Příručka registračí a autorizačí postup PSD2 pro třetí stray 1
Obsah Autetizace TPP... 3 Registračí a autetizačí resource vystaveé bakou... 4 1. Charakteristika iicializačí/registračí resource... 4 2. Charakteristika resource Iformace o registračích údajích aplikace... 9 3. Charakteristika resource Změa registračích údajů... 11 4. Charakteristika resource Smazáí aplikace... 14 5. Charakteristika resource Žádost o ový cliet_secret... 15 6. Charakteristika requestu a Autorizačí resource... 16 7. Charakteristika requestu Získáí/vystaveí tokeu... 18 8. Charakteristika requestu Zeplatěí tokeu... 20 2
Autetizace TPP Třetí straa, která chce využívat služby defiovaé v PSD2 musí mít liceci od árodího regulátora a příslušý certifikát vydaý pro služby PSD2. Předpokladem úspěšé autetizace je pak použití kvalifikovaého certifikátu typu QSEAL (elektroická pečeť) vydaého dle ormy ETSI od společosti I.CA pro idetifikaci komuikující třetí stray (také third party provider, dále TPP). Nutou podmíkou využití služeb PSD2 v KB je zasláí žádosti o připojeí do schráky api@kb.cz včetě certifikátu bez privátího klíče. Použití certifikátu pečeti zameá vyžadovat podepisováí requestu TPP při komuikaci s bakou (ASPSP). TPP je ověřea vyhodoceím platosti podpisu zprávy a obsahem veřejého klíče zaslaého spolu s podpisem (apř. podle ormy CAdES). Použití certifikátu třetích stra je vyžadováo u všech popsaých resources až a 1. Autorizačí resource, který zahajuje přesměrováí a federovaý autetizačí proces baky. 3
Registračí a autetizačí resource vystaveé bakou Proces erollmetu klieta utý pro pochopeí registrace aplikace a práce s tokey je detailě popsá v dokumetaci českého ope bakig stadardu (kokrétě v kapitole Flow v procesu erollmetu klieta do aplikace TPP) Czech Ope Bakig Stadard. Nutou podmíkou pro využíváí služeb Iiciováí platby (PIS) a Iformace o účtu (AIS) je registrace aplikace třetí stray (viz ásledující kapitola). 1. Charakteristika iicializačí/registračí resource Zavoláím tohoto resource požádá TPP o dyamickou registraci cliet_id. Pro zavoláí resource je potřeba použít platý certifikát. Výstupem jsou parametry cliet_id a cliet_secret, které TPP potřebuje pro astartováí a průchod autetizačím procesem uživatele (klieta baky). API klíč eí v Komerčí bace podporová. URI: HTTP Metoda: Request URL: Authorizatio: Certificatio: /register POST https://api.kb.cz/serverapi/oauth2/v1/register request vyžaduje autorizaci uživatele/klieta jako součást voláí API request vyžaduje použití kvalifikovaého certifikátu třetí stray. Podporovaé kódováí: charset=utf-8 Parametry hlavičky (header) requestu: Parametr Hodoty Poviý Popis Tpp_id strig y Registračí číslo určitého TPP. Parametry těla (body) requestu: Parametr Hodoty Poviý Popis applicatio_type web, ative y Typ aplikace, která bude používat cliet_id. V případě typu web je požadováo defiováí rediect_uris ve formátu webového uri v podobě http/s schéma. U typu ative je možé v redirect_uris zadat apř. applicatio package, resp. vlastí formát. redirect_uris Pole obsahující řetězce apř. ve formátu URL [Max 3x 2047 B] y Výčet URL kam je a koci přesměrováo flow autetizace. Autorizačí request musí obsahovat právě jedo z těchto zaregistrovaých URI v přesém formátu. cliet_ame strig [Max 255 B] y Jméo klietské aplikace cliet_ame#e-us strig [Max 1024 B] Jméo klietské aplikace v příslušém jazyce/kódováí. logo_uri URI [Max 2047 B] URI loga aplikace (resp. místo odkud je možé ho při registraci stáhout) cotact strig e-mail [Max 320 B] E-mail jako kotakt a zodpovědou osobu a straě klietské aplikace. scopes Pole strigů [Max 10x 255 Pole aplikací požadovaých scopes. Při registraci jsou scopes validováy proti obsahu použitého certifikátu. 4
