Il collegamento di un conto bancario connette il conto di un cliente direttamente all'app o al flusso di pagamento di un'attività. Sostituisce l'inserimento manuale del numero del conto e del numero di routing con una breve fase di autenticazione che estrae dati verificati direttamente dalla banca. Un cliente sceglie la propria banca, accede tramite un'interfaccia sicura e l'attività riceve dettagli dell'account affidabili anziché una sequenza di cifre digitata a mano. Oltre 100 milioni di clienti negli Stati Uniti hanno usato l'accesso ai dati autorizzato dal cliente per condividere i dati del proprio conto finanziario con terze parti.

Di seguito spiegheremo passo passo come funziona la procedura di collegamento, i diversi metodi di autenticazione supportati dalle banche e cosa succede ai dati sensibili durante e dopo una connessione.

In sintesi

• Il collegamento di un conto bancario sostituisce l'inserimento manuale del numero del conto e del numero di routing con dati verificati estratti direttamente dalla banca del cliente.

• L'autenticazione basata su OAuth nasconde le password bancarie sia al fornitore del servizio di collegamento sia all'attività, mentre i flussi basati su credenziali e i microdepositi costituiscono un'alternativa quando il metodo OAuth non è disponibile.

• I riferimenti al conto provvisti di token e l'accesso ai dati previa autorizzazione limitano le informazioni condivise e salvate, sebbene non eliminino i rischi di frode che sussistono al di fuori del flusso di collegamento stesso.

Che cos'è il collegamento di un conto bancario?

Il collegamento di un conto bancario connette il conto di un cliente direttamente all'app o al flusso di pagamento di un'attività in modo che nessuno debba inserire un numero di routing e un numero di conto a mano. Il cliente sceglie la propria banca, accede tramite un'interfaccia sicura e l'attività riceve dati verificati anziché una sequenza di cifre fornita direttamente da lui.

Come funziona la procedura di collegamento di un conto bancario?

La procedura per collegare un conto bancario segue la stessa sequenza di base, a prescindere dal fornitore che la gestisce. Un'attività attiva una richiesta di collegamento, di solito tramite un'interfaccia in hosting integrata direttamente nella sua app o nella procedura di pagamento, e il cliente segue alcuni semplici passaggi prima che i dati del suo conto vengano verificati.

Di seguito è riportata una guida passo passo:

• Selezione della banca: il cliente cerca e sceglie la propria banca da un elenco che solitamente include le principali banche nazionali e casse di risparmio regionali minori.

• Autenticazione: il cliente accede con le proprie vere credenziali bancarie, ma lo fa all'interno di un'interfaccia sicura in hosting presso il fornitore del servizio di collegamento o la banca stessa, mai sui server dell'attività.

• Consenso e selezione del conto: una volta effettuata l'autenticazione, il cliente visualizza i conti disponibili e sceglie quali connettere. Questo passaggio è importante per chiunque abbia più conti presso la stessa banca e voglia condividerne solo uno.

• Restituzione dei dati: dopo la conferma del cliente, il fornitore invia un token che rappresenta la connessione insieme ai dati del conto richiesti dall'attività, ad esempio numero di routing, numero del conto, saldo in tempo reale o cronologia delle transazioni recenti.

Quali sono i metodi di autenticazione nel collegamento di un conto bancario?

Non tutte le banche offrono lo stesso metodo di collegamento. I tre approcci principali comportano un compromesso tra velocità, sicurezza e le azioni che il cliente deve compiere per collegarsi.

• Autenticazione basata su OAuth: il cliente accede direttamente dalla pagina o dall'app della propria banca. Il fornitore del servizio di collegamento non vede mai la password, poiché la banca restituisce un token in sua vece. In genere, le grandi banche supportano l'autenticazione basata su OAuth e spesso i fornitori cercano di instradare i clienti in primis verso questa opzione. L'autenticazione OAuth è la più rapida, ma funziona solo se la banca l'ha supportata.

