Proibição da rotação de Refresh token – data limite de 29/11/21Orientações sobre perfis exigidos para certificação Relying Parties (RP)

Proibição da rotação de Refresh token – data limite de 29/11/21

Conforme deliberado na 87ª reunião do Conselho Deliberativo, foi proibida a rotação do refresh token, com estabelecimento da data limite de 29/11/21 para adequação das instituições.

Com a proximidade da data limite (próxima 2ª feira), é importante reforçar a necessidade de adequação das instituições participantes, garantindo que:

Por parte da instituição transmissora, seja desativada a rotação de refresh tokens (caso esta seja utilizada)

Instituições passarão a retornar o refresh_token apenas ao término da jornada de confirmação. Nos momentos de consumo de dados, a necessidade de “atualizar” o access_token se mantém, mas as instituições deixarão de retornar o refresh_token, visto que ele passou a ficar “fixo”

Por parte da instituição receptora, a jornada seja adequada de forma a não esperar um retorno do refresh token no momento de consumo de dados.

Entende-se que a não adequação das instituições neste tema poderá ter impactos significativos na interoperabilidade do ecossistema, gerando problemas de conexão e no consumo de dados entre as instituições.

As instituições têm até o final do dia 29/11/21 (23h59 BRT) para se adaptarem e evitarem os problemas de interoperabilidade.

Orientações sobre perfis exigidos para certificação Relying Parties (RP)

Para a certificação RP, a obrigatoriedade de realizar os perfis é:

Iniciadoras de Pagamento (Fase 3 – mensagens assinadas):

Perfis de certificação obrigatórios: [Payments] BR-OB Adv. RP w/ MTLS e [Payments] BR-OB Adv. RP w/ Private Key

Perfis de certificação opcionais: [Payments] BR-OB Adv. RP w/ MTLS, JARM e [Payments] BR-OB Adv. RP w/ Private Key, JARM

Devem ser feitos caso a instituição deseje usar JARM

A certificação nesses perfis é válida para receptores de dados da Fase 2

Receptores de dados (Fase 2 – mensagens não assinadas):

Perfis de certificação obrigatórios: [Accounts] BR-OB Adv. RP w/ MTLS e [Accounts] BR-OB Adv. RP w/ Private Key

Perfis de certificação opcionais: [Accounts] BR-OB Adv. RP w/ MTLS, JARM e [Accounts] BR-OB Adv. RP w/ Private Key, JARM

Devem ser feitos caso a instituição deseje usar JARM

A certificação nesses perfis não é válida para iniciadores de pagamento da Fase 3

Cada pagamento dá direito ao envio de uma única solicitação de certificação, que pode contemplar todos os perfis obrigatórios e/ou opcionais.