Abertura do período de certificação das APIs de Dados do cliente e PagamentosEsclarecimentos sobre a criptografia do id_token

Abertura do período de certificação das APIs de Dados do cliente e Pagamentos

Comunicamos que o período de submissão de certificação das APIs de Dados do cliente e Pagamentos terá início nessa semana, de acordo com as seguintes orientações:

Os pedidos de certificações deverão ser realizados pelo Service Desk na categoria “Enviar pedido de certificação”, cujo formulário solicitará:

Informações da certificação;

Informações do contato técnico que está submetendo o pedido de certificação;

Envio do link público com sucesso em todos os módulos para cada plano de teste, que pode ser feito através do botão "Publish Everything" dentro dos planos de testes realizados a partir da data de última alteração relevante nos respectivos motores

Favor verificar se a url contém o parâmetro public=true, indicando que o plano já está público

A etapa de assinatura do termo “Certificado de Conformidade Funcional” foi excluída do processo de certificação, e a partir de agora não será mais necessária a assinatura de um representante legal da instituição para este processo.

Para a certificação de Dados do cliente (Consentimento v3.0.0, Recurso v3.0.0 e Câmbio v1.0.0):

Data de submissão dos pedidos de certificação no Service Desk: de 26/03/2024 até 14/04/2024

Pedidos submetidos após essa data poderão não ser processados até o Go Live em 15/04/2024

É possível anexar as evidências de todas as APIs necessárias para dados do cliente em apenas um ticket;

As evidências anexadas deverão ser dos seguintes planos de testes e executados a partir das seguintes datas:

Para a certificação de Pagamentos v4.0.0:

Data de submissão dos pedidos de certificação no Service Desk: de 28/03/2024 até 11/04/2024

Pedidos submetidos após essa data poderão não ser processados até o Go Live em 15/04/2024

Serão exigidos os quatro planos de teste obrigatórios no mesmo ticket para a emissão da certificação;

As evidências anexadas deverão ser dos seguintes planos de testes e executados a partir das seguintes datas:

1 A depender das funcionalidades que a instituição oferece, ela deverá selecionar uma das seguintes categorias para o plano de testes “Payments – Pix – v4.0.0”:

Para dúvidas, favor abrir um ticket na plataforma Service Desk na categoria: Solicitação de informação > Conformidade > Motor de conformidade

Esclarecimentos sobre a criptografia do id_token

A partir de questionamentos acerca dos cenários onde o id_token deve ou não ser criptografado, seguem as diretrizes sobre a necessidade de criptografia para cada cenário:

Se a requisição de DCM enviar os atributos id_token_encrypted_response_alg e id_token_encrypted_response_enc no DCM e possuir chave do tipo enc em seu jwks_uri, deve-se criptografar o id_token no período de convivência;

Se a requisição de DCM não enviar os atributos id_token_encrypted_response_alg e id_token_encrypted_response_enc no DCM, porém tiver uma chave do tipo enc em seu jwks_uri, deve-se criptografar o id_token no período de convivência;

Se a requisição de DCM enviar os atributos id_token_encrypted_response_alg e id_token_encrypted_response_enc no DCM, porém não tiver uma chave do tipo enc em seu jwks_uri, deve-se dar um erro no DCM, informando a falta de chave enc;

Se a requisição de DCM não enviar os atributos id_token_encrypted_response_alg e id_token_encrypted_response_enc no DCM e não tiver uma chave do tipo enc em seu jwks_uri, não se deve criptografar o id_token.

Caso seja necessário realizar o rollback para o perfil antigo, sem a criptografia do id_token, a receptora/iniciadora deverá remover a chave enc do Diretório de Participates antes da realização do DCM para volta ao perfil anterior.

As orientações acima se restringem ao período de convivência dos atuais perfis de segurança com o novo perfil FAPI único, de 25/03/2024 a 14/04/2024.