🔗 Open banking et pay-by-bank

De la DSP2 à l'open banking

L'open banking désigne l'ouverture, imposée par la réglementation européenne, des comptes de paiement à des tiers agréés. La banque doit exposer des API par lesquelles un tiers consulte les comptes du client ou initie des paiements, avec son consentement. Ce droit d'accès vient de la DSP2 (directive 2015/2366, applicable depuis janvier 2018, API obligatoires depuis septembre 2019). Avant elle, les agrégateurs « scrappaient » les espaces bancaires en ligne avec les identifiants de leurs clients, dans une zone grise juridique. La directive a substitué à ce procédé un accès encadré. Le tiers s'y identifie auprès de la banque. Le client ne confie plus ses identifiants qu'à celle-ci.

Les API DSP2 sous le capot

L'accès aux comptes prévu par la DSP2 passe par une interface que chaque banque définit elle-même, dans le cadre fixé par les RTS (règlement délégué 2018/389), la directive n'ayant imposé aucun standard technique unique. Deux initiatives de place ont limité la fragmentation qui en résulte, le Berlin Group (NextGenPSD2), dominant en Europe, et STET en France. Les TPP s'identifient par des certificats eIDAS (QWAC/QSEAL). Chaque appel est tracé. La qualité hétérogène des API bancaires reste le principal point de friction du secteur, entre disponibilité inégale, documentation variable et parcours d'authentification qui diffèrent d'une banque à l'autre. Le futur paquet DSP3/PSR en fait l'un de ses chantiers.

• Consentement AIS : valable 180 jours renouvelables (allongé de 90 à 180 jours en 2023 par la révision des RTS, pour réduire la friction).
• SCA systématique pour l'initiation de paiement : le client s'authentifie auprès de sa banque (app-to-app ou redirection web), jamais auprès du TPP.
• Exemption de SCA possible en consultation : après la première authentification, la banque peut laisser l'AISP rafraîchir les données jusqu'à 4 fois par jour sans SCA.
• Interface de secours (fallback) : exigée sauf exemption accordée par le superviseur si l'API atteint le niveau de qualité requis.
• Pas de contrat obligatoire entre banque et TPP : l'accès est un droit réglementaire, gratuit, dans la limite des données des comptes de paiement accessibles en ligne.

POST /v1/payments/sepa-credit-transfers
X-Request-ID: 5e3d02b1-9c4a-4f7e-b0aa-1d2f6a9c1e77
TPP-Redirect-URI: https://checkout.marchand.fr/retour-psu
Content-Type: application/json

{
  "instructedAmount": { "currency": "EUR", "amount": "128.40" },
  "debtorAccount": null,
  "creditorName": "Boutique SAS",
  "creditorAccount": { "iban": "FR7630001007941234567890185" },
  "remittanceInformationUnstructured": "Commande CMD-84512"
}

HTTP/1.1 201 Created
{
  "transactionStatus": "RCVD",
  "paymentId": "pmt-7f21c",
  "_links": {
    "scaRedirect": { "href": "https://banque-du-client.fr/sca/pmt-7f21c" },
    "status": { "href": "/v1/payments/sepa-credit-transfers/pmt-7f21c/status" }
  }
}

Le parcours d'un paiement pay-by-bank

Deux points distinguent ce parcours d'un paiement par carte. Le premier porte sur le statut, la DSP2 garantissant au PISP l'information sur l'initiation du paiement, pas toujours sur son règlement final. Avec le SCT classique, un délai subsistait entre « accepté » et « crédité », pendant lequel le marchand ne savait pas si les fonds étaient arrivés. Le basculement au virement instantané résout ce point. Le statut final tombe en quelques secondes. Le second tient à l'irrévocabilité, un virement exécuté ne pouvant pas être « chargebacké ». Le marchand n'a donc pas d'impayés à provisionner, tandis que le consommateur ne dispose d'aucun recours auprès d'un scheme en cas de litige commercial.

La vérification du bénéficiaire (Verification of Payee, VoP) est obligatoire depuis le 9 octobre 2025 pour les virements en euros, et ajoute au dispositif un contrôle anti-fraude. Avant validation, la banque du payeur vérifie la correspondance entre le nom du bénéficiaire et l'IBAN et affiche le résultat : concordance, concordance approchée, discordance. Dans le pay-by-bank marchand, où l'IBAN est pré-rempli par le PISP, la VoP signale au payeur toute discordance entre cet IBAN et le nom du marchand annoncé, ce qui réduit la fraude au faux RIB, fréquente dans les règlements B2B.

Pay-by-bank contre carte : le match

• Là où le pay-by-bank gagne déjà : gros montants (voyage, ameublement, automobile), recharge de comptes (trading, iGaming), factures et impôts, B2B, secteurs à MSC élevé.
• Là où la carte reste reine : petits paniers à fort taux de conversion, abonnements, voyage avec cautions, contextes où la protection porteur est décisive.
• Le facteur culturel : les Pays-Bas (iDEAL, désormais dans le giron de Wero/EPI) et la Pologne (BLIK) prouvent qu'un A2A bien intégré peut dominer un marché e-commerce national.

Acteurs et marchés

Le rachat de Tink par Visa et d'Aiia par Mastercard traduit une même orientation chez les deux schemes. Plutôt que de subir la montée de l'A2A, chacun acquiert une infrastructure d'accès aux comptes et vend ce service quel que soit le rail gagnant. L'initiative Wero (EPI), née du wallet interbancaire, s'étend au e-commerce depuis fin 2025, avec un A2A paneuropéen de compte à compte adossé au virement instantané généralisé. L'absorption d'iDEAL par EPI et sa migration vers Wero illustrent la consolidation en cours de l'A2A européen.

FIDA, DSP3/PSR : la suite du feuilleton

En juin 2023, la Commission européenne a proposé un triptyque. La DSP3 est une directive, consacrée aux agréments et à la supervision, qui devra donc être transposée par chaque État membre. Le PSR est un règlement sur les services de paiement, aux règles directement applicables, dont celles de l'open banking. FIDA (Financial Data Access) étend l'accès aux données au-delà des comptes de paiement : épargne, crédit, assurance, investissement, ce que l'on nomme l'« open finance ». Le Parlement et le Conseil ont conclu un accord politique sur la DSP3 et le PSR le 27 novembre 2025, et leur adoption formelle est en cours en 2026. FIDA reste en négociation. L'application de la DSP3 et du PSR n'est pas attendue avant le second semestre 2028, celle de FIDA plus tard encore.

• Fusion des statuts : les EME sont absorbés dans le statut d'établissement de paiement ; toilettage des agréments.
• Open banking musclé : interfaces dédiées obligatoires avec exigences de performance, tableaux de bord de gestion des consentements (« permission dashboards ») chez les banques, fin des obstacles injustifiés.
• Anti-fraude : généralisation de la vérification bénéficiaire, partage de données de fraude entre PSP, extension des remboursements aux victimes de fraude par usurpation (spoofing).
• Accès aux comptes techniques : droit pour les EP/EME d'obtenir un compte auprès des banques (le « de-risking » bancaire des fintechs devient encadré).
• FIDA : schémas de partage de données financières avec compensation possible des banques, là où la DSP2 imposait la gratuité, un changement de modèle économique majeur.