Como integrar banco digital com Open Finance no Brasil

Ultima atualizacao: 6 de agosto de 2026

Principais lições deste artigo

• O Open Finance permite centralizar dados de múltiplas contas bancárias em uma única interface, o que elimina processos manuais de conciliação.
• Antes de integrar, a instituição precisa obter credenciamento no Banco Central, certificação FAPI e estar em conformidade com a LGPD.
• Fintechs em fase inicial tendem a obter melhor resultado ao usar um agregador para reduzir tempo e complexidade de implementação.
• O fluxo de consentimento OAuth/FAPI exige certificados mTLS, PKCE e escopos mínimos de dados conforme a exigência regulatória.
• Para experimentar o Open Finance na prática sem implementar nada, abra sua conta grátis no Jota pelo WhatsApp.

Pré-requisitos antes de começar

Qualquer integração com Open Finance começa pelo atendimento a três condições básicas.

1. Credenciamento no Banco Central: a instituição precisa ser autorizada pelo Bacen como participante obrigatório, como bancos, financeiras e corretoras, ou como participante voluntário, como fintechs de crédito e instituições de pagamento. O credenciamento ocorre no Portal do Cidadão e exige envio de documentação societária, comprovação de capacidade técnica e adesão ao Diretório de Participantes do Open Finance Brasil.
2. Certificação técnica: a instituição precisa obter certificados digitais ICP-Brasil, em especial para mTLS, para garantir comunicação segura entre sistemas. Com os certificados emitidos, a equipe registra os endpoints no Diretório de Participantes, o que permite que outras instituições descubram e confiem nos serviços expostos. Em seguida, todos os servidores de autorização passam por certificação no perfil FAPI 1.0 Advanced, com auditoria feita por laboratório credenciado, o que comprova o atendimento aos requisitos de segurança.
3. Conformidade com a LGPD: o compartilhamento de dados de clientes exige base legal explícita, normalmente por consentimento. A instituição precisa manter política de privacidade atualizada, designar um DPO e oferecer mecanismos de revogação de consentimento em tempo real.

Passo a passo: 7 etapas para a integração

Depois de cumprir os pré-requisitos, a integração técnica segue sete etapas que vão da definição do escopo regulatório até a passagem para produção. Cada etapa se apoia na anterior e forma um caminho completo de implementação.

1. Entenda a diferença entre Open Banking e Open Finance

Open Banking, na definição original do Bacen nas fases 1 e 2 em 2021, limitava o escopo ao compartilhamento de dados de produtos bancários e de clientes de instituições financeiras tradicionais. Open Finance amplia esse escopo para incluir seguros, previdência, câmbio e investimentos, além de permitir iniciação de pagamentos e encaminhamento de propostas de crédito. Para fins de integração técnica, isso significa um conjunto maior de APIs disponíveis e necessidade de declarar escopos OAuth com mais granularidade.

2. Requisitos regulatórios e credenciamento

O processo de credenciamento segue quatro passos principais que estruturam a participação da instituição no ecossistema.

1. Solicitar autorização de funcionamento ou adesão voluntária ao Bacen.
2. Registrar a instituição no Diretório de Participantes do Open Finance Brasil e obter um organisation_id único.
3. Emitir certificados de transporte, para mTLS, e de assinatura, para JWT, por meio de autoridade certificadora credenciada.
4. Publicar o arquivo well-known de descoberta OpenID Connect no domínio da instituição para permitir que outros participantes descubram as configurações de autenticação.

Atenção: instituições que operam como participantes indiretos por meio de um agregador não precisam de credenciamento próprio no Bacen, mas assumem responsabilidade contratual pelo uso correto dos dados.

3. Escolha entre participação direta ou agregador

A participação direta oferece controle total sobre os dados e menor dependência de terceiros, porém exige equipe técnica dedicada, infraestrutura certificada e tempo médio de implementação entre 6 e 12 meses. O uso de um agregador, como Pluggy, Belvo ou Quanto, reduz o tempo para algo entre 4 e 8 semanas e transfere a maior parte da complexidade regulatória para o parceiro, em troca de uma taxa por chamada de API ou por usuário ativo.

Para fintechs em estágio inicial ou produtos que precisam chegar rápido ao mercado, o agregador costuma ser a escolha mais eficiente. Para instituições que já possuem licença Bacen e volume alto de requisições, a participação direta tende a ser mais econômica no longo prazo.

4. Configure o ambiente sandbox e obtenha certificação

O Open Finance Brasil mantém um ambiente de sandbox público com dados sintéticos que permite validar a implementação antes de expor dados reais.

