Possibilidade da rotação de registration access tokensPadronização de processo de tratativa em casos de perda de validade do client_id e registration_client_uriAtualização de razão social de instituições

Possibilidade da rotação de registration access tokens

Comunicamos às instituições do Open Finance Brasil que a proibição de rotação descrita no Informa #81 (Proibição da rotação do refresh token, de 29/10/2021) se refere exclusivamente a refresh tokens não tendo qualquer relação com a rotação do registration_access_token, que é permitida. O refresh token é utilizado em fluxos FAPI e o registration_access_token é utilizado durante o DCR/DCM.

O registration_access_token deve ser armazenado a cada interação de uma receptora de dados ou iniciadora de pagamento com uma transmissora de dados ou detentora de conta, tanto em chamadas de consulta (GET) quanto de alteração (PUT), conforme RFC 7592.

Padronização de processo de tratativa em casos de perda de validade do client_id e registration_client_uri

Comunicamos às instituições do Open Finance Brasil a definição de um processo paliativo para tratamento de perda de client_id e/ou registration_client_uri. Indicamos a utilização deste processo por instituições receptoras de dados e/ou iniciadoras de pagamento que enfrentem problemas na realização de DCM devido à perda de credenciais client_id e/ou registration_client_uri.

Processo resumido:

Receptora de dados / iniciadora de pagamento testa o funcionamento do DCM onde o client_id foi registrado;

Em caso de insucesso, a receptora de dados / iniciadora de pagamento deve publicar chave pública no Diretório;

A receptora de dados / iniciadora de pagamento abre ticket no Service Desk, no caminho "Incidentes > APIs > Erro na Jornada ou Dados > Gerencial a credencial > Recuperar”, incluindo no ticket o KID da chave pública no diretório e incluindo o client_id e/ ou registration_client_uri sem validade;

Transmissora / Detentora gera novo registration_access_token para os client_ids e/ ou registration_client_uris correspondentes;

Transmissora / Detentora realiza criptografia da informação gerada e a disponibiliza em resposta ao ticket aberto no Service Desk;

Receptora / Iniciadora decriptografa e atualiza os dados em sua base.

Clique aqui para acessar o Service Desk

Atualização de razão social de instituições

A Resolução BCB nº 80 criou uma obrigação para as Instituições de Pagamento (IPs): segundo o art. 5º, § 4º, inciso I,  todas as IPs precisam ter a expressão "instituição de pagamento" em sua razão social, até 31/12/2022.

Essa alteração implica na necessidade de atualização do cadastro da instituição no Diretório e na atualização de campos referentes à razão social em certificados digitais ICP-Brasil da instituição de pagamento, dado que razão social é um dos campos utilizados na autenticação de instituições.

Assim, para evitar problemas de interoperabilidade, as IPs devem atentar-se às ações que devem ser tomadas após a atualização de sua razão social:

Campo “Razão Social” deve ser alterado no Diretório;

Os certificados ICP-Brasil da instituição devem ser atualizados com a nova razão social;

Devem ser feitos DCMs para atualizar razão social nas instituições participantes do Open Finance em que já houver registro.

Vale ressaltar que o valor do campo “Razão Social” está contido no subject_dn e, conforme reforçado no Informa 200 (Regras para autenticação de DCM, de 04/08/2022), as instituições que estiverem utilizando este campo para validações adicionais devem se adequar à documentação de segurança.