Sécurité des connectors bancaires : que signifie la DSP2 pour vos données ?

"Dois-je partager mes coordonnées bancaires avec un tiers ?" C'est la question que nous entendons le plus souvent. C'est compréhensible. Les données de transaction et le solde sont sensibles, souvent des secrets d'affaires. Et l'idée qu'une entreprise externe puisse y jeter un œil est inconfortable, même si vous savez que c'est sûr.

D'où cet article. Pas de promesses vagues, mais un aperçu clair de la façon dont la DSP2 protège vos données, de ce qu'un fournisseur de connecteur bancaire peut et ne peut pas faire, et des points auxquels vous devez vous-même faire attention.

DSP2 : la sécurité comme fondement

La DSP2 n'est pas seulement une norme technique pour les données bancaires. C'est un cadre de sécurité. Le législateur européen a pris la sécurité comme point de départ, pas comme un détail secondaire.

Les trois piliers :

Strong Customer Authentication (SCA). Chaque autorisation exige au moins deux facteurs d'authentification. Quelque chose que vous savez (code PIN), quelque chose que vous avez (téléphone) et quelque chose que vous êtes (empreinte digitale). La même sécurité que votre banque utilise pour la banque en ligne.

Consentement explicite. Aucun tiers n'obtient l'accès sans que vous donniez activement votre consentement via votre propre environnement bancaire. Vous voyez précisément quels comptes vous partagez et dans quel but.

Accès en lecture seule. Un AISP (Account Information Service Provider) ne peut consulter que les transactions. Pas exécuter de paiements, pas déplacer d'argent, pas ouvrir de comptes. Uniquement la lecture.

Que peut et ne peut pas faire un fournisseur ?

C'est ici que cela devient concret. Un fournisseur de connecteur bancaire certifié comme iWebDevelopment opère dans des limites strictes.

Autorisé :

• Récupérer les données de transaction (date, montant, contrepartie, description)
• Demander les informations du compte (numéro de compte, solde)
• Transmettre les données vers votre comptabilité

Non autorisé :

• Exécuter ou initier des paiements
• Enregistrer ou demander des identifiants de connexion
• Partager des données avec des tiers sans consentement
• Récupérer plus de données que nécessaire pour le service
• Conserver l'accès après le retrait du consentement

Un fournisseur qui opère en dehors de ces limites perd son agrément. L'Autorité des marchés financiers (AFM) et la Banque des Pays-Bas (DNB) exercent une surveillance active à ce sujet.

Verification of Payee : une protection supplémentaire depuis octobre 2025

Depuis 2025, la Verification of Payee (VoP) devient obligatoire dans l'UE dans le cadre de l'Instant Payment Regulation. Il s'agit d'un contrôle nom-IBAN : avant qu'un paiement soit exécuté, la banque vérifie si le nom du bénéficiaire correspond au numéro IBAN.

Qu'est-ce que cela signifie pour les connecteurs bancaires ? Directement, pas grand-chose. La VoP concerne les paiements, pas la lecture des transactions. Mais indirectement, elle renforce la confiance dans l'ensemble de l'écosystème. La fraude aux faux numéros IBAN devient plus difficile. Et chaque couche de sécurité qui rend le trafic bancaire plus fiable rend aussi le partage des données de transaction plus sûr.

Minimisation des données : uniquement ce qui est nécessaire

La DSP2 applique le principe de minimisation des données. Un fournisseur ne peut demander que les données strictement nécessaires au service. Pour un connecteur bancaire vers votre comptabilité, ce sont les données de transaction. Rien de plus.

Pas de soldes de comptes d'épargne. Pas de portefeuille d'investissement. Pas de données hypothécaires. Pas de données d'entreprise ou personnelles au-delà de ce qui est nécessaire à l'identification des transactions.

Chez iWebDevelopment, nous appliquons ce principe de manière cohérente. Nous ne demandons que les données de transaction et les transmettons vers votre logiciel comptable. Nous n'enregistrons aucune donnée financière sur nos serveurs. Après transmission, les données ne sont pas conservées.

ISO 27001 : plus qu'un logo

ISO 27001 est la norme internationale pour la sécurité de l'information. Le certificat couvre non seulement les mesures techniques, mais aussi les processus, l'organisation et la gestion des risques.

Nous sommes certifiés ISO 27001. Cela signifie :

• Des audits externes annuels par un organisme de certification indépendant
• Une politique de sécurité de l'information documentée
• Un inventaire et un traitement des risques
• Des procédures de réponse aux incidents
• Un contrôle d'accès et une gestion des autorisations
• Le chiffrement des données en transit et au repos

De plus, nous faisons effectuer des tests d'intrusion indépendants sur notre infrastructure. Non pas parce que c'est obligatoire, mais parce que nous voulons savoir où se situent d'éventuels points faibles avant que quelqu'un d'autre ne les trouve.

