API bankowości otwartej
Bankowość otwarta: dane o rachunkach i płatności przez API banków
Informacje o rachunkach i inicjowanie płatności przez regulowane API banków i agregatorów, z obsługą zgód i tokenów.
Blueprint
Prosimy przewinąć w bok, aby zobaczyć cały rysunek.
Open banking: dane i płatności za zgodą klienta
Klient udziela zgody, konektor przechowuje tokeny, a każde wywołanie banku jest autoryzowane i rejestrowane. Gdy zgoda wygaśnie lub zostanie wycofana, aplikacja prosi klienta o nową, zamiast po cichu zawieść.
- Ścieżka główna
- Asynchroniczny
- Ścieżka wyjątku
Przepływ w 7 krokach
Przepływ krok po kroku
- Od Klient do Państwa aplikacja lub platforma: Udziela zgody (ścieżka główna).
- Od Państwa aplikacja lub platforma do Konektor bankowości otwartej: Żądania dotyczące rachunku i płatności przez REST/JSON (ścieżka główna).
- Od Konektor bankowości otwartej do API banków lub agregator: Autoryzowane wywołania API przez OAuth 2.0 · FAPI · REST (ścieżka główna).
- Od API banków lub agregator do Konektor bankowości otwartej: Salda, transakcje i status płatności przez REST/JSON · webhook (asynchroniczny).
- Od Konektor bankowości otwartej do ERP lub księga: Znormalizowane transakcje przez REST/JSON (ścieżka główna).
- Od API banków lub agregator do Konektor bankowości otwartej: Zgoda wygasła lub została wycofana przez HTTP 401 · 403 (ścieżka wyjątku).
- Od Konektor bankowości otwartej do Państwa aplikacja lub platforma: Klient poproszony o odnowienie zgody (ścieżka wyjątku).
Przegląd
Bankowość otwarta pozwala aplikacji czytać rachunki klienta i inicjować płatności przez regulowane API banków, za zgodą klienta. Napędza agregację rachunków, ocenę zdolności kredytowej, płatności pay-by-bank przy kasie oraz widoki skarbowe obejmujące wiele banków.
Wzorzec referencyjny umieszcza konektor bankowości otwartej między Państwa aplikacją a bankami, bezpośrednio lub przez licencjonowanego agregatora. Konektor prowadzi proces zgody, bezpiecznie przechowuje tokeny, wywołuje API banków według standardów takich jak Berlin Group NextGenPSD2 lub UK Open Banking Standard i zamienia dane każdego banku w jeden spójny model.
Zgoda nie jest wieczna i projekt to uwzględnia. Gdy zgoda wygasa lub zostaje wycofana, klient jest proszony o jej odnowienie, zamiast cichej utraty danych przez aplikację. Każde wywołanie jest autoryzowane, rejestrowane i powiązane ze zgodą, która je umożliwiła.
Jak działa przepływ
Klient wyraża zgodę
Klient wybiera swój bank, widzi, co i na jak długo jest udostępniane, i uwierzytelnia się w banku, który przekierowuje z powrotem do Państwa aplikacji.
Aplikacja wysyła żądanie
Państwa aplikacja żąda sald, transakcji lub płatności przez API konektora, nigdy bezpośrednio przez bank.
Konektor wywołuje bank
Konektor używa przechowywanych tokenów do autoryzowanych wywołań API banku lub agregatora, zgodnie z profilem bezpieczeństwa wymaganym przez bank.
Dane i status wracają
Salda, transakcje i status płatności wracają jako odpowiedzi lub webhooki, a konektor normalizuje je do jednego modelu między bankami.
Wykorzystanie danych
Znormalizowane transakcje zasilają Państwa produkt, modele ryzyka lub ERP w zakresie pozycji gotówkowej i uzgadniania.
Gdy coś zawodzi
Zgoda wygasa lub zostaje wycofana
Bank odrzuca wywołanie. Konektor oznacza zgodę jako nieważną, a Państwa aplikacja prosi klienta o jej odnowienie i wyjaśnia dlaczego.
Płatność zostaje odrzucona
Status i przyczyna banku wracają przez API lub webhook, a klient i Państwa zespół operacyjny od razu widzą wynik.
Bank ogranicza dostęp
Banki ograniczają, jak często można pobierać dane bez obecności klienta. Konektor planuje odświeżanie w tych limitach i wycofuje się, gdy bank to sygnalizuje.
