FAPI 2.0

FAPI 2.0は、高価値シナリオにおけるAPIの保護に適したOAuth 2.0フレームワークに基づいたAPIセキュリティプロファイルです。

FAPIのコア機能は2つのドキュメントに分割されており、3つ目は攻撃モデルについて説明しています

• FAPI 2.0 セキュリティプロファイル
• FAPI 2.0 メッセージ署名
• FAPI 2.0 攻撃モデル

FAPIが参照する仕様

• RFC 6749 - OAuth 2.0フレームワーク
• RFC 6750 - OAuth 2.0 ベアラートークンの使用
• RFC 7521 - OAuth 2.0クライアント認証および承認付与のためのアサーションフレームワーク
• RFC 7523 - OAuth 2.0クライアント認証および承認付与のためのJWTプロファイル
• RFC 7636 - コード交換のための証明鍵
• RFC 7662 - OAuth 2.0 トークンインスペクション
• RFC 8252 - ネイティブアプリ向けのOAuth 2.0 BCP
• RFC 8414 - OAuth 2.0 認可サーバーのメタデータ
• RFC 8705 - 相互TLSクライアント認証および証明書バインドアクセストークン
• RFC 8725 - JSON Web Tokenのベストプラクティス
• RFC 9101 - JWTセキュリティで保護された認可リクエスト（JAR）
• RFC 9126 - プッシュ認可リクエスト（PAR）
• RFC 9207 - OAuth 2.0 認可サーバーの発行者識別
• DPoP - アプリケーションレイヤーでの所有証明のデモンストレーション
• OAuthトークンインスペクションのJWTレスポンス
• RFC 9421 - HTTPメッセージシグネチャ
• RFC 9530 - HTTPダイジェストヘッダー
• OAuth 2.0のJWTセキュリティで保護された認可応答モード（JARM）

その他のリソース

• FAPI（Financial-Grade API）をTorstenと探る（Identity Unlockedポッドキャスト）
• FAPI 2.0: セキュリティープロファイル（よりシンプルなセキュリティ、それが疑問！）（Raidiam）
• OpenID FAPIワーキンググループのすべてのドラフト