FAPI

OAuth 2.0 es flexible por diseño, y la flexibilidad es justo lo que un banco no quiere. El grupo de trabajo de la OpenID Foundation, que al principio llamó al estándar Financial API, eliminó todo lo arriesgado e hizo obligatorio el resto. El flujo implícito está prohibido, y el cliente debe autenticarse con mTLS o con un JWT firmado en lugar de un secreto compartido. Los tokens de acceso quedan ligados a la clave del cliente, así que un token interceptado no le sirve a nadie más.

FAPI 1.0 quedó finalizado en 2021 y para entonces ya era la columna vertebral del open banking británico. FAPI 2.0 simplifica la receta enviando la petición de autorización directamente al servidor (PAR) y exigiendo PKCE. Brasil y Australia han construido sus regímenes de datos abiertos sobre el perfil. En la UE, los bancos interpretaron la PSD2 por su cuenta, a menudo a través del Berlin Group.