11 minuti di lettura 
Un'API di open banking è un canale digitale sicuro che consente a un fornitore terzo autorizzato di leggere i dati bancari di un cliente o di avviare un pagamento dal suo conto, ma solo previo consenso del cliente. Ecco il concetto in sintesi. La banca detiene il denaro e i dati. Il cliente decide chi può accedervi. L'API è il canale controllato che li collega.
Noi di ConnectPay lavoriamo con questo modello ogni giorno. In qualità di fornitore autorizzato EMI con sede a Vilnius, ci vengono poste sempre le stesse domande da parte di fondatori, sviluppatori e responsabili di prodotto. Cosa viene condiviso esattamente? Chi è responsabile se qualcosa va storto? E cosa si può effettivamente realizzare una volta ottenuto l’accesso?
Questa guida risponde a tali domande in termini semplici. Spieghiamo cos’è un’API di open banking, come funziona il flusso di consenso e autenticazione e quali fornitori potresti incontrare. Esaminiamo inoltre i vantaggi commerciali, le differenze tra i pagamenti e l’accesso ai dati, la legalità dell’accesso alle API di open banking nell’UE, nel Regno Unito e negli Stati Uniti, nonché le prospettive di sviluppo del mercato. Se avete bisogno di informazioni complete sull’architettura di sicurezza, ne parliamo in un articolo separato e più tecnico. Questo articolo costituisce la base.
Che cos’è un’API di Open Banking?
Cominciamo dalle nozioni di base su cosa sia un’API nell’open banking. Un’API (interfaccia di programmazione dell’applicazione) è un insieme di regole che permette a due software di comunicare tra loro. Nell’open banking, da un lato c’è la banca titolare del conto. L’altra parte è un fornitore terzo (TPP), come un’app per la gestione del budget, uno strumento di contabilità, un istituto di credito o un servizio di pagamento. L’API dell’open banking definisce quali dati il TPP può richiedere e in che modo la banca deve rispondere.
Non esiste però un'unica API globale per l'open banking. Ogni banca sviluppa il proprio standard e le diverse banche implementano le proprie API utilizzando protocolli, formati di dati e procedure di autenticazione diversi. Nel Regno Unito, la maggior parte delle grandi banche segue lo standard Open Banking. Nell’UE, la PSD2 stabilisce le regole ma non un unico formato tecnico, quindi si trovano lo standard del Berlin Group, lo standard francese STET e numerose varianti specifiche per ciascuna banca. Uno sviluppatore che voglia raggiungere 50 banche potrebbe trovarsi di fronte a 50 integrazioni leggermente diverse tra loro.
Ecco perché esistono piattaforme standardizzate e aggregatori. Da un lato si collegano alle banche e, dall’altro, mettono a disposizione un’unica API coerente. Un buon fornitore si occupa anche degli aspetti che non riguardano il codice: i flussi di autenticazione, la licenza normativa, la documentazione relativa ai consensi e la rendicontazione. Il TPP non deve creare un team dedicato alla conformità prima di lanciare la sua prima funzionalità.
È inoltre utile distinguere l’open banking da un modello affine. L’open banking consente di accedere a conti detenuti presso altre banche. Il Banking-as-a-Service permette invece di offrire conti e servizi di pagamento con il proprio marchio, utilizzando l’infrastruttura di un partner autorizzato. Analizziamo questa differenza nel nostro confronto tra Open banking vs Banking-as-a-Service.
Come funzionano le API dell’Open Banking?
Il modo più semplice per capire come funziona un'API di open banking è seguire il percorso di una connessione dall'inizio alla fine.
Supponiamo che un piccolo negozio online inizi a utilizzare un’app di contabilità che importa automaticamente le transazioni del conto aziendale. Il titolare clicca su “Collega banca” nell’app. L’app, in qualità di fornitore terzo, invia una richiesta tramite l’API di open banking specificando ciò che desidera: ad esempio, i saldi e le transazioni degli ultimi 90 giorni. Il titolare viene quindi reindirizzato alla pagina di accesso o all’app mobile della propria banca. Non digita mai la propria password bancaria nello strumento di contabilità.
