jwt_rs256_validation

Los clientes del API KYC se autentican presentando un JWT firmado con RS256. El gateway valida la firma usando la clave pública del emisor (almacenada en Vault), el tiempo de expiración y los claims requeridos. RS256 es asimétrico — el gateway solo necesita la clave pública, nunca la privada.

When to use

Usar en el middleware de FastAPI que protege todos los endpoints /v1/. Rechazar con 401 cualquier request sin token válido antes de iniciar el pipeline KYC.

Instructions

1. Instalar: pip install python-jose[cryptography] cryptography
2. Cargar clave pública desde Vault al arrancar: PUBLIC_KEY = vault.read("secret/kyc/jwt_public_key").
3. Middleware de validación en backend/api/middleware/auth.py:

   from jose import jwt, JWTError
   async def verify_jwt(token: str) -> dict:
       try:
           payload = jwt.decode(token, PUBLIC_KEY, algorithms=["RS256"],
                                options={"verify_exp": True, "verify_aud": True},