FAPI

OAuth 2.0 jest elastyczny z założenia, a elastyczność to dokładnie to, czego bank nie chce. Grupa robocza OpenID Foundation, która pierwotnie nazwała standard Financial API, usunęła więc wszystko ryzykowne, a resztę uczyniła obowiązkową. Przepływ implicit jest zakazany, a klienci muszą uwierzytelniać się przez mTLS lub podpisany JWT, a nie wspólny sekret. Tokeny dostępu są powiązane z kluczem klienta, więc przechwycony token jest dla kogokolwiek innego bezużyteczny.

FAPI 1.0 sfinalizowano w 2021 roku, a wtedy było już kręgosłupem brytyjskiego open bankingu. FAPI 2.0 upraszcza przepis, przesyłając żądanie autoryzacji prosto do serwera (PAR) i wymagając PKCE. Brazylia i Australia oparły na tym profilu swoje reżimy otwartych danych. W UE banki interpretowały PSD2 po swojemu, często przez Berlin Group.