FAPI

OAuth 2.0 è flessibile per progetto, e la flessibilità è esattamente ciò che una banca non vuole. Il gruppo di lavoro della OpenID Foundation, che inizialmente chiamò lo standard Financial API, ha quindi eliminato tutto ciò che era rischioso e reso obbligatorio il resto. Il flusso implicito è vietato e i client devono autenticarsi con mTLS o con un JWT firmato, non con un segreto condiviso. I token di accesso sono legati alla chiave del client, per cui un token intercettato è inutile a chiunque altro.

FAPI 1.0 è stato finalizzato nel 2021 ed era già allora la spina dorsale dell'open banking britannico. FAPI 2.0 semplifica la ricetta inviando la richiesta di autorizzazione direttamente al server (PAR) e imponendo PKCE. Brasile e Australia hanno fondato i propri regimi di open data su questo profilo. Nell'UE, invece, le banche hanno interpretato la PSD2 ciascuna a modo suo, spesso tramite il Berlin Group.