È qui che entra in gioco OAuth 2.0. OAuth 2.0 è uno standard di autorizzazione che consente alla banca di verificare l’identità dell’utente e ciò che ha acconsentito, per poi rilasciare all’app un token di accesso. Immaginate il token come la chiave magnetica di un hotel: apre solo le porte che l’utente ha autorizzato e solo per un periodo di tempo limitato. Con quel token, l’app chiama l’API di open banking per recuperare i saldi dei conti e la cronologia delle transazioni. In nessun momento viene scambiata alcuna password.
Il consenso è al centro dell’intero modello. L’utente sceglie cosa condividere e con chi. Può inoltre revocare tale accesso in qualsiasi momento tramite la propria banca e, una volta fatto ciò, il token smette di funzionare. Nell’UE, l’accesso al conto deve inoltre essere riconfermato periodicamente, quindi un’autorizzazione concessa una volta non è valida per sempre per impostazione predefinita.
Alla base di tutto ciò vi è una serie di rigorosi standard di sicurezza che le autorità di regolamentazione impongono alle banche e ai fornitori di rispettare. Ne parliamo nel nostro articolo dedicato alla sicurezza. Per la maggior parte delle decisioni relative ai prodotti, i punti chiave sono più semplici: l’utente si autentica presso la propria banca, l’app ottiene un accesso limitato e l’utente mantiene il controllo.
Se stai valutando come un'integrazione come questa si adatti al tuo stack, la nostra panoramica su API di ConnectPay mostra come strutturiamo gli endpoint relativi agli account e ai pagamenti.
Sei pronto a potenziare la tua infrastruttura di pagamento?
Smettila di fare i conti con flussi di pagamento frammentati. Accedi a IBAN dedicati, SEPA Instant e integrazioni API senza soluzione di continuità, il tutto da un’unica piattaforma unificata.
Esempi di API per l'Open Banking
Probabilmente hai già utilizzato un'API di open banking senza nemmeno accorgertene. Quando un'app di prestiti ti chiede di verificare il tuo reddito collegando il tuo conto bancario, oppure un'app finanziaria mostra i saldi di tre conti bancari su un'unica schermata, di solito è un aggregatore a svolgere il lavoro dietro le quinte. Ecco tre esempi di API di open banking che vale la pena conoscere.
"Plaid" è il nome con cui la maggior parte degli sviluppatori statunitensi entra in contatto per la prima volta.
È collegato a oltre 12.000 istituti finanziari e la sua rete ha collegato più di 500 milioni di conti dei consumatori negli Stati Uniti, in Canada, nel Regno Unito e in Europa. App come Venmo e Robinhood lo utilizzano per consentire ai clienti di collegare un conto bancario con pochi tocchi. Per un prodotto destinato al mercato statunitense, Plaid è spesso il punto di partenza proprio grazie a questa copertura.
Tink svolge un ruolo simile in Europa.
Visa l'ha acquisita nel 2022 e offre alle aziende l'accesso a migliaia di banche europee tramite un'unica integrazione. I team la utilizzano per la verifica dei conti, l'avvio dei pagamenti e i dati relativi alle transazioni nei mercati dell'UE, dove i formati delle API bancarie variano da paese a paese.
ConnectPay occupa una posizione diversa. Non siamo principalmente un aggregatore di dati. Offriamo alle aziende un accesso basato su API a conti, IBAN e pagamenti in Europa, in modo che possano sviluppare funzionalità finanziarie basate sull’open banking e sui canali SEPA con il supporto di un fornitore autorizzato. Un caso tipico è quello di un marketplace che deve raccogliere i fondi dagli acquirenti, custodirli e pagarli ai venditori.
La scelta giusta dipende dalla tua posizione geografica e dalle tue esigenze in termini di dati, pagamenti o contabilità. La nostra guida a soluzioni di open banking mette a confronto le principali opzioni in modo più dettagliato.
Vantaggi delle API dell'Open Banking
I vantaggi dell’accesso alle API dell’open banking si manifestano in tre ambiti: costi, velocità e qualità del prodotto. Ecco come si concretizzano nella realtà aziendale.
- Transazioni più veloci, più economiche e più sicure. Un pagamento avviato tramite un'API di open banking viene trasferito direttamente da un conto corrente all'altro. Non vi è alcuna rete di carte di credito che intervenga come intermediario trattenendo una percentuale e, con SEPA Instant, i fondi possono arrivare in pochi secondi. Anche la sicurezza risulta migliorata, poiché il cliente effettua l'autenticazione tramite la propria banca invece di digitare i numeri della carta in un modulo di pagamento.
