FAPI

OAuth 2.0は設計上、柔軟だ。そして銀行が望まないのはまさにその柔軟さである。そこでOpenID Foundationのワーキンググループは、当初Financial APIと名付けたこの標準で、危険なものをすべて取り除き、残りを必須にした。インプリシットフローは禁止され、クライアントは共有シークレットではなくmTLSか署名付きJWTで認証しなければならない。アクセストークンはクライアントの鍵に紐づけられるため、傍受されても他人には使えない。

FAPI 1.0は2021年に最終化されたが、その時点で英国のオープンバンキングの基盤としてすでに使われていた。FAPI 2.0は、認可リクエストを直接サーバーへ送るPARとPKCEの必須化で手順を簡素化した。ブラジルとオーストラリアは、このプロファイルの上にオープンデータ制度を築いた。EUでは各銀行がPSD2を独自に解釈し、多くはBerlin Groupを経由した。