FAPI
Daha fazla bilgi
- Geliştiren
- OpenID Foundation
- Tür
- OAuth 2.0 için güvenlik profili
- Resmî site
- openid.net
Çalınan bir jetonun çalınan para anlamına geldiği API’ler için sıkılaştırılmış bir OAuth 2.0 ve OpenID Connect profili.
OAuth 2.0 tasarım gereği esnektir ve bir bankanın istemediği şey tam olarak esnekliktir. Standardı ilk başta Financial API diye adlandıran OpenID Foundation çalışma grubu bu yüzden riskli olan her şeyi çıkardı, kalanı zorunlu kıldı. Implicit akış yasaktır; istemciler paylaşılan bir sır yerine mTLS ya da imzalı bir JWT ile kimlik doğrular. Erişim jetonları istemcinin anahtarına bağlanır, dolayısıyla ele geçirilen bir jeton başkası için işe yaramaz.
FAPI 1.0 2021’de tamamlandı ve o tarihte Birleşik Krallık açık bankacılığının omurgası olmuştu bile. FAPI 2.0 yetkilendirme isteğini doğrudan sunucuya iterek (PAR) ve PKCE’yi zorunlu kılarak tarifi sadeleştirir. Brezilya ve Avustralya açık veri rejimlerini bu profil üzerine kurdu. AB’de bankalar PSD2’yi kendi yöntemleriyle, çoğunlukla Berlin Group üzerinden yorumladı.