L'association de compte bancaire connecte directement le compte bancaire d'un client à l'application ou au tunnel de paiement d'une entreprise. Elle remplace la saisie manuelle des numéros de compte et numéros de routage par une courte étape d'authentification qui extrait des données vérifiées directement de la banque. Un client choisit sa banque, se connecte via une interface sécurisée et l'entreprise reçoit des informations du compte fiables au lieu d'une série de chiffres saisis. Plus de 100 millions de clients aux États-Unis ont utilisé l'accès aux données autorisé par le client pour partager les informations de leur compte financier avec des tiers.

Ci-dessous, nous expliquerons étape par étape comment fonctionne le processus d'association, les différentes méthodes d'authentification que les banques prennent en charge et ce qu'il advient des données sensibles pendant et après une connexion.

L’essentiel à retenir

• L'association de comptes bancaires remplace la saisie manuelle des numéros de compte et de routage par des données vérifiées extraites directement de la banque d'un client.

• L'authentification basée sur OAuth permet de dissimuler les mots de passe bancaires à la fois au fournisseur du service d'association et à l'entreprise, tandis que les flux basés sur les identifiants et les micro-dépôts constituent des alternatives lorsque la méthode OAuth n'est pas disponible.

• Les références de compte tokenisées et l'accès aux données autorisé limitent ce qui est partagé et stocké, bien qu'ils n'éliminent pas les risques de fraude existant en dehors du flux d'association lui-même.

Qu'est-ce que l'association de comptes bancaires ?

L'association de comptes bancaires connecte directement le compte bancaire d'un client à l'application ou au tunnel de paiement d'une entreprise afin que personne n'ait à saisir manuellement un numéro de routage et un numéro de compte. Le client choisit sa banque, se connecte via une interface sécurisée et l'entreprise obtient des données de compte vérifiées au lieu d'une série de chiffres fournie par le client.

Comment fonctionne le processus d'association de comptes bancaires ?

L'association d'un compte bancaire suit la même séquence de base, quel que soit le fournisseur qui la gère. Une entreprise active une requête de lien, généralement via une interface hébergée directement intégrée dans son application ou sa page de paiement, et le client suit quelques courtes étapes avant que les données de son compte ne soient vérifiées.

Voici un guide étape par étape :

• Sélection de la banque : Le client recherche et sélectionne sa banque dans une liste qui couvre généralement les grandes banques nationales et les petites coopératives de crédit régionales.

• Authentification : Le client se connecte avec ses véritables identifiants bancaires dans une interface sécurisée hébergée par le fournisseur du service d'association ou la banque elle-même, et non sur les propres serveurs de l'entreprise.

• Consentement et sélection du compte : Une fois authentifié, le client voit quels comptes sont disponibles et choisit ceux à connecter. Cette étape est importante pour les personnes possédant plusieurs comptes dans la même banque qui ne souhaitent en partager qu'un seul.

• Renvoi des données : Une fois que le client a confirmé, le fournisseur envoie un token représentant la connexion ainsi que les données du compte demandées par l'entreprise, telles que les numéros de compte et de routage, le solde en temps réel ou l'historique récent des transactions.

Quelles sont les méthodes d'authentification pour l'association de comptes bancaires ?

Toutes les banques ne proposent pas la même méthode de connexion. Les trois principales approches trouvent un compromis entre la vitesse, la sécurité et les efforts requis de la part du client pour se connecter.

• Authentification basée sur OAuth : Le client se connecte directement sur la page ou l'application de sa banque. Le fournisseur du service d'association ne voit jamais le mot de passe, car la banque renvoie un token à la place. Les grandes banques prennent généralement en charge l'authentification basée sur OAuth et c'est souvent vers cette méthode que les fournisseurs essaient d'acheminer les clients en premier. OAuth est la méthode la plus rapide, mais elle ne fonctionne que si la banque la prend en charge.

• Authentification basée sur les identifiants : Le client saisit son nom d'utilisateur et son mot de passe bancaires dans un formulaire géré par le fournisseur du service d'association, qui utilise ensuite ces identifiants pour extraire des données de la banque au nom du client. Cette méthode couvre les banques qui ne prennent pas en charge OAuth, mais elle implique que le fournisseur gère directement les identifiants de connexion, même s'il ne les stocke pas à long terme. Les flux basés sur les identifiants fonctionnent presque partout, mais le client doit partager ses véritables identifiants de connexion. Il doit également faire confiance au fournisseur, même brièvement.

• Vérification par micro-dépôts : L'entreprise effectue un ou deux petits dépôts, généralement de moins d'un dollar, sur le compte cible et le client confirme les montants exacts un ou deux jours plus tard. La vérification par micro-dépôts ne fournit aucune donnée de solde ou de transaction en temps réel, mais elle fonctionne pour presque tous les comptes avec un numéro de routage, y compris ceux des banques sans aucune connectivité numérique. Les micro-dépôts sont la méthode la plus lente (ils nécessitent parfois quelques jours pour être confirmés), mais c'est aussi la seule méthode qui fonctionne, indépendamment de la modernité des systèmes d'une banque.

Quelles sont les considérations de sécurité pour les entreprises utilisant l'association de comptes bancaires ?

La principale question de sécurité dans l'association de comptes bancaires est de savoir quelle quantité de données sensibles est transférée et à qui. La réponse se résume à trois mécanismes : comment les mots de passe bancaires sont protégés, comment les numéros de compte sont remplacés par des éléments moins utiles à voler et ce qu'un client accepte de partager.

Voici les éléments du profil de sécurité.

