开放银行风险交接：数据共享、API安全与责任划分的执行清单

开放银行风险交接：数据共享、API安全与责任划分的执行清单本文档提供：开放银行接口风险等级判定表（表1）；数据共享评估检查表（表2）；API安全基线核对表（表3）；合同责任条款审查表（表4）；监控阈值设定表（表5）；异常事件处置决策规则6条；完整案例“泉州银行罚单还原：从625万元到一条可追溯的整改路径”；三套场景操作序列（完整版/精简版/极简版）。2026-11-05这一节的标题读完你能拿到什么这一节在全文中的功能一、先看表1：手里的接口该走哪条路表1风险等级判定表，15秒内完成接口分类在进入评估、合同或监控任一模块前，先确定接口的监管暴露面二、数据共享评估：先查哪张表、先看哪一列表2评估检查表，逐列标注输入来源与不合格处置把“最小权限”从原则拆成可逐项打勾的检查动作三、API安全基线：FAPI2.0下哪几项不能省表3安全基线核对表，区分强制项与可延后项在签约前确认对方接口是否达到可追责的技术门槛四、合同里的责任划分：签字前打开表4对一遍表4合同责任条款审查表，含日志保存年限与转委托红线把技术检查结果转化为合同中的赔偿触发条件五、监控与阈值：什么时候该限流、什么时候该上报表5监控阈值设定表，含读写端点差异与2小时上报触发条件让监控数据直接对应监管上报动作和合同违约通知六、泉州银行625万元罚单还原完整案例，含起点材料、四轮试错、变量表和终点产出用真实罚单结构演示前四节如何串成一次可审计的整改七、决策规则与矛盾处理6条决策规则；1处矛盾四段式（开放效率与风险隔离的冲突）在检查结果互相冲突时给出可追溯的裁量顺序八、三套场景操作序列完整版/精简版/极简版的检查项与公式增减对照按交付对象选择执行深度，不把精简版当完整版用按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。一、先看表1：手里的接口该走哪条路打开开放银行接口清单或合作方接入申请表，翻到“接口类型”列。表1按接口的金融动作和法律后果分三档，每档对应不同的评估深度、合同条款密度和监控阈值。先把接口归入其中一档，再进入后续章节。表1开放银行接口风险等级判定表接口类型典型端点或动作监管暴露面评估深度合同必含条款监控首要指标A档：支付发起转账、扣款、支付指令提交资金直接变动；触发未授权交易争议表2全列＋表3强制项全过表4第1—6行全部勾选写端点RPS与5xx错误率B档：账户信息读取余额查询、交易明细、账户列表个人信息批量暴露；授权链断裂风险表2第1—4列＋表3强制项表4第1—4行＋第7行读端点RPS、每日调用量、TTLBC档：非金融数据查询产品信息、网点查询、公开费率低资金风险；主要影响可用性表2第1列＋表3第4行表4第1—2行可用性百分比示例行（A档）：接口“对公转账提交”，端点/payments/initiate，列入A档；表4第3行“日志保存年限”填“至少5年”，来源为中国银行开放银行客户授权协议第三条第（三）项“系统日志、交易流水妥善保存至少五年”。填完这一格，A档合同审查才算对该接口有了起点。判定：接口归入A档后，表2必须全列通过，表3强制项不得有“未通过”。B档允许表2第5—6列标注“不适用”并写明理由。C档只跑表3第4行传输加密检查。任何A档接口在表3强制项中存在“未通过”，不得进入合同签署环节。二、数据共享评估：先查哪张表、先看哪一列金规〔2024〕24号第五十三条要求开放银行数据交互通过集中管理的外联平台或API实施，依据“业务必需、最小权限”原则对接口设计、开发、服务、运行进行集中安全保护管理。表2把这条要求拆成六列，每列对应一个可以打开文件、数出行数、给出判定结论的动作。表2数据共享评估检查表（逐接口填写，A档全列，B档第1—4列）检查列打开什么、看哪一行什么样算合格不合格怎么改谁签字1.