Det benyttes WS-security for ende-til-ende meldingssikkerhet. Det opereres med samme sikkerhetskonfigurasjon på portene for rekvirent og utleverer. Konfigurasjonen er satt på portnivå og differensieres ikke på metode nivå.

Det gjøres ingen autentifisering, verken brukernavn/passord, X509 sertifikat autentifikasjon eller SAML autentifikasjon. Autentifikasjon foregår ikke på WS-security laget, men inne i tjenesten ved at det personlige sertifikatet brukt til signering av meldingen som er lagt ved.

Det kreves at meldingene (Message Body) er signert med virksomhetens sertifikat, algoritmene som aksepteres er: DSA-SHA1,RSA-MD5 og RSA-SHA1.  På responsen signeres meldingen med Reseptformidlerens private nøkkel, algoritmen som blir brukt er RSA-SHA1. Denne algoritmen er også den prefererte algoritme for virksomhets signering av inngående meldinger.

Det kreves at meldingene (Message Body) er kryptert med RF sitt offentlige sertifikat, algoritmene som aksepteres er: 3DES, AES-128 og AES-256.  På responsen krypteres meldingen med sertifikatet som er lagt med requesten, algoritmen som blir brukt er 3DES. Denne algoritmen er også den prefererte algoritme for kryptering av inngående meldinger. 

Transportsikkerhet

Det benyttes foreløpig ikke transportsikkerhet på webservice kall. Dvs. at det kjøres med ren http-trafikk og ikke https.

Autentisering rekvirent

Det gjøres ingen autentifisering, verken brukernavn/passord, X509 sertifikat autentifikasjon eller SAML autentifikasjon. Autentifikasjon foregår ikke på WS-security laget, men inne i tjenesten ved at det personlige sertifikatet som er lagt ved brukes til signering av meldingen. Sertifikatet sjekkes mot CA for å avgjøre om det er gyldig og om det evt. er revokert. På bakgrunn av sertifikatets serienummer gjøres det oppslag mot CA for å finne fødselsnummer. 

For autentisering og autorisering av meldinger mellom Reseptformidleren og rekvirent se Autentisering og kontroller for rekvirent

Autentisering utleverer

Det gjøres ingen autentifisering, verken brukernavn/passord, X509 sertifikat autentifikasjon eller SAML autentifikasjon. Autentifikasjon foregår ikke på WS-security laget. 

For autentisering og autorisering av meldinger mellom Reseptformidleren og utleverer se Autorisasjon og kontroller for utleverer