Mali mührün içerisindeki sertifikanın "Key Usage" bölümünde sadece "Digital Signature" yazıyor, "Non-Repudiation" eksik olduğu için banka entegrasyonumuz patladı, kartı yeniden mi üretecekler?

Öncelikle kartınızı kesinlikle iptal ettirmeyin veya Kamu SM'ye 'hatalı üretim' gerekçesiyle yeniden basım talebinde bulunmayın. Çünkü Kamu SM'den 10 defa daha yeni mali mühür alsanız dahi üretilen tüm mühürlerde Key Usage alanı birebir aynı olacaktır. Ortada bir üretim hatası yoktur; problem bankanızın API doğrulama katmanındaki yanlış standart kurgusundan kaynaklanmaktadır.

Teknik ve hukuki arka plan şu şekildedir:

• Mali Mühür vs. Nitelikli Elektronik İmza (NES) Farkı: 5070 Sayılı Elektronik İmza Kanunu'na göre 'Non-Repudiation' (İnkar Edilemezlik / Content Commitment) hukuki vasfı, sadece ıslak imzaya eşdeğer kabul edilen ve gerçek kişilere verilen Nitelikli Elektronik Sertifikalar (NES) için zorunludur. Mali mühür ise Vergi Usul Kanunu 397 No'lu Sıra Tebliği kapsamında tüzel kişilikler (şirketler) adına üretilen bir kurumsal mühürdür (Corporate Seal).
• Kamu SM Sertifika Politikası (CPS): Kamu SM'nin Bilgi Teknolojileri ve İletişim Kurumu (BTK) ile Gelir İdaresi Başkanlığı onaylı sertifika üretim profilinde (CPS), tüzel kişi mühürleri için Key Usage bitmask değerinde yalnızca Digital Signature tanımlıdır. Kamu SM hiçbir tüzel kişi mali mührüne istisnai olarak Non-Repudiation flag'i basmaz.
• Bankanın Entegrasyon Hatası: Bankanızın yazılım ekibi, entegrasyon kodlarında gerçek kişi e-imzası doğrulayan hazır bir imza kütüphanesi (BouncyCastle, Santuario vb.) kullanmış ve sertifika filtreleme fonksiyonuna körü körüne KeyUsage.nonRepudiation == true kuralını eklemiştir.

Nasıl Bir Çözüm İzlemelisiniz?

1. Bankanızın Entegrasyon / FinTech teknik ekibine resmi bir bildirimde bulunun. Kullandığınız sertifikanın Kamu SM tarafından tüzel kişi adına üretilen resmi Mali Mühür olduğunu ve Kamu SM standart profili gereği Key Usage alanında sadece 'Digital Signature' bulunduğunu belirtin.
2. Bankadan, tüzel kişi mali mühürleri ile yapılan API çağrılarında sertifika doğrulama politikasından 'Non-Repudiation' zorunluluğunu kaldırmasını veya ilgili Kamu SM Kök Sertifikasını (Root CA) istisna listesine almasını talep edin. Garanti BBVA, Akbank, Yapı Kredi gibi tüm büyük kurumsal bankalar DBS/API sistemlerinde mali mühürler için bu esnekliği sağlamaktadır.
3. Eğer banka mevzuat gereği bu işlemde tüzel kişi mührünü değil mutlaka şirketi temsile yetkili kişinin şahsi e-imzasını şart koşuyorsa, bu entegrasyonu şirket mali mührü ile değil yetkilinin bireysel E-İmzası (NES) ile imzalatacak şekilde mimarinizi güncellemeniz gerekecektir.