共享字段清单接口文档的“响应字段”表，逐字段核对是否在业务合同约定的字段范围内每个字段都能对应到一份已签署的业务场景说明，无“预留字段”或“扩展字段”无标注开放删除无业务依据字段；保留的字段在接口文档标注对应业务场景编号数据治理岗2.字段敏感等级数据分类分级表，查每个共享字段的级别标注身份证号、账号、交易金额标注为“重要”或以上，且已脱敏或加密未标注等级的字段回数据分类分级表补标；重要字段未脱敏的改为脱敏输出数据安全岗3.调用方身份合作方准入档案，查该合作方是否在白名单内、准入尽调日期合作方在有效白名单内，尽调记录日期在12个月以内不在白名单的暂停接口开通；尽调超期的在5个工作日内补做合作方管理岗4.授权链完整性客户授权记录表，取该接口过去30天调用记录，逐笔对照授权编号每笔调用都能追溯到一条有效客户授权，授权范围覆盖该接口动作无授权或超范围的调用记录写入异常清单，24小时内暂停对应合作方该接口权限合规岗5.转委托披露合作方合同附件中的“分包/转委托”条款，查是否列明全部下游处理方合同列明转委托方名称、处理目的、数据类型；无未列明转委托存在未列明转委托的，在合同补充协议中追加披露，未追加前暂停数据输出合同管理岗6.数据留存期限接口日志留存策略配置页，查留存天数设置A档接口日志留存≥5年；B档≥3年；到期自动删除或匿名化低于年限的调整配置；无自动删除机制的补建销毁记录运维负责人示例行（B档接口“账户交易明细查询”）：第1列合格写法——“响应字段共12个，均对应业务场景编号SC-03；无预留字段”。第2列合格写法——“账号字段标注重要，输出时第7—12位掩码；交易金额标注重要，明文传输未启用，整改为TLS加密通道内传输”。第3列合格写法——“合作方编号TPP-021，白名单有效期至2027-03-31，最近尽调日期2026-08-14”。填到这程度，B档评估才算有判定结果。A档接口在第5列“转委托披露”为“未列明”时，不得以“合作方口头说明已控制”替代合同补充。第4列授权链检查以系统调用日志为唯一依据，不接受合作方自报数据。三、API安全基线：FAPI2.0下哪几项不能省开放银行API的安全基线在2025年2月后以FAPI2.0为参照标准。FAPI2.0把发送方约束令牌（sender-constrainedtokens）、推送授权请求（PAR）和可验证同意（verifiableconsent）从推荐项转为设计强制项；强客户端认证通过private_key_jwt或mTLS实现；令牌与客户端密码学绑定，被盗后不可复用。表3把这些要求转成逐项打勾的核对动作。表3API安全基线核对表（A档接口强制项全过；B档第1—4行强制，第5行建议）核对项打开什么、查哪条配置什么样算合格不修会出什么事怎么改1.客户端认证方式授权服务器客户端注册表，查token_endpoint_auth_method字段值为private_key_jwt或tls_client_auth（mTLS），不得为client_secret_basic或none客户端凭据泄露后可被用于伪造调用在身份提供方注册表中切换认证方式；切换前用测试客户端跑通令牌获取2.令牌绑定机制授权服务器令牌签发策略，查是否启用DPoP或mTLS令牌绑定访问令牌与客户端密钥密码学绑定；令牌被盗后换一个客户端无法使用令牌窃取后攻击者可直接读取或发起支付启用DPoP（RFC9449）或mTLS绑定；已有令牌在过期前逐步替换3.授权请求完整性授权端点配置，查是否强制PAR（PushedAuthorizationRequests，RFC9126）授权请求先经PAR端点推送，前端通道不直接携带授权参数授权参数可被篡改，授权码拦截风险上升在授权服务器开启PAR强制；合作方客户端同步升级4.传输层版本API网关TLS配置页，查minVersionTLS1.2或以上；禁用TLS1.0/1.1和弱密码套件传输层可被降级攻击，数据在链路中暴露网关配置改minVersion:TLSv1.2；合作方不支持TLS1.2的书面通知限期升级5.