Avant toute intégration, voici les décisions structurantes de notre implémentation. Elles conditionnent la façon dont vous devez construire vos appels.
📋 Lien vers les documents officiels du standard : https://www.stet.eu/en/psd2/
Choix structurants
| Élément | Choix retenu |
|---|---|
| Standard | STET PSD2 API v1.6.3 — spécification française d'implémentation de la directive DSP2 |
| Version OpenAPI | 3.0.x |
| Modèle de consentement | Full-AISP (modèle A1) — voir « Modèle de consentement : Full-AISP (A1) » |
| Approche d'authentification PSU | REDIRECT uniquement — OAuth 2.0 Authorization Code Flow (RFC 6749) |
| Authentification TPP | Certificat eIDAS QWAC présenté en mTLS — pas de client_secret |
| Enregistrement TPP | Dynamic Client Registration (RFC 7591) + Management (RFC 7592) |
| Signature HTTP | draft-cavage-http-signatures, algorithme rsa-sha256 uniquement |
| Digest | SHA-256 (SHA-256=<base64(sha256(body))>, RFC 3230) |
| Format des échanges | JSON (application/json) |
| Navigation | HATEOAS / liens HAL (_links) |
| Pagination | 100 éléments par page maximum |
| Fenêtre de session open-banking | 180 jours (exemption SCA AIS portée de 90 à 180 j, Règlement délégué UE 2022/2360, art. 10a) |
| Durée de vie access token | 15 minutes |
| Refresh token | Offline token glissant à usage unique (rotation à chaque refresh). Idle : 30 jours · durée de vie max : 180 jours (alignée sur la session SCA) |
Modèle de consentement : Full-AISP (A1)
Nous implémentons le modèle A1 de STET (§3.4.3.4) :
- Le consentement détaillé du PSU est géré par l'AISP, pas forwardé à l'ASPSP.
- Au
GET /accounts, nous renvoyons tous les comptes éligibles du PSU, chacun avec ses liens HAL (balances,transactions). - L'AISP utilise ces liens pour accéder aux fonctionnalités souhaitées.
Nous n'implémentons pas le modèle mixte A2 : il n'existe pas d'endpoint PUT /consents de forwarding de consentement détaillé.
Périmètre actuel & limitations
| Fonctionnalité | Statut |
|---|---|
| AISP (comptes, soldes, transactions, bénéficiaires, identité) | ✅ Disponible |
| PISP (initiation de paiement) | 🚧 En cours (à venir) |
| CBPII (vérification de disponibilité de fonds) | 🚧 En cours (à venir) |
Endpoint /overdrafts (découverts) | 🚧 En cours (à venir) |
Consentement détaillé A2 (PUT /consents) | ❌ Non implémenté (modèle A1 uniquement) |
| Approches DECOUPLED / CIBA | ❌ Non supportées (REDIRECT uniquement) |