Monitorowanie i raportowanie interfejsów API w kontekście PSD2
Zgodnie z dyrektywą PSD2 oraz jej uzupełnieniem 2018/389 (RTS), instytucje płatnicze zostały zobowiązane do uruchomienia pełnej obsługi dostępu do bankowości elektronicznej poprzez dedykowany interfejs API (Specjalny Interfejs).
Dostęp ten realizowany jest w modelu XS2A, umożliwiającym korzystanie z usług:
- AIS (Account Information Service),
- PIS (Payment Initiation Service),
- CAF (Confirmation of the Availability of Funds).
Udostępnienie API dla TPP (Third Party Providers) musi być powiązane z ciągłym monitorowaniem jego jakości. W szczególności dotyczy to:
- dostępności (Service Level),
- szybkości działania (efektywności),
- stabilności działania interfejsu API.
Zgodnie z wymaganiami PSD2, parametry API nie mogą być gorsze niż wyniki osiągane przez inne elektroniczne kanały dostępu, takie jak serwis webowy czy aplikacje mobilne.
W praktyce oznacza to konieczność wdrożenia procedur umożliwiających:
- monitorowanie wszystkich kanałów dostępu (API, web, mobile),
- analizę wyników dla różnych obszarów produktowych (np. bankowość detaliczna, korporacyjna),
- przygotowywanie raportów kwartalnych zawierających średniodobowe wskaźniki,
- publikację wyników zgodnie z wymaganiami regulacyjnymi.
Usługa Monit24 API XS2A
Usługa „Monit24 API XS2A” zapewnia kompleksowe monitorowanie interfejsów API w modelu XS2A w kontekście PSD2, obejmujące zarówno dostępność, jak i efektywność działania wszystkich kanałów dostępu.
Rozwiązanie to eliminuje konieczność:
- instalowania dodatkowego oprogramowania po stronie banku,
- przygotowywania rachunków testowych z dostępem przez wskazane kanały.
Monit24 wykorzystuje własne rachunki założone w danym banku, dzięki czemu możliwe jest prowadzenie ciągłego, zewnętrznego monitorowania:
- API XS2A,
- serwisów internetowych,
- aplikacji mobilnych.
Monitoring realizowany jest z wielu lokalizacji w Polsce oraz innych krajach Unii Europejskiej, co pozwala na rzetelne odwzorowanie rzeczywistej dostępności usług bankowych oraz jakości działania API.
Raporty generowane przez system zawierają gotowe wskaźniki KPI dotyczące poziomu usług. Dane te mogą być:
- pobierane online poprzez API Monit24,
- publikowane na stronach internetowych banków,
- dostarczane w formie raportów PDF.
Szczegóły monitorowania API XS2A i innych standardów
Monitoring API bankowego (XS2A)
Monit24 umożliwia monitorowanie API bankowego niezależnie od zastosowanego standardu. Najczęściej wykorzystywanym standardem w Polsce jest PolishAPI, jednak system wspiera również:
- OpenAPI,
- Berlin Group,
- STET,
- Slovak Banking API,
- Open Banking UK,
- rozwiązania autorskie banków.
W ramach monitoringu API analizowane są kluczowe metody:
- AIS – pobieranie informacji o rachunku,
- PIS – inicjowanie płatności (np. pomiędzy rachunkami tego samego użytkownika),
- CAF – potwierdzenie dostępności środków.
Monitoring dostępu webowego
Monit24 monitoruje również dostęp do bankowości elektronicznej poprzez serwis internetowy banku.
Scenariusze monitoringu są ujednolicone względem API i aplikacji mobilnych, co umożliwia bezpośrednie porównanie wyników. Obejmują one:
- dostęp do informacji o rachunku,
- realizację przelewu,
- potwierdzenie salda rachunku.
Monitoring dostępu mobilnego
Usługa obejmuje także monitoring aplikacji mobilnych (iOS oraz Android), realizowany na fizycznych urządzeniach w różnych lokalizacjach.
Badane scenariusze są spójne z innymi kanałami i obejmują:
- dostęp do informacji o rachunku,
- sprawdzenie salda,
- utworzenie zlecenia płatności.
