Was es bedeutet

Ihr Request wurde nicht authentifiziert. Das kann am Gateway (mTLS-Zertifikat abgelehnt, falsche X-Customer-ID, Fingerprint-Mismatch) oder am Upstream-VOP-Provider (PreVOPs eigene Credentials beim Provider haben versagt) passieren. Prüfen Sie X-Rejected-By-Provider, um die Ursache zu unterscheiden.

Wann Sie diesen Fehler sehen

• Ihr Client-Zertifikat ist nicht im alseda-Truststore der aktuellen Umgebung.
• Sie haben gar kein Client-Zertifikat gesendet (TLS-Handshake enthielt keines).
• Ihre X-Customer-ID passt nicht zu einem konfigurierten Kunden.
• Ihr Zertifikats-Fingerprint passt nicht zu dem, den alseda für Ihren Kundendatensatz gespeichert hat (typisch nach einer Zertifikats-Rotation ohne Synchronisation mit alseda).
• Die Upstream-Authentifizierung von PreVOP beim VOP-Provider ist fehlgeschlagen — Ihr Request war gültig, aber PreVOP konnte den Provider in Ihrem Namen nicht erreichen.

Beispiel-Antwort

HTTP/1.1 401 Unauthorized
Content-Type: application/problem+json
X-Request-ID: 550e8400-e29b-41d4-a716-446655440000
X-Rejected-By-Provider: false

{
  "type":    "https://errors.prod.prevop.alseda.eu/errors/client-invalid",
  "code":    "CLIENT_INVALID",
  "title":   "Customer not recognized",
  "status":  401,
  "detail":  "X-Customer-ID does not match any active customer"
}

So beheben Sie das Problem

1. Prüfen Sie X-Rejected-By-Provider. Bei false hat das Gateway Sie abgelehnt; bei true der Upstream-Provider — die Provider-seitige Auth liegt bei alseda, also kontaktieren Sie uns.
2. Stellen Sie sicher, dass Ihr Client-Zertifikat korrekt in Ihrem HTTP-Client installiert ist und der TLS-Handshake mit requestCert: true abgeschlossen wird.
3. Prüfen Sie, dass Ihr X-Customer-ID-Wert die zehnstellige Kennung ist, die alseda Ihnen zugewiesen hat.
4. Haben Sie Ihr Zertifikat kürzlich rotiert, laden Sie das neue Zertifikat im alseda-Kundenportal hoch ODER senden Sie das neue PEM an Ihren alseda-Ansprechpartner, damit der Fingerprint aktualisiert wird.
5. Senden Sie nach jeder Zertifikatsänderung erneut mit einer neuen X-Request-ID.

Verwandte Themen

• Customer API Contract §2 — mTLS- und X-Customer-ID-Anforderungen
• Siehe auch: CLIENT_INCONSISTENT — Credentials authentifiziert, passen aber nicht zum Payload.