Чи безпечно підключати банківський рахунок до фінансового застосунку?

Хвилюєшся, що прив'яжеш банківський рахунок до фінансового застосунку? Тут я розповім докладно, що саме відбувається, коли ти підключаєшся, до яких даних є доступ і як зрозуміти, чи можна довіряти застосунку.

Мені це питання ставлять часто. І я розумію, чому — особливо від людей, які переїхали до США і місяцями обережно будували там свою фінансову присутність. Відкрили банківський рахунок, отримали першу кредитну картку, налаштували прямий депозит. Усе це здається крихким. Остання річ, якої тобі хочеться, — це віддати все це якомусь застосунку.

Тож я дам тобі пряму відповідь, а не маркетингову.

Що насправді відбувається під капотом

Коли ти підключаєш свій банк до YPA Finance, ти не віддаєш нам свій пароль. Це працює не так.

Ми використовуємо Plaid — сервіс банківського підключення, яким користуються Venmo, Robinhood, Coinbase і тисячі інших застосунків. Ось що Plaid насправді робить: з більшістю великих банків США він відкриває рідний екран входу твого банку (не наш), і ти авторизуєшся безпосередньо там — це називається OAuth. Твої облікові дані йдуть у твій банк. Ми їх ніколи не бачимо й ніколи не зберігаємо. Ми отримуємо токен лише для читання — по суті, обмежений дозвіл, який каже: «ця людина дозволила вам читати її баланси та транзакції».

Цей токен не може рухати гроші. Він не може ініціювати перекази. Він не може нічого, крім як давати нам читати дані — ті самі дані, які ти б побачила, якби зайшла в банк сама.

Ти можеш відкликати його будь-коли. З нашого застосунку або прямо в налаштуваннях безпеки свого банку.

Що ми насправді бачимо

Коли ти підключаєшся, YPA Finance може отримати доступ до:

І все. Ми не бачимо твій повний номер рахунку, твій SSN або ITIN і твої облікові дані для входу. Ми не маємо жодної можливості рухати чи знімати гроші. Ніколи.

Хочу бути дуже конкретною, тому що саме такі деталі більшість застосунків ховає в свою політику конфіденційності.

Як перевірити, чи можна довіряти фінансовому застосунку

Я б застосувала той самий чек-лист, який використовую, коли оцінюю сторонні інструменти для нашої власної інфраструктури:

Чи використовують вони справжнього провайдера банківського підключення? Plaid, MX, Finicity — це регульовані, аудитовані сервіси. Якщо застосунок безпосередньо просить у тебе справжні банківські облікові дані, закривай його.

Підключення лише для читання? У застосунку для бюджету немає жодних законних причин ініціювати перекази. Якщо він просить такий дозвіл, щось не так.

Чи є в них сторінка безпеки? Не розмитий абзац у стилі «ми серйозно ставимося до безпеки», а справжня сторінка зі стандартами шифрування, статусом відповідності та політикою зберігання даних. Якщо її немає, вони сподіваються, що ти не спитаєш.

Чи продають вони твої дані? Це має бути заявлено прямо. «Ми не продаємо твої фінансові дані». Якщо політика конфіденційності ухиляється від цього пункту, це і є твоя відповідь.

Який стандарт шифрування? AES-256 для даних у стані спокою, TLS 1.3 для передачі. Це ті самі стандарти, які використовують великі банки США.

Що ми робимо в YPA Finance

Я вже казала це й казатиму далі: у фінтеху довіра — це не маркетинговий слоган, це архітектура. Ось як це виглядає на практиці:

Ми використовуємо з'єднання Plaid лише для читання. Твої облікові дані ніколи не потрапляють у наші системи. Дані шифруються з AES-256 у стані спокою та під час передачі. Ми не зберігаємо твій SSN або ITIN. Ми не продаємо твоїх даних — ні рекламодавцям, ні брокерам даних, нікому. Наша інфраструктура працює на Google Cloud з архітектурою нульової довіри й моніториться 24/7.

Наразі ми рухаємося до сертифікації SOC 2 Type II — процес уже запущено. А тим часом наші заходи безпеки вибудувані відповідно до стандартів SOC 2.

Повну картину можна побачити на нашій Security page, якщо хочеш копнути глибше.

Підсумок

Підключити свій банк до застосунку з хорошою репутацією — безпечно. Статистично це безпечніше, ніж заходити в свій банк через готельний Wi-Fi. Технологія була спеціально розроблена, щоб вирішити проблему з обліковими даними.

Ризик не в самому акті підключення. Ризик — підключитися не до того застосунку, який недбало поводиться з твоїми обліковими даними, неправильно шифрує або продає твої дані третім особам.

Витрать дві хвилини на сторінку безпеки застосунку, перш ніж щось підключати. Якщо її немає або це три речення маркетингового тексту, проходь повз.

---

Світлана Бурнінова — співзасновниця і CTO YPA Finance. Вона має 15 років у фінансових системах і 7 років в інфраструктурі, має сертифікати AWS, CKA, CKAD і HashiCorp Terraform.