E-fakturans länk Beskrivning av tjänsten
Innehåll 1 Allmänt... 2 1.1 Beskrivningar... 2 1.2 Fakturameddelandets struktur... 2 2 Förutsättningar... 2 2.2 Säkerhet... 3 2.2 Avtalet mellan fakturautställaren och Nordea... 3 2.3 Sändning av MAC-nyckel... 3 3 Förutsättningar för länkbildning... 3 4 E-fakturans länk i Nordea... 4 4.1. Länkens parametrar... 4 4.1.1 Url-uppgifter... 4 4.1.2 Parametrar... 4 4.1.3 Exempellänk och anvisningar för MAC-uträkningen... 6 4.1.4 Kontroll att länken är en engångslänk... 6 4.2 Tilläggsutredning om kontroll av USERMAC-parameter... 6 5 Hantering av ändringar... 7 5.1 Byte av MAC-nyckel... 7 5.2 Ändringar i presentationstjänsten för dokument... 7 6 Testning och ibruktagande... 7 7 Rådgivning och stöd... 7
E-fakturans länk 1 Allmänt E-fakturans länk är en tilläggstjänst i anknytning till privatkunds e-faktura och som erbjuds till fakturautställare. Fakturautställaren kan visa privatkunden en bild av fakturan, en fakturaspecifikation eller annan tilläggsuppgift om fakturan via en länk som bildas i nätbanken. Användningen av E-fakturans länk förutsätter ett avtal mellan fakturautställaren och banken och att man använder Finvoice-fakturameddelande i fakturaförmedlingen. För att kunna öppna tilläggstjänsten ska fakturautställaren använda tjänsten E-faktura till filöverföringen. Banken skapar i nätbanken en länk som stödjer sig på nätbankens länkteknik. Via länken kan kunden som använder nätbanken pålitligt identifieras i fakturautställarens tjänst. 1.1 Beskrivningar De fakturameddelanden som fakturautställaren sänder ska följa Finansbranschens Centralförbunds Finvoice-standard som finns på Finvoice-sidorna http://www.finvoice.info. På Finvoice-sidorna finns också schema-filer som används i kontroll av fakturameddelanden och som hjälper fakturautställaren eller den programvaruleverantör som fungerar i fakturautställarens ställe att kontrollera formen av meddelandena när tjänsten byggs upp. Banken skapar länken enligt Finansbranschens Centralförbunds definition av nätbankslänken som finns på sidan för Finansbranschens Centralförbunds beskrivningar av banktjänster http://www.finvoice.info. I denna instruktion beskrivs avtalspraxisen mellan Nordea och fakturautställaren samt informationsinnehållet i de parametrar som finns i länken skapad av Nordea. 1.2 Fakturameddelandets struktur I fakturameddelandets struktur ska man ta hänsyn till att det egentliga Finvoice-meddelande som sänds till banken inte får innehålla information som visas på basis av länken. Den information som visas på basis av länken förvaras i fakturautställarens presentationstjänst och för att visa informationen krävs att länkens parameter USERMAC upplöses och kontrolleras i presentationstjänsten. 2 Förutsättningar Fakturautställaren ingår ett avtal med Nordea om e-fakturans länk. På basis av avtalet bildar Nordea en länk till fakturans tilläggsuppgifter för det betalningsförslag, den kontotransaktion och det fakturaarkiv som bildats på basis av den e-faktura som sänts till Nordeas nätbank. I länkuppgifterna förmedlar Nordea till presentationstjänsten en kod som uträknats utifrån personbeteckningen för nätbankens användare. Med denna kod kan presentationstjänsten kontrollera identiteten för den som tittar på fakturan förutsatt att kundernas personbeteckningar finns registrerade i presentationstjänsten. På så sätt kan man vara säker på att t.ex. samtalsspecifikationerna endast visas för den som äger abonnemanget. Utöver avtalet mellan fakturautställaren och Nordea måste även fakturapresentatören ingå ett avtal med Nordea. I detta avtal registreras presentationstjänstens url-adress till vilken den nätbankskund som tittar på e- fakturan leds via länken. Nätbanksanvändaren ska ha ett giltigt avtal om e-faktura med Nordea för att e-fakturan kan sändas till nätbanken. När e-fakturan kommer till banken kontrolleras avtalets giltighet på basis av den mottagningsadress som anges i e-fakturan. Om man inte hittar något giltigt avtal med mottagningsadressen förkastas fakturan och fakturautställaren får ett felmeddelande enligt Finnvoicesystemet.
