Thema "Re: Postman-Collection - TAN-Handing photoTAN - Funkt" in Website & Apps

Postman-Collection - TAN-Handing photoTAN - Funktion Grafikanzeige funktioniert nicht

robprinz — Sun, 28 Mar 2021 15:13:39 GMT

Die Variante, sich die Grafik direkt in Postamt wie in der Postman-Collection Dokumentation unter Punkt 3. TAN-Handing photoTAN (Stand Feb. 2020) anzeigen zu lassen, funktioniert nicht unter der aktuellen Windows / MacOS Postman Version (Win und MacOS auf aktuellem Supportstand).

Nach dem POST gemäß der 2.3 Anlage "Validierung einer Session-TAN" steht im Header unter "x-once-authentication-info" die Info "href":"/api/session/v1/authentications/E74600742864....." ...unter dem "Body" lässt sich aber nicht die Grafik anzeigen, sobald man den Button "Visualize" klickt. Die Fehlermeldung lautet "...Can't visualise the response..."

Können Sie bitte den Fehler korrigieren.

Mit freundlichen Grüßen,

Robert Prinz

Re: Postman-Collection - TAN-Handing photoTAN - Funktion Grafikanzeige funktioniert nicht

ehemaliger Nutzer — Mon, 29 Mar 2021 13:44:31 GMT

Hallo @robprinz,

du hast die Push-Funktion der photoTAN aktiviert, dafür ist keine Grafik notwendig und du musst in deiner photoTAN App die Transaktion freigeben, indem du den Pfeil von links nach rechts wischt.

Um die einzuscannende Grafik zu erhalten, musst du beim Schritt „2.3 Anlage Validierung einer Session-TAN“ den Request Header x-once-authentication-info:{"typ":"P_TAN"} mitschicken. Dann bekommst du in der Response den Code, der als photoTAN-Grafik angezeigt und eingescannt werden kann.

Wir empfehlen dir aber das photoTAN-Push-Verfahren.

Viele Grüße

Mario

Re: Postman-Collection - TAN-Handing photoTAN - Funktion Grafikanzeige funktioniert nicht

robprinz — Tue, 30 Mar 2021 13:18:05 GMT

Hallo Mario,

vielen Dank für das Feedback, es funktioniert mit der photoTAN optimal. Könnt Ihr bitte in der Dokumentation "comdirect_REST_API_Postman_Collection_readme.pdf", "Anleitung zur Postman-Collection" vom Feb. 2020 unter dem Kapitel "3. TAN-Handling photoTAN" entsprechend anpassen. *

Ich habe noch eine Frage zum comdirect_REST_API. Ich suche nach der Anwendung, um eine "Quote" zu erfragen (Quote, Delayed Quote bzw. Real-time Quote), bevor eine Order platziert wird (Quote Anfrage unabhängig von Order). Falls möglich, wie muss der Request / Query aussehen.

Viele Grüße,

Robert

* Es steht dort: "Sollten Sie das photoTAN-Verfahren nutzen, haben Sie die Möglichkeit, sich die Grafik direkt in Postman anzeigen zu lassen. Klicken Sie hierfür nach dem Abruf der Schnittstelle 2.3 Anlage Validierung einer Session-TAN innerhalb des Response auf „Body“ und anschließend auf „Visualize“."

Re: Postman-Collection - TAN-Handing photoTAN - Funktion Grafikanzeige funktioniert nicht

SMT_Erik — Tue, 30 Mar 2021 13:49:41 GMT

Hallo @robprinz,

vielen Dank für deinen Hinweis. Wir haben das gerne an die Fachabteilung weitergeleitet.

Gruß

Erik

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

robprinz — Tue, 30 Mar 2021 17:16:35 GMT

Hallo Mario,

ich hatte in meiner letzten Information noch eine Frage beigelegt, und zwar lautete der Text: "Ich habe noch eine Frage zum comdirect_REST_API. Ich suche nach der Anwendung, um eine "Quote" zu erfragen (Quote, Delayed Quote bzw. Real-time Quote), bevor eine Order platziert wird (Quote Anfrage unabhängig von Order). Falls möglich, wie muss der Request / Query aussehen."

Wie muss der Request / Query via comdirect_REST_API aussehen?

