Tanto a extração de dados de tela quanto o acesso baseado em interfaces de programação de aplicativos (APIs) ajudam uma empresa a obter os dados financeiros de que precisa da conta bancária de um cliente, mas usam mecanismos fundamentalmente diferentes para fazer isso. A extração de dados de tela faz login na sua conta bancária com suas credenciais e lê os dados das mesmas páginas que você mesmo veria. O acesso à API o direciona pelo login do seu próprio banco e, em seguida, emite um token revogável e com escopo, sem nunca tocar na sua senha. Em alguns casos, as conexões baseadas em API aumentaram as taxas de sucesso para até 99,9%. Além da confiabilidade, esse método possui altos níveis de segurança, pode melhorar a experiência do usuário e ajudar as empresas a se manterem alinhadas com as regulamentações.

Abaixo, exploraremos como a extração de dados de tela e o acesso à API funcionam, por que o armazenamento de credenciais cria um perfil de risco diferente do acesso baseado em token e como os bancos e os reguladores estão acelerando a mudança para as APIs.

Principais conclusões

• A extração tradicional de dados de tela exige o armazenamento das credenciais bancárias de um cliente, enquanto o acesso à API depende de tokens revogáveis e com escopo, emitidos após o cliente se autenticar diretamente em seu banco.

• A extração de dados de tela pode falhar quando um banco altera seu site, enquanto as APIs retornam dados estruturados por meio de um contrato que geralmente muda apenas quando o banco o atualiza deliberadamente.

• A regra da Seção 1033 do Consumer Financial Protection Bureau (CFPB) e as estruturas de open banking existentes em O Reino Unido e na UE estão empurrando os bancos para um acesso padronizado, o que geralmente significa APIs, e afastando-os da extração baseada em credenciais.

O que é extração de dados de tela em serviços financeiros?

A extração de dados de tela significa que um serviço de terceiros faz login na sua conta bancária com seu nome de usuário e senha, e lê os dados diretamente das páginas que o banco exibe quando você faz o login. Não há canal de dados dedicado. O serviço usa a mesma sessão que um cliente usaria e extrai saldos de contas, históricos de transações e números de conta diretamente da página renderizada.

Como funcionam as APIs de dados financeiros?

O acesso baseado em API substitui o compartilhamento de credenciais por uma transferência permissionada e geralmente é executado no Open Authorization (OAuth) 2.0, o padrão de fato para autorização online.

O processo se divide em algumas etapas distintas:

• Redirecionamento e autenticação: Você é enviado diretamente para a página de login do seu banco, onde insere as credenciais que apenas o seu banco vê.

• Consentimento e escopo: Seu banco pede que você aprove permissões limitadas, como saldos de conta ou histórico de transações que a empresa solicitante tem permissão para ver, em vez de dar acesso geral a tudo em sua conta.

• Emissão de token: Após sua aprovação, o banco emite um token de acesso para a empresa solicitante. Esse token representa uma concessão limitada e revogável.

• Entrega de dados estruturados: A empresa chama a API do banco com esse token e recebe dados limpos e estruturados, como JavaScript Object Notation (JSON) em troca.

Por que as APIs reduzem o risco de segurança em comparação com a extração de dados de tela?

A extração de dados de tela e o acesso à API diferem de forma mais acentuada no que é armazenado e em quem controla o acesso. Essa diferença molda quase todas as consequências de segurança que se seguem, desde a exposição a violações até a rapidez com que uma conexão comprometida pode ser encerrada.

Armazenamento de credenciais em comparação com a emissão de tokens

A extração tradicional de dados de tela geralmente exige que um agregador armazene seu nome de usuário e senha bancários reais em algum lugar de seus sistemas, muitas vezes durante o tempo em que você continuar usando o serviço. Cada conjunto de credenciais armazenado é um alvo se o banco de dados desse agregador for violado.

Com APIs, o token de acesso passado para uma empresa após a autenticação OAuth é uma credencial revogável e com escopo definido que normalmente expira e concede acesso apenas ao que você aprovou, como visibilidade somente leitura do histórico de transações. Se os sistemas de uma empresa forem comprometidos, o token poderá ser desativado no nível do banco sem exigir a redefinição da senha da sua parte.

Acesso total em comparação com acesso definido

Uma senha armazenada concede a quem a possui o mesmo acesso amplo que você teria ao fazer login. Um token pode ser limitado a exatamente uma função, para que uma empresa que está confirmando o saldo da sua conta para um pedido de empréstimo não saia com cinco anos de histórico de transações de que nunca precisou. A lacuna entre o acesso completo e o acesso definido é uma das razões pelas quais bancos, órgãos reguladores e provedores de API tratam o armazenamento de credenciais como o modelo mais arriscado.

Como a confiabilidade e a escalabilidade diferem entre a extração de dados de tela e as APIs?

A extração de dados de tela é frágil por design porque depende do próprio site do banco. Quando um banco atualiza seu fluxo de login, redesenha seu painel (dashboard) ou adiciona uma nova etapa de autenticação, os scrapers construídos no layout antigo podem parar de funcionar até que um engenheiro os reconstrua manualmente. Essa fragilidade, além do problema de escala que cria, resulta em alguns problemas distintos:

• Dependência do site: Os scrapers dependem de que o HTML de um banco permaneça constante, o que significa que um redesenho de rotina pode quebrar silenciosamente uma conexão sem nenhum aviso ao agregador.

• Manutenção manual: Os scrapers quebrados geralmente precisam de um engenheiro para reconstruí-los para o novo layout (um trabalho que se repete em milhares de bancos com seus próprios cronogramas de lançamento).