1. Acessar o portal de sandbox do Open Finance Brasil e criar uma aplicação de teste.
2. Configurar o servidor de autorização com suporte a PKCE e pushed authorization requests, também conhecido como PAR.
3. Executar os testes de conformidade do perfil FAPI 1.0 Advanced usando a suíte da OpenID Foundation.
4. Submeter o relatório de conformidade ao Diretório de Participantes para habilitar o ambiente de produção.

Dica prática: use a ferramenta conformance-suite da OpenID Foundation em modo headless para automatizar os testes de certificação no pipeline de CI/CD.

5. Implemente o fluxo de consentimento OAuth/FAPI

O fluxo de consentimento segue o padrão Authorization Code Flow com PKCE e mTLS, o que garante autenticação forte e proteção contra interceptação de código.

Veja um exemplo simplificado de requisição de consentimento.

POST /consents/v3/consents Authorization: Bearer {access_token} Content-Type: application/json { "data": { "loggedUser": { "document": { "identification": "11111111111", "rel": "CPF" } }, "permissions": ["ACCOUNTS_READ", "ACCOUNTS_BALANCES_READ", "PAYMENTS_INITIATE"], "expirationDateTime": "2026-12-31T23:59:59Z" } }

A resposta retorna um consentId que precisa ser armazenado e associado ao usuário. Em seguida, o cliente é redirecionado para a instituição detentora dos dados para autenticação e aprovação. Após o callback, o servidor de autorização emite um access_token vinculado ao escopo aprovado.

Erro comum: solicitar permissões além do necessário para o caso de uso. O Bacen exige o princípio da minimização de dados, portanto declare apenas os escopos estritamente necessários para a funcionalidade oferecida ao usuário.

Veja o fluxo de consentimento OAuth/FAPI em ação e conecte suas contas no Jota pelo WhatsApp.

6. Consuma as APIs principais

As APIs mais utilizadas em integrações de gestão financeira concentram-se em saldo, extrato e iniciação de pagamento.

• Saldo: GET /accounts/v2/accounts/{accountId}/balances, que retorna saldo disponível, saldo bloqueado e limite de crédito.
• Extrato: GET /accounts/v2/accounts/{accountId}/transactions, que aceita filtros de data, como fromBookingDate e toBookingDate, e paginação via cursor.
• Iniciação de pagamento: POST /payments/v4/pix/payments, que requer consentimento específico de pagamento com valor e beneficiário declarados no momento da criação do consentimento.

Dica prática: implemente cache com TTL de 15 minutos para chamadas de saldo e extrato. As APIs do Open Finance têm limites de taxa por consentId, e o excesso de chamadas gera erro 429 e pode suspender temporariamente o acesso.

7. Testes em homologação e passagem para produção

A passagem para produção depende de uma rodada final de testes em ambiente de homologação com usuários reais.

• Validar todos os fluxos de consentimento com usuários reais no ambiente de homologação.
• Testar a revogação de consentimento e garantir que os dados sejam descartados em até 24 horas.
• Verificar a rotação automática de certificados mTLS, que têm validade máxima de 1 ano.
• Confirmar que os logs de acesso estejam sendo armazenados por no mínimo 5 anos, conforme exigência do Bacen.
• Realizar pentest externo e documentar os resultados para auditoria regulatória.

Checklist de validação pós-integração

• Credenciais registradas no Diretório de Participantes com status ativo.
• Certificados mTLS e de assinatura válidos, com renovação automatizada.
• Fluxo de consentimento auditado e em conformidade com a LGPD.
• Rate limiting implementado no lado do consumidor.
• Monitoramento de disponibilidade das APIs com meta de SLA mínimo de 99,5% exigida pelo Bacen.
• Processo de revogação de consentimento testado e funcional.

Variações para diferentes perfis de instituição

Fintechs com licença de Instituição de Pagamento podem participar como receptoras de dados sem necessidade de expor APIs próprias na fase inicial, o que reduz o escopo de implementação. Bancos digitais com licença plena precisam implementar tanto o papel de transmissor quanto o de receptor. Startups sem licença própria devem operar exclusivamente por meio de um agregador certificado e assumem responsabilidade contratual pelo uso dos dados perante o parceiro regulado.

Boas práticas de manutenção e próximos passos

A operação contínua em Open Finance depende de manutenção ativa da integração e acompanhamento das mudanças regulatórias.

• Acompanhamento de versões: monitorar o repositório oficial do Open Finance Brasil no GitHub para identificar atualizações de versão das APIs e planejar migrações.
• Gestão de certificados: automatizar a renovação de certificados com antecedência mínima de 30 dias para evitar interrupções de serviço.
• Revisão de escopos: revisar os escopos de consentimento a cada novo produto lançado para manter aderência ao princípio de minimização de dados.
• Monitoramento de erros: implementar alertas para erros 4xx e 5xx nas chamadas de API, com tratamento de falhas que preserve a experiência do usuário final.