- Prodotti finanziari più personalizzati. Grazie all’accesso autorizzato ai dati reali delle transazioni, un istituto di credito può valutare il flusso di cassa effettivo invece di basarsi esclusivamente sul punteggio di credito. Questo è importante per i liberi professionisti e le giovani imprese con una storia creditizia limitata. Un’app di risparmio può suggerire un obiettivo mensile basato su quanto l’utente spende realmente, non su una regola generica.
- Una migliore esperienza del cliente. I servizi integrati eliminano le operazioni manuali. Anziché scaricare tre mesi di estratti conto in formato PDF per richiedere un prestito aziendale, il fondatore collega il proprio conto e l’istituto di credito legge direttamente i dati.
- Valutazione dei rischi in tempo reale. Prima di spedire la merce o di autorizzare un pagamento, un'azienda può verificare che l'account esista, appartenga alla persona giusta e disponga di fondi sufficienti. Ciò riduce i pagamenti non andati a buon fine e alcuni tipi di frode.
- Efficienza operativa. Questo è il vantaggio che i team finanziari notano per primo. Le transazioni vengono inserite direttamente nel software di contabilità, i pagamenti in entrata vengono abbinati automaticamente alle fatture e nessuno deve passare il venerdì pomeriggio a riconciliare le voci bancarie in un foglio di calcolo.
Questi vantaggi si moltiplicano quando i dati e i pagamenti viaggiano sulla stessa infrastruttura. Potete vedere come funziona in tutta la nostra pagamenti offerta.
Pagamenti tramite API Open Banking
La maggior parte delle discussioni sull’open banking verte sui dati. Tuttavia, i pagamenti tramite API nell’ambito dell’open banking rappresentano un caso d’uso a sé stante e, per molte aziende, sono proprio quelli ad avere maggior valore.
Ecco la differenza. Con l’accesso ai dati, un’app legge le informazioni da un conto. Con l’avvio del pagamento, un fornitore autorizzato utilizza l’API dell’open banking per impostare un bonifico dal conto del cliente. Il cliente lo approva nella propria app bancaria e il denaro viene trasferito da conto a conto (A2A). Non passa affatto attraverso reti di carte come Visa o Mastercard. Nell’UE, il fornitore che svolge questa attività è denominato fornitore di servizi di avvio di pagamento (PISP).
Immaginate un’azienda di servizi pubblici che riscuote le bollette mensili. Con le carte di credito, deve pagare commissioni di elaborazione su ogni pagamento e deve sollecitare i clienti le cui carte sono scadute. Con i pagamenti A2A, il cliente autorizza un bonifico dal proprio conto corrente e l’azienda riceve l’intero importo, spesso in pochi secondi tramite SEPA Instant. Non ci sono nemmeno storni di addebito sulle carte. Questo ha un doppio effetto: gli esercenti ottengono certezza, mentre la tutela dell’acquirente dipende da come il fornitore e la banca gestiscono le controversie.
Prevediamo che i pagamenti A2A continueranno a crescere come alternativa ai circuiti delle carte, soprattutto al momento del pagamento e per il saldo delle bollette, dove gli importi sono prevedibili e ogni punto percentuale di commissione fa la differenza. Se vendete all’estero, anche la gestione delle valute entra in gioco. Il nostro post su gateway di pagamento multivaluta copre quel lato.
L'accesso alle API dell'Open Banking è legale?
Sì. L'utilizzo di un'API di open banking è legale nell'UE e nel Regno Unito, e non è illegale negli Stati Uniti. Tuttavia, i dettagli variano notevolmente da una regione all'altra.
Nell'UE, l’open banking si basa sulla Direttiva sui servizi di pagamento (PSD2) modificata, in vigore dal gennaio 2018. La PSD2 impone alle banche di concedere a soggetti terzi autorizzati l’accesso ai conti di pagamento previo consenso del cliente. Tali soggetti terzi devono essere autorizzati in qualità di fornitori di servizi di informazione sui conti (AISP), fornitori di servizi di avvio dei pagamenti (PISP) o entrambi, e devono attenersi a rigorose norme di autenticazione forte del cliente.
Il Regno Unito lanciato anch’esso nel gennaio 2018, nell’ambito di un quadro normativo imposto dall’Autorità per la concorrenza e i mercati (CMA) alle nove maggiori banche.
