Como usar APIs de banking no Open Finance no Brasil

Última atualização: 27 de julho de 2026

Principais lições deste artigo

• O Open Finance brasileiro já funciona como infraestrutura consolidada, com mais de 800 instituições e 2,3 bilhões de requisições semanais. A integração técnica e regulatória se tornou requisito para empresas que desejam oferecer produtos financeiros.

• Escolher entre fazer integração direta, com licença ITP própria, ou integrar via agregador regulado impacta custo, prazo de implantação e risco de conformidade.

• O fluxo técnico de integração exige certificados mTLS, OAuth 2.0 com PKCE, gestão de consentimentos e tratamento de webhooks para revogação e mudanças de escopo.

• Boas práticas de arquitetura incluem ter um API Gateway centralizado, automatizar a renovação de certificados, armazenar tokens com segurança e aplicar a LGPD desde o início do projeto.

• A Celcoin oferece infraestrutura regulada completa para acelerar a integração com Open Finance; saiba mais aqui.

Contexto do Open Finance no Brasil

O Brasil tem um dos ecossistemas de Open Finance mais avançados do mundo e passou a cobrir banking, seguros, investimentos, previdência e câmbio em um único ambiente regulado. Mais de 800 instituições participam do sistema, que processa aproximadamente 2,3 bilhões de requisições de dados bem-sucedidas por semana.

Essa escala e maturidade transformaram o Open Finance em infraestrutura de mercado, e não mais em uma opção experimental. Para empresas que desejam monetizar dados financeiros, oferecer crédito personalizado ou automatizar onboarding, a integração com as APIs padronizadas pelo Banco Central do Brasil é o ponto de partida obrigatório. A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

Definições regulatórias e técnicas

O ecossistema do Open Finance Brasil define dois papéis centrais para instituições que acessam APIs de terceiros:

• IT (Instituição Transmissora de dados: detém os dados do cliente e os disponibiliza mediante consentimento.

• IR (Instituição Receptora de dados) e ITP (Iniciadora de Transação de Pagamento: acessa os dados ou inicia pagamentos em nome do usuário, mediante autorização explícita.

Dois protocolos combinados garantem a segurança das trocas. O OAuth 2.0 com PKCE gerencia autorização e emissão de tokens de acesso. O mTLS autentica mutuamente cliente e servidor por meio de certificados digitais, o que elimina a dependência de senhas ou chaves de API.

A escolha entre integração direta e via agregador regulado define o custo, o prazo e o risco de conformidade de toda a operação. A tabela a seguir compara os principais critérios que ajudam a decidir qual caminho se ajusta melhor à estratégia da empresa:

Critério	Integração direta	Via agregador regulado
Autorização necessária	ITP própria junto ao Banco Central	Autorização delegada ao agregador
Prazo de integração	Várias semanas por banco	Alguns dias úteis para o primeiro fluxo
Manutenção de conectores	Equipe interna contínua	Gestão feita pelo provedor
Responsabilidade regulatória	Integral na empresa	Dividida por contrato e DPA

Fluxo prático de integração em etapas numeradas

A integração com APIs de banking no Open Finance Brasil segue uma sequência técnica bem definida, que começa na emissão de certificados e termina no tratamento do ciclo de vida do consentimento:

1. Obtenção do certificado mTLS: gere um par de chaves RSA 4096 bits e solicite um certificado de cliente emitido por uma Autoridade Certificadora reconhecida pelo diretório do Open Finance Brasil. O certificado pode ser exportado em formato PKCS12 para uso em aplicações e navegadores.

2. Registro no diretório do Open Finance Brasil: cadastre a aplicação no diretório oficial, declarando escopos, endpoints de redirecionamento e o certificado mTLS. Instituições que desejam iniciar pagamentos Pix via Open Finance precisam de autorização ITP junto ao Banco Central.

3. Criação do consentimento: envie um POST /consents com o escopo de dados solicitado. O token de acesso para esta etapa usa o grant type client_credentials. O payload a seguir mostra a estrutura mínima obrigatória, com as permissões de leitura de contas e o prazo de validade do consentimento:

{ "data": { "loggedUser": { "document": { "identification": "11111111111", "rel": "CPF" } }, "permissions": ["ACCOUNTS_READ", "ACCOUNTS_BALANCES_READ", "ACCOUNTS_TRANSACTIONS_READ"], "expirationDateTime": "2027-01-01T00:00:00Z" } }

4. Redirecionamento e autorização do usuário: redirecione o usuário para o endpoint /authorize da instituição detentora. Para dados, aplica-se LoA2, e para pagamentos, LoA3 ou superior.

5. Troca do código por tokens: após aprovação, troque o authorization code por access token e refresh token via POST /token. Access tokens expiram entre 300 e 900 segundos, e refresh tokens devem estar vinculados apenas a consentimentos com status AUTHORISED.

