FAPI
Подробнее
- Создатель
- OpenID Foundation
- Тип
- Профиль безопасности для OAuth 2.0
- Официальный сайт
- openid.net
Жёстко ограниченный профиль OAuth 2.0 и OpenID Connect для API, где украденный токен означает украденные деньги.
OAuth 2.0 гибок по замыслу, а гибкость — как раз то, чего банку не нужно. Рабочая группа OpenID Foundation, первоначально назвавшая стандарт Financial API, убрала всё рискованное, а остальное сделала обязательным. Implicit flow запрещён, а клиенты обязаны аутентифицироваться по mTLS или подписанным JWT, а не общим секретом. Токены доступа привязаны к ключу клиента, так что перехваченный токен бесполезен для кого-либо другого.
FAPI 1.0 был завершён в 2021 году и к тому моменту уже служил основой британского open banking. FAPI 2.0 упрощает рецепт: запрос авторизации отправляется прямо на сервер (PAR), а PKCE обязателен. Бразилия и Австралия построили на этом профиле свои режимы открытых данных. В ЕС банки трактовали PSD2 каждый по-своему, нередко через Berlin Group.