Directory es un registro de participantes para Open Finance y otros ecosistemas Open X.
Valida cada institución mediante una verificación real de mTLS y registro dinámico de cliente, y publica certificados, authorisation servers y software statements en una API pública y versionada.
/Cómo funciona
01
Probarlo
El autorregistro dispara una llamada mTLS real contra el endpoint de registro dinámico de cliente declarado por la institución (RFC 7591), presentando un certificado emitido por la propia CA de Directory y un software statement firmado — además de una lectura real del JWKS de la institución. Nada se acepta solo porque fue declarado.
02
Quedar listado
Una vez que ambas verificaciones pasan, los authorisation servers, certificados X.509 y software statements de la institución se publican en una API pública y versionada — la misma que consulta cualquier otro participante y todo el software del ecosistema.
03
Ser resuelto por cualquiera
Una única llamada GET no autenticada basta para que otro participante, o el propio software del ecosistema, resuelva los certificados y capacidades de un participante. Sin lista fija, sin consulta manual.
/Capacidades
Registro de participantes
Organisations, authorisation servers, certificados y software statements, publicados en una API pública y versionada — no un documento que circula por correo.
Autoridad certificadora
Directory opera su propia CA. Los certificados X.509 se emiten, rotan y revocan — nunca solo se declaran en un formulario de registro.
Registro dinámico de clientes
La validación funcional hace una llamada real RFC 7591 contra el endpoint de registro declarado por cada participante antes de la activación, junto con una lectura real del JWKS.
Tokens vinculados a certificado
Las sesiones y credenciales de servicio pueden vincularse al thumbprint SHA-256 de un certificado de cliente (RFC 8705). Un token Bearer filtrado por sí solo deja de bastar tras el vínculo.
Consola de autoservicio
Una consola desde el navegador para la administración diaria — certificados, authorisation servers, claims, webhooks, usuarios — la misma API pública, sin necesidad de escribir un cliente.
Seguridad
Llaves de acceso (WebAuthn) además de contraseña, y un registro de auditoría duradero y consultable de cada escritura — quién hizo qué, y cuándo.