När man uträknar länkens kod och den kod som uträknas utifrån personbeteckningen använder man en MAC-nyckel som skapats på basis av avtalet om presentationstjänsten och som sänds till fakturapresentatören. Om nyckeln måste bytas ska presentationstjänsten se till att den nya nyckelversionen tas i bruk enligt den tidtabell som Nordea anger. Nordea ser till att fakturameddelandena sänds till övriga banker när Nordea fungerar som ditributionsbank för fakturautställarens material. Den fakturapresentatör som fakturautställaren använder ska i dessa fall även ha avtal med de övriga bankerna. Koden för de länkar som de övriga bankerna bildat uträknas genom att använda den MAC-nyckel som banken i fråga har sänt. Den algoritm som Nordea använder är MD5. Andra banker kan även använda andra algoritmer. 2.2 Säkerhet E-fakturans länk bildas i nätbanken där Nordeas kund har identifierats pålitligt. Datakommunikationen mellan kunden och banken är krypterad, vilket betyder att utomstående inte kan se eller ändra uppgifterna. Länkens uppgifter är skyddade med en kod vilket betyder att inte heller nätbanksanvändaren kan ändra uppgifter utan att presentationstjänsten upptäcker det. Presentationstjänsten ska vara SSL-skyddad. Fakturautställaren ansvarar för konfidentialiteten, skyddet och säkerheten för den tjänst som fakturautställaren använder samt för att uppgifterna är korrekta. 2.2 Avtalet mellan fakturautställaren och Nordea Avtalet mellan fakturautställaren och Nordea ingås på ett Nordeakontor. Fakturautställaren får som bilaga till avtalet allmänna villkor för betalningsrörelsetjänster och specialvillkor för e-fakturans länk. När avtalet ingås kontrolleras avtalet med fakturapresentatören och avtalets giltighet. Man kontrollerar också att MAC-nyckeln har sänts till fakturapresentatören. Förutsättningen för att ta tjänsten i bruk är att länkbildningen testas innan fakturautställaren sänder fakturor med länkar till banker. När avtalet ingås reder man även ut hur omfattande testningen ska vara. Om Nordea är distributörsbank ska fakturautställaren vara beredd för testning även med övriga banker. Nordea ansvarar för testningen endast för egen del och därmed är det på fakturautställarens ansvar att säkerställa att testningen genomförs med övriga banker enligt avtalad tidtabell. 2.3 Sändning av MAC-nyckel Nordea sänder MAC-nyckeln till fakturapresentatören när avtalet mellan presentationstjänsten och Nordea ingås. Om fakturautställaren eller fakturapresentatören måste byta MAC-nyckeln ska fakturautställaren och/eller fakturapresentatören kontakta Nordea och komma överens om tidtabellen för bytet. 3 Förutsättningar för länkbildning Avtal som krävs för länkbildningen är giltiga. Avtal mellan fakturapresentatören och Nordea förutsätts. Avtal mellan fakturautställaren och distributörsbanken förutsätts. Om Nordea är fakturautställarens distributörsbank, ska fakturautställaren ha ett avtal med Nordea. Presentationstjänsten behöver inte ha ett visst WWW-serverprogram men den ska stödja SSLkryptering. Ett Finvoice-meddelande som sänts till banken innehåller de uppgifter som behövs för att bilda länken. I fakturans första InvoiceUrlText-fält ska stå FO-numret (8 tecken med eventuell förnolla utan Maj 2008 3
bindestreck) för den presentationstjänst som fakturautställaren använder, ett skiljetecken (+) och fakturans arkivbeteckning (max. 60 tecken) med hjälp av vilken tilläggsuppgiften om fakturan kan hittas i presentationstjänsten. Exempel: <InvoiceUrlText>12345678+12345678901234567890</InvoiceUrlText> Dokumentet som länken leder till ska kunna hittas i presentationstjänsten med hjälp av den specificerande arkivbeteckning som anges i Finvoice-meddelandet. Dokumentet ska vara tillgängligt i presentationstjänsten samtidigt som Finvoice-meddelandet sänds till banken. Nätbanken är tillgänglig alla dagar dygnet runt och under denna tid ska även dokumentet bakom säkerhetslänken vara tillgängligt. Dokumentet ska vara tillgängligt minst 24 månader från leveransdatumet. 