Registrasi OAuth client

Satu client per aplikasi. Nama dan logonya yang dirender di layar consent Tracive, dan keduanya hanya bisa diubah dari portal — tidak pernah dari deep link. Itulah sebabnya tidak ada yang bisa memalsukan “Bank X ingin akses” di dalam aplikasi Tracive.

public atau confidential

public	Aplikasi mobile menukar code sendiri dengan PKCE. Tidak ada secret yang perlu disimpan, karena tidak ada tempat aman menyimpannya di dalam aplikasi.
confidential	Backend Anda yang menukar code. Client secret ditampilkan sekali saat pendaftaran.

Tipe tidak bisa diubah setelah didaftarkan. Menukarnya akan menerbitkan atau menelantarkan secret di tengah masa hidup client, dan secret yang hilang memang tidak punya jalur pemulihan. Rotasi yang benar: daftarkan client kedua, pindahkan, lalu nonaktifkan yang pertama.

Redirect URI

Dicocokkan exact-match, termasuk skema dan host. Nilainya harus sama persis dengan yang dikonfigurasi di SDK Anda; satu karakter berbeda dan penukaran code ditolak.

· https:// bisa diklaim App Link dan diverifikasi OS. Ini yang paling aman.
· Skema kustom seperti myapp://oauth/callback bisa didaftarkan aplikasi lain di perangkat yang sama. RFC 8252 mengizinkannya untuk aplikasi native, tapi ia memang lebih lemah.

Scope

scammer.check	Melakukan pengecekan atas nama pengguna, memakai kredit langganannya.
profile.read	Nama, negara, dan tier pengguna. Tidak pernah uid Tracive-nya, dan tidak pernah emailnya.
email.read	Alamat email pengguna dan apakah sudah terverifikasi, di /v1/profile. Minta hanya bila Anda benar-benar memakainya: berbeda dengan sub, email sama di setiap partner.
credits.read	Sisa kredit, untuk ditampilkan. Bukan untuk pre-check sebelum tiap panggilan.

Judul dan penjelasan yang dilihat pengguna di layar consent berasal dari server, bukan dari string di aplikasi Anda. Mengurangi scope hanya berlaku untuk consent berikutnya; grant yang sudah ada tetap memakai scope yang disetujui penggunanya.

Identitas aplikasi

Package Android, bundle id iOS, dan sidik jari SHA-256 kunci penandatangan. Boleh dikosongkan kalau aplikasi Anda belum rilis.

Kami tidak memverifikasinya otomatis. Nilai ini dibandingkan manusia dengan assetlinks.json yang disajikan host redirect Anda, saat meninjau permintaan akses production. Sidik jari yang salah lebih buruk daripada yang kosong, karena ia tampak seperti klaim yang sudah diperiksa.

Berikutnya: request pertama via curl →