Skip to main content
L’API Credit Benchmark utilise l’authentification machine-à-machine (M2M). Nous enregistrons des machines, pas des personnes. Une machine peut être un serveur situé dans votre centre de données ou dans le cloud, ou encore l’ordinateur portable d’un utilisateur. Chacune d’entre elles dispose de sa propre identité chez nous, et personne n’a besoin de saisir un nom d’utilisateur ou un mot de passe pour qu’elle se connecte. Cette identité correspond à une paire de clés numériques que vous générez sur votre machine :
  • La clé privée demeure sur la machine et atteste qu’elle est bien à l’origine des requêtes.
  • La clé publique est la partie correspondante. Vous nous l’envoyez, nous l’enregistrons, puis nous l’utilisons pour vérifier que chaque requête provient bien de votre machine.
La clé privée n’étant jamais partagée, il n’y a ni mot de passe ni secret partagé à perdre.
La norme sous-jacente est OAuth 2.0 avec authentification client JWT par clé privée (RFC 7523). Votre machine signe une requête à durée de vie limitée à l’aide de sa clé privée ; nous vérifions la signature par rapport à la clé publique que vous avez enregistrée, puis nous émettons un jeton d’accès. Les clés utilisent l’algorithme ES256 sur la courbe elliptique P-256.

​
Intégration en bref

1

Générer une paire de clés

Créez une paire de clés ES256 sur la machine qui appellera l’API. Consultez Configuration de la paire de clés.
2

Envoyez-nous la clé publique

Envoyez uniquement es256-public.pem, accompagnée de l’empreinte digitale et de vos informations d’intégration, à votre interlocuteur Credit Benchmark.
3

Recevez votre kit d’intégration

Nous enregistrons la clé et vous envoyons un dossier d’intégration contenant les informations relatives à votre client ainsi que des exemples de scripts exécutables.
4

Demander des jetons d’accès

Votre machine signe une assertion client à durée de vie limitée avec sa clé privée et l’envoie au point de terminaison des jetons. Nous vérifions la signature à l’aide de la clé publique enregistrée sous votre KID et renvoyons un jeton d’accès. Voir Demander un jeton d’accès.

​
Ce que vous recevez en retour

Une fois votre clé publique enregistrée, nous vous envoyons un dossier d’intégration. Il contient trois informations qui permettent de transformer votre clé en identifiant fonctionnel, ainsi que des exemples de scripts en Python et Node.js. Aucune de ces informations n’est confidentielle, mais conservez-les avec votre configuration d’intégration.
Le point de terminaison des jetons est https://gateway.creditbenchmark.com/api/security/token et la valeur « audience » est cb-gateway-m2m-blue. Votre dossier d’intégration contient ces deux éléments.