B] 5
Příklad requestu: POST /oauth2/register HTTP/1.1 Cotet-Type: applicatio/jso Accept: applicatio/jso Host: idp.baka.cz { } "applicatio_type": "web", "redirect_uris": ["https://www.mymultibak.cz/start", "https://www.mymultibak.cz/start2"], "cliet_ame": "Moje uiverzálí baka", "cliet_ame#e-us": "My cool bak", "logo_uri": "https://www.mybak.cz/logo.pg", "cotact": "ifo@mybak.cz", "scopes": ["aisp", "pisp"] Parametry hlavičky (header) respose: Parametr Hodoty Poviý Popis Cotet-Type strig y Specificatio of required trasfer format. From the precoditio of techical specificatio of this API stadard, i this case, applicatio/jso format is primarily supported. Parametry těla (body) respose: Parametr Hodoty Poviý Popis cliet_id strig y Aplikaci přiřazeé cliet_id. Tímto ID je startová autetizačí proces a dekorováa komuikace při výměě code a refresh_tokeu. cliet_secret strig y Cliet secret - password/toke vydaý IDP baky pro aplikaci (cliet_id) TPP cliet_secret_expire s_at Time Defaultí hodota je 0 (cliet_id ikdy eexpiruje). V opačém případě je uvedea hodota v sekudách od data 1970-01-01T0:0:0Z api_key strig y API klíč, který aplikace používá při komuikaci s API baky. Pokud baka API klíče epodporuje, vrátí hodotu NOT_PROVIDED applicatio_type web, ative y Typ aplikace, která bude používat cliet_id. V případě typu web je požadováo defiováí rediect_uris ve formátu webového uri v podobě http/s schéma. U typu ative je možé v redirect_uris zadat apř. applicatio package, resp. vlastí formát. redirect_uris Pole obsahující y Výčet URL kam je a koci přesměrováo flow 6
řetězce apř. ve formátu URL [Max 3x 2047 B] autetizace. Autorizačí request musí obsahovat právě jedo z těchto zaregistrovaých URI v přesém formátu. cliet_ame strig [Max 255 B] y Jméo klietské aplikace cliet_ame#e-us strig [Max 1024 B] Jméo klietské aplikace v příslušém jazyce/kódováí. logo_uri URI [Max 2047 B] URI loga aplikace (resp. místo odkud je možé ho při registraci stáhout) cotact strig e-mail [Max 320 B] E-mail jako kotakt a zodpovědou osobu a straě klietské aplikace. scopes Pole strigů [Max 10x 255 B] Pole aplikací požadovaých scopes. Při registraci jsou scopes validováy proti obsahu použitého certifikátu. Příklad respose bez chyby: HTTP/1.1 201 Created Cotet-Type: applicatio/jso Cache-Cotrol: o-store Pragma: o-cache { "cliet_id": "a0b25291f0", "cliet_secret": "AAjkk45sd78ad454gddd8712_4555g5g5g5gg", "cliet_secret_expires_at": 0, "api_key": "00000000-1212-0f0f-a0a0-123456789abc", "applicatio_type": "web", "redirect_uris": ["https://www.mymultibak.cz/start", "https://www.mymultibak.cz/start2"], "cliet_ame": "Moje uiverzálí baka", "cliet_ame#e-us": "My cool bak", "logo_uri": "https://www.mybak.cz/logo.pg", 7
Chybové kódy: HTTP Status Kód Popis 400 ivalid_request Nevalidí request. V dotazu chybí povié pole ebo je v evhodém / evalidím formátu. 401 ivalid_cliet Nevalidí cliet_id. 401 uauthorized_cliet Kliet eí oprávěý provádět teto dotaz. 401 access_deied Autorizačí server odmítl přístup. 500, 503 server_error Chyba autorizačího serveru. 8
