Authorities

O DVS usa authorities para controlar quais endpoints o access token pode utilizar. As authorities são vinculadas server-side ao client_id no onboarding — elas não são embutidas no próprio token (o token é opaco) nem solicitadas via OAuth scopes. Em cada chamada à API, o DVS consulta as authorities concedidas ao client_id e as aplica contra a operação solicitada.

Catálogo de authorities

Authority	Concede acesso a
dvs:classification:create	POST /v1/classification-requests
dvs:classification:read	GET /v1/classification-requests/{id}
dvs:validation:create	POST /v1/provider-validation-requests, GET /v1/document-types
dvs:validation:read	GET /v1/validation-requests/{id}
dvs:provider:read	GET /v1/provider-document-type-access (leitura da própria matriz de acesso)
dvs:webhook:read	GET /v1/webhook-endpoints (listagem dos webhooks registrados)

Bundles típicos por caso de uso

A OSIGU configura um destes bundles no client_id com base no contrato de integração. Para solicitar um bundle diferente, entre em contato com support@osigu.com.

Somente classification

dvs:classification:create dvs:classification:read

Somente validation

dvs:validation:create dvs:validation:read

Classification + auto-validate

dvs:classification:create dvs:classification:read dvs:validation:read (para fazer polling da validation encadeada)

Integração completa (ambas as APIs + leituras self-service)

Todas as anteriores

Authorities exclusivas de admin

As authorities a seguir nunca são concedidas a providers — são para operações internas da OSIGU:

• dvs:classification:admin
• dvs:validation:admin
• dvs:provider:admin
• dvs:webhook:admin

Caso seja necessária uma ação coberta por uma authority de admin (ex.: rotacionar o webhook secret), entre em contato com support@osigu.com.

Quando ocorrerá 403

403 071-403

O client_id não tem a authority necessária configurada no lado da OSIGU. Entre em contato com support@osigu.com para solicitá-la — o campo scope na response do OAuth token é grosso (read write) e não controla as authorities do DVS.

403 071-403-document-type-not-allowed

A checagem de authority do token passou, mas não há acesso à combinação específica (document_type, country_code, agreement_code) solicitada. Use GET /v1/document-types para listar o que é possível validar.

403 071-403-tenant-mismatch

Há tentativa de leitura ou retry de uma request que não pertence ao seu tenant. Esta é uma fronteira rígida — nunca será possível acessar requests de outro provider.