API banku jest niedostępne
Wywołania są ponawiane z rosnącymi opóźnieniami, ostatnie dobre dane są pokazywane wraz z wiekiem, a jeśli awaria trwa, podnoszony jest alert.
Standardy i systemy
- Standardy i kanały bankowe
- PSD2
- Berlin Group NextGenPSD2
- UK Open Banking Standard
- FAPI
- Integracja
- REST
- Webhooks
- Tożsamość i dostęp
- OAuth 2.0
- OpenID Connect
Pytania i odpowiedzi
Czy łączyć się z bankami bezpośrednio, czy przez agregatora?
Agregator daje wiele banków przez jedno API i obsługuje różnice między nimi, przy koszcie za wywołanie lub połączenie. Połączenia bezpośrednie dają większą kontrolę i mogą pasować do niewielkiej liczby ważnych banków. Wiele produktów zaczyna od agregatora i później dodaje połączenia bezpośrednie. Porównujemy opcje względem banków i krajów, których Państwo potrzebują.
Czy potrzebna jest licencja, aby korzystać z bankowości otwartej?
Informacje o rachunkach i inicjowanie płatności to w wielu krajach działalność regulowana. Albo Państwa firma posiada zezwolenie, albo korzysta z licencjonowanego dostawcy, który je ma. Odpowiednia droga zależy od Państwa kraju i przypadku użycia, a potwierdzić ją powinni Państwa doradcy prawni i compliance. Budujemy integrację dla wybranej drogi.
Jak obsługiwana jest zgoda klienta?
Klient widzi, jakie dane są udostępniane, w jakim celu i na jak długo, i uwierzytelnia się w swoim banku. Konektor przechowuje zgodę i jej tokeny w postaci zaszyfrowanej, a każde wywołanie jest powiązane z ważną zgodą. Klienci mogą wycofać zgodę, a konektor zaprzestaje wywołań tego banku w ich imieniu.
Które banki i kraje są objęte?
Zasięg zależy od przepisów regionu i API banków. Unia Europejska i Zjednoczone Królestwo mają szeroki zasięg w ramach PSD2 i UK Open Banking Standard. W innych miejscach zasięg jest różny, a agregatorzy wypełniają część luk. Sprawdzamy zasięg dla banków używanych przez Państwa klientów, zanim zdecydują się Państwo na projekt.
Czy bankowość otwarta zastępuje połączenia bankowe host-to-host?
Nie w większości pracy skarbu korporacyjnego. Kanały host-to-host obsługują wsadowe pliki płatności i pełne wyciągi dla Państwa rachunków. Bankowość otwarta pasuje do produktów dla klientów, sald w czasie rzeczywistym i pojedynczych płatności. Wiele firm używa obu: host-to-host do własnych serii płatności, a bankowości otwartej dla swoich klientów.
Jak chronione są dane bankowości otwartej?
Tokeny i zapisy zgód są szyfrowane w spoczynku, tylko konektor może z nich korzystać, a każde wywołanie jest rejestrowane wraz z leżącą u podstaw zgodą. Zbieramy tylko dane potrzebne do celu i ustalamy, jak długo są przechowywane. Do tych danych mają zastosowanie przepisy o ochronie danych, takie jak RODO, a projektujemy z Państwa inspektorem ochrony danych.
Najpierw rozmowa, nie umowa.
Prosimy opowiedzieć, co trzeba zbudować, połączyć lub zabezpieczyć. Architekt przechodzi przez to z Państwem, a następnie rekomenduje, od czego zacząć.
Co dalej
Ustalenie terminu
Nasz zespół pisze do Państwa, aby ustalić termin sesji.
Sesja przeddoradcza
To bezpłatna 30-minutowa konsultacja wstępna online: omawiamy Państwa cele, systemy i ograniczenia.
Ocena gotowości
To bezpłatna 48-godzinna ocena gotowości: główny architekt sprawdza projekt pod kątem 6-punktowej definicji gotowości i rekomenduje dopasowaną ścieżkę.
Wybór ścieżki
Projekty gotowe zakresowo otrzymują wiążącą ofertę w ciągu 3–5 dni roboczych. Projekty na etapie koncepcji zaczynają się w Blueprint Studio. Działający system, który zawodzi, nie ma dokumentacji lub wymaga integracji, zaczyna się od diagnostyki: 1–2 tygodnie. Blueprint Studio i diagnostyka mają stałą opłatę podaną w ofercie.