Qu’est-ce qu’une API open banking?

Une API open banking est une interface logicielle définie par laquelle un tiers autorisé peut demander des informations de compte ou initier un paiement avec le consentement du client. Elle expose des opérations précises sans donner d’accès direct au prestataire aux systèmes internes bancaires. Authentification, autorisation, formats de données, erreurs et niveaux de service font partie de l’interface.

Le client commence dans une application tierce, puis est redirigé vers la banque pour s’authentifier. La banque enregistre son consentement et renvoie un jeton temporaire de portée limitée. Le prestataire appelle ensuite les points d’accès aux comptes ou paiements. Les avantages d’une API open banking dépendent d’une authentification forte et de profils de sécurité financière. La banque peut révoquer l’accès à l’expiration du consentement ou lors d’un changement d’autorisation.

Les services d’information sur les comptes regroupent des comptes pour le budget, la trésorerie ou l’évaluation du crédit. Les services d’initiation de paiement émettent un virement directement depuis le compte. Les banques utilisent aussi des API pour des produits partenaires et la finance intégrée. Les normes réduisent les intégrations ponctuelles, mais implémentations, certificats et gestion des erreurs varient encore en Europe. Les agrégateurs masquent certaines différences et ajoutent une dépendance à un prestataire.

Les principaux risques sont le vol de consentement, les redirections faibles, une portée excessive, l’indisponibilité des interfaces et l’incohérence des données. Une conception sûre conserve les identifiants chez la banque, lie les jetons au prestataire autorisé et journalise chaque accès. Les contrôles antifraude doivent distinguer un appel API valide d’une intention valide du client. La surveillance opérationnelle compare aussi disponibilité et délais de réponse des API aux canaux clients.

La DSP2 a créé dans l’UE les services réglementés d’information sur les comptes et d’initiation de paiement. Les normes techniques réglementaires régissent l’authentification forte et la communication sécurisée. Berlin Group publie une spécification API européenne répandue, tandis que UK Open Banking Standard définit ses propres profils. Le RGPD régit le traitement des données personnelles, dont le consentement n’est pas l’unique base légale possible.

BaFin autorise les services de paiement allemands, la FMA les prestataires autrichiens, tandis que FINMA applique les règles suisses hors DSP2. Les banques établies en Allemagne utilisent couramment les interfaces Berlin Group. Les sociétés de paiement, banques et la Bundesbank à Francfort relient l’open banking aux virements instantanés et à ISO 20022. Une API transmet des instructions et données; le règlement passe toujours par le réseau concerné et des comptes en banque centrale ou commerciale.