Проверить подпись можно для трех сущностей:

• •
  id_token;
• •
  access_token;
• •
  userinfo.

Партнёр API получает ответ в формате сформированного токена JWS, который состоит из:

• •
  Заголовка (Header), содержащего алгоритм подписи, идентификатор ключа и тип токена;
• •
  JSON-объекта (Payload), в котором перечислены клэймы полезной нагрузки;
• •
  Электронной подписи (Signature), содержащей подпись данных секретным ключом, парным открытому ключу, выпущенному для Alfa ID.

Декодирование компактной сериализации JWS

JWS формируется из трех составляющих и представляет структуру вида:

• •
  Base64URL(Header);
• •
  Base64URL(Payload);
• •
  Base64URL(Signature).

Пример access_token

{
  "kid": "alfa-test-jwt",
  "typ": "JWT",
  "alg": "RS256"
}

{
  "sub": "3228e68e-cc34-4b82-b43d-49112b5d9d3e",
  "aud": "0cee0683-85ae-49f2-a63d-29f97aad1911",
  "iss": "https://id.alfabank.ru",
  "exp": 1631666663,
  "scope_services": [
    "payment",
    "statement"
  ],
  "iat": 1631663063,
  "scope_claims": [
    "name",
    "given_name",
    "family_name",
    "middle_name",
    "email",
    "phone_number"
  ]
}

RSASHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),

  your-256-bit-secret
) // secret base64 encoded

Пример JWS идентификационного токена id_token

Каждая часть, разделённая точкой, должна декодироваться отдельно, с использованием алгоритма Base64URL Encoding.

{
  "kid": "alfa-test-jwt",
  "typ": "JWT",
  "alg": "RS256"
}

{
  "sub": "3228e68e-cc34-4b82-b43d-49112b5d9d3e",
  "aud": "0cee0683-85ae-49f2-a63d-29f97aad1911",
  "acr": "LoA3",
  "azp": "0cee0683-85ae-49f2-a63d-29f97aad1911",
  "auth_time": 1631663053,
  "iss": "https://id.alfabank.ru",
  "exp": 1631666663,
  "iat": 1631663063,
  "nonce": "n-0S6_WzA2Mj"
}

RSASHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),

  your-256-bit-secret
) // secret base64 encoded

Пример userinfo

{
  "kid": "alfa-test-jwt",
  "typ": "JWT",
  "alg": "RS256"
}

{
  "cus": "UAAAAA",
  "sub": "3228e68e-cc34-4b82-b43d-49112b5d9d3e",
  "birthdate": "2000-02-20",
  "role": "ACCOUNTANT, MANAGER",
  "gender": "MALE",
  "identity_document_name": "Паспорт гражданина РФ",
  "identity_document_number": 222222,
  "iss": "https://baas.alfabank.ru",
  "inn": 741511112222,
  "eio": true,
  "given_name": "Тест",
  "middle_name": "Тестович",
  "acus": "XAAAAA",
  "identity_document_series": 1111,
  "aud": "0cee0683-85ae-49f2-a63d-29f97aad1911",
  "aclc": "XAAAA1",
  "updated_at": "2022-01-20",
  "name": "Тестов Тест Тестович",
  "phone_number": 79191112233,
  "clc": "UAAAA1",
  "family_name": "Тестов",
  "email": "email@email.ru"
}

RSASHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),

  your-256-bit-secret
) // secret base64 encoded

Алгоритм проверки подписи

1. 1.
   Вычислите хэш-функцию SHA256 от данных Base64URL(Header).Base64URL(Payload).
2. 2.
   Дешифруйте данные Base64URL(Signature), используя алгоритм RS256 и открытый ключ с идентификатором, переданным в Заголовке (Header) в клэйме kid (в приведенном выше примере это alfa-test-jwt).
3. 3.
   Сравните вычисленный хэш из 1 шага и дешифрованные данные из 2 шага. Если значения равны, значит, подпись верна.

Сертификат для проверки электронной подписи certificate-prod.