Viele Grüße,

Robert

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

SMT_Jan-Ove — Wed, 31 Mar 2021 06:11:46 GMT

Hallo @robprinz.

danke für den Hinweis für die Anleitung zur Postman-Collection. Ein Quote kann mit den in der Dokumentation unter Kapitel 8 Resource QUOTE beschriebenen Endpunkten angefordert werden. Am Ende der Doku gibt es dafür auch Beispiele, ebenso kann die Postman Collection dafür genutzt werden. Welche Handelsplätze Quotes unterstützen, ist mit dem order dimensions-Call wie unter Punkt 7.1.1 beschrieben ermittelbar. Unter den ordertypes muss hier „QUOTE“ auftauchen.

Beste Grüße

Jan-Ove

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

robprinz — Tue, 06 Apr 2021 13:38:41 GMT

Hallo,

Ich habe zwei weitere Themenkomplexe, Applikation Postman (1) vs. „PHP -cURL“ Code Verhalten sowie der Aufruf einer Quote (2), (Step 8. Quote, konkret Step 8.11, 8.1.1 Anlage Validierung Quote Request-Initialisierung).

Die Anwendung comdirect REST API (April) läuft unter macOS, Postman und macOS aktuellste Version, Scripte aus Postman „Code snippet“ im „PHP -cURL“ Code.
Themenkomplex (1):
1. Postman: die Steps “2.1 OAuth2 Resource Owner Password Credentials Flow" bis "2.5 OAuth2 CD Secondary-Flow“ funktionieren.

2. „PHP -cURL“ Code mit den entsprechend korrekten Parametern (Zugangsnummer, PIN etc.) sind erfolgreich inkl. Step "2.4 Aktivierung einer Session-TAN“ mittels PHP )1. Im Step "2.5 OAuth2 CD Secondary-Flow“ kommt die Fehlermeldung „{"error":"invalid_grant","error_description":"Bad token“}. photoTAN war erfolgreich.

Eigentlich sollte im Step 2.4 bzw. 2.5 der neue „access_token“ vorliegen, um Account-, Depot-Daten etc. Abfragen zu können.

Was ist hier anders im Vergleich zu 1. Postman? Ist der angebotene „PHP -cURL“ Code korrekt?

Themenkomplex (2): Bei der Quote Anfrage mit den vorliegenden Werten, wobei die depotId aus dem Step "5.1.1 Abruf Depots“ verwendet wird, wird die Meldung einer falschen „depotId“ angezeigt. Die „venuedId“ steht für Tradegate (venueUUID_Tradegate_LT).
Request:
var body = {
"depotId" : "{{-entfernt-}}",
"orderType" : "QUOTE",
"side" : "BUY",
"instrumentId" : "555200",
"quantity" : {"value":"1", "unit": "XXX"},
"venueId" : "{{-entfernt-}}",
};

var body_str = JSON.stringify(body);
pm.environment.set('quote_request_body', body_str);

Response:
{
"code": "request.object.invalid",
"messages": [
{
"severity": "ERROR",
"key": "fehler_ungueltigesfeld_depotid",
"message": "Bitte geben Sie eine gültige DepotID an.",
"args": {},
"origin": []
}
]
}

)1 PHP Version: PHP is included in macOS for compatibility with legacy software.
Future versions of macOS will not include PHP.
PHP 7.3.24-(to be removed in future macOS) (cli) (built: Dec 21 2020 21:33:25) ( NTS )
Copyright (c) 1997-2018 The PHP Group
Zend Engi

Grüße,

Robert

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

SMT_Jan-Ove — Tue, 06 Apr 2021 13:39:24 GMT

Hallo @robprinz,

ich war einmal so frei, die depotid und venueid zu entfernen. Anbei die Antworten zu deinen Fragen.

Zum Thema 1: In der Postman-Collection passieren auch einige Dinge in den Reitern „Pre-request Script“ und „Test“. Hilfreich ist es deswegen, die Konsolenausgabe in Postman anzuschauen (View -> Show Postman Console) und die Ausgabe Schritt für Schritt mit der Implementierung zu vergleichen. Es könnte sein, dass in Schritt 2.5 nicht der richtige Token verwendet wurde. Für das Feld „token“ muss der Wert vom Feld „access_token“ aus dem Ergebnis von Schritt 2.1 verwendet werden.