Les identifiants ne quittent jamais la banque

Avec les connexions basées sur OAuth, le mot de passe bancaire d'un client n'atteint jamais le fournisseur du service d'association ou l'entreprise. La banque authentifie le client sur ses propres systèmes et renvoie un token. Toute personne intégrant ce type d'association ne touche jamais directement aux identifiants de connexion, peu importe comment les données sont utilisées par la suite.

Les numéros de compte sont tokenisés

Au lieu de stocker les numéros de compte et de routage bruts, les fournisseurs renvoient un token représentant la connexion. Les systèmes de l'entreprise se réfèrent à ce token pour les transferts futurs plutôt qu'aux numéros eux-mêmes. Si un token est compromis, il ne peut généralement pas être utilisé en dehors de l'intégration spécifique pour laquelle il a été émis.

L'accès reste limité à ce qui est approuvé

Un client qui connecte sa banque pour un seul paiement n'accepte pas automatiquement de transmettre un an d'historique de transactions. Les fournisseurs limitent chaque connexion à ce que l'entreprise a demandé et que le client a approuvé au cours de cette étape de consentement, et les entreprises qui évaluent une intégration doivent déterminer exactement les besoins de leur cas d'usage plutôt que de demander davantage.

Ces mécanismes ne rendent aucun moyen de paiement immunisé contre la fraude. La fraude par usurpation de compte, la fraude à l'identité synthétique et l'ingénierie sociale visant directement le client se situent toutes en dehors du flux d'association lui-même, indépendamment de la façon dont la connexion est établie. L'accès autorisé et tokenisé réduit le nombre d'emplacements où se trouvent les identifiants et les numéros de compte bruts, ce qui limite l'exposition possible en cas de violation d'un seul système de cette chaîne.

Quels sont les cas d'usage courants de l'association de comptes pour les entreprises ?

Les données spécifiques qu'une entreprise extrait de l'association de comptes dépendent de la finalité des informations de compte.

Voici les cas dans lesquels un compte bancaire associé est utile :

• Prélèvement automatique et paiements par virement bancaire : Les entreprises utilisent l'association pour collecter des numéros de compte et de routage vérifiés pour les prélèvements automatiques et autres transferts bancaires. C'est une pratique courante pour la facturation d'abonnements, les paiements de factures et les produits de paiement de factures.

• Vérifications de solde et de fonds : Certaines entreprises vérifient les données de solde en temps réel juste avant d'initier un transfert afin de réduire les risques de rejet pour fonds insuffisants. Cela est particulièrement important pour les paiements ponctuels importants.

• Prêts et évaluation des risques : Les prêteurs extraient l'historique des transactions et les données de revenus grâce à l'association au lieu de demander aux candidats de charger des relevés bancaires au format PDF. Cela accélère l'évaluation des risques et minimise la fraude documentaire.

• Outils de finances personnelles et de budgétisation : Les applications regroupent les dépenses en extrayant les catégories de transactions et les soldes de chaque banque qu'un client utilise.

Le point commun entre ces quatre cas d'usage est que l'entreprise a besoin de données de compte structurées et vérifiées plutôt que d'un numéro saisi ou d'un document statique chargé par une personne.

Quels sont les outils facilitant l'association de comptes bancaires ?

Créer un système d'association de comptes bancaires de toutes pièces implique de négocier des accords de partage de données avec chaque banque, de maintenir ces connexions lorsque les banques modifient leurs propres systèmes d'authentification et de créer l'interface que les clients utilisent pour connecter un compte. De nombreuses entreprises s'appuient sur un fournisseur tiers au lieu d'assumer ces responsabilités directement.

La version de Stripe pour ce processus est Financial Connections, qui fournit aux entreprises une interface utilisateur hébergée et une API pour associer les comptes bancaires des clients sans négocier individuellement les relations bancaires. Elle permet aux entreprises de vérifier instantanément les comptes bancaires et de récupérer les données autorisées auprès de 5 000 institutions financières, couvrant plus de 97 % des comptes bancaires aux États-Unis.

Étant donné que Financial Connections fait partie de la suite Stripe, une entreprise qui utilise déjà Stripe pour les paiements peut associer des comptes bancaires dans un flux de paiement ou de facturation existant sans créer une intégration distincte spécifiquement pour cette étape.

Comment Stripe Financial Connections peut-il vous aider ?

Stripe Financial Connections est un ensemble d'API qui vous permet de vous connecter en toute sécurité aux comptes bancaires de vos clients et de récupérer leurs données financières, vous permettant ainsi de créer des produits et services financiers innovants.

Financial Connections peut vous aider à :

• Simplifier l’onboarding : proposer un processus de vérification instantané et fluide des comptes bancaires, sans vérification manuelle de l’identité ni du compte.

• Accès à des données financières riches : Récupérez des informations exhaustives sur les comptes bancaires de vos clients, notamment les soldes, les transactions et les informations du compte.

• Automatiser les paiements récurrents : permettre à vos clients de lier leurs comptes bancaires en toute sécurité pour les paiements récurrents, et ainsi améliorer les taux de réussite des paiements.

• Amélioration de la gestion des risques : Analysez les données financières des clients pour prendre des décisions plus éclairées concernant le crédit, les prêts et autres produits financiers.

• Se conformer à la réglementation : Financial Connections vous aide à répondre aux exigences KYC (Know Your Customer) et AML (Lutte contre le blanchiment d’argent).

• Innover en toute confiance : concevoir de nouveaux produits et services financiers reposant sur l’infrastructure sécurisée et fiable de Financial Connections.

En savoir plus sur Financial Connections ou démarrer dès aujourd’hui.