Sincronizzazione bancaria sicura: come funziona tecnicamente

La sincronizzazione bancaria consente a un software di contabilità, a un'applicazione di gestione o a uno strumento finanziario di importare automaticamente le operazioni di un conto bancario. Dietro questa funzionalità apparentemente semplice si cela un'architettura tecnica regolamentata da norme europee e basata su diversi livelli di sicurezza. Comprendere il suo funzionamento aiuta a scegliere soluzioni affidabili e a proteggere meglio i propri dati finanziari.

Cos'è la sincronizzazione bancaria?

La sincronizzazione bancaria indica il processo tramite il quale un servizio terzo recupera, regolarmente, i dati di uno o più conti: saldo, storico delle transazioni, descrizioni, date valuta. Queste informazioni vengono poi rese disponibili in un'applicazione, ad esempio un software di contabilità che riconcilia automaticamente le registrazioni.

Questa automazione sostituisce l'inserimento manuale o l'importazione di file (estratti conto in formato CSV, OFX o QIF) scaricati dall'area clienti della banca. Riduce il rischio di errori di trascrizione e fa risparmiare tempo, ponendo al contempo la questione centrale della sicurezza: come transitano i dati bancari sensibili tra la banca e un servizio terzo?

I due principali metodi tecnici

Il web scraping (metodo storico)

Per molto tempo, l'aggregazione si è basata sullo screen scraping. L'utente comunicava le proprie credenziali di online banking all'aggregatore, che si connetteva al suo posto sul sito della banca per estrarre i dati visualizzati sullo schermo.

Questo approccio presenta dei limiti: presuppone la condivisione delle credenziali complete, è sensibile alle modifiche dell'interfaccia bancaria e non sempre distingue un accesso umano da un accesso automatizzato. Con l'evoluzione normativa, questo metodo tende a essere sostituito dalle interfacce dedicate.

Le API bancarie (metodo moderno)

Oggi, la sincronizzazione si basa principalmente sulle API (interfacce di programmazione) messe a disposizione dalle banche. Un'API è un canale standardizzato tramite il quale un servizio autorizzato interroga la banca per ottenere dati precisi, senza dover imitare una navigazione umana.

Questo modello, detto access to account (XS2A), consente alla banca di controllare esattamente quali dati vengono condivisi, con quale attore e per quale durata. Costituisce la base tecnica della moderna sincronizzazione bancaria in Europa.

Il quadro normativo: la DSP2

In Europa, la sincronizzazione bancaria è regolamentata dalla seconda direttiva sui servizi di pagamento (DSP2), applicabile dal 2018 e le cui esigenze tecniche sono state implementate progressivamente. Questa direttiva impone alle banche di aprire interfacce sicure ai fornitori di servizi terzi autorizzati.

Due status sono particolarmente interessati:

• AISP (Account Information Service Provider): fornitore di servizi di informazione sui conti, che aggrega e restituisce i dati. È lo status direttamente collegato alla sincronizzazione e alla consultazione delle operazioni.


• PISP (Payment Initiation Service Provider): fornitore di servizi di disposizione di ordini di pagamento, che può avviare un bonifico su richiesta dell'utente.

Per operare, questi fornitori devono essere autorizzati da un'autorità competente — in Francia, l'ACPR (Autorité de contrôle prudentiel et de résolution) — e registrati. Questa autorizzazione costituisce una prima garanzia di serietà, anche se non esime dalla valutazione di ogni singola soluzione.

I livelli di sicurezza tecnica

L'autenticazione forte del cliente (SCA)

La DSP2 impone l'autenticazione forte del cliente (Strong Customer Authentication, SCA). Concretamente, l'accesso ai conti richiede la combinazione di almeno due fattori indipendenti tra tre categorie:

• un elemento che l'utente conosce (password, codice);


• un elemento che possiede (telefono, dispositivo che genera un codice);


• un elemento che è (impronta digitale, riconoscimento facciale).

Per questo motivo, l'implementazione di una sincronizzazione richiede spesso una convalida tramite l'applicazione mobile della banca o un codice ricevuto via SMS. Questo passaggio collega l'autorizzazione all'utente reale.

Il protocollo OAuth 2.0 e la delega di accesso

Le API bancarie si basano frequentemente sul protocollo OAuth 2.0. Il suo principio: consentire a un servizio terzo di accedere ai dati senza mai conoscere la password dell'utente.

Il processo tipico è il seguente: l'utente viene reindirizzato all'interfaccia della sua banca, si autentica direttamente, quindi la banca rilascia al servizio terzo un token di accesso. Questo token autorizza solo le azioni consentite, per una durata limitata, e può essere revocato. Le credenziali bancarie non transitano quindi attraverso l'applicazione di terze parti.

La crittografia degli scambi

Tutte le comunicazioni tra l'applicazione, il fornitore di servizi e la banca sono protette dalla crittografia TLS (Transport Layer Security), lo stesso tipo di tecnologia che protegge la navigazione web in HTTPS. I dati sono quindi illeggibili se intercettati durante il transito.

Oltre al trasporto, i fornitori di servizi seri crittografano anche i dati archiviati (crittografia a riposo) e applicano misure di compartimentazione degli accessi interni. I certificati utilizzati nell'ambito della DSP2, detti eIDAS (QWAC e QSEAL), consentono inoltre di identificare con certezza gli attori che si connettono all'API.

L'accesso in sola lettura

Per la c