CDR ou screen scraping
Comment le Consumer Data Right australien a remplacé le partage de mots de passe pour permettre aux applications tierces d’accéder à vos données bancaires, et pourquoi chaque connexion sur BankSync utilise le CDR, et non le scraping.
Screen scraping
Saisissez vos identifiants CommBank
L’application les enregistre et se connecte à votre banque à votre place.
Numéro client
8312 4471
Mot de passe
••••••••••••
- Aucune limite : tout ce que vous voyez
- Aucune date de fin
- Aucune trace à la banque
Consumer Data Right
Partagez vos données avec BankSync
Fiskil (ADRBNK000246) est le destinataire de données accrédité ; BankSync est son CDR Representative.
Données à partager
- Nom, type et solde du compte(partagé)
- Détail des transactions(partagé)
- Prélèvements et paiements programmés(non partagé)
Partager pendant
Le CDR est le successeur réglementé du screen scraping. Avec le CDR, vous ne communiquez jamais votre mot de passe bancaire ; les consentements sont limités, temporaires et révocables, et chaque accès est audité par la banque. Le screen scraping n’offre aucune de ces garanties et est progressivement abandonné en Australie.
Comparaison point par point.
- Identifiants
- Screen scrapingVous donnez votre mot de passe bancaire au tiers
- CDRVous vous authentifiez auprès de votre banque ; le tiers ne voit jamais votre mot de passe
- Périmètre
- Screen scrapingTout ce qui est visible après connexion
- CDRUniquement les autorisations de données que vous accordez explicitement
- Durée
- Screen scrapingJusqu’à ce que vous changiez de mot de passe
- CDRLimitée dans le temps : 7 jours, 90 jours ou jusqu’à 12 mois
- Révocation
- Screen scrapingChanger de mot de passe
- CDRUn clic dans l’application de votre banque ou le tableau de bord du destinataire
- Piste d’audit à la banque
- Screen scrapingAucune ; la banque ne peut pas distinguer l’automate de vous
- CDRChaque accès est journalisé avec l’identifiant du consentement
- Régulateur
- Screen scrapingAucun
- CDRL’ACCC et le Trésor australien, sous le contrôle de l’OAIC pour la vie privée
- Conditions d’utilisation de la banque
- Screen scrapingInterdisent généralement de communiquer ses identifiants
- CDRExplicitement approuvé et imposé par la loi
- Responsabilité en cas de fuite
- Screen scrapingVous pouvez être tenu responsable d’un accès non autorisé
- CDRLa responsabilité incombe au destinataire de données accrédité
Pourquoi le screen scraping est en voie de disparition.
L’examen du Consumer Data Right prévu par la loi (Statutory Review, 2022) a recommandé d’interdire le screen scraping dès que le CDR offrirait une solution de remplacement viable. L’ASIC a signalé les outils de partage d’identifiants comme un risque pour les consommateurs, et la plupart des grandes banques mettent désormais en garde contre la communication des mots de passe à des tiers. Le CDR comble ce vide réglementaire en faisant de l’accès consenti aux données une infrastructure à part entière.
Comment fonctionne concrètement un consentement CDR
- Vous cliquez sur « Connecter une banque » dans BankSync.
- Vous êtes redirigé vers la page d’autorisation CDR sécurisée de votre banque.
- Vous vous y connectez (BankSync ne voit jamais vos identifiants).
- Vous choisissez les autorisations (transactions, soldes) et une durée (7 j / 90 j / 12 mois).
- Votre banque délivre un jeton à Fiskil, le destinataire de données accrédité (ADRBNK000246), qui transmet à BankSync les données couvertes par votre consentement.
- Vous pouvez révoquer votre consentement à tout moment depuis l’application de votre banque ou depuis BankSync.
Le registre complet des prestataires accrédités est disponible sur cdr.gov.au.
Vos questions, nos réponses.
Qu’est-ce que le screen scraping dans le secteur bancaire australien ?
Le screen scraping consiste, pour une application tierce, à vous demander l’identifiant et le mot de passe de votre banque en ligne, à se connecter à votre place et à lire les pages qu’elle voit. Il n’est pas réglementé, ne laisse aucune trace d’audit auprès de votre banque et enfreint les conditions d’utilisation de la plupart des banques. Le CDR a été introduit en 2020 pour le remplacer.
Le screen scraping est-il illégal en Australie ?
Il n’est pas illégal à proprement parler, mais il est en voie de disparition. L’examen du CDR prévu par la loi et mené par le Trésor australien (Statutory Review, 2022) et l’ASIC ont indiqué que le screen scraping devrait être interdit dès que la couverture du CDR serait suffisante ; une interdiction formelle a été recommandée. La plupart des banques le découragent déjà dans leurs conditions d’utilisation.
Le CDR remplace-t-il complètement le screen scraping ?
Pour les données couvertes par le CDR (banque, énergie, télécommunications), oui – les destinataires accrédités obtiennent des données identiques ou meilleures via des API réglementées. Les autorisations CDR couvrent les détails du compte, les soldes, les transactions, les paiements réguliers et les informations sur le titulaire du compte.
Pourquoi le CDR est-il plus sûr que le screen scraping ?
Pour quatre raisons : (1) le CDR ne voit jamais votre mot de passe – vous vous authentifiez auprès de votre banque, pas auprès du tiers. (2) Les consentements CDR sont limités à des types de données et à des durées précis. (3) Les consentements sont révocables à tout moment depuis votre banque ou auprès du destinataire. (4) Le CDR est supervisé par l’ACCC et le Trésor australien, avec des obligations de notification des violations et d’audit.
BankSync utilise-t-il le screen scraping quelque part en Australie ?
Non. Chaque connexion australienne sur BankSync passe par le cadre réglementé du Consumer Data Right via Fiskil (destinataire de données accrédité – ADRBNK000246).
Que deviennent les anciens outils de screen scraping ?
La plupart sont passés au CDR, se sont associés à un ADR ou ont fermé. Pocketbook (le gestionnaire de finances personnelles gratuit préféré des Australiens, qui reposait sur le screen scraping) a fermé en mars 2024, en partie à cause du coût de la migration vers le CDR. Les outils qui demandent encore vos identifiants doivent être utilisés avec prudence.