Perfiles crediticios firmados, con consentimiento

Redirige al usuario a /authorize

Envía el navegador del freelancer a la pantalla de consentimiento con tu client_id y un PKCE challenge.

https://www.gigrevo.com/api/v1/bank/authorize
  ?response_type=code
  &client_id=YOUR_CLIENT_ID
  &redirect_uri=https%3A%2F%2Fbank.example.com%2Fcallback
  &scope=profile.read
  &state=RANDOM_STATE
  &code_challenge=S256_OF_VERIFIER
  &code_challenge_method=S256

Intercambia code por access_token

POST el authorization code + el code_verifier a /token con HTTP Basic auth.

curl -X POST https://www.gigrevo.com/api/v1/bank/token \
  -u "$CLIENT_ID:$CLIENT_SECRET" \
  -d "grant_type=authorization_code" \
  -d "code=$AUTHORIZATION_CODE" \
  -d "redirect_uri=$REDIRECT_URI" \
  -d "code_verifier=$CODE_VERIFIER"

Obtén el perfil firmado

Incluye el access_token como Bearer. La respuesta trae payload y firma JWS.

curl https://www.gigrevo.com/api/v1/bank/profile \
  -H "Authorization: Bearer $ACCESS_TOKEN"

Verifica la firma

Trae nuestro JWKS, empareja por kid, verifica con jose (o equivalente). Rechaza payloads con _sandbox:true en producción.

import { createRemoteJWKSet, jwtVerify } from "jose"

const JWKS = createRemoteJWKSet(
  new URL("https://www.gigrevo.com/api/v1/bank/jwks.json"),
)

async function fetchProfile(accessToken) {
  const res = await fetch("https://www.gigrevo.com/api/v1/bank/profile", {
    headers: { Authorization: `Bearer ${accessToken}` },
  })
  // `signature` is a full JWS compact serialization — the payload is
  // embedded inside it. The top-level `payload` field is a convenience
  // copy; always trust the JWS-embedded version after verification.
  const { signature } = await res.json()

  const { payload } = await jwtVerify(signature, JWKS, {
    algorithms: ["RS256", "EdDSA"],
  })
  if (payload._sandbox) throw new Error("Sandbox payload in production")
  return payload
}

Notas sandbox

Los bancos sandbox solo pueden autorizar fixtures sandbox. Cada respuesta sandbox incluye _sandbox:true para que puedas asegurar que no aparece en producción. Admins siembran seis personas: novato, emergente, top, volumen, disputado y KYC verificado.

FAQ