La vinculación de cuentas bancarias conecta de forma directa la cuenta de un cliente a la aplicación o flujo de pago de una empresa. En vez del ingreso manual de números de cuenta y números de enrutamiento, emplea un paso de autenticación breve en el que se extraen datos verificados directamente del banco. El cliente elige el banco e inicia sesión mediante una interfaz segura, y la empresa recibe datos de la cuenta en los que puede confiar en lugar de una serie de dígitos ingresados. Más de 100 millones de clientes en EE. UU. han empleado el acceso a los datos autorizado por el cliente a fin de compartir la información de sus cuentas financieras con terceros.

A continuación, analizaremos paso a paso el funcionamiento del proceso de vinculación, los diferentes métodos de autenticación que admiten los bancos y lo que sucede con los datos confidenciales durante la conexión y después.

Puntos clave

• La vinculación de cuentas bancarias reemplaza el ingreso manual de los números de cuenta y de enrutamiento por datos verificados que se extraen de forma directa del banco del cliente.

• La autenticación basada en OAuth mantiene las contraseñas bancarias lejos del proveedor de vinculación y de la empresa. Por otra parte, cuando OAuth no está disponible, es posible recurrir a flujos basados en credenciales y a microdepósitos.

• Las referencias a las cuentas tokenizadas y el acceso a los datos permitidos limitan la información que se comparte y almacena, aunque no eliminan los riesgos de fraude que existen por fuera del flujo de vinculación.

¿Qué es la vinculación de cuentas bancarias?

La vinculación de cuentas bancarias conecta de forma directa la cuenta de un cliente a la aplicación o flujo de pago de una empresa, de modo tal que no haya que escribir manualmente un número de enrutamiento y un número de cuenta. El cliente elige su banco y entra al sistema mediante una interfaz segura. Por su lado, la empresa recibe datos verificados sobre la cuenta en lugar de una serie de dígitos proporcionados por el usuario.

¿Cómo funciona el proceso de vinculación de cuentas bancarias?

La vinculación de una cuenta bancaria sigue la misma secuencia básica sin importar qué proveedor la gestione. Una empresa activa una solicitud de enlace, en general a través de una interfaz alojada que se integra directamente en su aplicación o en su página de confirmación de compra, y el cliente sigue unos pocos pasos rápidos antes de que se verifiquen los datos de su cuenta.

A continuación, se presenta una guía paso a paso:

• Selección del banco: El cliente busca y elige su banco de una lista que, por lo general, incluye bancos nacionales de gran envergadura y cooperativas de crédito regionales más pequeñas.

• Autenticación: El cliente inicia sesión con sus credenciales bancarias reales, pero lo hace dentro de una interfaz segura alojada por el proveedor de vinculación o el banco en sí, y nunca en los servidores propios de la empresa.

• Consentimiento y selección de cuentas: Tras autenticarse, el cliente puede ver las cuentas disponibles y seleccionar cuáles conectar. Este paso es importante para cualquier persona que tenga varias cuentas en el mismo banco, pero que solo quiera compartir una.

• Devolución de datos: Una vez que el cliente confirma, el proveedor envía un token en representación de la conexión junto con los datos de la cuenta que la empresa solicitó, como los números de cuenta y los números de enrutamiento, el saldo en tiempo real o el historial de transacciones recientes.

¿Cuáles son los métodos de autenticación en la vinculación bancaria?

No todos los bancos ofrecen el mismo método de conexión. Los tres enfoques principales sopesan la velocidad, la seguridad y la cantidad de acciones que el cliente debe realizar para conectarse.

• Autenticación basada en OAuth: El cliente inicia sesión directamente en la página web o en la aplicación de su banco. El proveedor de vinculación nunca ve la contraseña, dado que el banco le devuelve un token. Por lo general, los bancos más grandes admiten la autenticación basada en OAuth y es la versión hacia la cual los proveedores suelen intentar enrutar a los clientes en primer lugar. OAuth es el método más rápido, pero solo funciona si el banco cuenta con soporte técnico para admitirlo.

