Zweckgebundene Token und Widerruf

Personenbezogene Daten aus Tokens heraushalten

Ein Beispiel verwendet nicht vorhersagbare opake Tokens mit serverseitig verwaltetem Umfang und Ablauf. Verlangen Sie zusätzlich zum Token die Authentifizierung des Empfängers, um die Folgen eines Diebstahls zu begrenzen.

token_hash

Ein Suchwert zum Token-Abgleich. Rohe Tokens gehören weder in Protokolle noch auf gewöhnliche Verwaltungsseiten.

audience

Der autorisierte Empfänger. Lehnen Sie die Nutzung durch andere Integrationspartner ab.

scope / purpose

Erlaubte Daten und Zwecke. Vergeben Sie standardmäßig keine umfassenden Berechtigungen.

resource_ref

Der Bestell- oder Lieferdatensatz. Verhindern Sie die Nutzung für andere Datensätze.

expires_at / remaining_uses

Ablauf und Nutzungslimit. Lehnen Sie abgelaufene oder verbrauchte Tokens serverseitig ab.

Einmalige Nutzung und verlorene Antworten

Die ID referenziert eine Adresse. Das Token beschränkt den Abruf auf Bestellung, Anwendung und Felder. Schützen Sie beides. Einmalige Token werden beim erfolgreichen Abruf verbraucht; dieselbe Antwort wird nicht garantiert erneut geliefert. Prüfen Sie bei Antwortverlust den Zustand vor einer Neuausstellung.

Ablauf, Widerruf und Änderungen

Registrieren Sie eine neue Adresse, statt die vorhandene zu bearbeiten. Prüfen Sie die Zuordnung, übergeben Sie deren Version als expectedVersion, ändern Sie die Bestellung und stellen Sie ein Token für die neue Version aus. Alte Versionen werden vollständig gesperrt. Weitere Token derselben Version widerrufen vorhandene Token nicht. Prüfen Sie andere Bestellungen und Aufbewahrung vor dem Löschen. Bereits übermittelter Klartext lässt sich nicht zurückholen.

Zustandsübergänge

active → consumed / expired / revoked. Ein widerrufener Zustand darf niemals reaktiviert werden.

Caching

Begrenzen Sie Verzögerungen beim Widerruf. Aktionen mit hohem Risiko müssen den maßgeblichen Zustand prüfen.

Grenzen

Ein Widerruf kann bereits von einem Partner abgerufene personenbezogene Daten nicht zurückholen.

DATA / INTEGRATION EXAMPLE

Daten- und Integrationsbeispiel

Diese Beispiele erläutern das Konzept. Feldnamen und Werte dienen der Veranschaulichung und sind keine ausführbare API-Referenz.

{
  "operation": "Delivery token issuance example",
  "request": {
    "proxy_id": "nym_example_01",
    "resource_ref": "order_example_01",
    "audience": "carrier-a",
    "scope": [
      "shipping.address.read"
    ],
    "expires_in_seconds": 600,
    "max_uses": 1
  },
  "response": {
    "token": "tok_example_not_a_real_token",
    "expires_in_seconds": 600
  }
}

600 Sekunden und eine Nutzung sind Beispiele. Ein signiertes JWT allein garantiert weder vorzeitigen Widerruf noch einmalige Nutzung. Dafür ist zusätzliche Zustandsverwaltung erforderlich.

Verwandte technische Konzepte

Integration für Ihre Arbeitsabläufe.

Erfassen Sie gespeicherte Daten, Partner und erforderliche Aktionen, um Möglichkeiten zur Reduzierung der Datenexposition zu erkennen.