Een Verification of Payee-antwoord onthult of een naam bij een rekening hoort — informatie die alleen de juiste partijen zouden moeten uitwisselen. Daarom vertrouwt de API van het schema niet alleen op API-sleutels: het gebruikt wederzijdse TLS, waarbij zowel de aanvragende als de antwoordende kant een certificaat tonen dat bewijst dat ze een gereguleerde PSP zijn. Het certificaattype is het QWAC.
Wat een QWAC is
- QWAC staat voor Qualified Website Authentication Certificate, gedefinieerd onder de EU-eIDAS-verordening.
- Het is hetzelfde PSD2-certificaat dat al in open banking wordt gebruikt om gereguleerde betalingspartijen te identificeren.
- Het wordt uitgegeven door een gekwalificeerde vertrouwensdienstverlener (QTSP) en draagt de regulatorische identiteit van de houder.
Wat het beheren ervan inhoudt
Een certificaat is niet instellen-en-vergeten. Het heeft een geldigheidsperiode, moet vóór verloop worden vernieuwd, en de andere kant moet kunnen controleren dat het niet is ingetrokken — allemaal zonder de 24/7-beschikbaarheid te breken die het schema vereist.
- 1 Vraag een QWAC aan bij een gekwalificeerde vertrouwensdienstverlener.
- 2 Toon hem bij elke verbinding en valideer in ruil daarvoor het certificaat van de tegenpartij.
- 3 Volg de vervaldatum, roteer op tijd en controleer intrekking, zodat verificatie nooit vastloopt.
Certificaten falen in stilte
Een verlopen of niet-vernieuwd certificaat waarschuwt je gebruikers niet — het begint gewoon verbindingen te weigeren. Proactieve rotatie houdt VoP beschikbaar.
RoxPay beheert het vertrouwensmodel van de certificaten voor je - uitgifte, presentatie, validatie en vernieuwing - zodat je een rulebook-conforme, wederzijds geauthenticeerde VoP krijgt zonder zelf een eIDAS-certificaatlevenscyclus te beheren.