FAPI

OAuth 2.0 är medvetet flexibelt, och flexibilitet är just vad en bank inte vill ha. OpenID Foundations arbetsgrupp, som först kallade standarden Financial API, valde därför bort allt riskabelt och gjorde resten obligatoriskt. Implicit flow är förbjudet, och klienten måste autentisera sig med mTLS eller en signerad JWT i stället för ett delat lösenord. Åtkomsttoken binds till klientens nyckel, så att en avlyssnad token inte går att använda av någon annan.

FAPI 1.0 blev klar 2021 och var redan då kärnan i brittisk open banking. FAPI 2.0 förenklar receptet genom att skicka auktoriseringsbegäran direkt till servern (PAR) och kräva PKCE. Brasilien och Australien har byggt sina regelverk för öppna data på profilen. I EU har bankerna tolkat PSD2 på egen hand, ofta via Berlin Group.