Tổng quan — từ đăng ký tới khoá truy cập

Trang này dành cho kỹ sư tích hợp của bên thứ ba: ví điện tử, công ty trung gian thanh toán, fintech muốn gọi Open API của ngân hàng.

Cổng này làm gì

Ngân hàng mở một số API theo Thông tư 64/2024/TT-NHNN cho bên thứ ba đã được thẩm định. Cổng là nơi anh chị đăng ký, được thẩm định, tạo ứng dụng, đăng ký sản phẩm API và nhận khoá. Mọi việc đều để lại vết và phần lớn cần ngân hàng phê duyệt — đó là yêu cầu của thông tư, không phải lựa chọn của cổng.

Năm bước

Bước	Anh chị làm	Ngân hàng làm	Kết quả
1	Đăng ký làm bên thứ ba — nộp hồ sơ tổ chức	Thẩm định, có thể trả hồ sơ kèm lý do	Tổ chức được duyệt
2	Tạo ứng dụng	—	Ứng dụng thuộc tổ chức
3	Đăng ký sản phẩm API cho ứng dụng, trên một môi trường	Duyệt và kích hoạt	Quyền trên đúng bộ ba ứng dụng × sản phẩm × môi trường
4	Nhận khoá truy cập	—	client_id và client_secret
5	Gọi API	—	(hướng dẫn sẽ có khi hệ thống thử nghiệm mở)

Hai điều dễ hiểu nhầm

Đăng ký sản phẩm chỉ có hiệu lực ở MỘT môi trường

Đăng ký cho UAT không cho phép gọi ở Production. Muốn dùng Production phải nộp một yêu cầu riêng, và yêu cầu đó được xét độc lập. Cổng sẽ nhắc điều này ngay lúc chọn môi trường.

Khoá bí mật chỉ hiện ĐÚNG MỘT LẦN

client_secret hiện một lần lúc cấp. Đóng màn là không xem lại được — kể cả ngân hàng cũng không lấy lại được cho anh chị. Muốn khoá mới phải yêu cầu xoay khoá, và đó là một yêu cầu chờ ngân hàng duyệt.

Những gì chưa có ở đây

Luồng OAuth 2.0, hệ thống thử nghiệm (sandbox) và mẫu request/response chưa được hướng dẫn — chúng thuộc giai đoạn sau. Thông tin công bố chính thức theo Điều 9 nằm ở cổng bên thứ ba.

Nhóm API và điều kiện pháp nhân

Thông tư 64 chia API thành bốn nhóm: INF (tỷ giá, lãi suất), AIS (thông tin tài khoản khách hàng), PIS (khởi tạo thanh toán), EWLTS (ví điện tử). Hai nhóm PIS và EWLTS chỉ cấp cho ngân hàng và tổ chức cung ứng dịch vụ trung gian thanh toán — khoản 3 Điều 5. Tổ chức không thuộc diện đó sẽ không đăng ký được sản phẩm chứa API hai nhóm này.