2. Charakteristika resource Iformace o registračích údajích aplikace Zavoláím tohoto resource může TPP požádat o přehled registračích údajů pro kokrétí aplikaci. Pro zavoláí resource je potřeba použít platý certifikát a cliet_id, které je vydáo k tomuto TPP. Výstupem je přehled registračích údajů. URI: HTTP Metoda: Request URL: Authorizatio: Certificatio: /register/{cliet_id} GET https://api.kb.cz/serverapi/oauth2/v1/register/{cliet_id} request vyžaduje autorizaci uživatele/klieta jako součást voláí API request vyžaduje použití kvalifikovaého certifikátu třetí stray. Podporovaé kódováí: charset=utf-8 Příklad requestu: GET /oauth2/register/a0b25291f0 HTTP/1.1 Cotet-Type: applicatio/jso Accept: applicatio/jso Host: idp.baka.cz Parametry respose: Parametr Hodoty Poviý Popis cliet_id strig y Aplikaci přiřazeé cliet_id. Tímto ID je startová autetizačí proces a dekorováa komuikace při výměě code a refresh_tokeu. cliet_secret strig y Cliet secret - password/toke vydaý IDP baky pro aplikaci (cliet_id) TPP cliet_secret_expire s_at Time Defaultí hodota je 0 (cliet_id ikdy eexpiruje). V opačém případě je uvedea hodota v sekudách od data 1970-01-01T0:0:0Z api_key strig y API klíč, který aplikace používá při komuikaci s API baky. Pokud baka API klíče epodporuje, vrátí hodotu NOT_PROVIDED applicatio_type web, ative y Typ aplikace, která bude používat cliet_id. V případě typu web je požadováo defiováí rediect_uris ve formátu webového uri v podobě http/s schéma. U typu ative je možé v redirect_uris zadat apř. applicatio package, resp. vlastí formát. redirect_uris Pole obsahující řetězce apř. ve formátu URL y Výčet URL kam je a koci přesměrováo flow autetizace. Autorizačí request musí obsahovat právě jedo z těchto zaregistrovaých URI v přesém formátu. cliet_ame strig y Jméo klietské aplikace cliet_ame#e-us strig Jméo klietské aplikace v příslušém jazyce/kódováí. logo_uri URI URI loga aplikace (resp. místo odkud je možé ho při registraci stáhout) 9
cotact strig e-mail E-mail jako kotakt a zodpovědou osobu a straě klietské aplikace. scopes Pole strigů Pole aplikací požadovaých scopes. Při registraci jsou scopes validováy proti obsahu použitého certifikátu. Příklad respose bez chyby: HTTP/1.1 200 OK Cotet-Type: applicatio/jso { } "cliet_id": "a0b25291f0", "cliet_secret": "AAjkk45sd78ad454gddd8712_4555g5g5g5gg", "cliet_secret_expires_at": 0, "api_key": "00000000-1212-0f0f-a0a0-123456789abc", "applicatio_type": "web", "redirect_uris": ["https://www.mymultibak.cz/start", "https://www.mymultibak.cz/start2"], "cliet_ame": "Moje uiverzálí baka", "cliet_ame#e-us": "My cool bak", "logo_uri": "https://www.mybak.cz/logo.pg", "cotact": "ifo@mybak.cz", "scopes": ["aisp", "pisp"] Chybové kódy: HTTP Status Kód Popis 400 ivalid_request Nevalidí request. V dotazu chybí povié pole ebo je v evhodém / evalidím formátu. 401 ivalid_cliet Nevalidí cliet_id. 401 uauthorized_cliet Kliet eí oprávěý provádět teto dotaz. 401 access_deied Autorizačí server odmítl přístup. 500, 503 server_error Chyba autorizačího serveru. 10
3. Charakteristika resource Změa registračích údajů Zavoláím tohoto resource může TPP požádat o změu registračích údajů pro kokrétí aplikaci. Pro zavoláí resource je potřeba použít platý certifikát a cliet_id, které je vydáo k tomuto TPP. Výstupem je přehled změěých údajů. URI: HTTP Metoda: Request URL: Authorizatio: Certificatio: /register/{cliet_id} PUT https://api.kb.cz/serverapi/oauth2/v1/register/{cliet_id} request vyžaduje autorizaci uživatele/klieta jako součást voláí API request vyžaduje použití kvalifikovaého certifikátu třetí stray. Podporovaé kódováí: charset=utf-8 Parametry hlavičky (header) requestu: Parametr Hodoty Poviý Popis cliet_id strig y Registračí