Skip to main content
L’API di Credit Benchmark utilizza l’autenticazione machine-to-machine (M2M). Registriamo macchine, non persone. Una macchina può essere un server nel Suo data center o nel cloud, oppure il portatile di qualcuno. Ciascuna di esse ottiene una propria identità presso di noi e nessuno deve digitare un nome utente o una password affinché si connetta. Tale identità è costituita da una coppia di chiavi digitali che Lei genera sul computer:
  • La chiave privata rimane sul computer e dimostra che è proprio quel computer a effettuare le richieste.
  • La chiave pubblica è la parte corrispondente. Lei ce la invia, noi la registriamo e la utilizziamo per verificare che ogni richiesta provenga effettivamente dal Suo dispositivo.
Poiché la chiave privata non viene mai condivisa, non vi sono password o segreti condivisi che possano andare persi.
Lo standard alla base di questo processo è OAuth 2.0 con autenticazione client JWT tramite chiave privata (RFC 7523). Il Suo dispositivo firma una richiesta a breve durata con la propria chiave privata; noi verifichiamo la firma rispetto alla chiave pubblica da Lei registrata e quindi emettiamo un token di accesso. Le chiavi utilizzano l’algoritmo ES256 sulla curva ellittica P-256.

​
Panoramica sull’onboarding

1

Generare una coppia di chiavi

Generare una coppia di chiavi ES256 sulla macchina che effettuerà la chiamata all’API. Consultare Configurazione della coppia di chiavi.
2

Inviaci la chiave pubblica

Invii esclusivamente es256-public.pem, insieme all’impronta digitale e ai Suoi dettagli di onboarding, al Suo referente di Credit Benchmark.
3

Riceva il Suo pacchetto di onboarding

Registriamo la chiave e Le inviamo un pacchetto di onboarding contenente i dettagli del Suo cliente e script di esempio eseguibili.
4

Richiesta di token di accesso

Il Suo sistema firma un’asserzione client a breve durata con la propria chiave privata e la invia all’endpoint dei token. Verifichiamo la firma rispetto alla chiave pubblica registrata a Suo nome KID e restituiamo un token di accesso. Si veda Richiedere un token di accesso.

​
Cosa riceve in risposta

Una volta registrata la Sua chiave pubblica, Le invieremo un pacchetto di onboarding. Esso contiene tre dati che trasformano la Sua chiave in un accesso funzionante, oltre a script di esempio in Python e Node.js. Nessuno di questi dati è riservato, ma La preghiamo di conservarli insieme alla Sua configurazione di integrazione.
L’endpoint del token è https://gateway.creditbenchmark.com/api/security/token e il valore “audience” è cb-gateway-m2m-blue. Il pacchetto di onboarding include entrambi.