REST API cd_secondary bad token

[bank bot]

Hi!
Ich versuche gerade, wie einige andere auch, meine Bankinteraktion zu automatisieren. Dazu habe ich diese Python Library angefangen. Die ersten Requests klappen (wenn gleich man sich die Infos alle ein bisschen zusammensuchen muss aus REST API Dokumentations-PDF und POSTMAN-Beispielen). Ich komme soweit, dass ich ein Access Token habe, eine Session initiiere und die Push-Tan auf's Handy bekomme (leider nicht wirklich als Push, sondern ich muss stets auf "Aktualisieren" in der TAN-app clicken - geht das anderen auch so?). In anderen Worten, ich habe 2.1, 2.2 und 2.3 der Doku durchgeführt (2.4 brauche ich nicht, wie ich es verstehe, da ich das pushTAN Verfahren nutze). Wenn ich jedoch versuche, den CD Secondary Flow (2.5) auszuführen bekomme ich die Fehlermeldung mein Token sei nicht korrekt:

400: '{"error":"invalid_grant","error_description":"Bad token"}'

Hat jemand eine Idee, woran das vielleicht liegen könnte, bzw. kann einen Blick auf den relevanten Code-Teil werfen und Feedback geben?

Ich würde mich sehr freuen!

Sidenote: In der TAN-app tauchen die Anfragen exakt so auf, wie Website-Logins, was ich leicht verwirrend finde. Vielleicht kann man da noch ein "origin" (comdirect website vs. REST API) hinzufügen, und darauf basierend unterscheiden, wie sie angezeigt werden?

[SMT_Erik · Accepted solution]

Hallo @bank bot und herzlich willkommen in unserer Community!

Der Schritt 2.4 ist auch bei dem Verfahren P_TAN_PUSH notwendig, um die Session-TAN und den zweiten Faktor zu aktivieren. Der Unterschied zu den andere TAN-Verfahren besteht allerdings darin, dass kein Header „x-once-authentication-info“ mit einer 6-stelligen TAN mitgeschickt werden muss. Der comdirect-Server prüft stattdessen bei Schritt 2.4, ob die Challenge in der App beantwortet wurde. Der Header x-once-authentication-info:{"id":"7654321"} mit der Challenge-ID muss aber mitgeschickt werden.

Danke für deinen Hinweis. Dass eine Unterscheidung zwischen Webseite und REST API stattfindet, haben wir bereits als Feature-Wunsch aufgenommen.

Gruß

Erik

[bank bot]

Vielen Dank! Das hatte ich tatsächlich anders verstanden. Damit hat es zumindest einen anderen Fehler ergeben. Bevor ich den behoben habe, habe ich dann allerdings das pypi package "comdirect-api-simple" gefunden und arbeite damit weiter 🙂