• Taxas de falha mais altas: As conexões baseadas em extração de dados tendem a falhar em taxas significativamente mais altas do que as baseadas em API, especialmente logo após um banco enviar uma atualização do site.

As APIs geralmente são consideradas mais confiáveis por alguns motivos:

• Contratos de dados definidos: A API de um banco retorna dados da conta em estruturas fixas, como um campo de saldo formatado como um número inteiro em centavos, e essa estrutura normalmente não muda, a menos que o banco atualize deliberadamente a API e avise.

• Tratamento claro de erros: Uma API retorna um código de erro explícito quando algo quebra para que os sistemas de uma empresa saibam tentar novamente ou sinalizar o problema em vez de trabalhar com dados corrompidos ou malformados.

• Escala linear em comparação com escala em rede: A infraestrutura de Open banking facilita relacionamentos diretos com milhares de bancos e cooperativas de crédito, o que significa que uma empresa que se integra uma vez pode alcançar toda essa rede. Uma abordagem baseada em extração de dados, no entanto, precisa de um script personalizado construído e mantido para cada banco da lista.

Como a extração de dados de tela afeta a experiência do usuário e a confiança do cliente?

Entregar seu nome de usuário e senha bancários a um aplicativo de terceiros exige um nível de confiança que muitas pessoas não se sentem à vontade em conceder. As mensagens de segurança de muitos bancos orientam os usuários a nunca compartilhar credenciais de login fora do próprio site do banco. Por isso, um aplicativo baseado em extração de dados que pede aos usuários para fazer exatamente isso dentro de sua própria interface pode ser visto com suspeita. Essa divergência pode criar hesitação no momento de conectar a conta, o que impede os usuários de concluir o fluxo de vinculação ou faz com que o abandonem na metade quando a solicitação de credencial parece suspeita.

Os fluxos baseados em OAuth evitam esse problema porque você digita sua senha apenas na página de login do seu próprio banco. É uma interface familiar em um domínio conhecido, e a tela de permissão informa especificamente o que você está concordando em compartilhar. Essa especificidade muda a psicologia do consentimento porque você recebe uma lista concreta de itens, como um saldo de conta e o histórico de transações dos últimos 90 dias, e é solicitado a aprovar ou negar diretamente. Consequentemente, os fluxos de consentimento desenvolvidos com autenticação bancária direta podem resultar em taxas de conclusão mais altas do que a agregação baseada em credenciais.

Quando a confiança é abalada por uma experiência ruim ou uma manchete sobre uma violação em um agregador baseado em extração de dados, é difícil recuperá-la. As empresas que desenvolvem produtos financeiros tratam cada vez mais o próprio método de autenticação como um indicador de credibilidade, e não como um simples detalhe de implementação.

Como os reguladores estão impulsionando a mudança da extração de dados de tela para as APIs?

A regra da Seção 1033 do CFPB, atualmente pausada após um tribunal federal emitir uma liminar, busca implementar uma seção da Lei Dodd-Frank que exige que provedores de dados, como bancos, disponibilizem dados financeiros do cliente a terceiros sob a direção do cliente. A intenção da regra é dar aos clientes o direito legal aos seus próprios dados em um formato utilizável e portátil. A regra favorece explicitamente métodos de transferência eletrônica padronizados e seguros, o que na prática geralmente significa APIs em vez de extração baseada em credenciais.

Muitas grandes instituições financeiras já passaram anos construindo infraestrutura de API dedicada, em parte para que possam parar de suportar o tráfego de scrapers que atinge seus sites voltados para o cliente. Isso pode sobrecarregar a capacidade do servidor e criar complicações de revisão de segurança. As estruturas de open banking em O Reino Unido e na UE estabeleceram um precedente anterior para essa mudança.

Como muitas instituições menores e cooperativas de crédito ainda não possuem a infraestrutura de API que os bancos maiores já construíram, alguns agregadores mantêm a extração de dados como uma alternativa para contas ainda sem opção de API. No entanto, à medida que a implementação da Seção 1033 avança e mais bancos passam a ter endpoints de API compatíveis, as empresas que desenvolvem produtos financeiros têm mais motivos para agir com antecedência, antes que as conexões baseadas em extração se tornem obsoletas.

Como o Stripe Financial Connections pode ajudar

O Stripe Financial Connections é um conjunto de APIs que permite que você se conecte com segurança às contas bancárias de seus clientes e recupere os dados financeiros deles, possibilitando a criação de produtos e serviços financeiros inovadores.

O Financial Connections pode ajudar você a:

• Simplificar o onboarding: ofereça um processo contínuo e instantâneo de verificação de conta bancária que não exige verificação manual de identidade e de conta.

• Acesse dados financeiros ricos: Recupere informações abrangentes sobre as contas bancárias de seus clientes, incluindo saldos, transações e dados da conta.

• Automatizar pagamentos recorrentes: permita que seus clientes vinculem suas contas bancárias com segurança para pagamentos recorrentes, melhorando as taxas de sucesso de pagamento.

• Aprimorar a gestão de risco: analise os dados financeiros dos clientes para tomar decisões mais informadas sobre crédito, empréstimos e outros produtos financeiros.

• Cumprir as regulamentações: O Financial Connections ajuda você a atender aos requisitos de Conheça Seu Cliente (KYC) e de Prevenção à Lavagem de Dinheiro (PLD).

• Inovar com confiança: crie novos produtos e serviços financeiros sobre a infraestrutura segura e confiável do Financial Connections.

Saiba mais sobre o Financial Connections ou comece hoje mesmo.