同意可验证性同意管理模块，取一笔授权记录，查能否还原“谁、在什么时间、同意了什么范围”授权记录含客户标识、时间戳、授权字段列表、接口范围；合作方调用时可回查该记录争议发生时无法证明客户同意范围，责任向银行集中同意记录写入独立审计存储；接口调用日志关联同意编号示例行（A档支付发起接口）：第1行“客户端认证方式”填private_key_jwt，取自身份提供方注册表tpp-021条目。第2行“令牌绑定机制”填“DPoP已启用，签发策略版本v3.2”。第3行填“PAR强制，授权端点拒绝无request_uri的请求”。第4行填“TLS1.2最低，TLS1.3优先”。四项全合格，表3对A档接口判定为“基线通过”。任何一项为“不合格”，该接口不得进入表4合同审查。四、合同里的责任划分：签字前打开表4对一遍表2和表3的检查结果要落到合同条款里，否则事故发生后无法把技术事实转成赔偿责任。金规〔2024〕24号第三十二条要求银行与第三方共同处理数据时，以合同协议方式明确双方数据安全责任和义务；第六十一条要求约定受托人保护义务、措施和期限，未经同意不得转委托。表4把监管要求和API安全基线转成合同审查动作。表4合同责任条款审查表（A档全行必含；B档第1—4行、第7行；C档第1—2行）行号合同里找什么条款什么样算合格不写会出什么事怎么改1数据范围与用途限定合同附件列出允许共享的字段清单和业务场景；无“等”“包括但不限于”兜底表述覆盖数据字段合作方超范围使用后，银行难以主张违约在附件中逐字段列明；删除数据字段条款中的兜底词2安全措施对应条款合同明确要求合作方达到表3强制项对应标准（mTLS/private_key_jwt、TLS1.2+、令牌绑定）合作方以“行业惯例”抗辩，银行无法证明约定标准把表3合格标准写入合同技术附件，作为合作方义务3日志保存与调取权合作方保存API调用日志≥合同约定期限；银行有权在事件发生后调取指定时间段的完整日志事故后无日志，责任无法追溯，监管上报缺依据约定日志字段、保存年限（A档建议≥5年）、调取响应时限（如4小时）4转委托限制未经银行书面同意不得转委托；已同意的转委托列明名称和处理范围数据经未披露的下游方泄露，银行对客户的责任不因转委托而切断删除“合作方可自主选择分包方”类表述；补转委托事前书面审批流程5未授权交易责任分担客户无欺诈或重大过失时，因API服务导致的未授权交易直接损失不由客户承担；银行与合作方之间的分担比例或结算机制写明客户先行向银行主张，银行向合作方追偿无合同依据加入“责任分担与结算”条款，明确触发条件、计算方式和支付时限6事件通知时限合作方发现数据安全事件后向银行通知的时限，建议不超过1小时；银行据此满足向监管2小时内报告的要求合作方延迟通知导致银行错过监管上报窗口写入“合作方应在发现事件后1小时内书面通知银行”；附通知联系人及备用通道7退出时的数据返还与销毁合作终止后返还全部数据并销毁副本；提供销毁证明；银行有权现场核查合作终止后数据残留，持续暴露约定销毁时限（如30日）、证明形式和核查权示例行（A档支付接口合同）：第3行“日志保存与调取权”填“合作方保存API调用日志至少5年，银行可在事件发生后4小时内调取指定时间段的完整请求与响应日志”。第5行填“客户无欺诈或重大过失时，未授权支付损失由银行先行处理，银行与合作方按7:3分担；合作方在确认责任后10个工作日内支付分担金额”。第6行填“合作方发现事件后1小时内通知银行对接人及备用邮箱”。填到有具体年限、比例和时限，才算合同审查有判定结果。第5行“未授权交易责任分担”的写法需要同时看两段：客户侧不以“已告知风险”为由将直接损失转给客户；银行与合作方之间的分担必须有可计算的触发条件。香港金管局开放API责任模型材料明确，客户不应为开放API服务导致的未授权交易直接损失负责，银行与第三方应在合同条款中约定责任和结算安排。