de volgende platformwijziging. Dat is een wankel fundament voor iets dat zo langlevend is als identiteit.
Niet de weg die Europa inslaat
Er is ook een standaarden-dimensie. De Europese eIDAS 2.0-verordening en het bijbehorende Architecture and Reference Framework zetten een duidelijk, verplicht technisch pad uit voor de EU Digital Identity Wallet: de protocollen OpenID4VCI en OpenID4VP in hun definitieve 1.0-vorm, met credentials in de formaten SD-JWT VC en ISO mdoc, en vertrouwen verankerd in gepubliceerde trusted lists.
Microsoft verwijst in zijn documentatie naar de OpenID for Verifiable Credentials-familie, dus het zou onjuist zijn om te zeggen dat het deze standaarden volledig negeert. Maar de details wijken sterk af van waar Europa naartoe gaat. Verified ID geeft credentials alleen uit in het oudere W3C Verifiable Credentials 1.1 JWT-formaat, verankert vertrouwen in did:web, en verwijst naar een eerdere conceptversie van het uitgifteprotocol in plaats van de definitieve specificatie. Het ondersteunt noch SD-JWT VC noch ISO mdoc, de twee formaten die de EU verplicht stelt voor persoonsidentificatie en gekwalificeerde attestaties. In de praktijk is Microsoft Entra Verified ID niet compatibel met het ecosysteem van de EU Digital Identity Wallet. Het is een parallel, leverancierspecifiek profiel, niet het Europese.
Een ander model: betalen per verificatie, transparant
Laten we eerlijk zijn over Yivi: wij zijn ook niet gratis. Het verdienmodel van Yivi is gebouwd rond betalen per verificatie. Het verschil is niet het bestaan van een prijs, maar hoe die prijs zich gedraagt.
Bij Yivi betaal je één enkel, gepubliceerd tarief per verificatie. Er is geen enterprise-licentie per seat die je over je hele gebruikersbestand moet aanschaffen om de dienst te ontgrendelen, geen aparte biometrische meter erbovenop, en geen verrassingsdrempel die je in een ander commercieel regime laat omslaan. De prijs is de prijs, en die verandert niet van de ene op de andere dag en maakt de credentials die je gebruikers al bezitten niet ongeldig.
Net zo belangrijk: Yivi is gebouwd op de open standaarden die Europa daadwerkelijk verplicht stelt, waaronder OpenID4VP, OpenID4VCI en SD-JWT VC, dezelfde standaarden die wereldwijd worden gebruikt voor de EU Digital Identity Wallet. Je gebruikers bewaren hun credentials in hun eigen wallet, op hun eigen telefoon, en je bindt je toekomst niet aan de licentie-roadmap van één bedrijf. Open standaarden betekenen dat je van leverancier kunt wisselen; vendor lock-in betekent dat je dat niet kunt.
De vraag die je moet stellen voordat je je committeert
Microsoft Entra Verified ID is een capabel product, en voor een organisatie die al diep in het Microsoft Entra-ecosysteem zit, kan het prima passen. Maar “gratis tijdens de preview” was nooit de eindsituatie, en het is verstandig om het volledige plaatje te zien voordat je erop bouwt: een gratis tier met een meter, een licentiedrempel per seat daarboven, een tarief per verificatie voor biometrie, periodieke verplichte heruitgifte, en een standaardenprofiel dat niet aansluit op de EU-wallet.
Voor iedereen die identiteit bouwt voor algemeen gebruik, het publieke belang, of burgers, zijn de betere vragen eenvoudig: op wiens standaarden is dit gebouwd, aan wiens licenties zit ik vast, en wiens roadmap bepaalt wat er daarna gebeurt? Dat zijn de vragen die Yivi met opzet anders beantwoordt.
Meer weten of aan de slag
- Begrijp wat Yivi is: docs.yivi.app/what-is-yivi
- Voor ontwikkelaars: yivi.app/for_developers
- Download de Yivi-app: beschikbaar voor iOS en Android
- Neem contact op: vragen over het implementeren van Yivi? Contact