Una respuesta de Verification of Payee revela si un nombre coincide con una cuenta — información que solo las partes adecuadas deberían intercambiar. Por eso la API del esquema no se fía solo de claves de API: usa TLS mutuo, donde tanto el lado solicitante como el respondiente presentan un certificado que prueba que son un PSP regulado. El tipo de certificado es el QWAC.
Qué es un QWAC
- QWAC significa Qualified Website Authentication Certificate, definido por el reglamento europeo eIDAS.
- Es el mismo certificado PSD2 ya usado en open banking para identificar a los actores de pago regulados.
- Lo emite un prestador cualificado de servicios de confianza (QTSP) y porta la identidad regulatoria del titular.
Qué implica gestionarlo
Un certificado no es de configurar y olvidar. Tiene un periodo de validez, debe renovarse antes de caducar, y el otro lado debe poder comprobar que no ha sido revocado — todo sin romper la disponibilidad 24/7 que exige el esquema.
- 1 Obtén un QWAC de un prestador cualificado de servicios de confianza.
- 2 Preséntalo en cada conexión y valida a cambio el certificado de la contraparte.
- 3 Controla la caducidad, rota con antelación y comprueba la revocación para que la verificación nunca se detenga.
Los certificados fallan en silencio
Un certificado caducado o no renovado no avisa a tus usuarios — simplemente empieza a rechazar conexiones. La rotación proactiva es lo que mantiene la VoP disponible.
RoxPay gestiona por ti el modelo de confianza de los certificados — emisión, presentación, validación y renovación — así obtienes una VoP conforme al rulebook y mutuamente autenticada sin operar tú mismo un ciclo de vida de certificados eIDAS.