Eine Verification-of-Payee-Antwort offenbart, ob ein Name zu einem Konto passt — Information, die nur die richtigen Parteien austauschen sollten. Daher verlässt sich die API des Schemas nicht allein auf API-Schlüssel: Sie nutzt gegenseitiges TLS, bei dem sowohl die anfragende als auch die antwortende Seite ein Zertifikat vorlegen, das sie als regulierten PSP ausweist. Der Zertifikatstyp ist das QWAC.
Was ein QWAC ist
- QWAC steht für Qualified Website Authentication Certificate, definiert in der EU-eIDAS-Verordnung.
- Es ist dasselbe PSD2-Zertifikat, das im Open Banking bereits zur Identifikation regulierter Zahlungsakteure dient.
- Es wird von einem qualifizierten Vertrauensdiensteanbieter (QTSP) ausgestellt und trägt die regulatorische Identität des Inhabers.
Was die Verwaltung bedeutet
Ein Zertifikat ist nicht einmalig einzurichten. Es hat eine Gültigkeitsdauer, muss vor Ablauf erneuert werden, und die Gegenseite muss prüfen können, dass es nicht widerrufen wurde — alles ohne die vom Schema geforderte 24/7-Verfügbarkeit zu brechen.
- 1 Beschaffen Sie ein QWAC bei einem qualifizierten Vertrauensdiensteanbieter.
- 2 Legen Sie es bei jeder Verbindung vor und validieren Sie im Gegenzug das Zertifikat der Gegenpartei.
- 3 Verfolgen Sie den Ablauf, rotieren Sie frühzeitig und prüfen Sie die Sperrung, damit die Verifikation nie stockt.
Zertifikate scheitern leise
Ein abgelaufenes oder nicht erneuertes Zertifikat warnt Ihre Nutzer nicht — es beginnt einfach, Verbindungen abzulehnen. Proaktive Rotation hält VoP verfügbar.
RoxPay verwaltet das Zertifikats-Vertrauensmodell für Sie — Ausstellung, Vorlage, Validierung und Erneuerung — sodass Sie regelkonforme, gegenseitig authentifizierte VoP erhalten, ohne selbst einen eIDAS-Zertifikatslebenszyklus zu betreiben.