En 2018, l'Union européenne a modifié les règles du jeu bancaire. Avec l'entrée en vigueur de la DSP2, la directive révisée sur les services de paiement, les banques ont été obligées de partager leurs données via des API sécurisées. Pas avec tout le monde, mais avec des tiers certifiés à qui vous donnez, en tant que client, une autorisation explicite.
Cela paraît technique. Mais la conséquence est très concrète : vos transactions bancaires peuvent désormais arriver automatiquement et en toute sécurité dans votre comptabilité, sans que vous ayez à télécharger des fichiers ou à effectuer un import manuel. C'est l'Open Banking.
DSP2 signifie Directive sur les Services de Paiement 2. Il s'agit d'un règlement européen entré en vigueur en janvier 2018. L'essentiel : si vous en faites le choix, les banques doivent donner accès à vos données de transactions à des tiers enregistrés.
Ces tiers s'appellent les AISP : Account Information Service Providers. Ils peuvent consulter vos transactions, mais ne peuvent pas effectuer de paiements ni déplacer de l'argent. De la lecture pure, pas d'écriture.
94 % des banques européennes sont désormais conformes à la DSP2. Dans le monde entier, les API d'Open Banking traitent plus de 137 milliards d'appels par an (2025). Ce n'est plus une expérience. C'est la norme.
Le processus est étonnamment simple. Trois étapes :
Étape 1 : Donner l'autorisation. Vous autorisez, via l'application de votre banque ou votre banque en ligne, une partie précise à consulter vos transactions. C'est ce qu'on appelle le « consent ». Vous voyez exactement quels comptes et quelles données vous partagez.
Étape 2 : Connexion sécurisée. L'AISP établit une connexion chiffrée via l'API de la banque. Aucun mot de passe n'est partagé. L'authentification passe par la Strong Customer Authentication (SCA), pensez à l'application de votre banque, à votre empreinte digitale ou à un code SMS.
Étape 3 : Synchronisation automatique. Les transactions arrivent via l'API. Selon votre banque et votre fournisseur, cela se produit plusieurs fois par jour. Les données vont directement dans votre comptabilité.
Voilà. Pas de fichiers à télécharger, pas d'upload manuel, pas de MT940.
Avant la DSP2, il existait des services qui utilisaient le « screen scraping ». Ils se connectaient littéralement à votre banque en ligne avec vos identifiants et lisaient la page. Efficace, mais risqué : un tiers avait votre mot de passe.
La DSP2 y met définitivement un terme. Les différences sont fondamentales :
| Caractéristique | Screen scraping | DSP2 Open Banking |
|---|---|---|
| Partage des identifiants | Oui, complet | Non, jamais |
| Authentification | Via un tiers | Via votre propre banque (SCA) |
| Autorisation | Implicite | Explicite par compte |
| Réglementation | Aucune | Législation UE + contrôle |
| Révocable | Difficilement | Directement via votre banque |
| Accès en lecture | Tout | Uniquement ce que vous partagez |
Le screen scraping est désormais interdit dans l'UE pour les services de paiement. La DSP2 le remplace par un système qui prend la confidentialité et la sécurité comme point de départ.
La SCA est peut-être bien l'élément le plus important de la DSP2. À chaque nouvelle autorisation, et tous les 90 jours pour le renouvellement, vous devez vous identifier avec au moins deux de ces trois facteurs :
C'est la même sécurité que votre banque utilise pour la banque en ligne. Aucun compromis.
L'un des aspects les plus puissants de l'Open Banking est l'échelle. Comme la DSP2 est une norme européenne, elle s'applique aux banques de tous les États membres de l'UE. Plus le Royaume-Uni, qui a sa propre norme Open Banking compatible.
Pour les Pays-Bas, cela signifie qu'ABN AMRO, ING, Rabobank et toutes les autres banques agréées proposent une API DSP2. Mais cela va plus loin. Via des agrégateurs spécialisés, des parties qui maintiennent la connexion avec des centaines de banques, vous pouvez aussi connecter des banques belges, allemandes, espagnoles, françaises, britanniques et d'autres banques européennes.
Via notre plateforme, nous offrons l'accès à plus de 1 800 banques. C'est pertinent si vous opérez à l'international, si vous avez des clients étrangers ou si vous détenez simplement un compte dans une banque hors des Pays-Bas.
Toutes les données qui circulent via les API DSP2 sont chiffrées, aussi bien pendant le transport (TLS 1.2+) qu'au repos. Mais un principe de minimisation des données s'applique également : un AISP ne peut demander que les données nécessaires au service.
Concrètement, il s'agit de données de transactions : date, montant, compte tiers, description. Pas de soldes de comptes d'épargne, pas de portefeuille de placements, pas de données personnelles au-delà de ce qui est strictement nécessaire.
Chez iWebDevelopment, nous allons plus loin : nous ne stockons aucune donnée financière. Les transactions sont transmises à votre comptabilité et ne sont pas conservées sur nos serveurs. Notre infrastructure est certifiée ISO 27001 et fait l'objet de tests d'intrusion indépendants.
L'Union européenne travaille sur la DSP3, le successeur de la DSP2. En novembre 2025, le Parlement européen et le Conseil sont parvenus à un accord politique sur le nouveau cadre réglementaire. La DSP3 devrait entrer en vigueur au second semestre 2027 ou début 2028.
Qu'est-ce qui change ? Les principales améliorations :
Parité des données. Les banques doivent offrir, via leurs API, la même qualité et la même rapidité que via leurs propres canaux. Fini les API allégées.
FIDA — Financial Data Access. Une extension de l'Open Banking à d'autres produits financiers : assurances, pensions, prêts hypothécaires. La portée s'élargit.
Application plus stricte. Les autorités de contrôle nationales obtiennent davantage de pouvoirs pour sanctionner les banques qui négligent leurs API.
Prévention de la fraude. De nouvelles mesures contre le spoofing et le social engineering, dont la Verification of Payee obligatoire (déjà obligatoire depuis octobre 2025 dans le cadre de l'Instant Payment Regulation).
Notre expérience est que chaque mise à jour de la DSP renforce la position des AISP. La DSP2 a rendu l'Open Banking possible. La DSP3 le rend plus fiable et plus large.
Si vous importez encore manuellement des fichiers MT940, la DSP2 est le remplacement logique. C'est plus sûr (pas de partage de mots de passe), plus rapide (automatique, plusieurs fois par jour) et pérenne (réglementé par l'UE, la DSP3 est en approche).
La transition ne prend pas des semaines. Chez nous, vous êtes opérationnel en une journée. Vous donnez l'autorisation via votre banque, vous choisissez quels comptes vous voulez connecter, et les transactions arrivent automatiquement dans Exact Online, Twinfield ou AFAS.
Pas de fichiers. Pas de travail manuel. Mais un contrôle total sur qui peut voir quoi.
Vous voulez l'essayer vous-même ? Découvrez notre connector bancaire →