• Autenticazione basata su credenziali: il cliente digita nome utente e password della propria banca in un modulo gestito dal fornitore del servizio di collegamento, che usa poi queste credenziali per estrarre dati dalla banca per conto del cliente. In questo modo vengono incluse anche le banche che non hanno ancora predisposto il supporto di OAuth; ciò significa però che il fornitore gestisce direttamente le credenziali di accesso, pur non salvandole a lungo termine. I flussi basati su credenziali funzionano quasi ovunque, ma il costo è che il cliente deve condividere delle vere e proprie credenziali di accesso. E ci si deve fidare che il fornitore le gestisca in sicurezza, anche solo per poco tempo.

• Verifica tramite microdepositi: l'attività effettua uno o due depositi di basso importo (solitamente meno di un dollaro) nel conto di destinazione e il cliente conferma gli importi esatti uno o due giorni dopo. La verifica tramite microdepositi non fornisce dati sul saldo in tempo reale o sulle transazioni, ma funziona per quasi tutti i conti dotati di numero di routing, anche nel caso di banche prive di qualsivoglia connettività digitale. Il metodo dei microdepositi è il più lento (a volte la conferma richiede un paio di giorni), ma è anche l'unico che funziona indipendentemente dal livello di modernità dei sistemi di una determinata banca.

Quali sono le considerazioni in materia di sicurezza per le attività che usano il collegamento del conto bancario?

La questione centrale in materia di sicurezza per quanto riguarda il collegamento di un conto bancario è stabilire quanti dati sensibili vengono trasmessi e a chi. La risposta dipende da tre meccanismi: in che modo sono protette le password bancarie, in che modo i numeri di conto vengono sostituiti da qualcosa che sia meno utile rubare e quanto il cliente acconsente a condividere.

Di seguito sono riportate le parti che costituiscono il profilo di sicurezza.

Le credenziali non lasciano mai la banca

Con le connessioni basate su OAuth, la password bancaria di un cliente non giunge mai al fornitore del servizio di collegamento o all'attività. La banca esegue l'autenticazione del cliente sui propri sistemi e restituisce un token in cambio. Chiunque integri questo tipo di collegamento non gestisce mai direttamente le credenziali di accesso, indipendentemente dall'utilizzo che verrà fatto in seguito dei dati.

Aggiunta di un token ai numeri dei conti

Invece di salvare i numeri non elaborati dei conti e di routing, i fornitori restituiscono un token che rappresenta la connessione. I sistemi dell'attività fanno riferimento a quel token per i futuri trasferimenti anziché ai numeri stessi. Se un token viene compromesso, in genere non può essere usato al di fuori dell'integrazione specifica per la quale è stato emesso.

L'accesso resta limitato a quanto approvato

Un cliente che connette la propria banca per un singolo pagamento non accetta in automatico di consegnare un anno di cronologia delle transazioni. I fornitori limitano ogni connessione a quanto richiesto dall'attività e a quanto approvato dal cliente durante tale fase di consenso; inoltre, le attività che valutano un'integrazione dovrebbero determinare con precisione che cosa richiede il proprio caso d'uso, senza domandare nulla in più.

Questi meccanismi non rendono nessun metodo di pagamento immune alle frodi. Le frodi di appropriazione dell'account, quelle basate su identità sintetiche e l'ingegneria sociale mirata direttamente al cliente avvengono tutte al di fuori del flusso di collegamento stesso, indipendentemente dal modo in cui è creata la connessione. L'accesso previa autorizzazione e provvisto di token riduce il numero di punti in cui esistono credenziali non elaborate e numeri di conto; ciò diminuisce i potenziali rischi qualora un qualunque sistema di quella catena venisse violato.

Quali sono i casi d'uso aziendali comuni per il collegamento del conto?

I dati specifici che un'attività estrae dal collegamento del conto dipendono da come verranno usate le informazioni sul conto.

