Skip to main content
La autenticación utiliza el flujo de aserción de cliente JWT bearer de OAuth 2.0 (RFC 7523) con una concesión client_credentials. En ningún caso se transmite ningún secreto de cliente. Necesitará:
  • Su OAuthClientId y su KID, incluidos en su paquete de incorporación.
  • La clave privada (es256-private.pem) que coincide con la clave pública que ha registrado. Consulte Configuración del par de claves.

​
Paso 1: Generar la aserción del cliente

Genere un JWT y fírmelo con su clave privada ES256. Encabezado
Carga útil

​
Paso 2: Canjea la aserción por un token de acceso

POST Envíe la aserción al punto final del token como application/x-www-form-urlencoded. Consulte el documento «Referencia de punto final» para ver el esquema completo.
La respuesta es un JSON que contiene un accessToken campo, válido durante 30 minutos (expiresIn: 1800). No se emite ningún token de actualización a los clientes M2M, por lo que refreshToken siempre es null.

​
Paso 3: Llamada a la API

Envíe el token como token de portador en cada solicitud: Solicite un nuevo token cuando caduque, en lugar de almacenarlo en caché a largo plazo.

​
Ejemplo completo

Consulte Ejemplos de scripts para obtener versiones ejecutables en TypeScript y Python del flujo completo. Su paquete de incorporación incluye los mismos scripts con sus datos ya rellenados.

​
Resolución de problemas

​
Código de estado 401 del punto final del token

El punto final del token devuelve el mismo valor vacío 401 para cada afirmación rechazada. Compruebe cada uno de estos puntos:
  • El encabezado alg es ES256 y kid es la KID de una clave que está registrada y no ha sido revocada.
  • iss es exactamente la suya OAuthClientId. Buscamos su clave pública mediante iss y kid.
  • aud es exactamente cb-gateway-m2m-blue.
  • exp está presente y es futuro. Admitimos un desfase horario de 30 segundos, por lo que le recomendamos que compruebe el reloj del equipo si los fallos persisten.
  • jti está presente y es nueva. Una jti no puede reutilizarse en un plazo de 10 minutos.
  • La aserción se firma con la clave privada que coincide con la clave pública que ha registrado.

​
401 «Acceso no autorizado» en rutas de la API

El token de acceso ha caducado (los tokens tienen una validez de 30 minutos) o la ruta no está incluida en sus derechos de acceso. Solicite un nuevo token y póngase en contacto con su administrador de Credit Benchmark si el error persiste.

​
Falta una clave, ha sido revocada o se ha rotado

Póngase en contacto con su administrador de Credit Benchmark.

​
Notas de seguridad

  • Nunca comparta su clave privada con nadie, ni siquiera con Credit Benchmark. Solo la clave pública debe salir de sus sistemas.
  • Genere una nueva aserción de cliente para cada solicitud de token.
  • Si en algún momento se ve comprometida una clave privada, solicítenos que la revoque de inmediato y siga el procedimiento de rotación de claves.