Gli Stati Uniti è meno definita. L’open banking è legale e milioni di persone lo utilizzano ogni giorno. Tuttavia, la norma della Sezione 1033 del CFPB, approvata nel 2024 per garantire ai consumatori il diritto formale di condividere i propri dati finanziari, è stata sospesa da un tribunale federale ed è attualmente oggetto di un riesame approfondito. Per ora, l’open banking negli Stati Uniti si basa più sulle prassi del settore e sugli accordi con gli aggregatori, come Plaid, che su un mandato federale vincolante.
Per qualsiasi azienda, il punto fondamentale è che la conformità è parte integrante del prodotto, non un elemento aggiunto in un secondo momento. Il nostro conformità integrata Questo approccio copre tale aspetto, mentre la nostra soluzione dedicata alla sicurezza delle API di open banking approfondisce i dettagli normativi.
Il futuro delle API dell'Open Banking
L'API dell'open banking sta passando dall'essere un'integrazione specialistica a diventare un'infrastruttura finanziaria standard. Quattro tendenze indicano la direzione che sta prendendo.
- Ambito di applicazione. L’open banking riguarda i conti di pagamento. L’open finance applica lo stesso modello basato sul consenso al risparmio, agli investimenti, alle pensioni e alle assicurazioni. Secondo le previsioni del settore, entro il 2035 questa estensione dell’ambito di applicazione dovrebbe diventare la norma, il che significa che un unico collegamento potrebbe, a termine, fornire un quadro completo della situazione finanziaria di un cliente, non solo del suo conto corrente.
- Dimensioni del mercato. Secondo le stime del settore, il mercato globale dell’open banking dovrebbe raggiungere circa $240 miliardi entro il 2035, anche se le proiezioni variano notevolmente da un istituto di ricerca all’altro; pertanto, è opportuno considerare qualsiasi cifra singola come indicativa.
- Collaborazioni. Da alcuni sondaggi condotti tra le banche emerge che la grande maggioranza di esse intende collaborare con le fintech nel campo dell’open banking, piuttosto che sviluppare internamente ogni singolo servizio. Per le fintech, ciò significa che un numero maggiore di banche le considererà come partner di distribuzione anziché come concorrenti.
- Pagamenti automatici da persona a persona (A2A). Le stesse infrastrutture che gestiscono i bonifici bancari una tantum possono supportare anche quelli ricorrenti, come abbonamenti, trasferimenti automatici da conto di risparmio e pagamenti periodici di bollette che vengono addebitati su un conto corrente con l’autorizzazione permanente del cliente. Ciò si ricollega direttamente al caso d’uso dei pagamenti sopra descritto. Per quanto riguarda l’aspetto operativo della riscossione dei pagamenti periodici, consulta la nostra guida su software per pagamenti ricorrenti.
Trasformare l'accesso alle API dell'Open Banking in prodotti finanziari concreti
Un'API di open banking di per sé non serve a molto. È il livello di collegamento, non il prodotto finale. Il valore deriva da ciò che si costruisce sulla base di tale accesso.
In pratica, potrebbe trattarsi di un processo di onboarding in cui l’account di un nuovo cliente viene verificato in pochi secondi anziché in giorni. Potrebbe essere una procedura di pagamento che accetta pagamenti bancari senza commissioni sulle carte, una decisione di credito basata sul flusso di cassa effettivo o un flusso di lavoro finanziario che si riconcili automaticamente durante la notte. Ognuna di queste operazioni parte dalla stessa connessione autorizzata e porta a risultati molto più utili.
Per raggiungere questo obiettivo sono necessari due elementi. Occorre un accesso affidabile alle API e, a supporto, un livello di conformità che comprenda: licenze, controlli KYC e AML, tutela dei fondi dei clienti e autenticazione forte dei clienti. Molti team sottovalutano la seconda parte fino a quando un partner bancario o un’autorità di regolamentazione non ne fa richiesta.
Per le aziende che sviluppano soluzioni basate sull’open banking in Europa, è qui che entriamo in gioco noi. ConnectPay è un operatore di servizi di pagamento (EMI) autorizzato in Lituania che offre conti, IBAN e pagamenti tramite un’unica API, con la conformità già integrata. Se state progettando un prodotto basato sull’open banking, contattaci su ciò che vuoi realizzare.
