API de información de la cuenta

La API de información de la cuenta incluye detalles sobre cada uno de tus clientes. Tu sitio web creado con la plantilla utilizará esta información como parte del protocolo de inicio de sesión único (SSO) para verificar la cuenta del usuario. Se utilizará para compras, canjes de fidelidad y otras funciones.

Esta API también la pueden usar los agentes de Expedia para verificar el identificador único del viajero (por ejemplo, el número de la tarjeta de crédito) como parte de la solicitud para obtener los datos de la cuenta del usuario. Los datos recibidos se utilizarán para validar al viajero por teléfono antes de proceder a la compra y reserva.

Consulta la página Respuestas y tipos de datos comunes para obtener más información.

Cifrado y descifrado de tarjetas de crédito

Expedia utiliza una técnica JWE (cifrado web JSON) estándar del sector para cifrar y descifrar los datos de las tarjetas de crédito: cifrado asimétrico mediante un par de claves pública y privada.

Casos prácticos de cifrado

El cifrado debe tener lugar en lo siguiente:

• Solicitud: cardNumber
• Respuesta: cardDetails

En el parámetro de solicitud, debes establecer un certificado de clave privada RSA (Rivest Shamir Adleman) firmado por una CA (autoridad de certificación) de 2048 bits y compartirlo con Expedia. A continuación, utilizaremos tu clave pública para cifrar el campo cardNumber utilizando JWE y RSA.

En el parámetro de respuesta, configuraremos una clave privada RSA de 2048 bits firmada por la CA y compartiremos el certificado de clave pública correspondiente con el usuario y contigo. Utilizando la clave pública de Expedia, cifrarás cada elemento de cardDetails utilizando JWE y RSA.

A continuación, te indicamos los pasos del proceso de cifrado.

Cifrado paso a paso

Paso 1: busca el certificado público y obtén la clave pública RSA 2048.

1. Genera una clave simétrica aleatoria (RSK) de 256 bits de longitud.
2. Cifra la RSK con la clave pública RSA 2048 utilizando el algoritmo RSA-OAEP-256.

Paso 2: genera un vector de inicialización aleatorio (IV) de 96 bits de longitud.

Paso 3: cifra los datos del texto plano utilizando la RSK, el IV y el algoritmo A256GCM a partir de los datos del texto cifrado y la etiqueta de autenticación.

Paso 4: codifica con Base64URL el texto cifrado para producir Base64URL (texto cifrado JWE).

Paso 5: codifica con Base64URL la etiqueta de autenticación, IV, RSK, y el JSON de encabezado JWE para producir lo siguiente:

• Datos de la etiqueta de autenticación: Base64URL (etiqueta de autenticación JWE).
• IV: Base64URL (vector de inicialización JWE)
• RSK: Base64URL (clave cifrada JWE)
• JSON del encabezado JWE: Base64URL (UTF8 (encabezado JWE))

A continuación, serializa el objeto JWE a su formato compacto consistente en partes codificadas con Base64URL delimitadas por puntos ('.') para producir lo siguiente:

Base64URL (UTF8) (encabezado JWE) || '.' || Base64URL (clave cifrada JWE) || '.' || Base64URL (vector de inicialización JWE) || '.' || Base64URL (texto cifrado JWE) || '.' || Base64URL (etiqueta de autenticación JWE)

public String encryptWithJWE(String plainText){
    X509Certificate publicCertificate = <fetch public cert>
    //get RSA public key
    final X509EncodedKeySpec publicKeySpec = new 
    X509EncodedKeySpec(publicCertificate.getPublicKey().getEncoded());
    final KeyFactory keyFactory = KeyFactory.getInstance("RSA");
    RSAPublicKey rsaPublicKey = (RSAPublicKey) keyFactory.generatePublic(publicKeySpec);
    //get keyID
    String keyID = certificateManager.getKid(publicCertificate);
    // Create JWE Header containing the needed metadata for encryption and decryption
    JWEHeader jweHeader = new JWEHeader.Builder(JWEAlgorithm.RSA_OAEP_256, EncryptionMethod.A256GCM)
        .type(JOSEObjectType.JWT)
        .customParam(IAT, System.currentTimeMillis())
        .keyID(keyID)
        .build();
/*

{
"alg":"RSA-OAEP-256",
"typ":"JWT",
"enc":"A256GCM",
"iat":<Time (in UTC) when JWE was issued, expressed in UNIX epoch time (seconds since 1 January, 1970)>,
"kid":<Key ID or subject key Identifier from the public key certificate>
}
*/
    JWEObject jweObject = new JWEObject(jweHeader, new Payload(plainText));
    RSAEncrypter encrypter = new RSAEncrypter(rsaPublicKey);
    jweObject.encrypt(encrypter);
    return jweObject.serialize();
    }

Descifrado del número de la tarjeta en la solicitud

Expedia cifrará cardNumber en la solicitud. La ruta de descifrado es el proceso inverso de la ruta de cifrado:

1. Cuando recibas el JWE cifrado, debes descodificar la primera sección del mismo, el encabezado JOSE, para determinar el algoritmo, el cifrado y el keyId (alg, enc, kid).
2. A continuación, validarás el iat (issued-at: la hora en que se emitió el JWT) para asegurarte de que no difiere en más de 5 minutos de la hora actual. (El token caducará a los 5 minutos).
3. A continuación, busca tu clave privada y descifra la clave de cifrado JWE.
4. Por último, utilizando la RSK descifrada, el vector de inicialización JWE y la etiqueta de autenticación JWE, puedes descifrar el parámetro de texto cifrado JWE y verificarlo.

public String decryptJWE(String jweString) {
    PrivateKey privateKey = <fetch private key>;
    RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) privateKey;
    JWEObject jweObject = JWEObject.parse(jweString);
    JWEHeader jweHeader = jweObject.getHeader();validateJweHeader(jweHeader);
    RSADecrypter rsaDecrypter = new RSADecrypter(rsaPrivateKey);
    jweObject.decrypt(rsaDecrypter);
    return jweObject.getPayload().toString();
}

Obtener información de la cuenta

Utilizarás este conjunto de campos para obtener información de la cuenta de un miembro del programa de fidelidad o del titular de una tarjeta utilizando POST /user/v1/account.

Encabezado

Solicitud

Respuesta

ProgramAccount

Información del usuario

Nota: Si se rellena alguno de los campos de cardDetails, los marcados con un * son obligatorios. Todos los datos de estos campos están cifrados.

Detalles de la API

Sin información de la tarjeta de crédito

Con información de la tarjeta de crédito