La validation avec Google Wallet est compatible avec trois parcours d'intégration : deux parcours en ligne (pour les applications Android et les sites Web) et un parcours en personne (pour les lecteurs de proximité et les terminaux de point de vente). Sélectionnez votre parcours pour commencer.
Les trois moyens d'intégration
Tiers de confiance (RP)
Pour les marchands, entreprises ou développeurs d'applications qui valident directement les utilisateurs pour leur propre site Web ou application Android.
Bureau d'enregistrement de vérification (VR)
Pour les fournisseurs, agrégateurs ou plates-formes de validation d'identité qui valident les utilisateurs au nom de plusieurs entreprises en aval (RP finaux).
Validation en personne
Pour les terminaux de point de vente, les lecteurs de lieux ou les applications de vérification mobiles qui vérifient les mDL hors connexion, cela fonctionne sans ajout à la liste d'autorisation de Google si votre terminal est compatible avec la récupération de mdoc ISO/CEI 18013-5 (les pass d'identité ne sont actuellement pas acceptés en personne).
Comparer les parcours en ligne : partie de confiance et bureau d'enregistrement du vérificateur
| Aspect | Tiers de confiance (RP) | Bureau d'enregistrement du vérificateur (VR) |
|---|---|---|
| Qui signe les requêtes | Google signe votre certificat (vous envoyez une CSR) | Vous gérez votre propre autorité de certification (autorités de certification racine de bac à sable et de production) et signez des certificats d'entité finale pour les tiers de confiance finaux. |
| Identifiants du bac à sable | Clés et métadonnées de test du bac à sable partagées par Google (commencez les tests immédiatement) | Certificats signés par votre propre CA racine Sandbox, une fois que Google l'a approuvé |
| Quand contacter Google ? | À la fin (étape 5), après avoir terminé les tests dans le bac à sable | Au début (étape 1), pour enregistrer vos autorités de certification racine de bac à sable et de production |
Guide d'intégration en ligne
Sélectionnez votre parcours d'intégration en ligne pour suivre les étapes 1 à 5 dans l'ordre. Vous pouvez effectuer les étapes 1 et 2 (configuration du bac à sable et de l'ID de test) en parallèle pendant que votre équipe d'ingénieurs crée l'étape 3.
Tiers de confiance (directs)
Configurer le bac à sable
Aucun formulaire d'inscription ni aucune approbation ne sont nécessaires pour commencer les tests. Demandez l'ajout de votre compte Google de test à la liste d'autorisation du bac à sable, passez un appareil Android de test en mode bac à sable, puis téléchargez les clés de test du bac à sable partagé de Google et le certificat Utopia Sandbox.
Créer un ID de test dans le bac à sable
Utilisez un deuxième appareil Android exécutant Utopia ePassport Simulator pour provisionner un pass d'identité simulé dans Google Wallet sur votre appareil de bac à sable.
Intégrer en tant que tiers de confiance
Suivez les quatre étapes d'implémentation du guide d'intégration de la partie de confiance :
- Étape 3.A : Formater et signer la requête : créez la requête JSON OpenID4VP et signez le JWS sur votre serveur.
- Étape 3B : Déclenchez l'API : appelez l'API Android
CredentialManagerou l'API Webnavigator.credentials.get(). - Étape 3.C – Déchiffrer et valider la réponse : déchiffrez le JWE, puis vérifiez la chaîne de certificats IACA et l'objet MSO sur votre serveur.
- Étape 3.D (facultative) : Ajouter des preuves à divulgation nulle de connaissance : vérifiez les prédicats d'âge sans recevoir la date de naissance de l'utilisateur.
Tester votre intégration de bout en bout
Présentez votre pass d'identité de test Utopia à votre service, vérifiez chaque élément de la checklist de bout en bout (y compris la validation issuerAuth par rapport au certificat Utopia Sandbox) et enregistrez une vidéo de démonstration.
Passer en production en tant que tiers de confiance
Envoyez le formulaire d'intégration de la partie de confiance avec votre CSR de production, vos assets de marque et votre vidéo de test de bout en bout (en acceptant formellement les Conditions d'utilisation de la partie de confiance). Une fois votre demande approuvée (généralement sous trois à cinq jours ouvrés), Google vous renvoie votre certificat de production signé et votre gw_rp_metadata_bytes unique.
Registres de vérificateurs (agrégateurs)
Envoyer les autorités de certification racine et configurer le bac à sable
Tout d'abord, envoyez le formulaire d'intégration des bureaux d'enregistrement de vérificateurs avec vos certificats CA racine de bac à sable et de production (en acceptant les Conditions d'utilisation des bureaux d'enregistrement de vérificateurs) afin que Google puisse faire confiance à votre autorité de certification racine de bac à sable. En parallèle, ajoutez votre compte Google de test à la liste d'autorisation et passez un appareil Android de test en mode bac à sable.
Créer un ID de test dans le bac à sable
Utilisez un deuxième appareil Android exécutant Utopia ePassport Simulator pour provisionner un pass d'identité simulé dans Google Wallet sur votre appareil de bac à sable.
S'intégrer en tant que registraire de vérificateurs
Suivez les cinq étapes d'implémentation du guide d'intégration du bureau d'enregistrement du certificateur :
- Étape 3.A – Configurer les métadonnées de l'AC et CBOR : configurez votre profil de certificat X.509 (OID
1.3.6.1.4.1.11129.10.1) et votre schéma de métadonnées CBOR. - Étape 3.B : Formater et signer la requête : créez la requête JSON OpenID4VP et signez le JWS avec votre certificat d'entité finale End-RP.
- Étape 3.C : Déclenchez l'API en appelant
CredentialManagerpour Android ounavigator.credentials.get()pour le Web. - Étape 3.D : Déchiffrer et valider la réponse : déchiffrez le JWE, puis vérifiez la chaîne de certificats IACA et l'objet MSO sur votre serveur.
- Étape 3.E (facultative) : Ajouter des preuves à divulgation nulle de connaissance : vérifiez les prédicats d'âge sans recevoir la date de naissance de l'utilisateur.
Tester votre intégration de bout en bout
Une fois que Google vous a informé que votre CA racine Sandbox est approuvée, signez un certificat de RP final de test, approuvez le certificat Utopia Sandbox sur votre serveur, effectuez un test avec votre pass d'identité de test Utopia et enregistrez des vidéos de démonstration pour les flux hébergés par le vérificateur et par le marchand.
Passer en production en tant que bureau d'enregistrement de vérificateurs et intégrer les RP finaux
Envoyez vos vidéos de bout en bout pour examen. Google approuve vos vidéos et fait confiance à votre CA racine de production en parallèle. Ensuite, enregistrez chaque client en aval à l'aide du formulaire d'intégration du client d'enregistrement du vérificateur et émettez des certificats d'entité finale avec un nom distinctif unique au monde.
Ce dont vous avez besoin avant de commencer
- Un serveur qui crée des requêtes et valide les réponses. Générez la requête complète sur votre serveur, même pour les applications Android.
- Deux appareils Android pour les tests : l'un exécute le simulateur de passeport électronique et l'autre contient la pièce d'identité de test dans Google Wallet. Utilisez des appareils de test dédiés, car le passage au bac à sable supprime les données Wallet de production de l'appareil.
- Un compte Google@gmail.com à utiliser dans Google Wallet pendant le test.
- Vos éléments d'affichage pour l'écran de consentement : nom à afficher, logo (voir les consignes relatives à la marque), URL des règles de confidentialité et URL des conditions d'utilisation.