• Autenticación basada en credenciales: El cliente ingresa su nombre de usuario bancario y contraseña en un formulario que gestiona el proveedor de vinculación, quien luego utiliza esas credenciales para extraer datos del banco en nombre del cliente. Sigue siendo útil para los bancos que aún no admiten OAuth, pero implica que el proveedor debe gestionar directamente las credenciales de inicio de sesión, incluso si no las almacena a largo plazo. Los flujos basados en credenciales funcionan casi siempre, pero tienen como desventaja que el cliente debe compartir credenciales reales para el inicio de sesión. Además, el cliente debe confiar en el proveedor para hacerlo, aunque sea por poco tiempo.

• Verificación mediante microdepósitos: La empresa realiza uno o dos depósitos de poco valor (por lo general, menores a un dólar) en la cuenta destino y el cliente confirma los montos exactos uno o dos días después. La verificación mediante microdepósitos no brinda datos sobre transacciones ni saldos en tiempo real, pero funciona para casi cualquier cuenta con un número de enrutamiento, incluso aquellas pertenecientes a bancos que no cuentan con ningún tipo de conectividad digital. Los microdepósitos son el método más lento (a veces tardan un par de días en confirmarse), pero también son el único que funciona sin importar cuán modernos o antiguos sean los sistemas de un banco.

¿Cuáles son las consideraciones sobre seguridad de las empresas que recurren a la vinculación bancaria?

La cuestión fundamental sobre la seguridad en la vinculación bancaria es la cantidad de datos confidenciales que se transfieren y quiénes pueden acceder a ellos. La respuesta radica en tres mecanismos: cómo se protegen las contraseñas bancarias, cómo se reemplazan los números de cuenta por información que es menos probable que se robe y cuánta información el cliente está de acuerdo en compartir.

A continuación, se presentan las partes del perfil de seguridad.

Las credenciales nunca abandonan el banco

Con las conexiones basadas en OAuth, las contraseñas bancarias del cliente no se exponen al proveedor de vinculación ni a la empresa en ningún momento. El banco autentica al cliente en sus propios sistemas y, a cambio, proporciona un token. Sin importar cómo se utilicen los datos más adelante, quien integra este tipo de vinculación nunca tiene contacto directo con las credenciales de inicio de sesión.

Los números de cuenta se tokenizan

En vez de almacenar los números de cuenta y de enrutamiento sin procesar, los proveedores devuelven un token que representa la conexión. Los sistemas de la empresa hacen referencia a dicho token para las transferencias futuras en lugar de consultar los números en sí. En general, en caso de que un token se ponga en riesgo, no podrá emplearse para un fin distinto de la integración específica para la que se haya emitido.

El acceso se limita a lo autorizado

Cuando un cliente conecta su banco para un pago único, no accede automáticamente a proporcionar su historial de transacciones del último año. Los proveedores limitan cada conexión de acuerdo a lo que la empresa haya solicitado y el cliente haya autorizado durante el paso de otorgamiento de consentimiento. Por lo tanto, las empresas que analicen una integración deben determinar de manera precisa qué necesita su caso de uso en vez de solicitar datos de más.

Estos mecanismos no vuelven invulnerable al fraude a ningún método de pago. El fraude de apropiación de cuenta, el fraude de identidad sintética y la ingeniería social dirigida directamente al cliente escapan al control del flujo de vinculación en sí, independientemente de cómo se construya la conexión. Lo que se consigue con el acceso mediante permisos y tokenizado es reducir los lugares en los que existen credenciales sin procesar y números de cuenta. De esta manera, en caso de vulneración a cualquier sistema individual en esa cadena, es posible atenuar la exposición potencial.

¿Cuáles son los casos de uso empresarial habituales de la vinculación de cuentas?

Los datos concretos que una empresa extrae de la vinculación de cuentas varían en función de para qué se utilizará la información de la cuenta.

