Cet article explique ce qu’est l’agrégation bancaire, qui a le droit de la proposer, comment se déroule la connexion d’un compte et quels critères comparer avant d’autoriser un service à lire vos données. Les noms de prestataires cités servent d’exemples de statuts, pas de recommandations.
Qu’est-ce que l’agrégation bancaire et que couvre-t-elle ?
La Banque de France décrit l’agrégateur comme un prestataire qui donne à son client une vue consolidée de ses comptes de paiement, détenus dans un ou plusieurs établissements. L’ACPR présente ce service comme un service en ligne fournissant des informations consolidées sur un ou plusieurs comptes de paiement, défini à l’article L. 314-1, II, 8° du Code monétaire et financier.
La définition réglementaire vise donc les comptes de paiement, dont les comptes courants. L’affichage d’autres produits (épargne, assurance vie, crédits) dépend des connexions que chaque service propose : vérifiez la liste dans l’application avant de vous engager. Pour un usage orienté budget, voyez notre article sur les applications pour gérer son budget.
Qui a le droit de proposer ce service en France ?
D’après l’ACPR, un prestataire dont le seul service est l’information sur les comptes est soumis à un enregistrement, et non à un agrément, et il fournit ce service à l’exclusion de tout autre service de paiement. Un établissement de paiement agréé peut en revanche proposer l’information sur les comptes parmi d’autres services. Le tableau suivant illustre trois situations, d’après les documents publiés par chaque société à la date de consultation.
| Exemple | Statut indiqué par la société | Ce qu’il montre |
|---|---|---|
| Bridge (Perspecteev) | Prestataire de services d’information sur les comptes ; établissement de paiement agréé par l’ACPR, numéro consultable sur Regafi (conditions générales de souscription) | Un acteur d’infrastructure, utilisé par d’autres applications |
| Powens | Établissement de paiement autorisé et régulé par l’ACPR (site de la société) | Une plateforme qui propose l’agrégation à des entreprises (banque, fintech, crédit, immobilier) |
| Bankin’ | Agent de prestataire de services de paiement enregistré auprès de l’ACPR ; s’appuie sur Perspecteev (Bridge) pour la consultation des comptes (conditions générales de mars 2026) | Une application grand public qui agit pour le compte d’un établissement de paiement |
Cette chaîne d’acteurs explique pourquoi le nom de l’application n’est pas toujours celui de l’entité réglementée : repérez, dans les conditions générales, la société qui détient le statut et son numéro, puis cherchez-la dans le registre Regafi, que tient l’ACPR. Si ce numéro est absent ou introuvable, n’autorisez pas la connexion.
Comment se connecte-t-on à un compte bancaire ?
- Vous choisissez votre banque dans l’application d’agrégation.
- Vous êtes redirigé vers votre banque pour confirmer l’accès. L’aide de N26 indique par exemple que vous êtes renvoyé vers l’application N26 pour autoriser l’accès au compte.
- Vous validez par une authentification forte : au moins deux facteurs de catégories différentes parmi la possession, la connaissance et l’inhérence.
- L’accès est accordé pour une durée limitée et doit être renouvelé périodiquement.
Avant la DSP2, selon un mémo de la Fédération bancaire française, les clients transmettaient leurs identifiants aux agrégateurs sous leur seule responsabilité. La logique actuelle passe par la banque : si un service vous demande de saisir directement vos identifiants bancaires dans son propre formulaire, prenez cela comme un signal d’alerte et contactez votre banque.
Quels risques et quelles protections ?
- Renouvellement du consentement. La FAQ de la Banque de France indique une authentification au moins tous les 90 jours pour que l’agrégateur conserve l’accès ; l’aide de N26 mentionne 180 jours. Les sources divergent : la durée applicable est précisée lors de l’autorisation.
- Retrait de l’accès. Vous pouvez révoquer l’autorisation à tout moment ; le prestataire est alors tenu par la réglementation de ne plus accéder à vos comptes.
- Données déjà collectées. Leur conservation dépend de la politique de confidentialité du service : lisez-la, ainsi que la procédure de suppression du compte.
- Hameçonnage. Un faux service d’agrégation peut imiter un service connu. Selon Cybermalveillance.gouv.fr, une banque ne devrait pas envoyer de lien direct vers la page de connexion de votre compte ; passez par l’application ou le site que vous connaissez.
Quels critères comparer entre deux services d’agrégation ?
| Critère | Question à se poser |
|---|---|
| Statut | La société et son numéro figurent-ils dans les mentions légales, puis dans Regafi ? |
| Établissements couverts | Vos banques et vos comptes sont-ils bien listés ? |
| Données lues | Lecture seule ou service supplémentaire (initiation de paiement) ? |
| Durée et retrait de l’accès | Où la révoquer, quelle durée avant de se reconnecter ? |
| Modèle économique | Gratuit, abonnement, offres partenaires ; utilisation des données précisée ? |
| Suppression | Procédure claire pour supprimer le compte et les données ? |
Pour replacer l’agrégation dans le fonctionnement d’une banque à distance, voyez comment fonctionne une banque en ligne au quotidien et notre article sur l’open banking. Pour comparer les banques elles-mêmes, le guide comparatif de la banque en ligne détaille les critères.
À lire aussi
Questions fréquentes
Un agrégateur est-il agréé ou enregistré ?
Cela dépend de son activité. Selon l’ACPR, un prestataire dont le seul service est l’information sur les comptes doit être enregistré ; un établissement de paiement qui propose d’autres services est agréé. Le statut se vérifie dans le registre Regafi.
Un service d’agrégation peut-il faire des virements sur mon compte ?
Un prestataire d’information sur les comptes fournit ce service à l’exclusion de tout autre service de paiement : il consulte, il ne déplace pas d’argent. Un autre service, l’initiation de paiement, relève d’une autorisation distincte et d’une confirmation de votre part.
Comment arrêter un service d’agrégation ?
Révoquez l’autorisation auprès du prestataire ou, quand votre banque le permet, dans ses réglages. Le prestataire doit alors cesser d’accéder à vos comptes. Demandez ensuite la suppression de votre compte et de vos données chez lui.
Faut-il donner ses identifiants bancaires à une application d’agrégation ?
Le fonctionnement actuel repose sur une redirection vers la banque et une authentification forte. Si un service vous demande de saisir vos identifiants dans son propre formulaire, abstenez-vous et contactez votre banque.
L’agrégation bancaire est-elle payante ?
Cela dépend du service : certains sont gratuits, d’autres financés par abonnement ou offres partenaires. Lisez les conditions générales et ne vous fiez à aucun tarif cité sans l’avoir vérifié sur le site du prestataire.
Sources
- ACPR (Banque de France) — statut, enregistrement et périmètre du prestataire de services d’information sur les comptes ; registre Regafi
- Banque de France — FAQ sur la DSP2 — agrégation de comptes, authentification forte, renouvellement et révocation de l’accès
- Bridge, Powens, Bankin’ — statuts déclarés dans leurs documents et sur leur site
- Fédération bancaire française et N26 — contexte avant la DSP2 et déroulement de l’autorisation
- Cybermalveillance.gouv.fr — hameçonnage bancaire
- FGDR : Fonds de garantie des dépôts et de résolution — garantie des dépôts et protection des avoirs en cas de défaillance d’un établissement
- REGAFI : registre des agents financiers — registre public des établissements agréés
- CNIL : mots de passe, recommandations pour maîtriser sa sécurité — recommandations sur les mots de passe et l’authentification
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.