API de información de la cuenta

Verifica a los viajeros que usan tu página web con los datos de su cuenta

La API de información de cuentas incluye datos sobre cada viajero. Un agente de Expedia lo utilizará para verificar el identificador único del viajero en caso de compras, canje de puntos de fidelidad, cancelaciones y otras operaciones. Este identificador único puede ser un número de tarjeta de crédito (un identificador de la Industria de Tarjetas de Pago, o PCI) o un identificador de « non-PCI », como una dirección de correo electrónico o un número de cuenta de fidelización, dependiendo de tus necesidades o normas de seguridad.

Echa un vistazo a y a «Datos comunes y respuestas» para obtener más información.

Obtener información de la cuenta

Utilizarás este conjunto de campos para obtener información de la cuenta de un miembro del programa de fidelidad o del titular de una tarjeta utilizando POST /user/v1/account.

Encabezado

Solicitud

Tendrás que establecer como parámetro obligatorio uno de estos: membershipId, loyaltyAccountNumber, cardNumbero email. Tu gestor de cuenta colaborará contigo para determinar cuál es la mejor opción según tus necesidades.

Nota: Si utilizas cardNumbercomo identificador, también tendrás que revisar las tablas cardDetailsy billingAddressque aparecen a continuación. Ningún otro parámetro necesita estos datos.

Respuesta

programAccount

cardDetails

billingAddress

usuarios

Cifrado y descifrado de tarjetas de crédito

Si utilizas cardNumbercomo identificador del viajero para la validación, habrá que cifrar cierta información. Expedia Exige un tratamiento seguro de la información PCI mediante una técnica JWE (cifrado web JSON) de industry-standard para cifrar y descifrar los datos de las tarjetas de crédito: cifrado asimétrico con un par de claves pública y privada.

Casos prácticos de cifrado

El cifrado debe tener lugar en lo siguiente:

• Solicitud: cardNumber
• Respuesta: cardDetails

En el parámetro de solicitud, debes establecer un certificado de clave privada RSA (Rivest Shamir Adleman) firmado por una CA (autoridad de certificación) de 2048 bits y compartirlo con Expedia. A continuación, utilizaremos tu clave pública para cifrar el campo cardNumber utilizando JWE y RSA.

En el parámetro de respuesta, configuraremos una clave privada RSA de 2048 bits firmada por la CA y compartiremos el certificado de clave pública correspondiente con el usuario y contigo. Utilizando la clave pública de Expedia, cifrarás cada elemento de cardDetails utilizando JWE y RSA.

A continuación, te indicamos los pasos del proceso de cifrado.

Cifrado paso a paso

Paso 1: busca el certificado público y obtén la clave pública RSA 2048.

1. Genera una clave simétrica aleatoria (RSK) de 256 bits de longitud.
2. Cifra la RSK con la clave pública RSA 2048 utilizando el algoritmo RSA-OAEP-256.

Paso 2: genera un vector de inicialización aleatorio (IV) de 96 bits de longitud.

Paso 3: cifra los datos del texto plano utilizando la RSK, el IV y el algoritmo A256GCM a partir de los datos del texto cifrado y la etiqueta de autenticación.

Paso 4: codifica con Base64URL el texto cifrado para producir Base64URL (texto cifrado JWE).

Paso 5: codifica con Base64URL la etiqueta de autenticación, IV, RSK, y el JSON de encabezado JWE para producir lo siguiente:

• Datos de la etiqueta de autenticación: Base64URL (etiqueta de autenticación JWE).
• IV: Base64URL (vector de inicialización JWE)
• RSK: Base64URL (clave cifrada JWE)
• JSON del encabezado JWE: Base64URL (UTF8 (encabezado JWE))

A continuación, serializa el objeto JWE a su formato compacto consistente en partes codificadas con Base64URL delimitadas por puntos ('.') para producir lo siguiente:

Base64URL (UTF8) (encabezado JWE) || '.' || Base64URL (clave cifrada JWE) || '.' || Base64URL (vector de inicialización JWE) || '.' || Base64URL (texto cifrado JWE) || '.' || Base64URL (etiqueta de autenticación JWE)

public String encryptWithJWE(String plainText){
    X509Certificate publicCertificate = <fetch public cert>
    //get RSA public key
    final X509EncodedKeySpec publicKeySpec = new 
    X509EncodedKeySpec(publicCertificate.getPublicKey().getEncoded());
    final KeyFactory keyFactory = KeyFactory.getInstance("RSA");
    RSAPublicKey rsaPublicKey = (RSAPublicKey) keyFactory.generatePublic(publicKeySpec);
    //get keyID
    String keyID = certificateManager.getKid(publicCertificate);
    // Create JWE Header containing the needed metadata for encryption and decryption
    JWEHeader jweHeader = new JWEHeader.Builder(JWEAlgorithm.RSA_OAEP_256, EncryptionMethod.A256GCM)
        .type(JOSEObjectType.JWT)
        .customParam(IAT, System.currentTimeMillis())
        .keyID(keyID)
        .build();
/*

{
"alg":"RSA-OAEP-256",
"typ":"JWT",
"enc":"A256GCM",
"iat":<Time (in UTC) when JWE was issued, expressed in UNIX epoch time (seconds since 1 January, 1970)>,
"kid":<Key ID or subject key Identifier from the public key certificate>
}
*/
    JWEObject jweObject = new JWEObject(jweHeader, new Payload(plainText));
    RSAEncrypter encrypter = new RSAEncrypter(rsaPublicKey);
    jweObject.encrypt(encrypter);
    return jweObject.serialize();
    }

Descifrado del número de la tarjeta en la solicitud

Expedia cifrará « cardNumber » en la solicitud. La ruta de descifrado es el proceso inverso de la ruta de cifrado:

1. Cuando recibas el JWE cifrado, debes descodificar la primera sección del JWE, la cabecera JOSE, para determinar el algoritmo, el cifrado y el « keyId » (alg, enc, kid).
2. A continuación, comprobarás el « iat » (issued-at:, la hora en que se emitió el JWT) para asegurarte de que no difiere más de 5 minutos de la hora actual. (El token caducará a los 5 minutos).
3. A continuación, busca tu clave privada y descifra la clave de cifrado JWE.
4. Por último, utilizando la RSK descifrada, el vector de inicialización JWE y la etiqueta de autenticación JWE, puedes descifrar el parámetro de texto cifrado JWE y verificarlo.

public String decryptJWE(String jweString) {
    PrivateKey privateKey = <fetch private key>;
    RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) privateKey;
    JWEObject jweObject = JWEObject.parse(jweString);
    JWEHeader jweHeader = jweObject.getHeader();validateJweHeader(jweHeader);
    RSADecrypter rsaDecrypter = new RSADecrypter(rsaPrivateKey);
    jweObject.decrypt(rsaDecrypter);
    return jweObject.getPayload().toString();
}

Detalles de la API

Sin información de la tarjeta de crédito

Con información de la tarjeta de crédito