Authorities

DVS usa authorities para controlar qué endpoints puede usar un access token. Las authorities están vinculadas del lado del servidor al client_id en el onboarding — no están embebidas en el token (el token es opaco) ni se solicitan vía scopes de OAuth. En cada llamada a la API, DVS consulta las authorities otorgadas al client_id y las aplica contra la operación solicitada.

Catálogo de authorities

Authority	Habilita acceso a
dvs:classification:create	POST /v1/classification-requests
dvs:classification:read	GET /v1/classification-requests/{id}
dvs:validation:create	POST /v1/provider-validation-requests, GET /v1/document-types
dvs:validation:read	GET /v1/validation-requests/{id}
dvs:provider:read	GET /v1/provider-document-type-access (lectura de la matriz de acceso propia)
dvs:webhook:read	GET /v1/webhook-endpoints (listar los webhooks registrados)

Bundles típicos por caso de uso

OSIGU configura uno de estos bundles en el client_id según el acuerdo de integración. Para solicitar un bundle diferente, contactar a support@osigu.com.

Solo classification

dvs:classification:create dvs:classification:read

Solo validation

dvs:validation:create dvs:validation:read

Classification + auto-validate

dvs:classification:create dvs:classification:read dvs:validation:read (para hacer polling sobre la validation encadenada)

Integración completa (ambas APIs + lecturas self-service)

Todas las anteriores

Authorities exclusivas de admin

Las siguientes authorities nunca se otorgan a proveedores — son para operaciones internas de OSIGU:

• dvs:classification:admin
• dvs:validation:admin
• dvs:provider:admin
• dvs:webhook:admin

Si se necesita una acción cubierta por una authority de admin (p. ej., rotar el secret de webhook), contactar a support@osigu.com.

Cuándo aparecerá un 403

403 071-403

El client_id no tiene la authority requerida configurada del lado de OSIGU. Contactar a support@osigu.com para solicitarla — el campo scope en la response del token OAuth es grueso (read write) y no controla las authorities de DVS.

403 071-403-document-type-not-allowed

La verificación de authority del token pasó, pero no hay acceso a la combinación específica de (document_type, country_code, agreement_code) solicitada. Usar GET /v1/document-types para listar lo que se puede validar.

403 071-403-tenant-mismatch

Se está intentando leer o reintentar una request que no pertenece al tenant. Este es un límite duro — nunca es posible acceder a las requests de otro proveedor.