Güvenlik modeli

Bu sayfa, bu kılavuzdaki tüm iOS örneklerinin izlediği güvenlik modelidir. Kendi sunucunuz ve uygulamanız için kontrol listesi olarak kullanın.

Taraflar

Taraf	Rol
Sunucunuz	Prove ID API kimlik bilgilerini tutar, erişim token’ı alır, işlemi başlatır, `transactionId` ↔ oturum açmış kullanıcı eşlemesini saklar, sonucu okur ve kararı verir.
Uygulamanız	Kamera / NFC / canlılık ekranlarını çalıştırır, token’ı yalnızca bellekte tutar, görüntü ve videoları doğrudan Prove ID’ye gönderir.
Prove ID	Belge ve yüzleri doğrular; işlem için kontrol sonuçlarını döner.

Kullanıcı sizin uygulamanıza giriş yapar.
Uygulama sizin backend’inizi çağırır (oturum çerezi / kendi JWT’niz). Bunu yalnızca oturum açmış kullanıcılar çağırabilir.
Sunucunuz bir Prove ID erişim token’ı alır (API Referansı’nda POST /oauth/access_token — application / client_credentials akışı) ve bir işlem başlatır (POST /id/start).
Sunucunuz bu transactionId değerinin hangi kullanıcıya ait olduğunu kaydeder ve uygulamaya { accessToken, transactionId, gestureType } döner.
Uygulama ProveIDApiClientAPI.customHeaders["Authorization"] = "Bearer \(accessToken)" ayarlar, adımları çalıştırır; token’ı veya medyayı kalıcı depolamaya yazmaz.
Akış bitince uygulama transactionId değerini sunucunuza gönderir.
Sunucunuz sahipliği kontrol eder, ardından GET /id/id-info-with-tid/{transactionId} ile okur ve karar verir. Uygulama arayüzü özet gösterebilir; yetkili taraf değildir.

Çalışan sunucu ve uygulama kodu için Hızlı başlangıç, uygulamada token kullanımı için Kimlik doğrulama sayfalarına bakın.

Prove ID client ID, client secret, API kullanıcı adı veya şifresi asla uygulama paketinde, Info.plist, .xcconfig veya kaynak deposunda yer almaz.
Token: yalnızca bellek (UserDefaults, dosya veya Keychain değil) → akış bitince ProveIDApiClientAPI.customHeaders içinden kaldırın → 401 olunca sunucunuzdan yeni token alıp yeniden deneyin.
Mobil akış için yalnızca ihtiyaç duyulan yetkilere sahip ayrı bir Prove ID API kullanıcısı tercih edin.
Token, Base64 görüntü, MRZ, çip verisi veya tam API gövdelerini asla log’lamayın (print, os_log, çökme raporları, analitik).
Canlılık / hologram video dosyalarını yüklemeden sonra silin (başarısız yüklemelerde de). Belge görüntülerini yalnızca bellekte tutun.
Yalnızca https://test.api.proveid.io veya https://api.proveid.io adreslerine HTTPS. App Transport Security istisnası yok, trust-all URLSession / Alamofire trust manager yok.
Müşteriyi yalnızca sunucunuzun işlem okumasından onaylayın; uygulamanın bildirdiği bir boolean’dan değil.

Canlıya çıkmadan önce Techsign temsilcinizle doğrulayın; bu kılavuzlar cevap uydurmaz:

/oauth/access_token application akışından (client_credentials) gelen token’ın kullandığınız mobil id/* ve face/* çağrıları için kabul edilip edilmediği (örnek uygulamalar demoda kullanıcı adı/şifre ile giriş yapar).
Cihaza kurum token’ı vermek yerine işleme özel bir token üretilip üretilemeyeceği.
Mobil akış için hangi least-privilege rollerin bulunduğu.
Kurumunuzda hangi kontrollerin çalıştığı ve hangi skor eşiklerinin geç/kal sayılacağı (Sonuçlar eşiklerin kuruma göre yapılandırıldığını belirtir).