API de informações da conta

Verifique os viajantes que utilizam seu site usando os dados da conta deles.

A API de Informações da Conta inclui detalhes sobre cada viajante. Um agente da Expedia usará essa informação para verificar o identificador único do viajante para compras, resgate de pontos de fidelidade, cancelamentos e muito mais. Esse identificador exclusivo pode ser um número de cartão de crédito (um identificador do setor de cartões de pagamento (PCI)) ou um identificador non-PCI, como um endereço de e-mail ou um número de conta de fidelidade, dependendo de suas necessidades ou padrões de segurança.

Consulte Dados e respostas comuns para obter informações adicionais.

Obter informações da conta

Você vai usar este conjunto de campos para buscar informações da conta de um associado do programa de fidelidade ou titular de cartão usando POST /user/v1/account.

Cabeçalho

Solicitação

Você precisará definir membershipId, loyaltyAccountNumber, cardNumberou emailcomo parâmetro obrigatório. Seu gerente de contas trabalhará com você para definir qual opção é a mais adequada com base em suas necessidades.

Nota: Se você estiver usando cardNumbercomo seu identificador, você também precisará revisar as tabelas cardDetailse billingAddressabaixo. Nenhum outro parâmetro requer esses dados.

Resposta

programAccount

cardDetails

billingAddress

Usuários

Criptografia e descriptografia de cartão de crédito

Se você usar cardNumbercomo identificador do viajante para validação, algumas informações precisarão ser criptografadas. A Expedia exige o manuseio seguro de informações PCI usando uma técnica JWE (criptografia web JSON) industry-standard para criptografar e descriptografar dados de cartão de crédito: criptografia assimétrica usando um par de chaves pública e privada.

Casos de uso de criptografia

Os locais onde a criptografia é necessária incluem:

• Solicitar: cardNumber
• Resposta: cardDetails

No parâmetro de solicitação, é preciso configurar um certificado de chave privada RSA (Rivest Shamir Adleman) de 2048 bits assinado por uma CA (autoridade certificadora) e compartilhar com a Expedia. Em seguida, vamos usar a sua chave pública para criptografar o campo cardNumber com JWE e RSA.

No parâmetro de resposta, vamos configurar uma chave privada RSA de 2048 bits assinada por uma CA e compartilhar o certificado de chave pública correspondente com você. Usando a chave pública da Expedia, você vai criptografar cada elemento de cardDetails com JWE e RSA.

Siga os passos abaixo para realizar o processo de criptografia.

Guia passo a passo de criptografia

Passo 1: obtenha o certificado público e a chave pública RSA 2048.

1. Gere uma chave simétrica aleatória (RSK) com 256 bits de comprimento.
2. Criptografe a RSK usando a chave pública RSA 2048 com o algoritmo RSA-OAEP-256.

Passo 2: gere um vetor de inicialização (IV) aleatório com 96 bits de comprimento.

Passo 3: criptografe os dados em texto simples usando a RSK, o IV e o algoritmo A256GCM para formar o texto cifrado e os dados da tag de autenticação.

Passo 4: codifique o texto cifrado em Base64URL para produzir Base64URL (texto cifrado JWE).

Passo 5: codifique em Base64URL a tag de autenticação, o IV, a RSK e o JSON do cabeçalho JWE para produzir:

• Dados da tag de autenticação: Base64URL (tag de autenticação JWE)
• IV: Base64URL (vetor de inicialização JWE)
• RSK: Base64URL (chave criptografada JWE)
• JSON do cabeçalho JWE: Base64URL (UTF8) (cabeçalho JWE)

Em seguida, serialize o objeto JWE no seu formato compacto, composto por partes codificadas em Base64URL delimitadas por pontos ('.'), para produzir:

Base64URL (UTF8) (cabeçalho JWE) || '.' || Base64URL (chave criptografada JWE) || '.' || Base64URL (vetor de inicialização JWE) || '.' || Base64URL (texto cifrado JWE) || '.' || Base64URL (tag de autenticação JWE)

public String encryptWithJWE(String plainText){
    X509Certificate publicCertificate = <fetch public cert>
    //get RSA public key
    final X509EncodedKeySpec publicKeySpec = new 
    X509EncodedKeySpec(publicCertificate.getPublicKey().getEncoded());
    final KeyFactory keyFactory = KeyFactory.getInstance("RSA");
    RSAPublicKey rsaPublicKey = (RSAPublicKey) keyFactory.generatePublic(publicKeySpec);
    //get keyID
    String keyID = certificateManager.getKid(publicCertificate);
    // Create JWE Header containing the needed metadata for encryption and decryption
    JWEHeader jweHeader = new JWEHeader.Builder(JWEAlgorithm.RSA_OAEP_256, EncryptionMethod.A256GCM)
        .type(JOSEObjectType.JWT)
        .customParam(IAT, System.currentTimeMillis())
        .keyID(keyID)
        .build();
/*

{
"alg":"RSA-OAEP-256",
"typ":"JWT",
"enc":"A256GCM",
"iat":<Time (in UTC) when JWE was issued, expressed in UNIX epoch time (seconds since 1 January, 1970)>,
"kid":<Key ID or subject key Identifier from the public key certificate>
}
*/
    JWEObject jweObject = new JWEObject(jweHeader, new Payload(plainText));
    RSAEncrypter encrypter = new RSAEncrypter(rsaPublicKey);
    jweObject.encrypt(encrypter);
    return jweObject.serialize();
    }

Descriptografia do número do cartão na solicitação

A Expedia irá criptografar cardNumberna solicitação. O caminho de descriptografia é o inverso do caminho de criptografia:

1. Ao receber o JWE criptografado, você deve decodificar a primeira seção do JWE, o cabeçalho JOSE, para determinar o algoritmo, a criptografia e o keyId (alg, enc, kid).
2. Em seguida, você validará o iat (issued-at: a hora em que o JWT foi emitido) para garantir que não seja diferente de 5 minutos da hora atual. (O token expirará após 5 minutos.)
3. Depois, use a sua chave privada e descriptografe a chave de criptografia JWE.
4. Então, usando a RSK descriptografada, o vetor de inicialização JWE e a tag de autenticação JWE, você pode descriptografar e verificar o parâmetro de texto cifrado JWE.

public String decryptJWE(String jweString) {
    PrivateKey privateKey = <fetch private key>;
    RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) privateKey;
    JWEObject jweObject = JWEObject.parse(jweString);
    JWEHeader jweHeader = jweObject.getHeader();validateJweHeader(jweHeader);
    RSADecrypter rsaDecrypter = new RSADecrypter(rsaPrivateKey);
    jweObject.decrypt(rsaDecrypter);
    return jweObject.getPayload().toString();
}

Detalhes da API

Sem dados do cartão de crédito

Com dados do cartão de crédito