Güvenlik modeli

Bu sayfa, bu kılavuzdaki tüm Android örneklerinin izlediği güvenlik modelidir. Kendi sunucunuz ve uygulamanız için kontrol listesi olarak kullanın.

Taraflar

Taraf	Rol
Sunucunuz	Prove ID API kimlik bilgilerini tutar, erişim token’ı alır, işlemi başlatır, `transactionId` ↔ oturum açmış kullanıcı eşlemesini saklar, sonucu okur ve kararı verir.
Uygulamanız	Kamera / NFC / canlılık ekranlarını çalıştırır, token’ı yalnızca bellekte tutar, görüntü ve videoları doğrudan Prove ID’ye gönderir.
Prove ID	Belge ve yüzleri doğrular; işlem için kontrol sonuçlarını döner.

Kullanıcı sizin uygulamanıza giriş yapar.
Uygulama sizin backend’inizi çağırır (oturum çerezi / kendi JWT’niz). Bunu yalnızca oturum açmış kullanıcılar çağırabilir.
Sunucunuz bir Prove ID erişim token’ı alır (API Referansı’nda POST /oauth/access_token — application / client_credentials akışı) ve bir işlem başlatır (POST /id/start).
Sunucunuz bu transactionId değerinin hangi kullanıcıya ait olduğunu kaydeder ve uygulamaya { accessToken, transactionId, gestureType } döner.
Uygulama token’ı Authentication.setApiKey ile ayarlar, adımları çalıştırır; token’ı veya medyayı kalıcı depolamaya yazmaz.
Akış bitince uygulama transactionId değerini sunucunuza gönderir.
Sunucunuz sahipliği kontrol eder, ardından GET /id/id-info-with-tid/{transactionId} ile okur ve karar verir. Uygulama arayüzü özet gösterebilir; yetkili taraf değildir.

Çalışan sunucu ve uygulama kodu için Hızlı başlangıç, SDK’da token kullanımı için Kimlik doğrulama sayfalarına bakın.

Prove ID kullanıcı adı, şifre, client ID veya client secret asla APK, kaynaklar, BuildConfig veya uzaktan yapılandırmada yer almaz.
Canlı ortamda kurum API kimlik bilgileriyle Authentication.login(username, password) çağrılmaz.
Mobil akış için yalnızca ihtiyaç duyulan yetkilere sahip ayrı bir Prove ID API kullanıcısı tercih edin.
Token: yalnızca bellek → akış bitince veya çıkışta setApiKey(null) → 401 olunca sunucunuzdan yeni token alıp yeniden deneyin.
Token, Base64 görüntü, MRZ, çip verisi veya tam API gövdelerini asla log’lamayın.
Canlılık / hologram video dosyalarını yüklemeden sonra silin (başarısız yüklemelerde de). Belge bitmap’lerini yalnızca bellekte tutun.
Yalnızca https://test.api.proveid.io veya https://api.proveid.io adreslerine HTTPS. Cleartext yok, trust-all ağ yapılandırması yok.
Müşteriyi yalnızca sunucunuzun işlem okumasından onaylayın; uygulamanın bildirdiği bir boolean’dan değil.

Canlıya çıkmadan önce Techsign temsilcinizle doğrulayın; bu kılavuzlar cevap uydurmaz:

/oauth/access_token application akışından (client_credentials) gelen token’ın kullandığınız mobil id/* ve face/* çağrıları için kabul edilip edilmediği (örnek uygulamalar demoda kullanıcı adı/şifre ile giriş yapar).
Cihaza kurum token’ı vermek yerine işleme özel bir token üretilip üretilemeyeceği.
Mobil akış için hangi least-privilege rollerin bulunduğu.
Kurumunuzda hangi kontrollerin çalıştığı ve hangi skor eşiklerinin geç/kal sayılacağı (Sonuçlar eşiklerin kuruma göre yapılandırıldığını belirtir).