API de banca abierta
Banca abierta: datos de cuentas y pagos mediante API bancarias
Información de cuentas e iniciación de pagos mediante API bancarias reguladas y agregadores, con gestión del consentimiento y de los tokens.
Esquema
Desplácese en horizontal para ver el esquema completo.
Banca abierta: datos y pagos con el consentimiento del cliente
El cliente otorga su consentimiento, el conector guarda los tokens y cada llamada al banco queda autorizada y registrada. Cuando el consentimiento caduca o se revoca, la aplicación vuelve a pedirlo al cliente en lugar de fallar en silencio.
- Flujo principal
- Asíncrono
- Ruta de fallo
El flujo, paso a paso
- De Cliente a Su aplicación o plataforma: Otorga el consentimiento (flujo principal).
- De Su aplicación o plataforma a Conector de banca abierta: Solicitudes de cuentas y pagos, mediante REST/JSON (flujo principal).
- De Conector de banca abierta a API bancarias o agregador: Llamadas a la API autorizadas, mediante OAuth 2.0 · FAPI · REST (flujo principal).
- De API bancarias o agregador a Conector de banca abierta: Saldos, movimientos y estado de pagos, mediante REST/JSON · webhook (asíncrono).
- De Conector de banca abierta a ERP o contabilidad: Movimientos normalizados, mediante REST/JSON (flujo principal).
- De API bancarias o agregador a Conector de banca abierta: Consentimiento caducado o revocado, mediante HTTP 401 · 403 (ruta de fallo).
- De Conector de banca abierta a Su aplicación o plataforma: Se pide renovar el consentimiento (ruta de fallo).
Visión general
La banca abierta permite que una aplicación consulte las cuentas de un cliente e inicie pagos mediante API bancarias reguladas, con el consentimiento del cliente. Hace posibles la agregación de cuentas, las evaluaciones de solvencia para préstamos, el pago directo desde la cuenta bancaria en el proceso de pago y las vistas de tesorería de varios bancos.
El diseño de referencia sitúa un conector de banca abierta entre su aplicación y los bancos, de forma directa o a través de un agregador autorizado. El conector gestiona el proceso de consentimiento, custodia los tokens de forma segura, llama a las API bancarias según estándares como Berlin Group NextGenPSD2 o el UK Open Banking Standard, y convierte los datos de cada banco en un único modelo coherente.
El consentimiento no es permanente, y el diseño lo tiene en cuenta. Cuando el consentimiento caduca o se retira, se pide al cliente que lo renueve, en lugar de que la aplicación pierda datos sin avisar. Cada llamada está autorizada, registrada y vinculada al consentimiento que la permitió.
Cómo funciona el flujo
- 01
El cliente otorga su consentimiento
El cliente elige su banco, ve qué se comparte y durante cuánto tiempo, y se autentica en el banco, que lo redirige de vuelta a su aplicación.
- 02
Su aplicación hace la solicitud
Su aplicación solicita saldos, movimientos o un pago a través de la API del conector, nunca directamente al banco.
- 03
El conector llama al banco
El conector usa los tokens almacenados para hacer llamadas autorizadas a la API del banco o al agregador, siguiendo el perfil de seguridad que exige el banco.
- 04
Vuelven los datos y el estado
Los saldos, los movimientos y el estado de los pagos vuelven como respuestas o webhooks, y el conector los normaliza en un único modelo para todos los bancos.
- 05
Usar los datos
Los movimientos normalizados alimentan su producto, sus modelos de riesgo o su ERP para la posición de tesorería y la conciliación.
Cuando algo falla
El consentimiento caduca o se retira
El banco rechaza la llamada. El conector marca el consentimiento como no válido y su aplicación pide al cliente que lo renueve, explicándole el motivo.
Se rechaza un pago
El estado y el motivo del banco vuelven por la API o por un webhook, y el cliente y su equipo de operaciones ven el resultado de inmediato.
Un banco limita el acceso
Los bancos limitan la frecuencia con la que se pueden consultar datos sin que el cliente esté presente. El conector programa las actualizaciones dentro de esos límites y reduce el ritmo cuando un banco lo indica.
Una API bancaria no está disponible
Las llamadas se reintentan con esperas crecientes, los últimos datos válidos se muestran con su antigüedad y se genera una alerta si la interrupción continúa.
Estándares y sistemas
- Estándares y canales bancarios
- PSD2
- Berlin Group NextGenPSD2
- UK Open Banking Standard
- FAPI
- Integración
- REST
- Webhooks
- Identidad y acceso
- OAuth 2.0
- OpenID Connect
Preguntas y respuestas
¿Debemos conectarnos con los bancos directamente o a través de un agregador?
Un agregador le da acceso a muchos bancos a través de una sola API y gestiona las diferencias de cada banco, con un costo por llamada o por conexión. Las conexiones directas ofrecen más control y pueden convenir para un número reducido de bancos importantes. Muchos productos empiezan con un agregador y añaden conexiones directas más adelante. Comparamos las opciones según los bancos y los países que necesita.
Enlace a esta pregunta¿Necesitamos una licencia para usar la banca abierta?
La información de cuentas y la iniciación de pagos son actividades reguladas en muchos países. O bien su empresa tiene la autorización, o bien trabaja a través de un proveedor autorizado que la tiene. Cuál aplica depende de su país y su caso de uso, y deben confirmarlo sus asesores jurídicos y de cumplimiento normativo. Construimos la integración para la vía que usted elija.
Enlace a esta pregunta¿Cómo se gestiona el consentimiento del cliente?
El cliente ve qué datos se comparten, con qué finalidad y durante cuánto tiempo, y se autentica en su propio banco. El conector almacena cifrados el consentimiento y sus tokens, y cada llamada está vinculada a un consentimiento válido. Los clientes pueden retirar su consentimiento y, cuando lo hacen, el conector deja de llamar a ese banco en su nombre.
Enlace a esta pregunta¿Qué bancos y países están cubiertos?
La cobertura depende de las normas de cada región y de las API de los bancos. La Unión Europea y el Reino Unido tienen una cobertura amplia gracias a PSD2 y al UK Open Banking Standard. En otros lugares la cobertura varía, y los agregadores cubren parte de los huecos. Comprobamos la cobertura de los bancos que usan sus clientes antes de que usted se comprometa con un diseño.
Enlace a esta pregunta¿La banca abierta sustituye a las conexiones bancarias host-to-host?
No para la mayor parte del trabajo de tesorería corporativa. Los canales host-to-host gestionan los archivos de pagos masivos y los extractos completos de sus propias cuentas. La banca abierta es adecuada para productos dirigidos a clientes, saldos en tiempo real y pagos individuales. Muchas empresas usan ambos: host-to-host para sus propios lotes de pagos y banca abierta para sus clientes.
Enlace a esta pregunta¿Cómo se protegen los datos de banca abierta?
Los tokens y los registros de consentimiento se cifran en reposo, solo el conector puede usarlos y cada llamada se registra junto con el consentimiento que la respalda. Recogemos solo los datos que la finalidad requiere y fijamos cuánto tiempo se conservan. A estos datos se aplican normas de protección de datos como el RGPD, y diseñamos junto con su delegado de protección de datos.
Enlace a esta preguntaCuéntenos qué necesita desarrollar o conectar.
Describa los sistemas, los plazos y las restricciones. Los ingenieros adecuados se encargan a partir de ahí.
- Nuestro equipo le llamará en un plazo de 24 horas, en la franja horaria que usted prefiera
- Nuestro equipo está disponible 24/7