pkcs11-setups:
  safenet-token:
    module-path: /usr/lib/libIDPrimePKCS11.so
    
    slot-no: 8

    # identifikace klíče a certu v tokenu (hex stringy, jak máš)
    key-id:  "695369676e756d2032303235313030332d303932393234"
    cert-id: "695369676e756d2032303235313030332d303932393234"

    # PIN – pyHanko bere obyčejný string. Když tam necháš tu značku env:..., 
    # chová se to prostě jako string "env:PKCS11_PIN".
    # Aby se to chovalo jako proměnná prostředí, dáme to radši takhle:
    user-pin: "12345687"

    # Pokud nechceš mít PIN natvrdo v souboru, smaž user-pin úplně
    # a přidej:
    # prompt-pin: DEFER
    # což říká "neptej se mě, nech to na tokenu / library" (užitečné pro tokeny,
    # co si řeší ověření samy, třeba s vlastním PIN padem). :contentReference[oaicite:2]{index=2}

