Capital Oneが開発者プラットフォームをローンチ

Capital Oneは先月，DevExchange Beta開発サイトとAPIの初期版をローンチした。

新たな３つのAPI(いずれもベータ版)では”バンキング”を越えて，Capital Oneの口座を持つ顧客のエクスペリエンスに関するさまざまなコンポーネントに注目している。

ラインアップの中で現在注目されているのが，Capital OneのiOSアプリに組み込まれて(Android対応は計画中)２段階認証(two-factor authentication)を行なうSwiftIDである。このAPIでは，Capital Oneモバイルアプリを利用するユーザに対する，よりスムースでセキュアなサインインパスの提供が重視されている。

一般的に２段階認証は，ログインプロセス内でさらにユーザIDを確認するために使用されるものだが，その他のユースケースとしてCapital Oneでは，商品の購入や請求書，見積の承諾，コンテント購入の承認などをあげている。

APIは２つの要求/応答パターンで構成される。

1. 開発者がCapital Onモバイルアプリのユーザに提供するSwiftID“タスク”を送信する。
2. ユーザが要求に応答すると，SwiftIDが開発者のWebhookエンドポイントに通知する。

SwiftIDタスクはシンプルなJSONドキュメントで，/identity/enhanced-authentication/tasksへのPOSTコマンドを通じて送信される。

{
  "message": {
    "clientApp": "PixRMine",
    "action":"share your pictures",
    "requestorName":"with Snoopy"
    }
}

正常な応答には，ユーザが要求を承認ないし拒否した時に送信される，Webhookコールバック応答とのマッチングを行なうためのtaskReferenceIdが含まれている。

モバイルアプリケーションのユーザには，上記JSONドキュメントから取得した値が，以下のテキストテンプレートを通じて表示される。

{clientApp} is requesting approval to {action} {requestorName}. Do you approve?

ユーザが応答すると，同様の小さなJSONドキュメントが，登録されたWebhookコールバックエンドポイントに送信される。JSONドキュメントにはtaskReferenceIdと，APPROVEDあるいはREJECTEDのいずれかのtaskStatusが格納されており，受信したアプリケーションはそれに応じた処理を実行する。

SwiftIDは，現在使用可能な３つの中で最も簡単に製品に取り入れることができるAPIだ。“当社の許容するユースケースの基準を満たしていれば，どのサードパーティ開発者でも，営利的利用の承認を得ることができます。”

残る２つのAPIについては，Captial Oneの顧客に関する個人情報にアクセス可能なため，より高度な要件がある。例えばRewards APIでは，Capital Oneカード所有者の口座で利用可能なマイルやポイント，あるいはキャッシュバック金額といった情報にアクセスすることができる。キャッシュバックを”現金”に換えるAPIはサポートされていないが，将来的にリリースされる計画はある。

テストデータとして，いくつかのキャッシュバック関連のアカウントの他，不正行為のシミュレーションを行なうアカウントも用意されている。Rewards APIを使用した開発のベースとして使用する目的で，Apache License 2.0でライセンスされたNodeの参照アプリケーションも提供されている。しかしながら開発者は，このAPIの利用ガイドラインが非常に高い点に留意する必要がある。“製品レベルのアクセスが承認されるか否かは，ケースバイケースです。承認の基準となるのは，当社の標準を満足したユースケースであることです。”Credit Offers APIも同じように，利用がアフェリエイトプログラムのメンバのみに限定されている。“Capital Oneによるアフェリエイトプログラムに，サードパーティのCJアフェリエイトとして参加する必要があります。”

営利利用の要件の高さは，例えば“クエリパラメータ，氏名と住所，社会保障番号(すべてあるいは下４桁)などを送信して，顧客を識別します。”というように，APIを経由して送受されるコンテンツの内容を考慮すれば無理のないところだ。

APIには顧客にCapital Oneクレジットカードを提供するという意図もあるため，現時点でCapital Oneの顧客でなくてはならない，といった制約は存在しない。

返送される情報には，事前資格審査の報告書に加えて，商品購入時のAPR，残高移行条件，年会費などの(潜在的な)購入情報の一覧も含まれている。

３つのAPIはいずれも同一のサンドボックス(https://api-sandbox.capitalone.com)および実運用(https://api.capitalone.com) エンドポイントから利用可能で，OAuth 2.0ベースの承認フローも共有する。リファレンスアプリケーションはCapital OneのGitHubアカウントから入手可能だ。

開発者にとってはHygieia DevOps Dashboardなど，Capital Oneのオープンソース製品にも興味があるところだろう。