O Directory é um registro de participantes para Open Finance e outros ecossistemas Open X.
Ele valida cada instituição por uma checagem real de mTLS e registro dinâmico de cliente, e publica certificados, authorisation servers e software statements numa API pública e versionada.
/Como funciona
01
Provar
O auto-cadastro dispara uma chamada mTLS real contra o endpoint de registro dinâmico de cliente declarado pela instituição (RFC 7591), apresentando um certificado emitido pela própria CA do Directory e um software statement assinado — mais uma leitura real do JWKS da instituição. Nada é aceito só porque foi declarado.
02
Ser listado
Uma vez que as duas checagens passam, os authorisation servers, certificados X.509 e software statements da instituição são publicados numa API pública e versionada — a mesma que todo outro participante e qualquer cliente do ecossistema consulta.
03
Ser resolvido por qualquer um
Uma única chamada GET não autenticada basta pra outro participante, ou o próprio software do ecossistema, resolver os certificados e capacidades de um participante. Sem lista fixa, sem consulta manual.
/Capacidades
Registro de participantes
Organisations, authorisation servers, certificados e software statements, publicados numa API pública e versionada — não um documento que circula por e-mail.
Autoridade certificadora
O Directory opera a própria CA. Certificados X.509 são emitidos, rotacionados e revogados — nunca apenas declarados num formulário de cadastro.
Registro dinâmico de clientes
A validação funcional faz uma chamada real RFC 7591 contra o endpoint de registro declarado por cada participante antes da ativação, junto de uma leitura real do JWKS.
Tokens vinculados a certificado
Sessões e credenciais de serviço podem ser vinculadas ao thumbprint SHA-256 de um certificado de cliente (RFC 8705). Um token Bearer vazado sozinho deixa de bastar depois do vínculo.
Console de autoatendimento
Um console pelo navegador pra administração do dia a dia — certificados, authorisation servers, claims, webhooks, usuários — a mesma API pública, sem precisar escrever um cliente.
Segurança
Chaves de acesso (WebAuthn) além de senha, e uma trilha de auditoria durável e consultável de toda escrita — quem fez o quê, e quando.