Zugriff auf Verifizierungsergebnisse

Um eine Integration mit Stripe Identity zu erstellen, bei der die Privatsphäre Ihrer Nutzer/innen Vorrang hat, müssen Sie zunächst festlegen, auf welchen Umfang personenbezogener Daten Sie mindestens zugreifen müssen. Wenn Sie keinen Zugriff auf die sensibelsten Daten benötigen (für die eine Authentifizierung mit einem eingeschränkten API-Schlüssel erforderlich ist), kann Ihre Integration die Authentifizierung nur mit Ihrem Geheimschlüssel durchführen.

Um auf personenbezogene Daten zuzugreifen, die das Ergebnis einer Verifizierung sind, können Sie eine VerificationSession abrufen und entweder das Feld verified_outputs – oder wenn Sie detailliertere Angaben zum Verifizierungsergebnis benötigen – das Feld last_verification_report erweitern. Durch das Erweitern eines dieser Felder werden automatisch alle darin enthaltenen Felder für personenbezogene Daten eingeschlossen, die lediglich einen Geheimschlüssel benötigen.

Hier ist ein Beispiel dafür, wie Sie das Feld verified_outputs erweitern, um den Namen eines/einer Nutzers/in abzurufen, der/die von Stripe Identity verifiziert wurde.

// Set your secret key. Remember to switch to your live secret key in production.
// See your keys here: https://dashboard.stripe.com/apikeys
const stripe = require('stripe')(
'sk_test_4eC39HqLyjWDarjtT1zdp7dc');

const verificationSession = await stripe.identity.verificationSessions.retrieve(
  '{{SESSION_ID}}',
  {
    expand: [
      'verified_outputs',
    ],
  }
);

const firstName = verificationSession.verified_outputs.first_name;

Wenn Sie keinen Zugriff auf sensible personenbezogene Daten benötigen, für die ein eingeschränkter Schlüssel erforderlich ist, befolgen Sie die Schritte in diesem Leitfaden.

Sie können die geheimen API-Schlüssel Ihres Kontos verwenden, um beliebige API-Anfragen ohne Einschränkungen durchzuführen. Für den Zugriff auf sensible Verifizierungsergebnisse sind eingeschränkte Schlüssel erforderlich, die größere Sicherheit bieten.

So erstellen Sie einen neuen eingeschränkten Schlüssel

1. Gehen Sie im Dashboard zur Seite API-Schlüssel und klicken Sie auf Eingeschränkten Schlüssel erstellen.
2. Legen Sie einen Namen für Ihren Schlüssel fest.
3. Vergewissern Sie sich, dass die Identity-Berechtigungen Verification Sessions and Reports (Verifizierungssitzungen und Berichte) und Access recent sensitive verification results (Zugriff auf aktuelle sensible Verifizierungsergebnisse) auf Lesen gesetzt sind.
4. (Optional) Wenn Sie Zugriff auf erfasste Bilder benötigen, fügen Sie die Berechtigung Schreiben für Dateien hinzu.
5. Klicken Sie auf Schlüssel erstellen.
6. Speichern Sie den Schlüssel auf sichere Weise. Weitere Informationen zur sicheren Aufbewahrung Ihrer Schlüssel.

VerificationReports enthalten alle gesammelten Daten und Verifizierungsergebnisse aus einer eingereichten Sitzung. VerificationReports werden erstellt, wenn alle Verifizierungsprüfungen für eine Sitzung abgeschlossen wurden. Sie helfen Ihnen, zu verstehen, warum eine Verifizierungsprüfung fehlgeschlagen ist und welche Daten erfolgreich verifiziert wurden.

Sie können das Sitzungsfeld last_verification_report erweitern, um den zugehörigen VerificationReport abzurufen.

Standardmäßig enthalten VerificationReports keine sensiblen Verifizierungsergebnisse. Um auf diese zuzugreifen, müssen Sie wie folgt vorgehen:

1. Authentifizieren Sie sich mit dem in Schritt 1 erstellten eingeschränkten API-Schlüssel.
2. Erweitern Sie die Felder, auf die Sie zugreifen möchten.