合同中没有这一行，A档接口签字后事故赔偿链条在合作方一端断裂。五、监控与阈值：什么时候该限流、什么时候该上报评估和合同确定的是“事前”边界；监控回答的是接口上线后，什么信号出现时执行限流、什么条件下触发监管上报。表5按读写端点差异给出可配置的阈值起点。英国开放银行标准（OBL）推荐的季度可用性基准为99.5%，AIS和PIS端点平均TTLB基准为750ms。读写端点的RPS限额参考实践起点为：只读账户/交易端点每客户端100RPS、burst200、日配额100万次；支付发起/写端点每客户端5—10RPS，不设大burst。表5开放银行API监控阈值设定表监控指标按什么维度切分建议阈值起点触发什么动作数据从哪取可用性（月度）全部生产端点低于99.5%24小时内出可用性事件报告；若涉及A档端点，同步评估是否触发监管报告API网关可用性统计页TTLB（p95，AIS/PIS端点）读端点与写端点分列读端点p95＞750ms持续10分钟；写端点p95＞1000ms持续5分钟读端点告警通知值班；写端点自动降级非核心查询，保支付通道网关访问日志聚合5xx错误率（1分钟窗口）按client_id单client_id5xx占比＞5%持续3分钟临时限流该client_id至基准RPS的50%；通知合作方技术联系人网关错误日志429响应率按client_id和端点单client_id429占比＞20%持续5分钟检查是否合作方配额耗尽或异常抓取；确认后维持限流或临时上调配额网关限流日志写端点RPSA档支付发起端点，按client_id基准5—10RPS；burst上限等于基准×2超过burst的请求返回429；连续超限3次写入合作方异常记录网关限流配置与日志授权失败率按client_id，1小时窗口授权端点4xx占比＞15%且绝对值＞50次暂停该client_id新授权请求，回查表2第4列授权链完整性授权服务器日志数据安全事件信号全部端点，按事件类型出现未授权访问、令牌异常复用、TLS降级、敏感字段明文外传任一2小时内向监管报告（金规〔2024〕24号第六十九条）；同步启动表4第6行合同通知SIEM或网关安全告警示例行（A档支付发起端点）：5xx错误率阈值填“单client_id5xx占比＞5%持续3分钟”，触发动作填“该client_id限流至基准RPS的50%，通知合作方技术联系人，记录至合作方异常台账”。写端点RPS示例填“基准8RPS，burst上限16；超出返回429并记录client_id”。数据安全事件信号示例填“TLS1.1握手尝试出现1次即告警；令牌同一jti在10分钟内从两个不同IP使用即判定令牌异常复用，启动事件流程”。表5的阈值是配置起点，调整时须同步修改网关限流策略和告警规则，不单独改告警不改限流。监管上报时限不可由监控阈值自行放宽。金规〔2024〕24号第六十九条规定数据安全事件发生后2小时内向监管报告，24小时内提交正式书面报告；特别重大事件立即处置并按规定报告。表5最后一行“2小时内向监管报告”是固定触发，监控系统可以在阈值上抖动，但一旦确认属于数据安全事件，2小时起算。六、泉州银行625万元罚单还原示例案例，细节为合理设定。起点材料：一份开放银行合作方清单，含3家合作方、7个接口，其中2个A档支付发起、4个B档账户查询、1个C档产品查询。2026年2月14日，泉州银行因“第三方合作数据安全风险管控不到位”等多项违规被泉州金融监管分局处以625万元罚款。交接任务：在30天内完成同一结构下的开放银行接口自查，产出可提交监管的整改台账。第一轮试错。信号：表1分类后，2个A档接口合作方合同中没有日志保存年限条款。当时以为问题在“合同模板遗漏”，直接翻出表4第3行要求补签补充协议。补签过程中合作方提出“日志保存在其云服务商侧，无法承诺5年”。试完发现：日志保存年限不是合同模板问题，合作方技术架构决定了它无法单方面承诺年限。新信息推翻上一轮假设——合同条款的源头是表3的日志留存能力，合作方云架构未满足，合同就写不实。