6. Chamadas aos endpoints de dados: utilize o token para acessar GET /accounts/{accountId}/balances e GET /accounts/{accountId}/transactions-current.

7. Iniciação de pagamento Pix: crie o pagamento com POST /pix/payments usando grant type authorization_code e escopos openid e payments. Monitore o status com GET /pix/payments/{paymentId}.

8. Tratamento de erros e ciclo de vida do consentimento: implemente handlers para expiração de token, revogação de consentimento via DELETE /consents/{consentId} e mudanças não anunciadas de endpoints.

Acelere sua integração com infraestrutura regulada pronta para produção.

Panorama regulatório em 2026

O Banco Central publicou atualizações relevantes que impactam diretamente as APIs de banking, exigindo revisões nos conectores e nos fluxos de consentimento descritos na seção anterior. As mudanças a seguir afetam a arquitetura técnica e a experiência do usuário final:

• A implementação ampla da Jornada Sem Redirecionamento (JSR) no Open Finance está prevista para 28 de fevereiro de 2025, em regulamentação do Banco Central publicada em 2024, o que permite autorização de pagamentos sem redirecionamento para o app do banco.

• A portabilidade de crédito 100% digital via Open Finance entrou em operação em fevereiro de 2026, a partir de 2 de fevereiro, com prazo de conclusão em até 5 dias úteis e foco inicial em crédito pessoal sem consignação.

• A versão 7.0 do Manual de Escopo de Dados e Serviços introduziu a jornada otimizada, que combina iniciação de pagamentos e compartilhamento de dados em um fluxo único.

• O Banco Central avalia soluções para adesão de empresas PJ com estruturas societárias complexas no Open Finance.

Boas práticas de arquitetura e governança

Uma arquitetura robusta para integração com Open Finance precisa tratar segurança, disponibilidade e conformidade como partes de uma mesma estratégia:

• API Gateway centralizado: valida requisições, aplica rate limits, verifica autorização e centraliza logging antes de rotear para sistemas internos. Esse ponto único de entrada simplifica a aplicação consistente dos demais controles.

• Gestão de ciclo de vida de certificados: o mTLS exige tratar certificados como processo operacional de primeira classe, com renovação automatizada e trilha de auditoria imutável. Certificados expirados bloqueiam chamadas de API e afetam diretamente a disponibilidade.

• Armazenamento seguro de tokens: tokens de acesso e refresh expiram e requerem fluxos de re-consentimento para conexões de longa duração. Sem armazenamento seguro, tokens vazados expõem dados financeiros de todos os usuários conectados.

• Conformidade com LGPD: a instituição receptora assume responsabilidade pelo processamento dos dados exclusivamente para a finalidade declarada, conforme o Art. 7º, I da LGPD. Esse alinhamento jurídico precisa existir desde a concepção da jornada.

• Critérios de avaliação de parceiros: verifique se o provedor possui autorização ITP ativa no diretório do Open Finance Brasil, documentação atualizada, sandbox disponível e suporte especializado, para reduzir risco de retrabalho e atrasos.

Implemente essas práticas com a stack completa da Celcoin.

Erros comuns e como evitar

• Contas-bolsão: operar com estruturas em que recursos de terceiros são administrados de forma não segregada é irregular e vedado pelas normativas do Banco Central. A infraestrutura regulada garante contas individualizadas e conformidade patrimonial.

• Ausência de mTLS: implementar mTLS e assinatura de requisições apenas após o lançamento em produção aumenta o custo e o risco de não conformidade. A configuração correta precisa ocorrer desde o início do desenvolvimento.

• Não conformidade com LGPD: dados financeiros coletados via Open Finance permanecem sujeitos à legislação brasileira, com armazenamento geralmente exigido em território nacional para dados sensíveis como saldos, transações e histórico de crédito.

• Escopos excessivos no consentimento: solicitar mais permissões do que o necessário viola o princípio da finalidade da LGPD e reduz a taxa de aprovação pelo usuário.

• Falta de webhook para revogação: o ecossistema do Open Finance Brasil disponibiliza endpoints de Webhooks para notificações de mudança de consentimento. Ignorar esses eventos gera inconsistências de dados e falhas de experiência.

Evite esses erros com conformidade garantida desde o primeiro dia.

Cenários de uso por tipo de empresa

Fintech em estágio inicial: sem licença própria, opera sob a infraestrutura regulatória de um parceiro de Banking as a Service. Utiliza APIs modulares para lançar contas digitais, Pix e onboarding com dados do Open Finance, sem precisar construir conectores ou obter autorização ITP diretamente. Esse cenário prioriza velocidade de lançamento em relação ao controle total da stack.

