DSP2 : les API des banques sont en ligne... sauf avec les attentes

Les établissements bancaires avaient jusqu'au 14 mars pour mettre en ligne des API tests. Tous ne sont pas au même niveau. Retrouvez les adresses des portails et le détail banque par banque.

Le calendrier de la DSP2 est un casse-tête à lui tout seul. La directive sur les services de paiement est entrée en vigueur le 13 janvier 2018 mais ne sera appliqué pleinement qu'en septembre 2019… si tout se passe bien. Entre temps, d'autres deadlines tombent progressivement, dont celle déjà passée du 14 mars 2019. A cette date, les banques devaient avoir mis à disposition un portail d'API tests dédié aux développeurs afin d'éviter la solution de repli qu'est le screen scraping (une technique qui permet d'accéder aux données d'un client d'une banque en utilisant ses codes d'accès). Un mécanisme considéré comme peu sécurisé par les institutions financières.

Mais se rendre sur ces les portails d'API n'est pas chose aisée. "L'information est difficile à trouver, même pour les TPP (third pary provider, c'est-à-dire les agrégateurs et initiateurs de paiement, ndlr)", confirme Joan Burkovic, fondateur de Bankin'. Le JDN a donc contacté les grandes banques françaises pour savoir si elles ont déployé leur portail, l'adresse de celui-ci et combien d'API ont été mises en ligne. 

Résultat : le portail le plus garni en API DSP2 est celui du Crédit Mutuel qui en compte dix à son compteur, suivi de près par BNP Paribas (9) et Société Générale (7). Le Crédit Agricole n'en compte qu'une mais celle-ci englobe les cinq fonctionnalités nécessaires. Mais quantité n'est pas gage de qualité. Les trois principaux agrégateurs français ne sont pas pleinement satisfaits des API proposées, souvent parce qu'elles sont incomplètes. "Certaines banques se permettent même de ne pas transmettre l'IBAN car c'est un élément qu'elles considèrent comme trop sensible alors que c'est une donnée stratégique pour nous et dont l'accès augmente le niveau de sécurité", nous confiait Clément Coeurdeuil, CEO de l'agrégateur BtoB Budget Insight, en janvier dernier. Les TPP ne trouvent pas non plus leur compte d'un point de vue purement technique. "Une fintech et une banque ont des définitions très différentes d'une API qui fonctionne", a lâché Joan Burkovic, lors d'un évènement fintech organisation par l'association ACSEL en mars. "Or, si une API est mal faite, elle n'est pas sécurisée." 

Cette période de test doit durer un mois. Dès le 14 avril 2019, rappelle l'Autorité de contrôle prudentiel et de résolution, les banques devront mettre à disposition une "API répondant aux conditions d'utilisation étendue telles que définies par les standards sécuritaires et les orientations de l'ABE (l'Autorité bancaire française, ndlr)". En effet, pour que le dossier d'exemption, qui permet d'éviter la solution de repli, puisse être qualifié de complet lors de son dépôt à l'ACPR le 14 juillet 2019, "le PSPGC (prestataires de services de paiement gestionnaires de comptes, c'est-à-dire les banques, ndlr) devra être en mesure de prouver à cette date que son interface a fait l'objet d'une utilisation étendue conformément aux orientations de l'ABE durant les 3 mois précédents". Réponses le 14 avril.