Introduction of Open API Integration for Certificate of Origin (CoO) through Trade Connect e-Platform

Annexure(cid:9)–(cid:9)I Help(cid:9)Manual(cid:9)for(cid:9)accessing(cid:9)API(cid:9)facility(cid:9)on(cid:9)Trade(cid:9)Connect(cid:9)ePlatform

1.(cid:9)Introduction The(cid:7)Certificate(cid:7)of(cid:7)Origin(cid:7)(CoO)(cid:7)Open(cid:7)API(cid:7)framework(cid:7)enables(cid:7)secure(cid:7)integration between(cid:7)user(cid:7)systems(cid:7)and(cid:7)the(cid:7)CoO(cid:7)Trade(cid:7)Connect(cid:7)ePlatform(cid:7)for(cid:7)the(cid:7)submission, processing,(cid:7)issuance,(cid:7)and(cid:7)verification(cid:7)of(cid:7)Certificates(cid:7)of(cid:7)Origin.(cid:7)The(cid:7)objective(cid:7)is(cid:7)to establish(cid:7) a(cid:7) standardized(cid:7) digital(cid:7) ecosystem(cid:7) that(cid:7) reduces(cid:7) manual(cid:7) intervention, eliminates(cid:7)duplicate(cid:7)data(cid:7)entry,(cid:7)improves(cid:7)data(cid:7)accuracy,(cid:7)and(cid:7)facilitates(cid:7)seamless information(cid:7) exchange(cid:7) among(cid:7) exporters,(cid:7) certifying(cid:7) agencies,(cid:7) and(cid:7) regulatory authorities.

The(cid:7)platform(cid:7)supports:

1.1.(cid:1)(cid:1)Preferential(cid:9)Certificate(cid:9)of(cid:9)Origin Issued(cid:7)under(cid:7)Free(cid:7)Trade(cid:7)Agreements(cid:7)(FTAs),(cid:7)Regional(cid:7)Trade(cid:7)Agreements(cid:7)(RTAs), and(cid:7) Preferential(cid:7) Trade(cid:7) Agreements(cid:7) (PTAs),(cid:7) enabling(cid:7) exporters(cid:7) to(cid:7) obtain(cid:7) tariff concessions(cid:7)in(cid:7)importing(cid:7)countries.

1.2.(cid:1)(cid:1)Non-Preferential(cid:9)Certificate(cid:9)of(cid:9)Origin Issued(cid:7) for(cid:7) compliance,(cid:7) customs(cid:7) clearance,(cid:7) trade(cid:7) remedy(cid:7) implementation,(cid:7) and other(cid:7)trade-related(cid:7)purposes(cid:7)without(cid:7)providing(cid:7)any(cid:7)preferential(cid:7)tariff(cid:7)benefits.

2.(cid:1)(cid:1)API(cid:9)Process(cid:9)Flow

2.1.(cid:1)(cid:1)Prerequisites Before(cid:7)proceeding(cid:7)with(cid:7)API(cid:7)integration,(cid:7)agencies(cid:7)are(cid:7)required(cid:7)to:

Obtain(cid:7)onboarding(cid:7)credentials(cid:7)from(cid:7)the(cid:7)API(cid:7)Management(cid:7)section(cid:7)of(cid:7)the(cid:7)CoO Portal.

Add(cid:7) the(cid:7) relevant(cid:7) public(cid:7) IP(cid:7) address(es)(cid:7) to(cid:7) the(cid:7) IP(cid:7) Whitelist(cid:7) in(cid:7) the(cid:7) API Management(cid:7)section(cid:7)of(cid:7)the(cid:7)CoO(cid:7)Portal.

Ensure(cid:7)that(cid:7)the(cid:7)user(cid:7)system(cid:7)has(cid:7)a(cid:7)document(cid:7)signer(cid:7)configured(cid:7)for(cid:7)digitally signing(cid:7)the(cid:7)payload(cid:7)before(cid:7)transmission(cid:7)to(cid:7)the(cid:7)CoO(cid:7)system.

