Банк перестаёт быть монолитом. Директива PSD2, которую Евросоюз принял в 2015 году, вступает в силу в январе 2018-го и заставляет банки открыть программный доступ к счетам клиентов сторонним компаниям. Клиент даёт согласие и финтех-сервис читает выписку или инициирует платёж напрямую, минуя интерфейс банка. Это меняет не маркетинг, а архитектуру: счёт превращается в набор API, а банк – в платформу, на которой строят чужие продукты.

Что именно открывает PSD2

Директива вводит две новые роли. AISP читает данные о счетах – агрегаторы финансов, скоринговые сервисы, бухгалтерия. PISP инициирует платежи без карточной схемы и без посредников вроде эквайринга. Раньше доступ к счёту был привилегией банка; теперь это регулируемое право третьих лиц, и банк обязан его предоставить через защищённый интерфейс.

Технический стандарт пишет EBA в спецификации RTS – она требует строгой аутентификации клиента (SCA) и безопасного канала. Британцы пошли дальше: инициатива Open Banking обязала девять крупнейших банков опубликовать единый открытый стандарт API к началу 2018 года. Это первый случай, когда регулятор диктует не бизнес-правила, а формат REST-эндпоинтов и схему OAuth.

Для России прямого аналога PSD2 пока нет, но вектор очевиден. ЦБ строит Систему быстрых платежей и продвигает единый идентификатор клиента; крупные банки уже публикуют API для партнёров и маркетплейсов. Кто научится отдавать данные через API сейчас, тот не будет переписывать ядро под регулятора потом.

API-экономика: банк как платформа

Открытый API превращает банковскую услугу в товар, который встраивают куда угодно – в учётную систему, в кассу магазина, в мобильное приложение перевозчика. Появляется слой посредников, которые не держат лицензию банка, но владеют клиентским опытом. Банк, который раньше конкурировал отделениями, теперь конкурирует качеством и скоростью своих эндпоинтов.

Архитектурно это означает API-шлюз, версионирование контрактов, квоты и тарификацию вызовов, аудит каждого обращения к данным клиента. Хорошо ложится событийная и бессерверная модель: обработчик платёжного запроса живёт миллисекунды, масштабируется под пик и тарифицируется по факту. Связать ядро банка, внешние API и внутренние сервисы в управляемый контур – отдельная инженерная задача, требующая сквозной интеграции систем с единой схемой контрактов, обработки ошибок и мониторинга.

Риски, которые нельзя отдать на потом

Открытый API – это новая поверхность атаки. Каждый партнёрский токен, каждый плохо ограниченный скоуп OAuth, каждая утечка ключа – путь к деньгам и персональным данным. Безопасность здесь не приложение к проекту, а его несущая стена: строгая аутентификация, шифрование канала, изоляция партнёрских контуров, мониторинг аномального трафика.

Не менее важна устойчивость. Если банк стал платформой, его API – критическая инфраструктура для десятков сторонних сервисов. Падение шлюза останавливает не один интерфейс, а целую экосистему – как массовые сбои показывали и при атаке на DNS-провайдера Dyn, и при облачных авариях. Поэтому резервирование, деградация без полного отказа и независимость от единственной зоны – обязательные требования к проектированию.

Вывод

PSD2 закрепляет то, к чему рынок шёл сам: банк становится набором сервисов, а ценность смещается к тем, кто умеет их собирать. Российским банкам и интеграторам стоит готовить API-слой уже сейчас – не ради соответствия чужой директиве, а потому что открытый, безопасный и устойчивый интерфейс становится условием участия в финтех-рынке. Архитектура, заложенная сегодня, определит, кто будет платформой, а кто – её клиентом.