Zum Thema 2: Die geschweiften Klammern für die Felder depotId und venueId müssen nicht mitgeschickt werden, wenn die ID selbst verwendet wird.

Ich hoffe, das hilft dir weiter. 🙂

Beste Grüße

Jan-Ove

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

robprinz — Thu, 08 Apr 2021 07:29:08 GMT

Hallo,

Zum Thema 1: der "access_token" ändert sich, im Schritt 2.1 und 2.4 ist er gleich (access_token / Authorization), im Schritt 2.5 ist er von 2.1 und 2.4 verschieden. Anbei ein Auszug dazu (Postman Console), siehe nach Auszug nach Thema 2.

Aus diesem Grund führt der Request per PHP Code zu einem "bad token", da ich hier den Token aus Schritt 2.1 verwende (agiert da Postman intern anders, sodass Postman den neuen Token einsetzt?).

Zum Thema 2: die Klammern sind zu entfernen, es dann.

Grüße,

Robert

Postman Console Auszug:

PATCH https://api.comdirect.de/api/session/clients/user/v1/sessions/0BE5674AEC2040DD811A1670E9BF2FC1. // 2.4 Aktivierung einer Session-TAN
200
99 ms
PATCH /api/session/clients/user/v1/sessions/-entfernt-HTTP/1.1
Accept: application/json
Authorization: Bearer -entfernt-
x-http-request-info: {"clientRequestId":{"sessionId":"-entfernt-","requestId":"644903954"}}
Content-Type: application/json
x-once-authentication-info: {"id":"ID"}
x-once-authentication: 000000
User-Agent: PostmanRuntime/7.26.10
Postman-Token: Postman-Token
Host: api.comdirect.de
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Content-Length: 140
Cookie: qSession=-entfernt-
{
"identifier" : "-entfernt-",
"sessionTanActive" : true,
"activated2FA": true
}
HTTP/1.1 200 200
Date: Mon, 05 Apr 2021 17:49:28 GMT
Server: Apache
X-Content-Type-Options: nosniff
Cache-Control: no-cache, private, must-revalidate
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Frame-Options: sameorigin
X-XSS-Protection: 1; mode=block
Content-Type: application/json;charset=UTF-8
Content-Language: de-DE
Vary: Accept-Encoding
Content-Encoding: gzip
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Transfer-Encoding: chunked
{"identifier":"-entfernt-","sessionTanActive":true,"activated2FA":true}

POST https://api.comdirect.de/oauth/token. // 2.5 OAuth2 CD Secondary-Flow
200
81 ms
POST /oauth/token HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Accept: application/json
User-Agent: PostmanRuntime/7.26.10
Postman-Token: Postman-Token
Host: api.comdirect.de
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Content-Length: 161
Cookie: qSession=-entfernt-
client_id=CLIENT_ID&CLIENT_SECRET&grant_type=cd_secondary&token=-entfernt-
HTTP/1.1 200 200
Date: Mon, 05 Apr 2021 17:49:41 GMT
Server: Apache
Cache-Control: no-store
Pragma: no-cache
x-content-type-options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Frame-Options: sameorigin
X-XSS-Protection: 1; mode=block
Content-Type: application/json;charset=UTF-8
Content-Language: de-DE
Vary: Accept-Encoding
Content-Encoding: gzip
Keep-Alive: timeout=15, max=96
Connection: Keep-Alive
Transfer-Encoding: chunked
{"access_token":"-entfernt-","token_type":"bearer","refresh_token":"-entfernt-","expires_in":599,"scope":"BANKING_RW BROKERAGE_RW MESSAGES_RO REPORTS_RO SESSION_RW","kdnr":"KDNR","bpid":BPID,"kontaktId":KONTAKTID}

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

SMT_Jan-Ove — Thu, 08 Apr 2021 07:26:07 GMT

Hallo @robprinz,

bitte niemals persönliche IDs (Access und Refresh Tokens, SessionIds usw) hier in der Community posten!

Zu deinem Konsolenauszug: Der Access-Token aus dem Ergebnis von 2.5 kann dann verwendet werden, um weitere Schnittstellen aufzurufen. Der Token der Schritte davor kann nur für den CD_Secondary Flow verwendet werden, also für die Eingabe des zweiten Faktors. Genauso macht die Postman Collection es auch.

