Sécurité des connectors bancaires : que signifie la DSP2 pour vos données ?

"Dois-je partager mes données bancaires avec un tiers ?" C'est une question que nous entendons souvent. Et c'est compréhensible. Les données de transaction et le solde sont sensibles, souvent des secrets d'entreprise. L'idée qu'une entreprise externe puisse consulter ces données met mal à l'aise, même quand on sait que c'est sécurisé.

D'où cet article. Pas de vagues promesses, mais un aperçu clair de la façon dont la DSP2 protège vos données, de ce qu'un fournisseur de connecteur bancaire peut et ne peut pas faire, et de ce à quoi vous devez faire attention vous-même.

DSP2 : la sécurité comme fondement

La DSP2 n'est pas seulement une norme technique pour les données bancaires, c'est aussi un cadre de sécurité. Le législateur européen a fait de la sécurité un point de départ, et non un détail.

La sécurité de la DSP2 repose sur trois piliers :

Strong Customer Authentication (SCA). Chaque autorisation exige au moins deux facteurs d'authentification. Quelque chose que vous savez (code PIN), quelque chose que vous possédez (téléphone) et quelque chose que vous êtes (empreinte digitale). La même sécurité que celle utilisée par votre banque pour la banque en ligne.

Consentement explicite. Aucun tiers n'obtient d'accès sans que vous donniez activement votre consentement via votre propre environnement bancaire. Vous voyez précisément quels comptes vous partagez et dans quel but.

Accès en lecture seule. Un AISP (Account Information Service Provider) ne peut consulter que les transactions. Il ne peut pas effectuer de paiements, ouvrir des comptes ou consulter les produits bancaires liés.

Que peut et ne peut pas faire un fournisseur ?

Un fournisseur de connecteur bancaire certifié comme iWebDevelopment opère dans des limites strictes. Concrètement, cela revient à ceci :

Ce qui est autorisé :

• Récupérer les données de transaction (date, montant, compte de contrepartie, description)
• Consulter les informations de compte (numéro de compte, solde)
• Transférer les données vers votre comptabilité

Ce qui n'est pas autorisé :

• Effectuer ou initier des paiements
• Stocker ou demander des identifiants de connexion
• Partager des données avec des tiers sans consentement
• Récupérer plus de données que nécessaire pour le service
• Conserver l'accès après le retrait du consentement

Un fournisseur qui opère en dehors de ces limites perd son agrément. L'Autoriteit Financiele Markten (AFM) et De Nederlandsche Bank (DNB) exercent une surveillance active à ce sujet.

Verification of Payee

Depuis 2025, la Verification of Payee (VoP) devient obligatoire dans l'UE dans le cadre de l'Instant Payment Regulation. Il s'agit d'un contrôle nom-IBAN : avant qu'un paiement ne soit effectué, la banque vérifie si le nom du bénéficiaire correspond au numéro IBAN.

Qu'est-ce que cela signifie pour les connecteurs bancaires ? Directement, pas grand-chose. La VoP concerne les paiements, pas la lecture des transactions. Mais indirectement, elle renforce la confiance dans tout l'écosystème. La fraude avec de faux numéros IBAN devient plus difficile. Et chaque couche de sécurité qui rend le trafic bancaire plus fiable rend aussi le partage des données de transaction plus sûr.

Minimisation des données

La DSP2 applique le principe de minimisation des données. Un fournisseur ne peut demander que les données strictement nécessaires au service. Pour un connecteur bancaire vers votre comptabilité, il s'agit des données de transaction, rien de plus.

Seules les données de transaction et de solde des comptes connectés peuvent être récupérées, pas celles d'autres produits liés à ces comptes. Donc aucune information sur un portefeuille d'investissement ou des données hypothécaires. Aucune donnée d'entreprise ou personnelle n'est non plus récupérée au-delà de ce qui est nécessaire à l'identification des transactions.

Chez iWebDevelopment, nous appliquons ce principe de manière cohérente. Nous demandons uniquement les données de transaction et les transmettons à votre logiciel de comptabilité. Nous ne stockons aucune donnée financière sur nos serveurs. Après transmission, les données ne sont pas conservées.

Certification ISO 27001

ISO 27001 est la norme internationale pour la sécurité de l'information. Le certificat couvre non seulement les mesures techniques, mais aussi les processus, l'organisation et la gestion des risques.

Nous sommes certifiés ISO 27001. Cela signifie :

• Des audits externes annuels par un organisme de certification indépendant
• Une politique de sécurité de l'information documentée
• Un inventaire et un traitement des risques
• Des procédures de réponse aux incidents
• Un contrôle d'accès et une gestion des autorisations
• Le chiffrement des données en transit et au repos

Nous faisons également tester notre infrastructure de façon indépendante par des pentests. Pas parce que c'est obligatoire, mais parce que nous voulons savoir où se trouvent les éventuels points faibles avant que quelqu'un d'autre ne les découvre.