DSP3 : la barre monte

L'Union européenne travaille sur la DSP3, le successeur de la DSP2. En novembre 2025, un accord politique a été trouvé. On s'attend à ce que la réglementation DSP3 soit adoptée au troisième trimestre de cette année et entre ainsi en vigueur en 2028.

Les principales améliorations en matière de sécurité :

Parité des données. Les banques doivent offrir via leurs API la même qualité et disponibilité que via leurs propres canaux. Plus d'API allégées ou ralenties. Cela améliore directement la fiabilité des connecteurs bancaires.

Application plus stricte. Les autorités de surveillance nationales obtiennent davantage de pouvoirs. Les banques qui négligent leurs API ou compliquent l'accès peuvent être sanctionnées plus efficacement.

FIDA — Financial Data Access. Le principe de l'Open Banking est étendu à d'autres produits financiers : assurances, retraites, investissements. Avec les mêmes normes de sécurité que la DSP2.

Mesures anti-fraude. De nouvelles obligations concernant la prévention du spoofing et de l'ingénierie sociale. Les banques et les fournisseurs se voient confier une responsabilité partagée pour prévenir la fraude.

Nous estimons que la DSP3 est une évolution positive pour tous ceux qui travaillent avec des connecteurs bancaires. Chaque renforcement des normes rend l'écosystème plus fiable.

Liste de contrôle pratique de sécurité pour le choix d'un fournisseur

Tous les fournisseurs ne se valent pas. Utilisez cette liste de contrôle lors de votre choix :

Agrément et enregistrement. Le fournisseur (ou son agrégateur) est-il enregistré comme AISP auprès d'une autorité de surveillance européenne ? Vérifiez le registre de l'AFM ou de l'autorité nationale compétente.

Certification. ISO 27001 est la norme minimale. Renseignez-vous aussi sur SOC 2 Type II ou des audits comparables.

Tests d'intrusion. Le fournisseur fait-il réaliser des tests d'intrusion indépendants ? Renseignez-vous sur la fréquence et sur la disponibilité des résultats.

Stockage des données. Où vos données sont-elles stockées ? Les transactions sont-elles conservées sur les serveurs du fournisseur, ou uniquement transmises vers votre comptabilité ? Moins de stockage signifie moins de risque.

Chiffrement. TLS 1.2 ou supérieur pour les données en transit. AES-256 ou équivalent pour les données au repos. Ce point n'est pas négociable.

Gestion du consentement. Pouvez-vous voir via votre banque quelles parties ont accès ? Pouvez-vous retirer le consentement directement ? Un bon fournisseur rend cela transparent.

Réponse aux incidents. Le fournisseur dispose-t-il d'un processus documenté pour les incidents de sécurité ? À quelle vitesse êtes-vous informé en cas de fuite de données ?

Sous-traitants. Le fournisseur utilise-t-il des agrégateurs ou d'autres tiers ? Si oui, sont-ils soumis aux mêmes normes de sécurité ?

Ce que vous pouvez faire vous-même

La sécurité est une responsabilité partagée. Outre le choix d'un fournisseur fiable, vous pouvez vous-même faire ce qui suit :

Vérifiez régulièrement vos autorisations. Connectez-vous à votre banque et regardez quelles parties ont accès à votre compte. Vous ne reconnaissez pas une partie ? Retirez le consentement.

Renouvelez le consentement consciemment. La DSP2 exige que vous donniez à nouveau votre consentement tous les 90 jours. Ne voyez pas cela comme une contrainte, mais comme un moment de sécurité. Cela vous oblige à réfléchir aux connecteurs que vous utilisez activement.

Utilisez une authentification forte. Assurez-vous que votre application bancaire est à jour et que vos méthodes SCA (empreinte digitale, Face ID, code SMS) sont actives.

Signalez les anomalies. Vous voyez des transactions que vous ne reconnaissez pas dans votre connecteur bancaire ? Signalez-le à votre fournisseur et à votre banque. Agir vite limite les éventuels dommages.

En résumé

Les connecteurs bancaires via la DSP2 sont plus sûrs que tout ce qui a précédé. Pas de mots de passe partagés, pas de screen scraping, pas d'accès aux données non contrôlé. À la place : un accès en lecture seule réglementé par l'UE, chiffré et explicitement autorisé.

Cela n'empêche pas que vous deviez rester critique dans votre choix de fournisseur. Certification, stockage des données, transparence. Cela compte. Nous investissons en permanence dans la sécurité parce que nous savons que la confiance est la base de tout ce que nous faisons.

À partir de 7,50 euros par mois. Certifié ISO 27001. Aucune donnée financière sur nos serveurs. Opérationnel en une journée.

Vous voulez l'essayer vous-même ? Découvrez notre connecteur bancaire →