Un răspuns de Verification of Payee dezvăluie dacă un nume corespunde unui cont - informație pe care doar părțile potrivite ar trebui să o schimbe. De aceea API-ul schemei nu se bazează doar pe chei API: folosește mutual TLS, unde atât partea care solicită, cât și cea care răspunde prezintă un certificat care dovedește că sunt un PSP reglementat. Tipul de certificat este QWAC.
Ce este un QWAC
- QWAC înseamnă Qualified Website Authentication Certificate, definit prin regulamentul UE eIDAS.
- Este același certificat PSD2 deja folosit în open banking pentru a identifica actorii de plată reglementați.
- Este emis de un prestator de servicii de încredere calificat (QTSP) și conține identitatea reglementată a deținătorului.
Ce presupune administrarea lui
Un certificat nu se configurează o dată și se uită. Are o perioadă de valabilitate, trebuie reînnoit înainte de expirare, iar cealaltă parte trebuie să poată verifica faptul că nu a fost revocat - toate acestea fără a întrerupe disponibilitatea 24/7 cerută de schemă.
- 1 Obține un QWAC de la un prestator de servicii de încredere calificat.
- 2 Prezintă-l la fiecare conexiune și validează, în schimb, certificatul celeilalte părți.
- 3 Urmărește expirarea, rotește din timp și verifică revocarea, astfel încât verificarea să nu se blocheze niciodată.
Certificatele se defectează în tăcere
Un certificat expirat sau nereînnoit nu îi avertizează pe utilizatorii tăi - pur și simplu începe să respingă conexiunile. Rotația proactivă este cea care menține VoP disponibil.
RoxPay administrează pentru tine modelul de încredere al certificatelor - emitere, prezentare, validare și reînnoire - astfel încât obții o VoP conformă cu rulebook-ul și autentificată reciproc, fără să operezi tu însuți un ciclu de viață al certificatelor eIDAS.