Português
English
Español
certificate-client-metadata
certificate-client-metadata
Convierte el certificado mTLS del llamador en datos que el resto de la cadena puede usar: el thumbprint que vincula el token al certificado, y la identidad del participante.
01 Requisito previo
Este interceptor no termina TLS: lee el certificado que el terminador ya validó.
El gateway debe recibir el certificado del cliente en la cabecera x-forwarded-client-cert (XFCC), con el elemento Cert en formato PEM. Si falta o no se puede parsear, la solicitud se rechaza con 401 y SFA_ERR_UNAUTHORIZED, y la cadena no continúa.
02 Qué produce
| Cabecera | Origen en el certificado | Quién la usa |
|---|---|---|
x-client-cert-thumbprint |
SHA-256 del DER, en base64url sin padding — equivale a x5t#S256 |
access-token-authorization, para el vínculo holder-of-key |
x-participant-id |
CN del Subject DN |
Su servicio |
x-organisation-name |
O del Subject DN |
Su servicio |
x-organisation-id |
organizationIdentifier — OID 2.5.4.97 |
Su servicio |
Las tres cabeceras de identidad se emiten sólo si el atributo correspondiente está presente en el certificado. El thumbprint, en cambio, siempre se calcula — es lo que el paso siguiente necesita para comprobar que el token fue emitido para ese certificado.
03 Errores
code | Cuándo |
|---|---|
SFA_ERR_UNAUTHORIZED | Falta el XFCC, o el certificado no se puede parsear |
SFA_ERR_INTERNAL | Fallo no previsto durante el parseo |
04 Código fuente
El interceptor completo, tal como se instala en la Sensedia API Platform.
certificate-client-metadata.js — JavaScript, 9,5 KB.
Se sirve con extensión .json porque el portal no entrega archivos .js; el contenido es JavaScript. Guárdelo como certificate-client-metadata.js.
← Volver a Interceptors · Siguiente: access-token-authorization →
