Interceptors

Catálogo de Produtos / Interceptors
Protección de las APIs reguladas

Interceptors del SFA

Cuatro interceptors para la Sensedia API Platform que aplican, en el borde, lo que el perfil de seguridad del Sistema de Finanzas Abiertas exige antes de que una solicitud llegue a su servicio.

Interceptors4
OrdenFijo
Punto de ejecuciónRequest
Dónde correnGateway del resource server

01 Qué resuelven

Cuando su institución publica una API regulada — Recursos, Cuentas, Tarjetas — el llamador es otro participante del SFA, y la norma exige comprobar varias cosas antes de servir el dato: que el certificado de transporte sea suyo, que el access token esté vinculado a ese certificado, que siga vigente, y que el consentimiento cubra exactamente la operación solicitada.

Los cuatro interceptors hacen esas comprobaciones en el gateway. Su servicio recibe la solicitud ya verificada, con el consentimiento resuelto en una cabecera.

Dónde se instalan

En el gateway que publica su resource server — no en el del Authorization Server. Por eso ninguna dirección del Authorization Server se deriva de la solicitud ni del token: todas vienen de configuración.

02 La cadena

El orden no es opcional: cada uno consume lo que el anterior dejó.

1 certificate-client-metadata Lee el certificado mTLS, calcula su thumbprint y expone la identidad del participante.
2 access-token-authorization Valida el token y lo vincula al thumbprint del paso anterior.
3 of-context-params Resuelve desde la ruta qué exige el endpoint, y se lo pasa al siguiente.
4 of-consent-validation Exige que el consentimiento del token cubra la operación solicitada.

Qué pasa de uno al siguiente

CabeceraLa produceLa consumePara qué
x-client-cert-thumbprint 1 — certificate-client-metadata 2 — access-token-authorization Vínculo holder-of-key entre token y certificado
grantId 2 — access-token-authorization Su servicio Identificador del consentimiento resuelto desde el token
context-authorization-type
context-required-actions		 3 — of-context-params 4 — of-consent-validation Qué type y qué actions exige el endpoint llamado
x-consent-context 4 — of-consent-validation Su servicio Contexto del consentimiento, si se habilita su propagación
Requisito del borde

El primer interceptor necesita que el terminador mTLS entregue el certificado del cliente en la cabecera x-forwarded-client-cert (XFCC), con el elemento Cert en PEM. Sin eso, la cadena entera se detiene en el primer paso.

03 Detalle de cada uno

#InterceptorQué hace
1 certificate-client-metadata Parsea el certificado mTLS, calcula el thumbprint SHA-256 y publica la identidad del participante.
2 access-token-authorization Valida estructura, emisor, firma PS256, vigencia, authorization_details y el vínculo con el certificado.
3 of-context-params Resuelve desde la ruta el type y las actions que el endpoint exige, y las inyecta.
4 of-consent-validation Exige el type y las actions que el recurso requiere.

04 Errores

Los cuatro responden con el mismo envoltorio y siempre devuelven x-fapi-interaction-id en la respuesta. Ramifique por code, nunca por el texto del mensaje.

codeCuándo
SFA_ERR_UNAUTHORIZEDFalta el certificado o el token, o no son válidos
SFA_ERR_FORBIDDENEl consentimiento no cubre la operación solicitada
SFA_ERR_INVALID_GRANTEl consentimiento del token no es utilizable
SFA_ERR_INTERNALFallo no previsto en el borde

← Volver a Open Finance Chile