číslo určitého TPP. Parametry těla (body) requestu: Parametr Hodoty Poviý Popis applicatio_type web, ative y Typ aplikace, která bude používat cliet_id. V případě typu web je požadováo defiováí rediect_uris ve formátu webového uri v podobě http/s schéma. U typu ative je možé v redirect_uris zadat apř. applicatio package, resp. vlastí formát. redirect_uris Pole obsahující řetězce apř. ve formátu URL [Max 3x 2047 B] y Výčet URL kam je a koci přesměrováo flow autetizace. Autorizačí request musí obsahovat právě jedo z těchto zaregistrovaých URI v přesém formátu. cliet_ame strig [Max 255 B] y Jméo klietské aplikace cliet_ame#e-us strig [Max 1024 B] Jméo klietské aplikace v příslušém jazyce/kódováí. logo_uri URI [Max 2047 B] URI loga aplikace (resp. místo odkud je možé ho při registraci stáhout) cotact strig e-mail [Max 320 B] E-mail jako kotakt a zodpovědou osobu a straě klietské aplikace. scopes Pole strigů [Max 10x 255 B] Pole aplikací požadovaých scopes. Při registraci jsou scopes validováy proti obsahu použitého certifikátu. [ aisp, pisp ] 11
Příklad requestu: POST /oauth2/register/a0b25291f0 HTTP/1.1 Cotet-Type: applicatio/jso Accept: applicatio/jso Host: idp.baka.cz { } "applicatio_type": "web", "redirect_uris": ["https://www.mymultibak.cz/start", "https://www.mymultibak.cz/start2"], "cliet_ame": "Moje uiverzálí baka", "cliet_ame#e-us": "My cool bak", "logo_uri": "https://www.mybak.cz/logo.pg", "cotact": "ifo@mybak.cz", "scopes": ["aisp", "pisp"] Parametry hlavičky (header) respose: Parametr Hodoty Poviý Popis Cotet-Type strig y Specificatio of required trasfer format. From the precoditio of techical specificatio of this API stadard, i this case, applicatio/jso format is primarily supported. Parametry těla (body) respose: Parametr Hodoty Poviý Popis cliet_id ID aplikace TPP y Jediečý idetifikátor aplikace TPP vydaý bakou, resp IDP baky. Např. použitím resource 0. Iicializačí/registračí resource cliet_secret_expire s_at Time Defaultí hodota je 0 (cliet_id ikdy eexpiruje). V opačém případě je uvedea hodota v sekudách od data 1970-01-01T0:0:0Z applicatio_type web, ative y Typ aplikace, která bude používat cliet_id. V případě typu web je požadováo defiováí rediect_uris ve formátu webového uri v podobě http/s schéma. U typu ative je možé v redirect_uris zadat apř. applicatio package, resp. vlastí formát. redirect_uris Pole obsahující řetězce apř. ve formátu URL y Výčet URL kam je a koci přesměrováo flow autetizace. Autorizačí request musí obsahovat právě jedo z těchto zaregistrovaých URI v přesém formátu. cliet_ame strig y Jméo klietské aplikace cliet_ame#e-us Libovolý strig Jméo klietské aplikace v příslušém jazyce/kódováí. logo_uri URI URI loga aplikace (resp. místo odkud je možé ho při registraci stáhout) 12
cotact strig e-mail E-mail jako kotakt a zodpovědou osobu a straě klietské aplikace. scopes Pole strigů Pole aplikací požadovaých scopes. Při registraci jsou scopes validováy proti obsahu použitého certifikátu. Příklad respose bez chyby: HTTP/1.1 200 Cotet-Type: applicatio/jso { } "cliet_id": "a0b25291f0", "cliet_secret_expires_at": 0, "applicatio_type": "web", "redirect_uris": ["https://www.mymultibak.cz/start", "https://www.mymultibak.cz/start2"], "cliet_ame": "Moje uiverzálí baka", "cliet_ame#e-us": "My cool bak", "logo_uri": "https://www.mybak.cz/logo.pg", "cotact": "ifo@mybak.cz", "scopes": ["aisp", "pisp"] Chybové kódy: HTTP Status Kód Popis 400 ivalid_request Nevalidí request. V dotazu chybí povié pole ebo je v evhodém / evalidím formátu. 401 ivalid_cliet Nevalidí cliet_id. 401 uauthorized_cliet Kliet eí oprávěý provádět teto dotaz. 401 access_deied Autorizačí server odmítl přístup. 500, 503 server_error Chyba autorizačího serveru. 400 ivalid_scope Neplatý scope požadavku. 403 isufficiet_scope Např. edostatečé oprávěí pro použití požadovaého scope. 400 ivalid_redirect_uri Hodota jedoho ebo více redirect uri eí validí. 13
