trustable: false - Request failed with status code 404

[smellems]

La validation ne fonctionne pas et retourne 404.
Est-ce que https://covid19.quebec.ca/PreuveVaccinaleApi/issuer/.well-known/jwks.json devrait exister?

Pour reproduire:

1. docker run -v $(pwd):/usr/node/app -w /usr/node/app -it --rm node shc.js 'vaccin-qr.png'
2. Le JSON avec le contenu du code QR est extrait et sauvegardé dans out.
3. Mais l'erreur est afficher au terminal et "trustable": false

Error: Request failed with status code 404
at createError (/usr/node/app/node_modules/axios/lib/core/createError.js:16:15)
at settle (/usr/node/app/node_modules/axios/lib/core/settle.js:17:12)
at IncomingMessage.handleStreamEnd (/usr/node/app/node_modules/axios/lib/adapters/http.js:260:11)
at IncomingMessage.emit (node:events:377:35)
at endReadableNT (node:internal/streams/readable:1312:12)
at processTicksAndRejections (node:internal/process/task_queues:83:21) {
config: {
url: 'https://covid19.quebec.ca/PreuveVaccinaleApi/issuer/.well-known/jwks.json',
method: 'get',
headers: {
Accept: 'application/json, text/plain, /',
'User-Agent': 'axios/0.21.1'
},
transformRequest: [ [Function: transformRequest] ],
transformResponse: [ [Function: transformResponse] ],
timeout: 0,
adapter: [Function: httpAdapter],
xsrfCookieName: 'XSRF-TOKEN',
xsrfHeaderName: 'X-XSRF-TOKEN',
maxContentLength: -1,
maxBodyLength: -1,
validateStatus: [Function: validateStatus],
data: undefined
...

[obrassard]

Salut @smellems, en effet le gouvernement du Québec ne semble pas avoir publié les clés publiques qui permettent la validation de l'authenticité des informations contenus dans le payload du code QR alors pour le moment c'est "normal" que le serveur retourne "trustable": false. D'après la norme Smart Health Cards les clés publiques sont généralement publiés sous l'url {issuer}/.well-known/jwks.json (avec le issuer correspondant au champs iss dans le payload), mais j'imagine qu'ils ne les ont pas publié pour éviter que n'importe qui se mette à valider des codes QR.

[obrassard]

Donc en gros, soit ils ne l'ont pas (encore ?) publié, soit ils l'ont publié à une autre adresse qu'on ne connait pas..