Rozszerzenia monitoringu
Na życzenie możliwe jest rozszerzenie monitoringu o dodatkowe kanały, takie jak:
- infolinia / IVR,
- lekkie wersje serwisów webowych (tzw. wersje „lajt”),
- inne niestandardowe kanały dostępu.
Monitoring obejmuje wskazane przez bank produkty, co najczęściej odpowiada poszczególnym systemom informatycznym (np. bankowość detaliczna, korporacyjna, private banking).
Dla każdego produktu monitorowane są osobno wszystkie kanały (API, web, mobile), a raporty zestawiają ich dostępność i efektywność.
Ewaluacja wydajności API i systemów bankowych
Uzupełnieniem monitoringu API XS2A są okresowe testy wydajności (np. kwartalne), obejmujące wszystkie kanały dostępu.
Testy te wynikają z definicji efektywności API w PSD2, która obejmuje nie tylko szybkość działania, ale również wydajność i stabilność systemu.
Monit24 realizuje testy warunków skrajnych, określając:
- maksymalną liczbę użytkowników mogących korzystać z systemu jednocześnie,
- wpływ obciążenia na czasy odpowiedzi API i innych kanałów.
Testy te są szczególnie istotne w kontekście:
- intensywnych kampanii marketingowych,
- wzmożonego ruchu (np. koniec miesiąca, świadczenia typu 500+),
- wymagań regulatora dotyczących stabilności API.
Testy mogą obejmować:
- API XS2A,
- serwisy transakcyjne,
- aplikacje mobilne.
Wolumen testów wynosi od kilkuset do kilkudziesięciu tysięcy jednoczesnych użytkowników realizujących określone scenariusze (np. sprawdzanie salda).
Wyniki testów stanowią uzupełnienie raportów dla instytucji nadzorczych i mogą być rozszerzone o rekomendacje optymalizacyjne przygotowane przez specjalistów Monit24.
Testy wydajności są również wymagane przy ubieganiu się o zwolnienie z mechanizmu fallback (EBA/GL/2018/07).
Formalne zasady monitorowania API XS2A
Monitoring API bankowego realizowany przez Monit24 odbywa się na podstawie umów zawieranych z bankami.
Usługa nie działa w modelu TPP (Third Party Provider) wynikającym z PSD2, lecz jako niezależny mechanizm monitorowania API.
Dyrektywa PSD2 zobowiązuje banki do udostępniania API podmiotom posiadającym odpowiednie licencje (np. KNF), jednak nie ogranicza możliwości udzielania dostępu do API na innych zasadach, np. w celach monitoringu.
Dzięki temu Monit24 może:
- monitorować metody API wykorzystywane przez TPP (AIS, PIS, CAF),
- odwzorowywać rzeczywistą dostępność i efektywność API XS2A,
- porównywać API z innymi kanałami (web, mobile).
Monitoring oparty jest na rachunkach własnych Monit24, co oznacza, że bank nie musi udostępniać dostępu do rachunków klientów.
Podsumowanie
Monitorowanie interfejsów API w modelu XS2A stanowi kluczowy element zgodności z PSD2.
Rozwiązania takie jak Monit24 umożliwiają:
- pełne monitorowanie API, web i mobile,
- raportowanie zgodne z wymaganiami regulatora,
- analizę wydajności i dostępności,
- optymalizację działania systemów bankowych.
Dzięki temu instytucje finansowe mogą nie tylko spełnić wymogi PSD2, ale również realnie poprawić jakość usług świadczonych poprzez API.
Źródła:
1. Dyrektywa PSD2 https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32015L2366&from=pl
2. RTS – Rozporządzenie Komisji uzupełniające Dyrektywę PSD2 https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32018R0389&from=PL
3. Specyfikacja standardu PolishAPI w wersji 2 https://docs.polishapi.org/files/ver2.0/PolishAPI-spec-v2.0.pdf
4. Komunikat UKNF z dnia 12.01.2018
https://www.knf.gov.pl/knf/pl/komponenty/img/Komunikat_UKNF_w_sprawie_PSD2_60678.pdf
5. Wytyczne EBA z dnia 04.12.2018
https://eba.europa.eu/documents/10180/2570450/Final+Report+on+Guidelines+on+the+exemption+to+the+fall+back_PL.pdf