Ecco in quali casi un conto bancario collegato si rivela utile:

• Addebito diretto e pagamenti tramite bonifico bancario: le attività usano il collegamento per riscuotere numeri di conto e di routing verificati per gli addebiti diretti e altri trasferimenti bancari. Si tratta di una pratica comune per gli abbonamenti, i pagamenti delle fatture e i prodotti di pagamento delle utenze.

• Verifiche di saldo e fondi: alcune attività controllano i dati sul saldo in tempo reale subito prima di avviare un trasferimento per ridurre le probabilità di un reso per fondi insufficienti. Questo è importante soprattutto per pagamenti una tantum di importo elevato.

• Prestiti e valutazione del rischio: chi presta denaro estrae la cronologia delle transazioni e i dati sul reddito tramite collegamento invece di chiedere ai richiedenti di caricare estratti conto bancari in formato PDF. Ciò velocizza la valutazione del rischio e minimizza le frodi documentali.

• Finanza personale e strumenti di pianificazione finanziaria: le app raggruppano le spese estraendo categorie di transazioni e saldi da ogni banca usata dal cliente.

Il filo rosso che connette tutte e quattro le opzioni è il fatto che l'attività ha bisogno di dati verificati e strutturati relativi al conto invece di un numero digitato da qualcuno o di un documento statico caricato.

Quali strumenti aiutano a supportare il collegamento di un conto bancario?

Creare da zero un sistema di collegamento di un conto bancario significa negoziare accordi per la condivisione dei dati con le singole banche, gestire queste connessioni man mano che le banche modificano i propri sistemi di autenticazione e costruire l'interfaccia usata dai clienti per connettere un conto in primis. Molte attività si affidano a un fornitore terzo invece di assumersi direttamente queste responsabilità.

La soluzione offerta da Stripe è Financial Connections, che fornisce alle attività un'interfaccia utente in hosting e un'API per collegare i conti bancari dei clienti senza dover negoziare singolarmente i rapporti con le banche. Questo sistema consente alle attività di verificare all'istante i conti bancari e di recuperare i dati previa autorizzazione da 5.000 istituti finanziari, che coprono oltre il 97% dei conti bancari negli Stati Uniti.

Poiché Financial Connections fa parte della suite Stripe, un'attività che già usa Stripe per i pagamenti può collegare i conti bancari all'interno di una procedura di pagamento o di fatturazione esistente senza creare un'integrazione separata solo per questo passaggio.

In che modo Stripe Financial Connections può essere d'aiuto

Stripe Financial Connections è un insieme di API che ti permette di connettere in modo sicuro i conti bancari dei tuoi clienti e recuperare i loro dati finanziari, in modo da poter creare prodotti e servizi finanziari innovativi.

Financial Connections ti può aiutare a:

• Semplificare l'attivazione: offri una procedura di verifica del conto bancario istantanea e fluida che non richiede la verifica manuale dell'identità e dell'account.

• Accedi a dati finanziari completi: recupera informazioni dettagliate sui conti bancari dei tuoi clienti, inclusi saldi, transazioni e dettagli dell'account.

• Automatizzare i pagamenti ricorrenti: offri ai tuoi clienti la possibilità di collegare in modo sicuro i loro conti bancari per i pagamenti ricorrenti, ottimizzando in tal modo l'esito positivo delle transazioni.

• Migliora la gestione dei rischi: analizza i dati finanziari dei clienti per prendere decisioni più informate su credito, prestiti e altri prodotti finanziari.

• Rispettare le normative: Financial Connections ti aiuta a soddisfare i requisiti di adeguata verifica della clientela e antiriciclaggio (AML).

• Innovare con fiducia: crea nuovi prodotti e servizi finanziari basandoti sull'infrastruttura sicura e affidabile di Financial Connections.

Scopri di più su Financial Connections, o inizia oggi stesso.