A continuación se presentan ejemplos donde una cuenta bancaria vinculada resulta de utilidad:

• Débito directo y pago mediante transferencias bancarias: Las empresas emplean la vinculación para recopilar números de cuenta y números de enrutamiento verificados que les permitan realizar débitos directos y otras transferencias bancarias. Esto es habitual en la facturación de suscripciones, los pagos de facturas y los productos de pago de facturas.

• Comprobaciones de saldos y fondos: Hay empresas que verifican los datos de los saldos en tiempo real justo antes de realizar una transferencia a fin de reducir la posibilidad de recibir devoluciones por falta de fondos. Esto resulta fundamental en caso de pagos únicos de un gran valor.

• Préstamos y evaluación de riesgos: Los prestamistas extraen datos sobre historiales de transacciones e ingresos mediante la vinculación en lugar de pedirles a los solicitantes que carguen estados de cuenta bancarios en PDF. Esto acelera la evaluación de riesgos y minimiza la posibilidad de fraude con documentos.

• Herramientas de presupuesto y finanzas personales: Las aplicaciones agrupan los gastos. Para ello, extraen las categorías de transacciones y los saldos de cada banco que el cliente utilice.

El hilo conductor entre los cuatro puntos es que la empresa necesita datos estructurados y verificados en vez de un número ingresado por un usuario o de un documento estático cargado.

¿Qué herramientas facilitan la vinculación bancaria?

Para crear un mecanismo de vinculación bancaria desde cero, en primer lugar, es necesario negociar acuerdos de intercambio de datos de manera particular con cada banco, mantener estas conexiones a medida que los bancos cambian sus propios sistemas de autenticación y diseñar la interfaz que utilizan los clientes para conectar una cuenta. Muchas empresas recurren a proveedores externos en lugar de asumir estas responsabilidades directamente.

La versión de Stripe de todo esto es Financial Connections, un servicio que brinda a las empresas una interfaz de usuario y una interfaz de programación de aplicaciones (API) alojadas para vincular las cuentas bancarias de los clientes sin negociar vínculos de forma particular con los bancos. Permite a las empresas verificar cuentas bancarias al instante y recuperar datos permitidos de más de 5000 instituciones financieras que representan más del 97 % de las cuentas bancarias en EE. UU.

Dado que Financial Connections es parte de la suite de Stripe, las empresas que ya utilizan Stripe para los pagos pueden vincular cuentas bancarias dentro de un proceso de facturación o confirmación de compra sin necesidad de crear una integración por separado únicamente para esa función.

Cómo puede ayudarte Financial Connections de Stripe

Stripe Financial Connections es un conjunto de API que te permite conectarte de manera segura a las cuentas bancarias de tus clientes para recuperar sus datos financieros. De esta forma, puedes crear productos y servicios financieros innovadores.

Financial Connections puede ayudarte de la siguiente manera:

• Simplifica el onboarding: ofrece un proceso de verificación de cuenta bancaria instantáneo y fluido que no requiere verificación manual de la identidad y de la cuenta.

• Accede a datos financieros valiosos: Recupera información completa sobre las cuentas bancarias de tus clientes, lo que incluye saldos, transacciones y datos de la cuenta.

• Automatiza los pagos recurrentes: permite que tus clientes vinculen de forma segura sus cuentas bancarias para pagos recurrentes, lo que mejora las tasas de éxito de los pagos.

• Mejora la gestión de riesgos: Analiza los datos financieros de los clientes a fin de tomar decisiones informadas sobre créditos, préstamos y otros productos financieros.

• Cumple con la normativa: Financial Connections te ayuda a cumplir con los requisitos de Conoce a tu cliente (KYC) y de prevención de lavado de dinero (AML).

• Innova con confianza: crea nuevos productos y servicios financieros sobre la infraestructura segura y confiable de Financial Connections.

Obtén más información sobre Financial Connections o empieza hoy mismo.