4 E-fakturans länk i Nordea När nätbanksanvändaren vill titta på fakturauppgifter övergår han från nätbanken till fakturautställarens tjänst genom att klicka på länken Fakturautställarens specifikation. Nordea bildar länken med de parametrar som beskrivs i följande punkt. I presentationstjänsten ska man kontrollera om dokumentet kan visas till den nätbanksanvändare som letts till att titta på dokumentet. Om dokumentet inte kan visas, måste presentationstjänsten kunna berätta nätbanksanvändaren orsaken till varför dokumentet inte kan visas. 4.1. Länkens parametrar Parametrarna följer den beskrivning av nätbankslänken som bankerna tillsammans kommit överens om. Bankernas gemensamma beskrivning innehåller bankspecifika alternativ och länken kan enligt beskrivningen vara förknippad med olika betalningstransaktioner eller dokument. Nedan beskrivs hur en länk som bildas i Nordeas nätbank bildas i anknytning till en e-faktura som distribuerats uteslutande som Finvoice och som sänts till konsumenten till nätbanken. 4.1.1 Url-uppgifter https www.företag.fi aaaa/bbbbbb/cccccccc Protokoll, ssl-kryptering Nätfakturaserverns namn Nätfakturatjänstens namn på servern i fråga 4.1.2 Parametrar Kod Innehåll Kontroll i presentationstjänsten VERSION Länkens versionsnummer, 4 tecken 0001=produktionsversion PMTREFNB Dokumentets arkivbeteckning i presentationstjänsten från Finvoice-meddelandet som specificerar dokumentet, max. 60 tecken. Om versionen är något annat än 0001, ska länken förkastas. Om det dokument som ska visas inte kan hittas, måste användaren informeras om det. Maj 2008 4
TIMESTMP Tidpunkten för länkbildningen VVVV-KK-PP- HHMMSS%2BHH %2B02 = normaltid i Finland %2B03 = sommartid i Finland KEYVERS MAC-nyckelns version, 4 tecken ALG MAC-nyckelns uträkningsalgoritm, 2 tecken 0001= MD5-algoritm Tidpunkten för länkbildningen får inte avvika mer än 15 minuter från tidpunkten för kontrollen. Om tidpunkten för länkbildningen avviker mer än 15 minuter eller om länken har använts redan tidigare (punkt 4.1.4) ska användaren få ett meddelande om att länken är gammal. Nyckelversionen ska motsvara den nyckelversion som registrerats för presentationstjänsten och motsvarande nyckel används i MAC-uträkningen. Tilläggsinstruktioner för hur man går till väga om nyckeln ska bytas finns i punkt 5.1. Innehållet kontrolleras. MD5 används i länk som bildats i Nordea. LANGCODE Språkkoden för nätbanksanvändaren, 1 tecken 1= finska, 2= svenska, 3=engelska Kontrolleras och tjänsten erbjuds på nätbanksanvändarens språk. SESSIONID Logguppgift, max 20 tecken Logguppgift STATUS Länkens status, 4 tecken Innehållet kontrolleras och Prod = produktionslänk, Test = länken styrs till testlänk produktionstjänsten eller testtjänsten. SENDID PMTORIG USERMAC Länkbildarens kod, 20 tecken NDEAFIHH = Nordea Inskrivningssättet för betalningen, 1 tecken 1 = e-faktura En kod som bildats av betalarens personbeteckning, 32 tecken BIC-koden för den bank som bildar länken. Om koden inte är NDEAFIHH, ska länken förkastas. Innehållet ska vara 1. Kontrollen beskrivs i punkt 4.2. MAC Länkens MAC-kod, 32 tecken Nordeas server uträknar fältet MAC av de parameteruppgifter som listas ovan. Med hjälp av MAC försäkrar presentationstjänsten att länken har bildats i Nordea och att den inte har ändrats. Maj 2008 5
4.1.3 Exempellänk och anvisningar för MAC-uträkningen https://www.yritys.fi/aaaa/bbbbbb/cccccccc?version=0001&pmtrefnb=12345678901234567890 &TIMESTMP=2008-03-16-102030%2B02&KEYVERS=0001&ALG=0001&LANGCODE=1&SESSIONID=12345&STATUS=P rod&sendid=ndeafihh&pmtorig=1&usermac=12345678901234567890123456789012& MAC=12345678901234567890123456789012 Den teckensträng som används i MAC-uträkningen bildas av innehållet i parameterfälten och av &- tecken på följande sätt: VERSION&PMTREFNB&TIMESTMP&KEYVERS&ALG&LANGCODE&SESSIONID&STATUS &SENDID&PMTORIG&USERMAC& MAC-nyckeln och &-tecknet läggs till slutet av teckensträngen. Teckensträngen innehåller inga tomma tecken. Resultatet är: VERSION&PMTREFNB&TIMESTMP&KEYVERS&ALG&LANGCODE&SESSIONID&STATUS &SENDID&PMTORIG&USERMAC&MAC AVAIN& Exempel på länk: 0001&12345678901234567890&2008-03-16-102030+02&0001&0001&1&12345&Prod&NDEAFIHH&1&12345678901234567890123456789012 &[MAC avain]& OBS! TIMESTMP-fältets enkodning har i uträkningen ändrats tillbaka till ett +-tecken: 2008-03-16-102030%2B02 är därmed i formatet 2008-03-16-102030+02 i uträkningen. För denna teckensträng uträknas en MD5-kod som anges som ascii-tecken i synligt format som parameterfältets MAC-värde. OBS! MAC-värdets eventuella små bokstäver har ändrats till versaler för länken. 