Account Information API

サイトをご利用の旅行者のアカウント情報を使用して本人確認を行ってください

アカウント情報APIには、各旅行者に関する詳細情報が含まれています。エクスペディアの担当者は、この情報を用いて、購入、ロイヤルティ の利用、キャンセルなどに関する旅行者固有の識別情報を確認いたします。この一意の識別子は、お客様の要件やセキュリティ基準に応じて、クレジットカード番号（ペイメント・カード・インダストリー（PCI）識別子）や、メールアドレスや「ロイヤルティ」といったアカウント番号などのnon-PCI識別子とすることができます。

>> 詳細については、「一般的なデータと回答」をご覧ください

アカウント情報の取得

POST /user/v1/account でロイヤルティ会員やカード名義人のアカウント情報を取得するために、次のフィールドを使用します。

ヘッダー

リクエスト

membershipId、loyaltyAccountNumber、cardNumber、またはemail のいずれかを必須パラメータとして設定する必要があります。アカウントマネージャー の担当者が、お客様の要件に基づき、最適なソリューションを一緒に検討させていただきます。

注： 識別子としてcardNumber を使用している場合は、以下のcardDetails およびbillingAddress テーブルについても確認する必要があります。このデータが必要となるパラメータは他にありません。

レスポンス

programAccount

cardDetails

billingAddress

ユーザー

クレジットカードの暗号化と復号化

検証用のトラベラー識別子としてcardNumber を使用する場合、一部の情報は暗号化する必要があります。エクスペディアでは、クレジットカード情報の暗号化および復号化に、industry-standardのJWE（JSON Web Encryption）技術を用いたPCI情報の安全な取り扱いを義務付けています。これは、公開鍵と秘密鍵のペアを用いた非対称暗号化です。

暗号化のユースケース

以下で暗号化を行う必要があります。

• ご依頼： cardNumber
• 回答： cardDetails

リクエストパラメーターでは、貴社が 2048 ビットの CA (認証局) 署名 RSA (Rivest Shamir Adleman) 秘密鍵証明書を設定し、エクスペディアと共有する必要があります。次に、エクスペディアでは貴社の公開鍵を使って、JWE と RSA で cardNumber フィールドを暗号化します。

レスポンスパラメーターでは、エクスペディアが 2048 ビットの CA 署名 RSA 秘密鍵を設定し、対応する公開鍵証明書を共有し、貴社と共有します。その後、貴社でエクスペディアの公開鍵を使用して、JWE と RSA で cardDetails の各要素を暗号化します。

暗号化プロセスの手順は以下のとおりです。

暗号化 (ステップ別)

ステップ 1 : 公開証明書を取得して RSA 2048 公開鍵を取得します。

1. 256 ビット長のランダムな対象鍵 (RSK) を生成します。
2. RSA-OAEP-256 アルゴリズムを使用し、RSA 2048 公開鍵で RSK を暗号化します。

ステップ 2 : 96 ビット長のランダム初期化ベクトル (IV) を生成します。

ステップ 3 : RSK、IV、アルゴリズム A256GCM を使用して平文データを暗号化し、暗号文と認証タグデータを作成します。

ステップ 4 : 暗号文を Base64URL でエンコードして Base64URL (JWE 暗号文) を生成します。

ステップ 5 : 認証タグ、IV、RSK、JWE ヘッダー JSON を Base64URL でエンコードして以下を生成します。

• 認証タグデータ : Base64URL (JWE 認証タグ)
• IV : Base64URL (JWE 初期化ベクトル)
• RSK : Base64URL (JWE の暗号化された鍵)
• JWE ヘッダー JSON : Base64URL (UTF8 (JWE ヘッダー))

次に、ピリオド ('.') で区切られた、Base64URL でエンコードされたパーツから成るコンパクトなフォーマットに JWE オブジェクトをシリアル化して以下を生成します。

Base64URL (UTF8)(JWEヘッダー) || '.' ||Base64URL (JWE暗号化キー) || '.' ||Base64URL (JWE初期化ベクトル) || '.' ||Base64URL (JWE暗号文) || '.' ||Base64URL (JWE認証タグ)

public String encryptWithJWE(String plainText){
    X509Certificate publicCertificate = <fetch public cert>
    //get RSA public key
    final X509EncodedKeySpec publicKeySpec = new 
    X509EncodedKeySpec(publicCertificate.getPublicKey().getEncoded());
    final KeyFactory keyFactory = KeyFactory.getInstance("RSA");
    RSAPublicKey rsaPublicKey = (RSAPublicKey) keyFactory.generatePublic(publicKeySpec);
    //get keyID
    String keyID = certificateManager.getKid(publicCertificate);
    // Create JWE Header containing the needed metadata for encryption and decryption
    JWEHeader jweHeader = new JWEHeader.Builder(JWEAlgorithm.RSA_OAEP_256, EncryptionMethod.A256GCM)
        .type(JOSEObjectType.JWT)
        .customParam(IAT, System.currentTimeMillis())
        .keyID(keyID)
        .build();
/*

{
"alg":"RSA-OAEP-256",
"typ":"JWT",
"enc":"A256GCM",
"iat":<Time (in UTC) when JWE was issued, expressed in UNIX epoch time (seconds since 1 January, 1970)>,
"kid":<Key ID or subject key Identifier from the public key certificate>
}
*/
    JWEObject jweObject = new JWEObject(jweHeader, new Payload(plainText));
    RSAEncrypter encrypter = new RSAEncrypter(rsaPublicKey);
    jweObject.encrypt(encrypter);
    return jweObject.serialize();
    }

リクエスト内のカード番号の復号化

エクスペディアは、リクエスト内の「cardNumber」を暗号化します。復号化パスは暗号化パスを逆さまにしたものです。

1. 暗号化されたJWEを受信した際は、JWEの最初のセクションであるJOSEヘッダーを復号し、アルゴリズム、暗号化方式、およびkeyId（alg、enc、kid）を特定する必要があります。
2. 次に、iat（issued-at: JWTが発行された時刻）を検証し、現在時刻との差が5分以内であることを確認します。(トークンは 5 分後に失効します)。
3. 次に、秘密鍵を取得して JWE 暗号鍵を復号化します。
4. その後、復号化された RSK、JWE 初期化ベクトル、JWE 認証タグを使用して、JWE 暗号文パラメーターを復号化し、それを検証できます。

public String decryptJWE(String jweString) {
    PrivateKey privateKey = <fetch private key>;
    RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) privateKey;
    JWEObject jweObject = JWEObject.parse(jweString);
    JWEHeader jweHeader = jweObject.getHeader();validateJweHeader(jweHeader);
    RSADecrypter rsaDecrypter = new RSADecrypter(rsaPrivateKey);
    jweObject.decrypt(rsaDecrypter);
    return jweObject.getPayload().toString();
}

API の詳細

クレジットカード情報なし

クレジットカード情報あり