6. Автентифікація API client та ASPSP на транспортному рівні

Цей розділ встановлює вимоги до захисту транспортного рівня (TLS) та взаємної автентифікації між API client і ASPSP, вимоги до Redirect URI, а також описує перевірку ASPSP авторизації діяльності PISP/AISP перед наданням доступу до рахунку PSU.

Загальні вимоги до TLS

Зв’язок між API client та ASPSP завжди захищений за допомогою з’єднання TLS. Завжди використовується автентифікація клієнта, тобто взаємна автентифікація між API client та ASPSP є частиною налаштування з’єднання, захищеного TLS.

Потрібно використовувати TLS версії 1.2 або вище.

6.1. З’єднання, захищене TLS, встановлене API client

Підтримка цих заходів безпеки є обов’язковою для будь-якого ASPSP та будь-якого API client. Для всіх сервісів з’єднання, захищене TLS, має бути встановлене API client як TLS-клієнтом. У цьому випадку ASPSP виступає як TLS-сервер.

API client має встановити з’єднання, захищене TLS, включаючи автентифікацію API client, тобто автентифікацію API client як TLS-клієнта. Для цієї автентифікації API client має використовувати кваліфікований сертифікат для автентифікації вебсайту (QWAC).

Ця специфікація не визначає жодних додаткових вимог до сертифікатів, які використовуються ASPSP як TLS-серверу. Звичайно, сертифікати повинні відповідати загальним вимогам, визначеним у RFC 5280, і рекомендаціям найкращої практики CA/Browser Forum.

6.2. Вимоги до сертифікатів для перенаправлення URI

TPP може надати кілька URI ASPSP як параметри для наступних кроків протоколу. З міркувань безпеки слід забезпечити, щоб ці URI були захищені QWAC, що використовується для ідентифікації TPP. Застосовується наступне:

URI, які надаються TPP у Client-Redirect-URI або Client-Nok-Redirect-URI, повинні відповідати домену, захищеному сертифікатом QWAC TPP у полі CommonName (CN) сертифіката.

Наприклад, у випадку example-TPP.com записи сертифіката Client-Redirect-URI, такі як:

• http://www.example-tpp.com/xs2a-client/v2/ASPSPidentifcation/mytransaction-id
• http://redirections.example-tpp.com/xs2a-client/v2/ASPSPidentifcation/mytransactionid

будуть відповідати вимогам.

Визначення універсальних шаблонів (wildcard) мають враховуватися при перевірках відповідності з боку ASPSP.

6.3. Опис процесу перевірки ASPSP авторизації діяльності PISP/AISP

ASPSP відповідно до вимог Закону “Про платіжні послуги” та “Положення про відкритий банкінг в Україні”, затвердженого постановою Правління Національного банку України від 25.07.2025 № 80, в процесі електронної взаємодії перед наданням доступу до рахунку PSU PISP та/або AISP здійснює перевірку авторизації діяльності PISP/AISP шляхом:

1. перевірки чинності кваліфікованого сертифікату відкритого банкінгу PISP/AISP;
2. ідентифікації та автентифікації PISP/AISP з використанням його кваліфікованого сертифіката відкритого банкінгу;
3. перевірки відомостей про PISP/AISP в Реєстрі платіжної інфраструктури (далі — РПІ);
4. порівняння відомостей про PISP/AISP у кваліфікованому сертифікаті відкритого банкінгу та в РПІ.

6.3.1. Перевірка чинності кваліфікованого сертифікату відкритого банкінгу та ідентифікація PISP/AISP

ASPSP повинен перевірити, що кваліфікований сертифікат відкритого банкінгу є чинним відповідно до частини першої статті 24 Закону України “Про електронну ідентифікацію та електронні довірчі послуги” і перелік відомостей, що містяться у кваліфікованому сертифікаті відкритого банкінгу, відповідає вимогам, визначеним у додатку до Положення № 82.

Перевірка кваліфікованого сертифікату відкритого банкінгу PISP/AISP здійснюється з врахуванням розділу 7.1. цього Документу.

6.3.2. Перевірка відомостей про PISP/AISP в РПІ

ASPSP для перевірки відомостей про PISP/AISP в РПІ використовує АРІ (далі — АРІ НБУ), що реалізовано Національним банком України (далі — Національний банк) та містить відомості з РПІ про PISP/AISP (далі — відомості з АРІ НБУ).

Дане АРІ НБУ розміщено на офіційному Інтернет-представництві Національного банку в розділі “Відкриті дані/АРІ для розробників” разом з “Технічною інструкцією” за посиланням:

• https://bank.gov.ua/ua/open-data/api-dev

Опис атрибутів, що містяться в АРІ НБУ вказаний в “Технічній інструкції” за посиланням:

• https://bank.gov.ua/admin_uploads/article/Instr_API_PISP_AISP.pdf

ASPSP зобов’язаний розробити регламент оновлення відомостей з АРІ НБУ та здійснювати обов’язкове оновлення відомостей з АРІ НБУ щодня в проміжку з 23:00 год. до 23:59 год. (далі — Обов’язкове оновлення). ASPSP має право надавати PISP/AISP доступ до рахунку PSU на підставі збережених відомостей з АРІ НБУ, отриманих під час Обов’язкового оновлення до моменту Обов’язкового оновлення наступного календарного дня.