2.2.(cid:1)(cid:1)Workflow

1.(cid:7)Obtain(cid:7)API(cid:7)credentials,(cid:7)including(cid:7)User(cid:7)ID,(cid:7)Password,(cid:7)API(cid:7)Key,(cid:7)and(cid:7)Public Key,(cid:7)from(cid:7)the(cid:7)API(cid:7)Management(cid:7)section(cid:7)of(cid:7)the(cid:7)CoO(cid:7)Portal.

2.(cid:7)Encrypt(cid:7)the(cid:7)password(cid:7)using(cid:7)PBKDF2(cid:7)with(cid:7)a(cid:7)dynamic(cid:7)salt.

3.(cid:7)Call(cid:7)the(cid:7)Authentication(cid:7)API(cid:7)to(cid:7)generate(cid:7)an(cid:7)access(cid:7)token.

4.(cid:7)The(cid:7)system(cid:7)validates(cid:7)the(cid:7)credentials(cid:7)and,(cid:7)upon(cid:7)successful(cid:7)validation,(cid:7)returnsan(cid:7)access(cid:7)token.

5.(cid:7)The(cid:7)access(cid:7)token(cid:7)remains(cid:7)valid(cid:7)for(cid:7)60(cid:7)minutes.

6.(cid:7)Submit(cid:7)CoO(cid:7)applications(cid:7)using(cid:7)the(cid:7)CoO(cid:7)File(cid:7)API.

7.(cid:7)Issued(cid:7)certificates(cid:7)can(cid:7)be(cid:7)validated(cid:7)using(cid:7)the(cid:7)Certificate(cid:7)Verification(cid:7)API.

2.3.(cid:1)(cid:1)Process(cid:9)Workflow

1.(cid:7)The(cid:7)user(cid:7)will(cid:7)be(cid:7)provided(cid:7)with(cid:7)the(cid:7)X-API-Key,(cid:7)unique(cid:7)User(cid:7)ID,(cid:7)Password,(cid:7)and CoO(cid:7)Public(cid:7)Key(cid:7)through(cid:7)the(cid:7)API(cid:7)Management(cid:7)section(cid:7)of(cid:7)the(cid:7)CoO(cid:7)Portal.

2.(cid:7)The(cid:7)user(cid:7)shall(cid:7)provide(cid:7)the(cid:7)public(cid:7)IP(cid:7)address(es)(cid:7)from(cid:7)which(cid:7)the(cid:7)API(cid:7)calls(cid:7)will be(cid:7)made.(cid:7)Only(cid:7)API(cid:7)calls(cid:7)originating(cid:7)from(cid:7)the(cid:7)whitelisted(cid:7)public(cid:7)IP(cid:7)addresses will(cid:7)be(cid:7)permitted(cid:7)by(cid:7)the(cid:7)CoO(cid:7)system.

3.(cid:7)The(cid:7) user(cid:7) shall(cid:7) append(cid:7) a(cid:7) 32-byte(cid:7) dynamic(cid:7) salt(cid:7) to(cid:7) the(cid:7) password(cid:7) before hashing(cid:7)it(cid:7)using(cid:7)PBKDF2,(cid:7)with(cid:7)an(cid:7)iteration(cid:7)count(cid:7)of(cid:7)65,536(cid:7)and(cid:7)a(cid:7)key(cid:7)length of(cid:7)256(cid:7)bits.(cid:7)The(cid:7)string(cid:7)representation(cid:7)of(cid:7)the(cid:7)dynamic(cid:7)salt(cid:7)bytes(cid:7)appended(cid:7)to the(cid:7)encrypted(cid:7)hash(cid:7)bytes(cid:7)shall(cid:7)be(cid:7)passed(cid:7)as(cid:7)the(cid:7)password.