Nachfolgend finden Sie ein Beispiel für den Zugriff auf das extrahierte Geburtsdatum, die ID-Nummer und die Dokumentnummer aus einer Dokumentprüfung:

// Set your restricted key. Remember to switch to a live restricted key in production.
// See your keys here: https://dashboard.stripe.com/apikeys
const stripe = require('stripe')('rk_test_...');

const verificationSession = await stripe.identity.verificationSessions.retrieve(
  '{{SESSION_ID}}',
  {
    expand: [
      'verified_outputs.dob',
      'verified_outputs.id_number',
      'last_verification_report.document.number',
    ],
  }
);

const dateOfBirth = verificationSession.verified_outputs.dob;
const idNumber = verificationSession.verified_outputs.id_number;
const documentNumber = verificationSession.last_verification_report.document.number;

Zugriff auf erfasste Bilder

Sie können Identitätsnachweise und Aufnahmen von Gesichtern, die im Rahmen einer Sitzung gesammelt werden, mit der File Upload API abrufen. In einem VerificationReport können die folgenden Felder einen Verweis auf eine File-Ressource in der Stripe-API enthalten.

• document.files – Aufnahmen des Identitätsnachweises
• selfie.document – Aufnahme der Vorderseite des Lichtbildausweises
• selfie.selfie – Aufnahme des Gesichts der Nutzerin/des Nutzers

Um auf den Inhalt der Datei zuzugreifen, müssen Sie sich mit dem zuvor erstellten Schlüssel authentifizieren und einen FileLink erstellen, der eine kurze Gültigkeitsdauer hat, und die URL an den Client senden:

// Set your restricted key. Remember to switch to a live restricted key in production.
// See your keys here: https://dashboard.stripe.com/apikeys
const stripe = require('stripe')('rk_test_...');

// Get the VerificationReport
const session = await stripe.identity.verificationSessions.retrieve(
  '{{SESSION_ID}}',
  {
    expand: ['last_verification_report'],
  }
);

// Retrieve the File id
const report = session.last_verification_report;
const documentFrontFile = report.document.files[0];

// Create a short-lived FileLink
const fileLink = await stripe.fileLinks.create({
  file: documentFrontFile,
  expires_at: Math.floor(Date.now() / 1000) + 30,  // link expires in 30 seconds
});

// Access the FileLink URL to download file contents
const fileUrl = fileLink.url;

Wenn Sie annehmen, dass ein Angreifer auf die von Identity erfassten sensiblen Daten zugegriffen hat, kontaktieren Sie bitte den Support.

Bei Verwendung eingeschränkter API-Schlüssel, für die nur Identity-Berechtigungen vorhanden sind, können Sie die Schlüssel im Notfall widerrufen, ohne dass andere Stripe-Produktintegrationen hiervon beeinträchtigt werden.

Wir empfehlen Ihnen, die Nutzung Ihrer eingeschränkten Schlüssel regelmäßig zu überwachen, um sicherzustellen, dass niemand Zugang zu ihnen erhalten hat. Im Dashboard können Sie das Überlaufmenü (…) verwenden, um Anforderungsprotokolle für einen bestimmten API-Schlüssel anzuzeigen und alle von diesem Schlüssel ausgehenden Anforderungen einzusehen.

Wenn ein API-Schlüssel kompromittiert wird, widerrufen Sie den Schlüssel im Dashboard, um ihn zu sperren, und generieren Sie einen neuen Schlüssel. Stellen Sie sicher, dass er sofort abläuft, um zu verhindern, dass mögliche Betrüger sensible Informationen abrufen können.

Wenn Sie annehmen, dass ein Angreifer auf die von Identity erfassten sensiblen Daten zugegriffen hat, kontaktieren Sie bitte den Support.

Vergewissern Sie sich, dass Ihre Datenschutzerklärung Informationen über die Verwendung sensibler Verifizierungsergebnisse enthält. Es kann auch hilfreich sein, wenn Sie Informationen über Ihre Sicherheitsmaßnahmen bereitstellen.

Siehe auch

• Überlegungen zum Datenschutz beim Umgang mit Identitätsverifizierungsdaten als Unternehmen
• FAQs für Ihre Nutzer/innen