O Jota é um exemplo prático de como o Open Finance pode ser usado diretamente pelo consumidor final. O assistente financeiro com conta digital conecta diversas contas bancárias em um único chat no WhatsApp, o que permite visualizar saldo consolidado, acessar extratos e executar tarefas financeiras sem abrir nenhum app de banco. O saldo na conta digital do Jota ainda gera rendimento automático de 100% do CDI, sem IOF.

Perguntas frequentes

Quanto tempo leva para integrar ao Open Finance no Brasil?

O tempo de integração varia conforme o modelo escolhido. Com uso de agregador, uma integração funcional costuma ser concluída em 4 a 8 semanas, considerando o desenvolvimento do fluxo de consentimento, os testes e a homologação. A participação direta como transmissor ou receptor de dados exige entre 6 e 12 meses, incluindo o processo de credenciamento no Bacen, a certificação FAPI e os testes de conformidade. Instituições que já possuem infraestrutura de identidade e autenticação robusta tendem a reduzir esse prazo em até 30%.

Quais são os custos envolvidos na integração?

Os custos variam de forma significativa entre os dois modelos de participação. Na participação direta, os principais itens de custo incluem emissão e renovação de certificados ICP-Brasil, infraestrutura de servidor de autorização certificado, equipe técnica especializada e auditorias de conformidade. Com uso de agregador, o modelo de precificação costuma ser por chamada de API ou por usuário ativo por mês, com planos que variam de algumas centenas a alguns milhares de reais mensais, dependendo do volume. Em ambos os casos, o Bacen não cobra taxa para participação no ecossistema.

Como funciona a segurança no Open Finance?

O Open Finance Brasil adota o perfil FAPI 1.0 Advanced, que exige autenticação mútua via mTLS, assinatura de mensagens com JWS e uso obrigatório de PKCE no fluxo de autorização. Todo consentimento é explícito, granular e revogável pelo usuário a qualquer momento. Os dados trafegam exclusivamente sobre TLS 1.2 ou superior, e as instituições são obrigadas a manter logs de acesso por no mínimo 5 anos. O Bacen realiza auditorias periódicas e pode suspender participantes que descumpram os requisitos de segurança.

Qual é a diferença prática entre Open Banking e Open Finance para quem vai integrar?

Para quem desenvolve a integração, a diferença principal está no escopo das APIs disponíveis e nos tipos de consentimento necessários. O Open Banking original cobria apenas dados bancários, como contas, cartões e crédito. O Open Finance expande para seguros, previdência, câmbio e investimentos, além de incluir a iniciação de pagamentos e o encaminhamento de propostas de crédito. Na prática, um produto construído sobre Open Finance pode oferecer uma visão financeira mais completa do usuário, mas também precisa gerenciar um conjunto maior de escopos e tratar dados de mais tipos de instituições.

O Jota usa Open Finance? Como isso funciona para o usuário final?

Sim. O Jota é um assistente financeiro com conta digital que utiliza o Open Finance para conectar as contas bancárias do usuário em um único chat no WhatsApp. Após autorizar a conexão via Open Finance, o usuário passa a gerenciar tudo por comandos de texto no WhatsApp, como digitar “saldo” para ver o consolidado ou “extrato Nubank” para consultar transações de uma conta específica. Não há limite de bancos que podem ser conectados, o processo ocorre inteiramente pelo WhatsApp, sem instalação de apps adicionais, e o usuário pode revogar o acesso a qualquer momento pelo próprio chat.

Conclusão

Integrar um banco digital ao Open Finance no Brasil envolve sete etapas bem definidas. A instituição precisa compreender o escopo regulatório, credenciar-se no Bacen, escolher entre participação direta ou agregador, configurar o ambiente de certificação, implementar o fluxo OAuth/FAPI, consumir as APIs de saldo, extrato e pagamentos e validar tudo em homologação antes de ir para produção. O processo é complexo, porém resulta em uma infraestrutura que centraliza dados financeiros de forma segura, regulada e escalável.

Para quem quer experimentar o Open Finance funcionando do lado do usuário final, o Jota oferece uma implementação pronta. Conforme descrito acima, o usuário conecta seus bancos via WhatsApp sem desenvolver nada e passa a usar o Open Finance diretamente na conta digital.

Pule a implementação e use o Open Finance pronto no Jota, centralizando suas contas em um único chat.