4.(cid:7)The(cid:7)user(cid:7)system(cid:7)shall(cid:7)generate(cid:7)an(cid:7)access(cid:7)token(cid:7)by(cid:7)passing(cid:7)the(cid:7)X-API-Key, User(cid:7)ID,(cid:7)and(cid:7)PBKDF2(cid:7)dynamic-salted(cid:7)password(cid:7)generated(cid:7)in(cid:7)Step(cid:7)3(cid:7)to(cid:7)the generateAuthToken(cid:7) API.(cid:7) The(cid:7) CoO(cid:7) system(cid:7) shall(cid:7) validate(cid:7) the(cid:7) User(cid:7) ID, password,(cid:7) and(cid:7) IP(cid:7) address.(cid:7) Upon(cid:7) successful(cid:7) validation,(cid:7) the(cid:7) system(cid:7) shall return(cid:7)the(cid:7)access(cid:7)token.

5.(cid:7)The(cid:7)access(cid:7)token(cid:7)generated(cid:7)in(cid:7)Step(cid:7)4(cid:7)shall(cid:7)remain(cid:7)valid(cid:7)for(cid:7)60(cid:7)minutes.(cid:7)The user(cid:7)may(cid:7)cache(cid:7)and(cid:7)reuse(cid:7)the(cid:7)token(cid:7)during(cid:7)its(cid:7)validity(cid:7)period.

6.(cid:7)CoO(cid:7)File(cid:7)API:(cid:7)The(cid:7)user(cid:7)shall(cid:7)submit(cid:7)the(cid:7)data(cid:7)in(cid:7)the(cid:7)prescribed(cid:7)standard format(cid:7)and,(cid:7)in(cid:7)response,(cid:7)receive(cid:7)the(cid:7)certificate(cid:7)and(cid:7)associated(cid:7)data.

7.(cid:7)CoO(cid:7) Verify(cid:7) API:(cid:7) The(cid:7) API(cid:7) shall(cid:7) be(cid:7) used(cid:7) to(cid:7) verify(cid:7) the(cid:7) authenticity(cid:7) of(cid:7) a Certificate(cid:7)of(cid:7)Origin(cid:7)issued(cid:7)through(cid:7)the(cid:7)CoO(cid:7)system.

3.(cid:1)(cid:1)API(cid:9)Credentials(cid:9)&(cid:9)Ledger(cid:9)Management(cid:9)Guide

3.1.(cid:1)(cid:1)API(cid:9)Credentials Please(cid:7)refer(cid:7)to(cid:7)the(cid:7)API(cid:7)Credentials(cid:7)screen(cid:7)for(cid:7)details(cid:7)regarding(cid:7)API(cid:7)credentials,(cid:7)IP whitelisting,(cid:7)and(cid:7)public(cid:7)certificates.

The(cid:7) user(cid:7) may(cid:7) regenerate(cid:7) the(cid:7) password(cid:7) and(cid:7) secret(cid:7) key(cid:7) using(cid:7) the(cid:7) respective buttons(cid:7)provided(cid:7)on(cid:7)the(cid:7)screen.(cid:7)The(cid:7)password,(cid:7)X-API(cid:7)Key,(cid:7)and(cid:7)secret(cid:7)key(cid:7)can(cid:7)be viewed(cid:7)after(cid:7)successful(cid:7)validation(cid:7)of(cid:7)the(cid:7)OTP(cid:7)received(cid:7)on(cid:7)the(cid:7)registered(cid:7)mobile number(cid:7)and(cid:7)email(cid:7)address.

Call(cid:7)the(cid:7)Auth(cid:7)Token(cid:7)API(cid:7)to(cid:7)obtain(cid:7)an(cid:7)access(cid:7)token.(cid:7)The(cid:7)access(cid:7)token(cid:7)remains(cid:7)valid for(cid:7)60(cid:7)minutes(cid:7)and(cid:7)may(cid:7)be(cid:7)reused(cid:7)during(cid:7)its(cid:7)validity(cid:7)period.3.2.(cid:1)(cid:1)Ledger(cid:9)Management

1.(cid:7)A(cid:7)ledger(cid:7)shall(cid:7)be(cid:7)maintained(cid:7)for(cid:7)each(cid:7)API(cid:7)transaction.(cid:7)The(cid:7)applicable(cid:7)ledger statuses(cid:7)are:

Draft In(cid:7)Process Approved Certificate(cid:7)Issued Rejected

2.(cid:7)Upon(cid:7)successful(cid:7)processing,(cid:7)the(cid:7)CoO(cid:7)system(cid:7)shall(cid:7)return(cid:7)the(cid:7)following(cid:7)details:

Acknowledgement(cid:7)ID File(cid:7)Number File(cid:7)Date Certificate(cid:7)Number Response(cid:7)Code Remarks These(cid:7)details(cid:7)shall(cid:7)be(cid:7)recorded(cid:7)in(cid:7)the(cid:7)exporter's(cid:7)ledger.

3.3.(cid:1)(cid:1)API(cid:9)Help Please(cid:7)refer(cid:7)to(cid:7)the(cid:7)API(cid:7)Help(cid:7)tab(cid:7)under(cid:7)the(cid:7)API(cid:7)Management(cid:7)section(cid:7)for(cid:7)detailed API(cid:7)specification(cid:7)information.

Note:

All(cid:7)requests(cid:7)and(cid:7)responses(cid:7)shall(cid:7)be(cid:7)digitally(cid:7)signed(cid:7)using:

SHA-256(cid:7)RSA(cid:7)Digital(cid:7)Signature 2048-bit(cid:7)X.509(cid:7)Certificates This(cid:7)ensures:

Data(cid:7)integrity Sender(cid:7)authentication Non-repudiation

4.(cid:1)(cid:1)Certificate(cid:9)of(cid:9)Origin(cid:9)Auth(cid:9)Token(cid:9)API Please(cid:7)refer(cid:7)to(cid:7)the(cid:7)API(cid:7)Credentials(cid:7)screen(cid:7)for(cid:7)details(cid:7)regarding(cid:7)API(cid:7)credentials,(cid:7)IP whitelisting,(cid:7)and(cid:7)public(cid:7)certificates.

Call(cid:7)the(cid:7)Authentication(cid:7)Token(cid:7)API(cid:7)to(cid:7)obtain(cid:7)an(cid:7)access(cid:7)token.

The(cid:7)access(cid:7)token(cid:7)remains(cid:7)valid(cid:7)for(cid:7)60(cid:7)minutes(cid:7)and(cid:7)may(cid:7)be(cid:7)reused(cid:7)during(cid:7)its validity(cid:7)period.The(cid:7)request(cid:7)contains(cid:7)the(cid:7)following(cid:7)parameters(cid:7)in(cid:7)JSON(cid:7)format:

User(cid:7)ID Password Header Content-Type:(cid:7)application/json X-API-Key

5.(cid:1)(cid:1)Certificate(cid:9)of(cid:9)Origin(cid:9)File(cid:9)API The(cid:7)CoO(cid:7)File(cid:7)API(cid:7)is(cid:7)the(cid:7)primary(cid:7)transaction(cid:7)API(cid:7)used(cid:7)for(cid:7)application(cid:7)submission.

5.1.(cid:1)(cid:1)Applicant(cid:9)Information The(cid:7)applicant(cid:7)section(cid:7)captures:

IEC(cid:7)Number Firm(cid:7)Name Branch(cid:7)Details GSTIN Address(cid:7)Information State(cid:7)and(cid:7)District Declaration(cid:7)Status Postal(cid:7)Delivery(cid:7)Requirement

5.2.(cid:1)(cid:1)Certificate(cid:9)Information The(cid:7)certificate(cid:7)section(cid:7)includes:

Certificate(cid:7)Type Trade(cid:7)Agreement Request(cid:7)Type Issuing(cid:7)User Regional(cid:7)Office Issuing(cid:7)Office Exhibition(cid:7)Declaration Cumulation(cid:7)Information Producer/Exporter(cid:7)Details

5.3.(cid:1)(cid:1)Importer(cid:9)Information Key(cid:7)details(cid:7)include:

Importer(cid:7)Name Country AddressEmail(cid:7)Information

5.4.(cid:1)(cid:1)Producer(cid:9)Information Where(cid:7)applicable,(cid:7)the(cid:7)following(cid:7)details(cid:7)may(cid:7)be(cid:7)provided:

Producer(cid:7)Name Address Country Producer(cid:7)Identifier Telephone(cid:7)Number Email(cid:7)Address

5.5.(cid:1)(cid:1)Invoice(cid:9)Information The(cid:7)invoice(cid:7)section(cid:7)includes:

Invoice(cid:7)Number Invoice(cid:7)Date Currency Exchange(cid:7)Rates Third(cid:7)Country(cid:7)Invoicing(cid:7)Information

5.6.(cid:1)(cid:1)Export(cid:9)Product(cid:9)Information The(cid:7)export(cid:7)product(cid:7)section(cid:7)captures:

ITC(cid:7)HS(cid:7)Codes Product(cid:7)Description Quantity Unit(cid:7)of(cid:7)Measurement Invoice(cid:7)Value FOB(cid:7)Value Packaging(cid:7)Details Preference(cid:7)Criteria

5.7.(cid:1)(cid:1)Shipment(cid:9)Information The(cid:7)shipment(cid:7)section(cid:7)includes:

Mode(cid:7)of(cid:7)Transport Shipment(cid:7)Documents Port(cid:7)of(cid:7)Shipment Port(cid:7)of(cid:7)Discharge Route(cid:7)InformationVessel(cid:7)Details Departure(cid:7)Date Exporter(cid:7)Remarks

5.8.(cid:1)(cid:1)Supporting(cid:9)Documents The(cid:7)supporting(cid:7)document(cid:7)section(cid:7)stores:

Attachment(cid:7)Type Upload(cid:7)URL Remarks Attestation(cid:7)Requirements

5.9.(cid:1)(cid:1)Declaration(cid:9)Information Mandatory(cid:7)declaration(cid:7)information(cid:7)includes:

Place Date Applicant(cid:7)Name Designation Contact(cid:7)Information Compliance(cid:7)Declaration(cid:7)Acceptance

Note:

Trade(cid:9)Agreements(cid:9)Supported The(cid:7)framework(cid:7)supports(cid:7)the(cid:7)following(cid:7)trade(cid:7)agreements(cid:7)and(cid:7)certification(cid:7)schemes.

Key(cid:9)Agreements:

India-Japan(cid:7)CEPA(cid:7)(IJCEPA) India-Korea(cid:7)CEPA(cid:7)(IKCEPA) SAFTA SAPTA ASEAN-India(cid:7)FTA India-Singapore(cid:7)CECA India-Malaysia(cid:7)CECA India-Chile(cid:7)PTA India-Mercosur(cid:7)PTA India-UAE(cid:7)CEPA India-Australia(cid:7)ECTA India-Oman(cid:7)CEPA India-EFTA(cid:7)TEPAIndia-UK(cid:7)CETA Generalized(cid:7)System(cid:7)of(cid:7)Preferences(cid:7)(GSP) Non-Preferential(cid:7)CoO(cid:7)Scheme Dynamic(cid:9)Validation Each(cid:7)agreement(cid:7)contains(cid:7)specific:

Mandatory(cid:7)fields Optional(cid:7)fields Business(cid:7)validations Product(cid:7)origin(cid:7)criteria Shipment(cid:7)requirements Producer(cid:7)and(cid:7)exporter(cid:7)declarations The(cid:7)API(cid:7)dynamically(cid:7)validates(cid:7)applications(cid:7)according(cid:7)to(cid:7)the(cid:7)selected(cid:7)agreement.

6.(cid:1)(cid:1)Certificate(cid:9)Verification(cid:9)API Verification(cid:7)can(cid:7)be(cid:7)performed(cid:7)using:

File(cid:7)Number File(cid:7)Date Certificate(cid:7)Number Certificate(cid:7)Date The(cid:7)CoO(cid:7)system(cid:7)returns:

Validity(cid:7)Status Certificate(cid:7)PDF(cid:7)URL Verification(cid:7)Remarks