4. Charakteristika resource Smazáí aplikace Zavoláím tohoto resource může TPP požádat o smazáí údajů a přístupu kokrétí aplikaci. Pro zavoláí resource je potřeba použít platý certifikát a cliet_id, které je vydáo tomuto TPP. Výstupem je potvrzeí o smazáí. URI: HTTP Metoda: Request URL: Authorizatio: Certificatio: /register/{cliet_id} DELETE https://api.kb.cz/serverapi/oauth2/v1/register/{cliet_id} request vyžaduje autorizaci uživatele/klieta jako součást voláí API request vyžaduje použití kvalifikovaého certifikátu třetí stray. Podporovaé kódováí: charset=utf-8 Příklad requestu: DELETE /oauth2/register/a0b25291f0 HTTP/1.1 Cotet-Type: applicatio/jso Accept: applicatio/jso Host: idp.baka.cz Příklad respose: HTTP/1.1 201 Created Chybové kódy: HTTP Status Kód Popis 401 ivalid_cliet Nevalidí cliet_id. 401 uauthorized_cliet Kliet eí oprávěý provádět teto dotaz. 401 access_deied Autorizačí server odmítl přístup. 500, 503 server_error Chyba autorizačího serveru. 14
5. Charakteristika resource Žádost o ový cliet_secret Zavoláím tohoto resource může TPP požádat o vydáí ového cliet_secret. Pro zavoláí resource je potřeba použít platý certifikát a cliet_id, které je vydáo tomuto TPP. Původí cliet_secret bude tímto requestem zeplatě. URI: HTTP Metoda: Request URL: Authorizatio: Certificatio: /register/{cliet_id} POST https://api.kb.cz/serverapi/oauth2/v1/register/{cliet_id} request vyžaduje autorizaci uživatele/klieta jako součást voláí API request vyžaduje použití kvalifikovaého certifikátu třetí stray. Podporovaé kódováí: charset=utf-8 Příklad requestu: POST /oauth2/register/a0b25291f0/reewsecret HTTP/1.1 Cotet-Type: applicatio/jso Accept: applicatio/jso Host: idp.baka.cz Parametry respose: Parametr Hodoty Poviý Popis cliet_id strig y Aplikaci přiřazeé cliet_id. Tímto ID je startová autetizačí proces a dekorováa komuikace při výměě code a refresh_tokeu. cliet_secret strig y Cliet secret - password/toke vydaý IDP baky pro aplikaci (cliet_id) TPP cliet_secret_expire s_at Time Defaultí hodota je 0 (cliet_id ikdy eexpiruje). V opačém případě je uvedea hodota v sekudách od data 1970-01-01T0:0:0Z Příklad respose bez chyby: HTTP/1.1 200 OK { } "cliet_id": "a0b25291f0", "cliet_secret": "BBjkk45sd78ad454gddd8712_4555g5g5g5gg", "cliet_secret_expires_at": 0 Chybové kódy: HTTP Status Kód Popis 400 ivalid_request Nevalidí request. V dotazu chybí povié pole ebo je v evhodém / evalidím formátu. 401 ivalid_cliet Nevalidí cliet_id. 401 uauthorized_cliet Kliet eí oprávěý provádět teto dotaz. 401 access_deied Autorizačí server odmítl přístup. 500, 503 server_error Chyba autorizačího serveru. 15
