Todas las APIs de pagos en la plataforma de APIs de Redeban están aseguradas por el protocolo de seguridad OAuth 2 compatible con FAPI 2.0.
Los endpoints del servidor de autorización permiten que las aplicaciones de los clientes integrados (por ejemplo, TPPs y Bancos) interactúen con el servidor de autorización para:
- Obtener un token de acceso mediante la concesión de credenciales de cliente (CCG) para invocar la API de consentimiento para crear un consentimiento.
- Envíe una PAR (solicitud de autorización enviada) al punto final de PAR para iniciar el flujo del código de autorización
- Utilice el resultado de la solicitud PAR para iniciar el flujo del código de autorización basado en navegador para el recorrido SCA/Consentimiento.
- Al recibir el código de autorización del paso 3 anterior, obtenga el token de acceso mediante la concesión de flujo del código de autorización (ACG).
- Utilice el token basado en ACG recibido en el paso 4 para invocar las API de pago.
Requerimientos técnicos para los participantes (TPP, bancos):
Dado que las APIs de Redeban utilizan un perfil de seguridad compatible con OAuth2/FAPI2, se requiere que los participantes sigan estos estándares para construir la integración con las APIs de Redeban y los endpoints de autorización.
Consulte la sección de requisitos del cliente para el estándar FAPI en el siguiente enlace de referencia: https://openid.net/specs/fapi-2_0-security-02.html#name-requirements-for-clients.
Requisitos clave del estándar que se aplican:
| Estándar | Descripción |
|---|---|
| OAuth Client Authentication method | private_key_jwt https://openid.net/specs/fapi-2_0-security-02.html#OIDC |
| Access token type | Token restringido por el remitente utilizando DPoP. https://openid.net/specs/fapi-2_0-security-02.html#I-D.ietf-oauth-dpop |
| Authorisation Code Flow | Para el flujo de SCA/Consent, utilice los siguientes estándares: • El grant type es authorisation_code https://openid.net/specs/fapi-2_0-security-02.html#RFC6749 • Usar solicitudes PAR https://openid.net/specs/fapi-2_0-security-02.html#RFC9126 • Usar PKCE con s256 como el método de desafío de código https://openid.net/specs/fapi-2_0-security-02.html#RFC9126 El token de acceso recibido de este flujo será utilizado por los TPPs para acceder a la API de pagos. |
| Client credential flow | Para los TPPs, se utilizará el client credential grant type para obtener el token de acceso y crear el consentimiento de pago. Para los bancos registrados, se utilizará el client credential grant type para acceder a las APIs de integración bancaria. Consulte la sección de APIs de integración bancaria para más detalles. |
| Network security | Utilice Mutual TLS con un certificado de red firmado por el directorio de participantes de Redeban. |
| Data integrity | El payload para el pago en las solicitudes de la API de pago y consentimiento de pago es firmado por el TPP utilizando el certificado de firma del TPP y se pasa como firma separada en el encabezado HTTP x-jws-signature. https://openbankinguk.github.io/read-write-api-site3/v3.1.2/profiles/read-write-data-api-profile.html#process-for-signing-a-payload |
El token JWT firmado por el banco participante
En los flujos de OAuth 2.0 y OpenID Connect, se suele utilizar un token web JSON (JWT) firmado por el banco participante para intercambiar claims de forma segura entre el banco y el servidor de autorización. Durante el flujo de autorización del front channel, el proveedor externo (TPP) redirige al usuario al banco para realizar una autenticación reforzada de cliente (SCA). Después de la autenticación, el banco genera un JWT que contiene los claims necesarios y lo firma utilizando la misma clave privada que se utiliza para el proceso SSA DCR para el banco. Este JWT firmado luego se transmite al servidor de autorización como parte de la respuesta de redireccionamiento. Luego, el servidor de autorización valida la firma del JWT, extrae los claims y los procesa como parte del flujo de autorización continuo.
para más información haga clic aquí
JWT:
eyJraWQiOiJlbXA4cDQwS2xMR0JzYlhBZ0FneUVtZG04MGc9IiwidHlwIjoiSldUIiwiYWxnIjoiUFMyNTYifQ.eyJyZWZfaWQiOiIxZmVkYzBmZC01MWQzLTQ2YzktYTg3ZC0xZjQ4MDc0ZTg2NTIiLCJhdWQiOiJhdXRoc2VydmVyIiwibmJmIjoxNzUzNzc4ODY3LCJzdGF0dXNfY29kZSI6IjIwMCIsImJhbmtfaWQiOiI4MDciLCJjb3JyZWxhdGlvbl9pZCI6IjFlYjRmNWY5LTEwMGItNGYwMC1hZWQwLTMwYjM4NDI4MjY2NCIsImV4cCI6MTc1NDA3ODg2NywiaWF0IjoxNzUzNzc4ODY3LCJkZWJ0b3JfYWNjb3VudF9wcmVzZW50Ijp0cnVlLCJqdGkiOiIzNTQ0OTFkZi02MTA1LTRiOGYtODIyNC1mMjFmYzUzMGM1ZTIiLCJzdGF0dXMiOiJzdWNjZXNzIn0.q5lwpiIvzsdzZTV5_pELg04wALRhuM0GDkWEY8OnM8MQ2Af1yFZSsq01RjzQ8eRnKTi_ITRiaVHCukCDvZzlqVTX2amVuUODZDkXVhWa5udMvJHphuXG3umzDvJb9UE0YwoiyPVOs6uHhxC8ug4GleSspT2_Q1GLXF5jGhJWkCTZIOOmG4TVRcdNc22ACG22_NIznedWTrjPLX7hC4nQMBPXfFt7lWWCChODpkU05_zyB0yItrKiVolFrorj4OI6OHVgq17ZvJN7IPpcMMfcyDylgHgUTYsW1F5Rw8Vq9VqEbkCF484b6N20fl8_V3kO4Ny-3o0cyUfyccHGFSjNGQ