Open Finance: segurança de APIs além do FAPI

O padrão FAPI (Financial-grade API) define o piso de segurança para participantes do Open Finance — mas o piso regulatório não é o teto de uma arquitetura madura.

O que o FAPI cobre

• Autenticação mútua via certificados (mTLS) para comunicação entre instituições.
• Consentimento explícito do cliente, com escopo e prazo de validade bem definidos.
• Assinatura de requisições para garantir integridade e não-repúdio.

O que fica por conta da arquitetura

Mesmo com o FAPI implementado corretamente, uma instituição precisa endereçar:

1. Revogação em tempo real — quando um consentimento é revogado, o acesso precisa ser bloqueado em segundos, não no próximo ciclo de cache.
2. Rate limiting por consentimento, não apenas por client_id, para evitar que uma integração de terceiro sobrecarregue o compartilhamento de dados de um único cliente.
3. Observabilidade de escopo de dados — auditoria de exatamente quais campos foram acessados, por qual instituição receptora, e quando.

Defesa em profundidade

APIs de Open Finance expõem dados sensíveis de clientes para instituições terceiras. A arquitetura de referência trata cada chamada como potencialmente hostil: validação de esquema rigorosa, sanitização de saída, e um gateway dedicado que isola o tráfego regulatório do tráfego dos canais próprios.

Segurança em Open Finance não é uma checklist de compliance — é um requisito de arquitetura contínuo.