ASPSP має право у власному регламенті передбачити здійснення додаткових запитів на оновлення відомостей з АРІ НБУ, але не частіше, ніж один раз на годину. ASPSP при наданні PISP/AISP доступу до рахунку PSU керується останніми збереженими відомостями з АРІ НБУ про такого PISP/AISP.

ASPSP має право здійснювати повторні запити для Обов’язкового оновлення відомостей з АРІ НБУ до 23:59 год. у разі неуспішного запиту на Обов’язкове оновлення відомостей з АРІ НБУ в регламентований ASPSP час.

ASPSP заборонено надавати доступ до рахунку на підставі збережених відомостей з АРІ НБУ в разі неможливості Обов’язкового оновлення відомостей з АРІ НБУ починаючи з 00:00 наступного календарного дня до моменту успішного оновлення відомостей в АРІ НБУ (без врахування обмежень щодо одного разу на годину).

Національний банк, у разі непрацездатності АРІ НБУ та неможливості з технічних причин здійснити ASPSP Обов’язкове оновлення відомостей з АРІ НБУ протягом поточної доби, вживає заходи щодо відновлення працездатності АРІ НБУ та повідомляє ASPSP щодо порядку дій до відновлення працездатності АРІ НБУ шляхом направлення повідомлення засобами електронної пошти Національного банку та розміщення інформації на сторінці офіційного Інтернет-представництва Національного банку.

ASPSP повинен перевірити такі відомості з АРІ НБУ:

1. наявність авторизації діяльності з надання нефінансової платіжної послуги (PIS/AIS) в атрибутах: PayServiceId — числовий ідентифікатор нефінансової платіжної послуги та/або PayServiceName — назва нефінансової платіжної послуги (обидва атрибути містять рівнозначну інформацію щодо наявної авторизації діяльності, ASPSP самостійно налаштовує алгоритм перевірки атрибутів);
2. статус авторизації діяльності в атрибутах: ServiceStatusId — числовий ідентифікатор статусу та/або ServiceStatusName — назва статусу авторизації діяльності (обидва атрибути містять рівнозначну інформацію щодо статусу авторизації діяльності, ASPSP самостійно налаштовує алгоритм перевірки атрибутів).

6.3.3. Порівняння відомостей про PISP/AISP у кваліфікованому сертифікаті відкритого банкінгу та відомостей з АРІ НБУ

Для порівняння відомостей з АРІ НБУ про PISP/AISP з відомостями, що містяться у кваліфікованому сертифікаті відкритого банкінгу PISP/AISP використовується унікальний ідентифікатор — код ID НБУ, що присвоюється Національним банком України відповідно до “Положення про систему єдиної ідентифікації учасників фінансового ринку України” та зазначений в кваліфікованому сертифікаті відкритого банкінгу у полі Subject, в атрибуті OrganizationIdentifier (2.5.4.97), у відомостях з АРІ НБУ — це атрибут NbuId.

Перевірка атрибутів кваліфікованого сертифікату відкритого банкінгу та відомостей з АРІ НБУ здійснюється ASPSP відповідно до таблиці “Опис етапів перевірки та атрибутів в кваліфікованому сертифікаті відкритого банкінгу та відомостей з АРІ НБУ”.

Перевірка відомостей про PISP/AISP у кваліфікованому сертифікаті відкритого банкінгу та відомостей в АРІ НБУ вважається успішною, якщо значення атрибуту RolesOfPSP (0.4.0.19495.1) кваліфікованого сертифікату відкритого банкінгу PISP/AISP співпадає зі значенням атрибуту PayServiceId/PayServiceName у відомостях в АРІ НБУ по такому PISP/AISP та статус авторизації діяльності у відомостях з АРІ НБУ дорівнює значенню “Активна” (ServiceStatusId = 1 та ServiceStatusName = “Активна”).

6.3.4. Умови надання PISP/AISP доступу до рахунку PSU

ASPSP заборонено надавати доступ до рахунку PSU PISP/AISP у таких випадках:

1. сертифікат відкритого банкінгу не є кваліфікованим;
2. кваліфікований сертифікат відкритого банкінгу не є чинним або не вдалось здійснити перевірку чинності сертифікату;
3. виявлено неспівпадіння значення атрибуту RolesOfPSP (0.4.0.19495.1) в кваліфікованому сертифікаті відкритого банкінгу із значеннями атрибутів PayServiceId та/або PayServiceName у відомостях з АРІ НБУ;
4. статус авторизації діяльності PISP/AISP в атрибутах ServiceStatusId та ServiceStatusName у відомостях з АРІ НБУ не дорівнює значенню “Активна”.

Опис етапів перевірки та атрибутів в кваліфікованому сертифікаті відкритого банкінгу та відомостей з АРІ НБУ

Примітка: “Положення про систему єдиної ідентифікації учасників фінансового ринку України” затверджено постановою Правління Національного банку України від 30.08.2021 № 92 (зі змінами).