Sincronización bancaria segura: cómo funciona técnicamente

La sincronización bancaria permite que un software de contabilidad, una aplicación de gestión o una herramienta financiera importen automáticamente las operaciones de una cuenta bancaria. Detrás de esta funcionalidad aparentemente simple se esconde una arquitectura técnica enmarcada por normas europeas y basada en varias capas de seguridad. Comprender su funcionamiento ayuda a elegir soluciones fiables y a proteger mejor los datos financieros.

¿Qué es la sincronización bancaria?

La sincronización bancaria se refiere al proceso mediante el cual un servicio de terceros recupera, de forma regular, los datos de una o varias cuentas: saldo, historial de transacciones, descripciones, fechas de valor. Esta información se pone luego a disposición en una aplicación, por ejemplo, un software de contabilidad que concilia automáticamente los asientos.

Esta automatización reemplaza la entrada manual o la importación de archivos (extractos en formato CSV, OFX o QIF) descargados desde el área de cliente del banco. Reduce el riesgo de errores de transcripción y ahorra tiempo, al mismo tiempo que plantea la cuestión central de la seguridad: ¿cómo transitan los datos bancarios sensibles entre el banco y un servicio de terceros?

Los dos grandes métodos técnicos

El web scraping (método histórico)

Durante mucho tiempo, la agregación se basó en el screen scraping. El usuario comunicaba sus credenciales de banca en línea al agregador, que se conectaba en su lugar al sitio web del banco para extraer los datos mostrados en pantalla.

Este enfoque presenta limitaciones: supone el intercambio de credenciales completas, es sensible a las modificaciones de la interfaz bancaria y no siempre distingue un acceso humano de uno automatizado. Con la evolución regulatoria, este método tiende a ser reemplazado por interfaces dedicadas.

Las API bancarias (método moderno)

Hoy en día, la sincronización se basa principalmente en API (interfaces de programación) puestas a disposición por los bancos. Una API es un canal estandarizado a través del cual un servicio autorizado consulta al banco para obtener datos precisos, sin tener que imitar una navegación humana.

Este modelo, denominado access to account (XS2A), permite al banco controlar exactamente qué datos se comparten, con qué actor y durante cuánto tiempo. Constituye la base técnica de la sincronización bancaria moderna en Europa.

El marco regulatorio: la DSP2

En Europa, la sincronización bancaria está regulada por la segunda directiva de servicios de pago (DSP2), aplicable desde 2018 y cuyas exigencias técnicas se han ido desplegando progresivamente. Esta directiva obliga a los bancos a abrir interfaces seguras a los proveedores de servicios de terceros autorizados.

Dos estados son particularmente relevantes:

• AISP (Account Information Service Provider): proveedor de servicios de información de cuentas, que agrega y devuelve los datos. Es el estado directamente relacionado con la sincronización y la consulta de operaciones.


• PISP (Payment Initiation Service Provider): proveedor de servicios de iniciación de pagos, que puede iniciar una transferencia a petición del usuario.

Para operar, estos proveedores deben estar autorizados por una autoridad competente —en Francia, la ACPR (Autorité de contrôle prudentiel et de résolution)— y registrados. Esta autorización constituye una primera garantía de seriedad, aunque no exime de evaluar cada solución.

Las capas de seguridad técnica

La autenticación fuerte del cliente (SCA)

La DSP2 impone la autenticación fuerte del cliente (Strong Customer Authentication, SCA). Concretamente, el acceso a las cuentas requiere la combinación de al menos dos factores independientes de entre tres categorías:

• un elemento que el usuario conoce (contraseña, código);


• un elemento que posee (teléfono, dispositivo que genera un código);


• un elemento que es (huella dactilar, reconocimiento facial).

Por eso, la implementación de una sincronización a menudo requiere una validación a través de la aplicación móvil del banco o un código recibido por SMS. Este paso vincula la autorización con el usuario real.

El protocolo OAuth 2.0 y la delegación de acceso

Las API bancarias se basan con frecuencia en el protocolo OAuth 2.0. Su principio: permitir que un servicio de terceros acceda a los datos sin conocer nunca la contraseña del usuario.

El proceso típico es el siguiente: el usuario es redirigido a la interfaz de su banco, se autentica directamente allí, y luego el banco entrega al servicio de terceros un token de acceso. Este token autoriza únicamente las acciones consentidas, por un tiempo limitado, y puede ser revocado. Por lo tanto, las credenciales bancarias no transitan a través de la aplicación de terceros.

El cifrado de las comunicaciones

Todas las comunicaciones entre la aplicación, el proveedor y el banco están protegidas por el cifrado TLS (Transport Layer Security), el mismo tipo de tecnología que asegura la navegación web en HTTPS. De este modo, los datos son ilegibles si fueran interceptados en tránsito.

Más allá del transporte, los proveedores serios también cifran los datos almacenados (cifrado en reposo) y aplican medidas de compartimentación de los accesos internos. Los certificados utilizados en el marco de la DSP2, denominados eIDAS (QWAC y QSEAL), permiten además identificar de forma fehaciente a los actores que se conectan a la API.

El acceso en lectura sola

Para la c