Чи безпечно давати застосунку доступ до банку: що перевірити перед підключенням

Сім питань і відповіді Sergeant

1. 1. Читання чи повний доступ

   Читати виписку і рухати гроші: це різні права. Питання формулюється жорстко: чи зможе зловмисник рухати гроші, якщо зламає цей сервіс завтра.

   Sergeant: Лише читання. Персональний токен Monobank не має способу рухати гроші: платіжних методів у цьому API немає. Єдина команда, яку трекер ним подає, це реєстрація адреси, на яку банк надсилатиме нові операції.

2. 2. Офіційний API чи логін від банку

   Банк видає токен тобі й сам обмежує його права. Логін і пароль від банку не варто давати нікому й ніколи, і жодні обіцянки сервісу цього не вирівнюють.

   Sergeant: Офіційний API Monobank. Логін і пароль тут не фігурують, токен зберігається зашифрованим.

3. 3. Хто керує відкликанням

   Добре, коли доступ вимикається на сайті банку: рішення лишається в тебе. Гірше, коли його знімають лише через підтримку сервісу, бо тоді швидкість залежить від чужої черги звернень.

   Sergeant: Один клік на api.monobank.ua. Без підтримки, без пояснень і без згоди Sergeant.

4. 4. Де сервери і хто оператор

   Юрисдикція визначає правила поводження з даними, а імʼя оператора має бути написане на сайті звичайним текстом.

   Sergeant: Сервери в Європі (Hetzner). Продукт робить одна людина, Дмитро Стахов; юридичної особи поки немає, про це на сторінці «Звʼязок». Частина даних живе локально на твоєму пристрої. Дані не продаються і не передаються нікому для реклами чи перепродажу; щоб працював Сержант, частина даних їде до стороннього AI-провайдера.

5. 5. Чи можна забрати свої дані

   Експорт у стандартні формати страхує на всі випадки: переїзд, підозра, закриття сервісу. Питай саме про формат, бо «доступ до даних» буває й через скриншот.

   Sergeant: Експорт є, але двома файлами: усе, що встигло синхронізуватись з акаунтом, вивантажується з профілю (JSON або CSV на вибір), а записи, яких сервер не бачив, знімаються локальним бекапом із пристрою. Звести їх в один файл поки не можна.

6. 6. Що сервіс бачить, а що ні

   Добра відповідь називає конкретні поля. Фраза «все зашифровано» відповіддю не є.

   Sergeant: Операції, код категорії від банку, баланс. Номер картки і CVV токен не віддає. Розбір по полях – у гайді про підключення, решта доступів і сховище – на сторінці «Твої дані».

7. 7. Що буде, якщо сервіс закриється

   Питання незручне, тому його й варто поставити. Хороша відповідь звучить приблизно так: експорт у тебе вже є, і доступ ти знімаєш сам на боці банку.

   Sergeant: Саме так: експорт уже в тебе, токен знімаєш сам у Monobank за хвилину.

Зовнішнього аудиту й сертифікатів на кшталт ISO у Sergeant немає: продукт у закритій беті, роблю його сам. З банків підключений лише Monobank, ПриватБанку поки немає. Перевіряти взагалі варто те, що можна перевірити самому: рівень доступу, кнопку відкликання на сайті банку і наявність експорту.

Якщо логін від банку кудись уже пішов

1. 1.Зміни пароль у банку просто зараз, до всього іншого.
2. 2.Перевір у банку список активних сесій, пристроїв і виданих токенів; познімай ті, яких не впізнаєш.
3. 3.Переглянь операції за останній місяць і ввімкни сповіщення про кожну, якщо вони були вимкнені.

Цей самий порядок дій підходить і тоді, коли ти просто передумав щодо сервісу, якому колись дав токен. Відкликання на боці банку працює миттєво й не потребує згоди того, кому ти токен давав.

Що застосунок бачить і чого не бачить – на сторінці «Твої дані».