换路：先跑表3第1—4行，确认合作方是否具备保存调用日志的技术条件，再回表4第3行。第二轮试错。信号：表3第2行显示，一家A档合作方令牌未启用发送方约束，使用的是普通Bearer令牌。当时以为问题在合作方“开发进度慢”，发通知要求限期启用DPoP。合作方回复其身份提供方尚未支持DPoP。试完发现：令牌绑定不是单方面开发任务，依赖合作方身份提供方的能力。上一轮“技术条件先于合同”的判断仍然成立，但检查顺序需要调整——表3第1—2行必须在合作方准入阶段完成，而不是合同签署后再补。换路：把表3第1—2行前移到表2第3列“调用方身份”的准入检查中，未通过不入白名单。第三轮试错。信号：表2第4列授权链检查，取B档接口过去30天调用记录，发现一批调用无对应授权编号，数量占该接口调用量的11%。当时以为问题在合作方“绕过授权”，准备直接暂停接口。逐笔回查后发现：授权记录在银行同意管理模块中存在，但合作方调用时传入的是旧版授权编号格式，银行侧匹配规则未覆盖旧格式，日志中显示为“无授权”。试完发现：授权链断裂是银行侧匹配规则滞后，不是合作方违规。上一轮“先停接口”的判断被推翻。换路：先修补同意管理模块的编号匹配规则，重跑30天记录，确认无授权占比降至0.2%后再判定是否暂停。同时表5“授权失败率”阈值从15%下调至10%，因为匹配规则修补后正常调用不应再出现旧格式失败。第四轮试错。信号：表5配置完成后，写端点5xx错误率在高峰时段达到7%，但限流策略只告警未自动降级，合作方支付请求持续失败。当时以为问题在“阈值设太低”，准备上调5xx阈值。查网关日志后发现：5xx集中来自同一client_id的批量重试，该合作方在收到429后未按退避策略等待，立即重试放大负载。试完发现：阈值本身合理，问题在合作方未实现退避重试，且银行侧限流只返回429而未同时降低该client_id的配额窗口。换路：表5“429响应率”行增加“连续超限3次写入合作方异常记录”；合同表4第6行补充“合作方须实现429退避重试，违反计入合作方考核”。最终产出：一份7个接口的整改台账，A档2个接口表2全列通过、表3强制项全过、表4第1—6行勾选；B档4个接口表2第1—4列通过；C档1个接口表3第4行通过。台账附四轮试错的信号、假设、动作和判定，以及表5阈值配置截图对应文字记录。表6案例变量表变量案例中情形如果变量不同处置变化接口风险档位A档2个，B档4个，C档1个全部为B档表3第1—4行仍强制，表4第5—6行可不勾选；表5写端点RPS阈值不适用合作方日志保存能力一家A档合作方云侧无法承诺5年合作方自建日志系统可承诺5年表4第3行直接签5年；跳过第二轮试错中的架构核查分支授权编号格式银行侧匹配规则滞后导致11%“假无授权”合作方传入未授权编号且无对应客户同意表2第4列判定为真实违规，24小时内暂停接口，不走“先修匹配规则”路径5xx集中原因合作方未退避重试放大负载银行侧后端数据库连接池不足表5阈值维持，修复连接池；合同表4第6行不追加退避条款，改为银行侧容量扩容事件上报触发未出现需2小时上报的数据安全事件出现令牌异常复用且涉及客户账户信息立即启动金规〔2024〕24号第六十九条2小时报告；表5事件行从“告警”切换为“上报”案例中权重较高的变量是接口风险档位和合作方日志保存能力。档位决定表3和表4的强制行数，日志保存能力决定表4第3行能否在第一次合同审查时就签实，而不是在补充协议阶段返工。七、决策规则与矛盾处理决策规则6条如果表1将接口归入A档，则表2全列、表3强制项、表4第1—6行在接口上线前全部完成；如果任一强制项在计划上线日前无法关闭，则接口延期上线，不以“先上线后补”替代。如果表3第2行令牌绑定为“未通过”，则无论合作方准入评分多高，该接口不得进入表4合同签署；如果合作方在30日内仍无法启用DPoP或mTLS绑定，则终止该接口合作，数据共享评估记录归档。