Det benyttes WS-security for ende-til-ende meldingssikkerhet. Det opereres med samme sikkerhetskonfigurasjon på portene for rekvirent og utleverer. Konfigurasjonen er satt på portnivå og differensieres ikke på metode nivå.

Det gjøres ingen autentifisering, verken brukernavn/passord, X509 sertifikat autentifikasjon eller SAML autentifikasjon. Autentifikasjon foregår ikke på WS-security laget, men inne i tjenesten ved at det personlige sertifikatet brukt til signering av meldingen som er lagt ved.

Det kreves at meldingene (Message Body) er signert med virksomhetens sertifikat, algoritmene som aksepteres er: RSA-SHA256.  På responsen signeres meldingen med Reseptformidlerens private nøkkel, algoritmen som blir brukt er RSA-SHA256. Denne algoritmen er også den prefererte algoritme for virksomhets signering av inngående meldinger.

Det kreves at meldingene (Message Body) er kryptert med RF sitt offentlige sertifikat, algoritmene som aksepteres er: AES-256.  På responsen krypteres meldingen med sertifikatet som er lagt med requesten, algoritmen som blir brukt er AES-256. Denne algoritmen er også den prefererte algoritme for kryptering av inngående meldinger. 

Transportsikkerhet

Det benyttes foreløpig ikke transportsikkerhet på webservice kall. Dvs. at det kjøres med ren http-trafikk og ikke https.

Autentisering rekvirent

Det gjøres ingen autentifisering, verken brukernavn/passord, X509 sertifikat autentifikasjon eller SAML autentifikasjon. Autentifikasjon foregår ikke på WS-security laget, men inne i tjenesten ved at det personlige sertifikatet som er lagt ved brukes til signering av meldingen. Sertifikatet sjekkes mot CA for å avgjøre om det er gyldig og om det evt. er revokert. På bakgrunn av sertifikatets serienummer gjøres det oppslag mot CA for å finne fødselsnummer. 

For autentisering og autorisering av meldinger mellom Reseptformidleren og rekvirent se Autentisering og kontroller for rekvirent

Autentisering utleverer

Det gjøres ingen autentifisering, verken brukernavn/passord, X509 sertifikat autentifikasjon eller SAML autentifikasjon. Autentifikasjon foregår ikke på WS-security laget. 

For autentisering og autorisering av meldinger mellom Reseptformidleren og utleverer se Autorisasjon og kontroller for utleverer