Een Verification of Payee-antwoord onthult of een naam bij een rekening hoort — informatie die alleen de juiste partijen zouden moeten uitwisselen. Daarom vertrouwt de API van het schema niet alleen op API-sleutels: het gebruikt wederzijdse TLS, waarbij zowel de aanvragende als de antwoordende kant een certificaat tonen dat bewijst dat ze een gereguleerde PSP zijn. Het certificaattype is het QWAC.
Wat een QWAC is
- QWAC staat voor Qualified Website Authentication Certificate, gedefinieerd onder de EU-eIDAS-verordening.
- Het is hetzelfde PSD2-certificaat dat al in open banking wordt gebruikt om gereguleerde betaalspelers te identificeren.
- Het wordt uitgegeven door een gekwalificeerde vertrouwensdienstverlener (QTSP) en draagt de regelgevende identiteit van de houder.
Wat het beheren inhoudt
Een certificaat is niet instellen-en-vergeten. Het heeft een geldigheidsperiode, moet vóór verloop worden vernieuwd, en de andere kant moet kunnen controleren dat het niet is ingetrokken — allemaal zonder de 24/7-beschikbaarheid te breken die het schema vereist.
- 1 Verkrijg een QWAC bij een gekwalificeerde vertrouwensdienstverlener.
- 2 Toon het bij elke verbinding en valideer in ruil het certificaat van de tegenpartij.
- 3 Volg het verloop, roteer op tijd en controleer intrekking zodat verificatie nooit vastloopt.
Certificaten falen in stilte
Een verlopen of niet-vernieuwd certificaat waarschuwt je gebruikers niet — het begint gewoon verbindingen te weigeren. Proactieve rotatie houdt VoP beschikbaar.
RoxPay beheert het certificaat-vertrouwensmodel voor je — uitgifte, presentatie, validatie en vernieuwing — zodat je rulebook-conforme, wederzijds geauthenticeerde VoP krijgt zonder zelf een eIDAS-certificaatlevenscyclus te draaien.