如果表2第4列授权链检查中“无授权调用”占比超过5%，则24小时内暂停该合作方该接口权限，逐笔回查；如果回查确认是银行侧匹配规则问题而非合作方越权，则恢复权限的判定须以修补后重跑的30天记录占比低于1%为条件。如果表5触发“数据安全事件信号”任一项，则2小时监管报告倒计时启动，同时按表4第6行通知合作方；如果合作方在1小时内未确认收到通知，则银行侧独立完成报告，合作方通知记录作为合同违约证据留存。如果合同表4第5行“未授权交易责任分担”无法与合作方达成一致，则A档接口不签；B档接口可以签署但须在合同附件中单列“该接口不涉及支付发起，未授权交易责任条款不适用”，不得以空白或“另行协商”留白。如果表5读写端点阈值在生产环境连续7天触发告警但未升级为事件，则复核阈值是否偏离实际流量基线；复核后调整阈值须同步更新网关限流配置和合作方技术通知，不允许只改告警不改限流。矛盾四段式：开放效率与风险隔离的冲突矛盾陈述。开放银行的产品逻辑要求合作方能够快速接入、快速调用，以减少用户在不同应用之间切换的摩擦；金规〔2024〕24号第五十三条要求银行实现自身与外部的安全风险隔离，数据交互通过集中管理的外联平台或API实施，依据最小权限原则进行集中安全保护管理。两件事在接口开通速度上直接冲突：表3每增加一项强制核对，合作方从签约到拿到可用凭证的时间就延长一段。实质分析。冲突的根源不在“开放”和“安全”本身，而在接口开通决策的默认路径。如果默认路径是“先开通、后补安全项”，表3强制项会被排到生产流量之后，表4责任条款失去技术事实支撑，表5监控阈值只能在没有基线的情况下拍定。如果默认路径是“安全项全部关闭后才开通”，A档支付发起接口的上线周期会被表3第2行令牌绑定和第3行PAR拖长，合作方可能转向其他接入更快的银行。这个矛盾的裁量点不是“要不要安全”，而是“在哪一步把安全项设为不可跳过的闸门”。权衡规则。A档支付发起接口以表3第1—3行作为开通闸门：三项全过才发生产凭证，三项任何一项未过，可以用沙箱凭证做联调，不产生真实资金动作。B档账户查询接口以表2第1—4列作为开通闸门，表3强制项允许在开通后30天内关闭，但沙箱与生产凭证分离，未关闭项对应的端点只返回脱敏样本数据。C档接口以表3第4行TLS版本作为唯一硬闸门。开通速度的让步只发生在B档和C档的“非资金动作”范围内，A档不设速度优先通道。退路。如果合作方因A档闸门未过而表示将减少接入接口数量，则接受缩减后的接口范围，但不降低闸门标准；缩减后的接口清单重新跑表1分类，B档和C档按各自闸门处理。如果监管检查要求对已开通B档接口的表3未关闭项给出时间表，则以表5“授权失败率”和“5xx错误率”的稳定程度作为延期依据，不以合作方口头承诺延期。八、三套场景操作序列三套版本的差异落在表2列数、表3强制行数、表4行数和表5阈值项的实际增减，不是名称变化。版本适用判定表2执行列表3执行行表4执行行表5阈值项不能妥协的底线完整版对外交付、监管报送、A档接口上线全列（A档）；第1—4列（B档）全行（A档强制全过；B档第1—4行）第1—6行（A档）；第1—4行＋第7行（B档）全部7项A档表3第1—3行全过；表4第5行有可计算的责任分担；事件2小时上报触发固定精简版内部决策、时间受限、已有合作方续签第1—3列＋第4列抽查第1—2行＋第4行第1—3行＋第5行（A档）可用性、5xx错误率、写端点RPS、事件信号4项A档表3第1—2行不可跳过；表4第5行不可空白；事件信号仍触发2小时报告极简版个人学习、非风险管理岗位了解接口状态第1列＋第3列第4行第1—2行可用性1项表3第4行TLS版本为唯一硬校验；发现事件信号仍须按机构流程转交风险岗完整版序列：跑表2全列→跑表3全行→表3强制项全过后跑表4全行→配置表5全部7项→生产开通。修复动作：表2不合格项回到对应列“怎么改”；表3不合格项在沙箱环境关闭后重跑该行；表4缺行补条款后重审；表5阈值调整同步网关和