Beste Grüße

Jan-Ove

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

robprinz — Thu, 08 Apr 2021 08:25:05 GMT

Hallo,

zu den IDs (Access, Refresh, Session ...IDs). Diese sind doch zeitlich limitiert, zudem sind die Console-Daten nicht vom Tag, als ich diese in der Community platziert hatte, insofern sollte keiner mit den Daten etwas anstellen können. Oder?

Der Token vor dem Schritt 2.5 wird zuvor generiert, der für 2.5 und weiter nach 2.5 wird doch erst nach 2.3 / 2.4 erstellt. Oder? Und wie erhalte ich diesen?

Des Weiteren ist in der comdirect_REST_API_Dokumentation beschrieben, dass in 2.3 die ID im Response-Header in 2.4 "x-once-authentication-info" zu übergeben ist. Leider finde ich die ID in 2.3 nicht, wenn ich nicht über Postman agiere, sondern mit den "PHP - cURL Code snippet" operiere (Header / Body zeigt keine ID). Wie komme ich an die ID in 2.3? Wo finde ich eine Dokumentation zum gesamten Flow (mehr als die comdirect_REST_API_Dokumentation)?

Grüße,

Robert

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

SMT_Jan-Ove — Thu, 08 Apr 2021 10:07:01 GMT

Hallo @robprinz,

die IDs könnten für Angreifer Rückschlüsse auf unser API geben. Wir bitten also um Verständnis, dass wir das nicht zulassen und auch verhindern wollen, dass es Nachahmer in der Community gibt, die hier persönliche Daten posten könnten.

Der Token für die weiteren Schnittstellen ist in der Response von 2.5 enthalten, auch in deinem Konsolenauszug. Die von Postman angebotenen Code Snippets werden von Postman erstellt und stammen nicht von uns. Bitte habe also Verständnis dafür, dass wir zwar Verständnisfragen zur API beantworten, aber nicht bei der Implementierung unterstützen können. Die Konsolenausgabe für die Requests in der Collection geben aber genug Informationen für eine eigene Implementierung.

Beste Grüße

Jan-Ove

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

robprinz — Tue, 13 Apr 2021 10:51:47 GMT

Hallo,

Eine Frage zu Postman. Unter 8.x lässt sich für eine WKN eine Quote erfragen, bei einem Fond wie z.B. "Fondak A“, WKN „847101“ erhält man die Meldungen:

1. "message": "Nach unseren Informationen verfügen Sie im Handel mit dieser Wertpapiergattung über zu geringe Erfahrungen, um damit verbundene Risiken beurteilen zu können. Wenn Sie dennoch die Ausführung dieser Order wünschen, dann geben Sie diese wie gewohnt frei.“

und

2. "message": "Es konnte kein Preis ermittelt werden. Bitte probieren Sie es später noch einmal.“

Als Handelsplatz hatte ich „Tradegate“ eingestellt.

Bei WKNs für Aktien wie z.B. Apple, Daimler etc. ist über 8.x entsprechende Information verfügbar (8.3 liefert die gewünschte Informationen).

Wichtig noch zur Information: über die comdirect trading App werden für den o.g Fond „Fondak A“ aktuelle Daten bereitgestellt, auch für den Handelsplatz „ Tradegate“.

Was ist bei 8.x ggf. zu beachten, dass die Abfrage für Fonds funktioniert?

Viele Grüße,

Robert

Re: Postman-Collection - TAN-Handing photoTAN - Funkt

ehemaliger Nutzer — Wed, 14 Apr 2021 06:14:48 GMT

Hallo @robprinz,

hier die Antwort der Kollegen:

Die Ursache des Problems liegt darin, dass comdirect zwei Handelspartner "Tradegate" anbietet. Diese unterscheiden sich durch einen Typen „OFF“ (außerbörsliches Tradegate) und „EXCHANGE“ (börsliches Tradegate). Du wirst in deinem Fall den falschen Handelsplatz ausgesucht haben.

Um dies zu vermeiden empfehlen wir die Schnittstelle zur Abfrage der Order-Dimensionen (Kap. 7.1.1) zu verwenden. Damit kannst du über verschiedene Filter, wie bspw. „wkn=847101", die Auswahl der Handelspartner auf eine valide Teilmenge eingrenzen.

Viele Grüße

Mario