6. Charakteristika requestu a Autorizačí resource Když váš kliet/aplikace eí autorizová, musí si obstarat autorizačí kód, předtím ež si zažádá o přístupový toke. Vaše aplikace může zahájit autorizačí proces tím, že přesměruje webový prohlížeč svého uživatele a bakoví autorizačí server. Server poté bude po uživateli požadovat jeho údaje. Uživateli se zobrazí povoleí specifikovaá scopem a sezam bakovích a platebích služeb a účtů, ze kterých může uživatel vybírat. Pokud uživatel povolí vaší aplikaci přístup k ěčemu z toho, server zašle autorizačí kód a callback URL tím, že přesměruje prohlížeč a redirect_uri. URI: HTTP Metoda: Request URL: Authorizatio: Certificatio: /ssologi GET https://logi.kb.cz/autfe/ssologi request vyžaduje autorizaci uživatele/klieta jako součást voláí API request vyžaduje použití kvalifikovaého certifikátu třetí stray. Podporovaé kódováí: charset=utf-8 Parametry requestu: Parametr Hodoty Poviý Popis respose_type code y Poviý parametr. Určuje použité autetizačí flow. V tomto případě code grat. Pro autetizačí proces to zameá, že jako výsledek úspěšé idetifikace a autetizace je očekává jedorázový code a místo access_tokeu. cliet_id ID aplikace TPP y Jediečý idetifikátor aplikace TPP vydaý bakou, resp IDP baky. Např. použitím resource 0. Iicializačí/registračí resource redirect_uri URL y URL kam je a koci přesměrováo flow autetizace. Toto URL je staoveo již při vydáí cliet_id a v rámci autetizace je teto parametr validová proti URL zavedeému k cliet_id v systému IDP baky. Hodota by se měla shodovat s jedou z hodot zavedeých použitím resource 0. Iicializačí/registračí resource. scope Sezam oprávěí odděleý mezerou Jedá se o pole aplikací požadovaých scope (oprávěí). V případě PSD2 to mohou být role aisp a pisp. Např. pokud je TPP držitelem obou oprávěí může zde pro svoji aplikaci požádat je o jedo z ich ebo oboje viz příklad requestu state Libovolý strig Tímto parametrem je možé obohatit redirect_uri při přesměrováí. Slouží k předáí iformací z aplikace přes autetizačí flow. Příklad requestu: GET /oauth2/authfe/ssologi HTTP/1.1 Host: idp.baka.cz Cotet-Type: applicatio/x-www-form-urlecoded cliet_id=mypfm& redirect_uri=https://www.mypfm.cz/start& respose_type=code& scope=aisp pisp& state=balace Příklad voláí přes příkazovou řádku prohlížeče V liku https://logi.kb.cz/autfe/ssologi?respose_type=code&cliet_id=doplnit_cliet_id&redirect_uri=doplnit_redirect_ uri&state=12345678&scope=aisp ) je uto změit hodotu cliet_id dle požadovaé hodoty, dále redirect_uri a požadovaý scope ve formě aisp, pisp (více hodot je odděleo čárkami). 16
Parametry respose: Pole Popis code state Autorizačí code Parametr state z requestu TPP Příklad respose bez chyby: cotet-type: applicatio/x-www-form-urlecoded date: Wed, 8 Mar 2017 20:56:28 GMT locatio: https://www.mypfm.cz/start? code=a200234062baa2ada828bbd33c1f6054& state=balace status: 302 Chybové kódy: HTTP Status Kód Popis 302 ivalid_request Nevalidí request. V dotazu chybí povié pole ebo je v evhodém / evalidím formátu. 302 uauthorized_cliet Kliet eí oprávěý provádět teto dotaz. 302 access_deied Autorizačí server odmítl přístup. 500, 503 server_error Chyba autorizačího serveru. 302 ivalid_scope Neplatý scope požadavku. Příklad error respose: HTTP/1.1 302 Foud Locatio: https://www.mymultibak.com/logi? error=ivalid_request &error_descriptio=usupported%20respose_uri &state=logi_cz 17
7. Charakteristika requestu Získáí/vystaveí tokeu Poté co vaše aplikace obdrží autorizačí kód, může ho ásledě vyměit za access ebo refresh toke. URI: HTTP Metoda: Request URL: Authorizatio: Certificatio: /toke POST https://api.kb.cz/serverapi/oauth2/v1/toke request vyžaduje autorizaci uživatele/klieta jako součást voláí API request vyžaduje použití kvalifikovaého certifikátu třetí stray. Podporovaé kódováí: charset=utf-8 Parametry requestu: Parametr Hodoty Poviý Popis code strig (pokud se jedá o získáí access tokeu pak je poviý) refresh_toke