Skip to main content
L’autenticazione utilizza il flusso di asserzione client JWT bearer OAuth 2.0 (RFC 7523) con un grant client_credentials. Il segreto del cliente non viene mai trasmesso. È necessario:
  • Il Suo OAuthClientId e il Suo KID, riportati nel Suo pacchetto di onboarding.
  • La chiave privata (es256-private.pem) corrispondente alla chiave pubblica da Lei registrata. Veda Configurazione della coppia di chiavi.

​
Fase 1: Creazione dell’asserzione del client

Creare un JWT e firmarlo con la propria chiave privata ES256. Intestazione
Payload

​
Fase 2: Scambio con un token di accesso

POST l’asserzione all’endpoint del token come application/x-www-form-urlencoded. Si veda l’Riferimento all’endpoint per lo schema completo.
La risposta è in formato JSON e contiene un accessToken campo, valido per 30 minuti (expiresIn: 1800). Ai clienti M2M non viene emesso alcun token di aggiornamento, pertanto refreshToken è sempre null.

​
Fase 3: Richiamare l’API

Inviare il token come token di tipo Bearer in ogni richiesta: Richieda un nuovo token alla scadenza, anziché conservarlo nella cache a lungo termine.

​
Esempio completo

Consulti il sito Script di esempio per le versioni eseguibili in TypeScript e Python dell’intero flusso. Il Suo pacchetto di onboarding include gli stessi script con i Suoi dati già inseriti.

​
Risoluzione dei problemi

​
Errore 401 dall’endpoint del token

L’endpoint del token restituisce lo stesso messaggio vuoto 401 per ogni asserzione rifiutata. Verificare ciascuno dei seguenti punti:
  • L’intestazione alg è ES256 e kid è quella KID di una chiave registrata e non revocata.
  • iss corrisponde esattamente alla Sua OAuthClientId. Ricerchiamo la Sua chiave pubblica tramite iss e kid.
  • aud è esattamente cb-gateway-m2m-blue.
  • exp sia presente e in futuro. Consentiamo uno scostamento dell’orologio di 30 secondi; pertanto, verifichi l’orologio del computer qualora gli errori persistano.
  • jti sia presente e nuova. Un jti non può essere riutilizzato entro 10 minuti.
  • L’asserzione è firmata con la chiave privata corrispondente alla chiave pubblica da Lei registrata.

​
401 “Accesso non autorizzato” dai percorsi API

Il token di accesso è scaduto (i token hanno una durata di 30 minuti) oppure il percorso non rientra nei Suoi diritti di accesso. Richieda un nuovo token e, se l’errore persiste, contatti il Suo amministratore di Credit Benchmark.

​
Una chiave è mancante, revocata o sottoposta a rotazione

Si rivolga al Suo amministratore di Credit Benchmark.

​
Nota sulla sicurezza

  • Non condivida mai la Sua chiave privata con nessuno, compreso Credit Benchmark. Solo la chiave pubblica deve uscire dai Suoi sistemi.
  • Generare una nuova asserzione client per ogni richiesta di token.
  • Qualora una chiave privata dovesse mai essere compromessa, ci chieda di revocarla immediatamente e segua la procedura descritta all’indirizzo Rotazione delle chiavi.