PSD3 : la barre monte

L'Union européenne travaille sur la PSD3, le successeur de la PSD2. En novembre 2025, un accord politique a été trouvé. La réglementation PSD3 devrait être adoptée au troisième trimestre de cette année et entrer ainsi en vigueur en 2028.

Les principales améliorations en matière de sécurité :

Parité des données : Les banques doivent offrir via leurs API la même qualité et disponibilité que via leurs propres canaux. Plus d'API allégées ou ralenties. Cela améliore directement la fiabilité des connectors bancaires.

Application plus stricte : Les autorités de contrôle nationales obtiennent davantage de pouvoirs. Les banques qui négligent leurs API ou compliquent l'accès peuvent être sanctionnées plus efficacement.

FIDA (Financial Data Access) : Le principe de l'Open Banking est étendu à d'autres produits financiers : assurances, pensions, investissements. Avec les mêmes normes de sécurité que la PSD2.

Mesures anti-fraude : De nouvelles obligations concernant la prévention du spoofing et de l'ingénierie sociale. Les banques et les prestataires partagent une responsabilité pour prévenir la fraude.

Nous estimons que la PSD3 est une évolution positive pour tous ceux qui travaillent avec des connectors bancaires. Chaque renforcement des normes rend l'écosystème plus fiable.

Liste de contrôle pratique en matière de sécurité pour choisir un prestataire

Malgré une réglementation uniforme, tous les prestataires n'offrent pas les mêmes services et le même niveau de sécurité. Utilisez cette liste de contrôle lors du choix d'un prestataire qui répond à votre standard :

Agrément et enregistrement : Le prestataire (ou son agrégateur) est-il enregistré comme AISP auprès d'une autorité de contrôle européenne ? Vérifiez le registre de l'AFM ou de l'autorité nationale compétente.

Certification : ISO 27001 est la norme minimale. Renseignez-vous aussi sur SOC 2 Type II ou des audits comparables.

Pentesting : Le fournisseur fait-il réaliser des pentests indépendants ? Renseignez-vous sur la fréquence et sur la disponibilité des résultats.

Stockage des données : Où vos données sont-elles stockées ? Les transactions sont-elles conservées sur les serveurs du fournisseur, ou uniquement transmises à votre comptabilité ? Moins de stockage signifie moins de risque.

Chiffrement : TLS 1.2 ou supérieur pour les données en transit. AES-256 ou équivalent pour les données au repos. 

Gestion du consentement : Pouvez-vous voir via votre banque quelles parties ont accès ? Pouvez-vous retirer directement une autorisation ? Un bon fournisseur rend cela transparent.

Réponse aux incidents : Le fournisseur dispose-t-il d'un processus documenté pour les incidents de sécurité ? À quelle vitesse êtes-vous informé en cas de fuite de données ?

Sous-traitants : Le fournisseur utilise-t-il des agrégateurs ou d'autres tiers ? Si oui, sont-ils soumis aux mêmes normes de sécurité ?

Ce que vous pouvez faire vous-même

La sécurité est une responsabilité partagée. En plus de choisir un fournisseur fiable, vous pouvez faire ce qui suit :

Vérifiez régulièrement vos autorisations : Connectez-vous à votre banque et regardez quelles parties ont accès à votre compte. Vous ne reconnaissez pas une partie ? Retirez l'autorisation.

Renouvelez le consentement de façon réfléchie : La DSP2 exige que vous donniez à nouveau votre autorisation tous les 90 jours. N'y voyez pas une contrainte, mais un moment de sécurité. Cela vous oblige à réfléchir aux connectors que vous utilisez activement.

Utilisez une authentification forte : Veillez à ce que votre application bancaire soit à jour et à ce que vos méthodes SCA (empreinte digitale, Face ID, code SMS) soient actives.

Signalez les anomalies : Vous voyez des transactions que vous ne reconnaissez pas dans votre connector bancaire ? Signalez-le à votre fournisseur et à votre banque. Agir vite limite les dommages éventuels.

En résumé

Les connectors bancaires via la DSP2 sont plus sûrs que tous leurs anciens prédécesseurs. Pas de mots de passe partagés, de screen scraping ou de téléchargements avec un accès aux données non contrôlé. Mais à la place : un accès uniforme, réglementé et chiffré à vos données de transaction confidentielles, à l'échelle de l'UE.

Cela n'enlève rien au fait que vous devez rester critique dans le choix de votre fournisseur. La présence d'une certification, la manière dont les données sont stockées et la transparence à ce sujet font la différence. Nous investissons en continu dans la sécurité parce que nous savons que la confiance est à la base de tout ce que nous faisons.

À partir de 7,50 euros par mois, nous proposons un connector bancaire, certifié ISO 27001 et sans stockage de données financières sur nos serveurs. Le connector est opérationnel en quelques minutes.

Vous voulez l'essayer vous-même ? Découvrez notre connector bancaire →