strig (pokud se jedá o oboveí access tokeu pak je poviý) Autorizačí kód vráceý z původího requestu. Řetězec refrešovacího tokeu.. grat_type strig y Validí hodoty autorizačího kódu Povoleé hodoty : authorizatio_code, refresh_toke redirect_uri strig (pokud se jedá o získáí access tokeu pak je poviý) cliet_id (pokud se jedá o získáí access tokeu pak je poviý) cliet_secret strig (pokud se jedá o získáí access tokeu pak je poviý) Autorizačí kód bude zaslá a toto URL jako parametr. Musí se shodovat s jedím URL zaregistrovaým během registrace aplikace. Hodota je defaultě astavea a prví URl, které bylo klietovi akofigurováo. Cliet_ID je získáo během registrace aplikace, ID aplikace TPP. Cliet secret - password/toke vydaý IDP baky pro aplikaci (cliet_id) TPP 18
Příklad requestu: POST /oauth2/toke HTTP/1.1 Host: idp.baka.cz Cotet-Type: applicatio/x-www-form-urlecoded code=a200234062baa2ada828bbd33c1f6054& cliet_id=mypfm& cliet_secret={cliet_secret}& redirect_uri=https://www.mypfm.cz/start& grat_type=authorizatio_code Parametry respose: Parametr Hodoty Poviý Popis toke_type strig y Typ zadaého tokeu. Hodota erozlišuje velká písmea. Typ tokeu apříklad Bearer access_toke strig y Přístupový toke vydaý autorizačím serverem. refresh_toke strig Refreshovací tokey jsou pověřeí užívaá k obstaráí ových přístupových tokeů když už byly autorizováy. expires_i iteger($it64) y Životost přístupového tokeu, uvádí se v sekudách. acr iteger($it64) Úroveň zabezpečeí autetizace. Nabývá hodot 0 až 4. Default 3. Hodota 0 zameá osca. Příklad respose bez chyby: Úspěšě zpracovaý request odpoví respose s takto defiovaým JSON payloadem: { } "expires_i": 3600, "toke_type": "Bearer", "access_toke": "ae9eef9b0af42c674d0b1c1128c37c2d" "refresh_toke": "be9eef9b0af42c674d0b1c1128c37c2g", "acr": "0" Chybové kódy: HTTP Status Kód Popis 400 ivalid_request Nevalidí request. V dotazu chybí povié pole ebo je v evhodém / evalidím formátu. 401 Uauthorized_cliet Access_deied Chybá autorizace a straě klieta, přístup odepře 403 Forbidde Kliet eí oprávěý provádět teto dotaz. 404 Not foud Zadaý dotaz se epodařilo ajít 429 Too may requests Kapacita systému byla překročea zadáím přílišého možství requestů. 500 Iteral server error Chyba serveru 19
8. Charakteristika requestu Zeplatěí tokeu API sloužící ke zrušeí platosti refresh ebo access tokeu. URI: HTTP Metoda: Request URL: Authorizatio: Certificatio: /revoke POST https://api.kb.cz/serverapi/oauth2/v1/revoke request vyžaduje autorizaci uživatele/klieta jako součást voláí API request vyžaduje použití kvalifikovaého certifikátu třetí stray. Podporovaé kódováí: charset=utf-8 Parametry requestu: Parametr toke Popis OAuth2 access ebo refresh toke získaý a základě autetizačího procesu po výměě za code resp. refresh toke (v případě access_tokeu) Příklad requestu: POST /oauth2/revoke HTTP/1.1 Host: idp.baka.cz Cotet-Type: applicatio/x-www-form-urlecoded toke=be9eef9b0af42c674d0b1c1128c37c2g Chybové kódy: HTTP Status Kód Popis 302 Ivalid_request Ivalid_cliet Access_deied Nevalidí request ebo evalidí kliet, přístup odepře. 400 ivalid_request Nevalidí request. V dotazu chybí povié pole ebo je v evhodém / evalidím formátu. 401 Ivalid_cliet Ivalid_grat Ivalid_toke Nevalidí kliet, evalidí oprávěí ebo evalidí toke. 403 Forbidde Kliet eí oprávěý provádět teto dotaz. 404 Not foud Zadaý dotaz se epodařilo ajít 429 Too may requests Kapacita systému byla překročea zadáím přílišého možství requestů. 500 Iteral server error Chyba serveru 20
21