FAPI

OAuth 2.0 is bewust flexibel, en precies die flexibiliteit wil een bank niet. De werkgroep van de OpenID Foundation, die de standaard aanvankelijk Financial API noemde, schrapte daarom alles wat riskant is en maakte de rest verplicht. De implicit flow is verboden en clients moeten zich authenticeren met mTLS of een ondertekende JWT in plaats van een gedeeld geheim. Access tokens zijn gebonden aan de sleutel van de client, zodat een onderschept token voor niemand anders bruikbaar is.

FAPI 1.0 werd in 2021 afgerond en vormde toen al de ruggengraat van open banking in het Verenigd Koninkrijk. FAPI 2.0 vereenvoudigt het recept door het autorisatieverzoek rechtstreeks naar de server te sturen (PAR) en PKCE verplicht te stellen. Brazilië en Australië bouwden hun open-dataregimes op het profiel. In de EU interpreteerden banken PSD2 op eigen houtje, vaak via de Berlin Group.