Đây là toàn văn công bố trong gói Phase 7. Ngày hiệu lực, đầu mối chịu trách nhiệm và các tham số theo hợp đồng được quản lý trong hồ sơ phát hành và hồ sơ triển khai tương ứng.
Hợp đồng tích hợp và môi trường
Trước kết nối, đội tích hợp xác nhận hợp đồng API, phiên bản, phạm vi được cấp, môi trường thử và điều kiện chuyển sang vận hành. Tài liệu OpenAPI và ví dụ trên website hiện là mô hình minh họa; không suy ra điểm kết nối hoặc quyền môi trường vận hành chính thức từ chúng. Dữ liệu thử phải giả lập hoặc được cho phép theo hồ sơ đánh giá riêng.
Xác thực và quản lý thông tin truy cập
Ứng dụng sử dụng cơ chế xác thực được phê duyệt; token, khóa bí mật và khóa mã hóa được cấp theo danh tính máy hoặc ứng dụng, không chia sẻ tùy tiện. mTLS, xác minh máy chủ và chứng thư áp dụng theo hợp đồng kỹ thuật. Khi lộ hoặc hết hạn thông tin truy cập, thu hồi/thay thế và kiểm tra phiên còn hiệu lực; không tắt xác minh TLS để tiếp tục kết nối.
Phân quyền theo ngữ cảnh
Máy chủ kiểm tra tổ chức, mục đích, hành động, tài nguyên, thiết bị và phiên, không tin riêng các giá trị ứng dụng khách tự khai. Kết quả xác lập danh tính phải còn hiệu lực trước khi đăng ký hoặc liên kết. Một kết quả VERIFIED không tự cho phép cấp thuốc, mở máy hoặc thanh toán; ứng dụng nhận kết quả tiếp tục kiểm tra chính sách nghiệp vụ.
Dữ liệu yêu cầu và phản hồi
Lược đồ giới hạn trường được phép, kiểu dữ liệu và kích thước. Dùng tham chiếu phiên hoặc đối tượng theo hợp đồng thay vì đưa ảnh/mẫu vào các trường nhật ký hoặc mã yêu cầu. Phản hồi chỉ cung cấp thuộc tính cần thiết; không trả danh sách định danh ngoài phạm vi khi không khớp hoặc bị từ chối. Mã lỗi không tiết lộ khóa bí mật, câu truy vấn hay cấu trúc kho dữ liệu.
Phát lại, gửi lại và tính lặp an toàn
Gắn nonce/thử thách (challenge), thời hạn và tham chiếu phiên theo giao thức thực tế. Các thao tác thay đổi dữ liệu cần quy tắc tính lặp an toàn (idempotency) và xử lý trùng được thống nhất. Sau hết thời gian chờ, truy vấn trạng thái hoặc áp dụng retry đã được thiết kế; không gửi lại mù quáng để tạo nhiều liên kết. Thời gian chờ, hạn mức và cửa sổ chống trùng phải do hợp đồng xác định.
Sự kiện và lệnh gọi ngược (callback)
Webhook kiểm tra nguồn, tính toàn vẹn, thời điểm và khóa/chứng thư theo cấu hình được duyệt. Bộ nhận xử lý sự kiện trùng, đến sai thứ tự và kết quả chưa xác định. Chỉ nhận lệnh gọi ngược (callback) ở địa chỉ được đăng ký và kiểm soát; không thực thi hành động nhạy cảm chỉ vì nhận JSON có trường ALLOW. Khóa kiểm tra webhook có vòng đời và phương án thu hồi.
Theo dõi và bằng chứng
Dùng requestId/correlationId để theo dõi, nhưng không xem mã tham chiếu là bằng chứng mật mã. Nhật ký lưu trạng thái, tổ chức, mục đích và sự kiện tối thiểu; che token và không lưu dữ liệu sinh trắc học thô. Truy xuất evidenceRef vẫn phải kiểm tra quyền người gọi. Chữ ký, dấu thời gian hoặc eSeal chỉ được mô tả khi triển khai có khóa, chính sách và quy trình xác minh tương ứng.
Phiên bản, ngừng hỗ trợ và sự cố
Thay đổi lược đồ, lỗi hoặc cơ chế bảo mật phải có phiên bản, đánh giá tương thích và thông báo theo thỏa thuận. Trước ngừng phiên bản, thống kê bên sử dụng và kế hoạch chuyển đổi. Khi nghi lộ thông tin truy cập hoặc truy vấn sai phạm vi, hạn chế theo thẩm quyền, bảo toàn nhật ký và kích hoạt quy trình sự cố. Bộ mẫu mã phải được kiểm tra lại khi hợp đồng đổi.
Phụ lục trách nhiệm và triển khai
Trách nhiệm chi tiết được xác định theo hoạt động và hồ sơ triển khai; tài liệu công khai này không thay thế phụ lục hợp đồng của từng khách hàng.
- Tổ chức sử dụng xác định mục đích nghiệp vụ, nhóm người dùng và quyền thực hiện trong phạm vi triển khai.
- Mobile-ID cung cấp và vận hành các thành phần trong phạm vi hợp đồng, gồm tích hợp, cấu hình kiểm soát và bằng chứng liên quan.
- Nhà cung cấp thiết bị hỗ trợ dòng thiết bị, phần mềm nhúng, SDK và bảo trì trong phạm vi được ủy quyền; quyền truy cập dữ liệu không phát sinh mặc nhiên.
- Phân công pháp lý, bảo mật và chủ dịch vụ được xác định trong hồ sơ vận hành của từng tổ chức.
Chu trình thực hiện và bằng chứng
- Ghi nhận mục đích, tổ chức, phạm vi dữ liệu hoặc thiết bị và mã tham chiếu nghiệp vụ.
- Xác minh thẩm quyền, điều kiện áp dụng, cấu hình và các nghĩa vụ liên quan.
- Thực hiện theo nguyên tắc tối thiểu hóa dữ liệu, phân quyền và lưu bằng chứng cần thiết.
- Kết thúc bằng xác nhận từ các hệ thống liên quan, phản hồi và ghi nhận ngoại lệ còn lại.
Nguồn pháp lý và tài liệu tham chiếu
Nghĩa vụ chi tiết, thời hạn và ngoại lệ được áp dụng theo pháp luật, hợp đồng và cấu hình thực tế của từng dịch vụ.