4.1.4 Kontroll att länken är en engångslänk Presentationstjänsten ska kontrollera att länken endast kan användas en gång. Kontrollen sker genom att jämföra värdena för parametrarna TIMESTMP och PMTREFNB. Om länken används på nytt ska användaren meddelas om att länken är gammal. 4.2 Tilläggsutredning om kontroll av USERMAC-parameter Med hjälp av den kod som bildas av personbeteckningen kan presentationstjänsten kontrollera om nätbanksanvändaren har rätt att titta på vissa uppgifter eller utföra vissa funktioner. USERMAC bildas ungefär på samma sätt som hela länkens kod: o o o En teckensträng bildas av tidstämpeln, personbeteckningen och nyckeln separerade med &-tecken: TIMESTMP&HENKILÖTUNNUS&AVAIN& I personbeteckningen finns ett skiljetecken med i teckensträngen och den eventuella bokstaven är med versal. En MD5-kod uträknas för teckensträngen. Koden skrivs in som fältets USERMAC-värde i synligt ascii-format. Om presentationstjänsten har registrerat personbeteckningar för de personer som får bläddra i vissa Maj 2008 6
uppgifter kan rätten kontrolleras genom att bilda en motsvarande teckensträng av fakturautställarens uppgifter, genom att uträkna en MD5-kod av teckensträngen och genom att jämföra den kod som uträknats på detta sätt med parameterfältet USERMAC. Kontrollen förutsätter att presentationstjänsten har registrerat personbeteckningarna eftersom personbeteckningen inte förmedlas någonstans. Personbeteckningen kan inte uträknas utifrån parameteruppgiften USERMAC även om man har tillgång till den hemliga nyckel som används när man bildar koden. 5 Hantering av ändringar När det sker ändringar i tjänsten antingen hos fakturautställaren eller banken ska fakturautställaren och banken komma överens om dem för att säkerställa tjänsten gentemot konsumenten. Fakturautställaren ska vara beredd på att hantera eventuella serviceavbrott till följd av ändringar i den presentationstjänst som han använder och på att informera konsumenterna om läget. 5.1 Byte av MAC-nyckel Den nyckel som används för uträkningen av koderna kan på begäran bytas ut av Nordea, fakturautställaren eller fakturapresentatören. Kodnyckeln sänds till den kontaktperson som anges i avtalet mellan presentationstjänsten och Nordea. Samtidigt sänder man också uppgift om den nya nyckelns versionsnummer och det datum då nyckeln träder i kraft. Från och med det datum har koderna uträknats med nyckeln i fråga. För att nyckelbytet ska ske flexibelt måste presentationstjänsten tillåta att den nya nyckeln skrivs in i systemet på förhand, dvs. att minst två kodnycklar kan användas samtidigt. Vid tidpunkten för bytet, under cirka 15 minuter, är det möjligt att koden för en del av länkarna har uträknats med den gamla nyckeln och för en del med den nya. När den nya kodnyckeln efter detta har använts lyckat kan den gamla nyckeln avlägsnas eller bruket av den förbjudas i presentationstjänsten. 5.2 Ändringar i presentationstjänsten för dokument Om någonting ska ändras kontaktar fakturautställaren eller fakturapresentatörens representant Betalningsrådgivning för företag för att en noggrann plan för genomförandet av ändringen och för tidtabellen kan utarbetas. Ändringens natur bestämmer om till exempel en ny testning behövs och därför ska man reservera tillräckligt med tid för ändringarna. 6 Testning och ibruktagande Om testningen av E-fakturans länk före ibruktagandet och i ändringssituationer ska avtalas separat. Fakturautställaren och fakturapresentatörens representant kontaktar Betalningsrådgivning för företag. En gemensam plan för testning och ibruktagande utarbetas. 7 Rådgivning och stöd Betalningsrådgivning för företag på finska tfn 0200 67210 Öppet bankdagar 8 18, korta bankdagar 8 14 Samtalets pris 0,11 euro/min. + lna/msa. Betalningsrådgivning för företag på svenska 0200 67220 Öppet bankdagar 9 16.30, korta bankdagar 9 14 Maj 2008 7
Samtalets pris 0,11 euro/min. + lna/msa. Betalningsrådgivning för företag på engelska 0200 67230 Öppet bankdagar 9 18, korta bankdagar 9 14 Samtalets pris 0,11 euro/min. + lna/msa. Maj 2008 8