ERP maduro: ao contrário da fintech, já possui base de clientes estabelecida e integra Open Finance para automatizar conciliação financeira, verificação de renda e KYC dos clientes do software de gestão. O objetivo é aumentar retenção e criar nova linha de receita com serviços financeiros embarcados, sem desviar recursos de engenharia do produto principal.

Varejista de grande porte: similar ao ERP por já ter base de clientes relevante, mas com foco em conversão no ponto de venda. Utiliza dados de Open Finance para personalizar ofertas de crédito e pagamento no checkout, reduzindo fricção e aumentando conversão. A integração via infraestrutura regulada elimina a necessidade de obter licença própria e permite escalar com previsibilidade.

A solução da Celcoin para Open Finance

A Celcoin opera como participante direta no Pix e Iniciadora de Pagamentos no Open Finance, com infraestrutura full stack que cobre desde o Banking as a Service para empresas não reguladas até o Core Banking para instituições com licença própria. A solução inclui widget de jornada alinhado ao Guia UX do Banco Central, painel de gestão de consentimentos, relatórios regulatórios automatizados e APIs bem documentadas compatíveis com padrões REST.

A tabela a seguir mostra como cada funcionalidade da plataforma se traduz em benefícios concretos de redução de custo, aceleração de lançamento e mitigação de risco:

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e melhoram o tempo para geração de receita.
Distribuição white-label e embutida (embedded)	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando em altos volumes e protege a receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Conecte sua operação ao Open Finance com o banking da Celcoin.

Perguntas frequentes

Qual certificado digital é necessário para integrar APIs de Open Finance no Brasil?

A integração exige certificados mTLS emitidos por uma Autoridade Certificadora reconhecida pelo diretório do Open Finance Brasil. O certificado autentica mutuamente cliente e servidor em cada chamada de API e substitui senhas e chaves estáticas. Empresas que optam por infraestrutura de um parceiro regulado, como o banking da Celcoin, não precisam gerenciar esse ciclo de vida de certificados internamente, pois o provedor assume essa responsabilidade operacional.

Qual é o custo de integração direta versus uso de um agregador regulado?

A integração direta exige obter autorização ITP junto ao Banco Central, construir e manter conectores por banco, manter equipe de engenharia dedicada e gerenciar mudanças de endpoints de forma contínua. O uso de um agregador regulado ou de uma plataforma como o banking da Celcoin concentra a complexidade técnica e regulatória em um único ponto de integração, com SDKs, sandboxes e documentação que reduzem custo e aceleram o time-to-market.

Como funciona a Jornada Sem Redirecionamento e o que muda nas APIs?

A JSR, mencionada na seção regulatória, permite que o usuário autorize pagamentos Pix diretamente no aplicativo da empresa iniciadora, sem redirecionamento para o app do banco detentor da conta. Tecnicamente, essa jornada introduz novos endpoints e fluxos de consentimento na API de Pagamentos sem Redirecionamento do Open Finance Brasil, o que exige atualização dos conectores, dos fluxos de autenticação e da UX de consentimento.

É possível migrar uma integração existente para a infraestrutura da Celcoin?

É possível migrar integrações existentes para a infraestrutura da Celcoin. A empresa conta com equipe dedicada para suporte à migração, com prazos que variam de uma semana a três meses, conforme a complexidade da estrutura atual. A mesma base tecnológica atende empresas sem licença própria, via Banking as a Service, e empresas reguladas, via Core Banking, o que permite evoluir sem trocar de infraestrutura ao longo da jornada de crescimento.

Como garantir conformidade com a LGPD ao usar dados do Open Finance?

Garantir conformidade com a LGPD no contexto do Open Finance exige consentimento explícito, granular e revogável a qualquer momento, com finalidade declarada e prazo definido de até 12 meses. A instituição receptora dos dados responde pelo armazenamento, pelo processamento e pelo uso exclusivo para a finalidade autorizada. Contratos e Data Processing Agreements precisam registrar a divisão de responsabilidades entre a empresa e o provedor de infraestrutura. A Celcoin oferece conformidade regulatória integrada em toda a cadeia, com relatórios automatizados para o Banco Central.

Conclusão

Integrar APIs de banking em Open Finance no Brasil em 2026 exige domínio de mTLS, OAuth 2.0 com FAPI, gestão de consentimentos e atualização contínua em relação às normas do Banco Central. A decisão entre integração direta e uso de infraestrutura regulada define o custo, o prazo e o risco de conformidade de toda a operação. A Celcoin oferece um caminho ágil e completo, que cobre desde o Banking as a Service para empresas sem licença até o Core Banking para instituições reguladas, com APIs modulares, suporte especializado e conformidade integrada em cada etapa.

Comece sua integração com Open Finance hoje.