«Collegare il mio conto a un'app? Neanche per sogno.» Lo sentiamo spesso, e lo capiamo: suona come consegnare a uno sconosciuto la chiave della cassaforte. Solo che la sincronizzazione tramite open banking non funziona così. Non dai la password a nessuno, tranne alla tua banca. Non dai accesso ai bonifici. L'app legge i movimenti, e basta.
La sincronizzazione del conto corrente con un'app è il collegamento, regolato dalla direttiva europea PSD2, con cui la tua banca trasmette movimenti e saldi a un'app autorizzata, dopo il tuo consenso e solo in lettura. Nel 2024, secondo l'Osservatorio Innovative Payments del Politecnico di Milano, in Italia i pagamenti digitali hanno superato per la prima volta il contante per valore. Paghi con il telefono, controlli il saldo dall'app della banca, eppure collegare il conto a un'app di bilancio mette ancora ansia. Questa guida mostra cosa passa davvero dal conto all'app, riga per riga, e dove sta il rischio vero.
I punti chiave
- La password la scrivi solo alla tua banca, nella sua pagina o nella sua app: l'app di bilancio non la vede mai
- Sola lettura: un'app autorizzata come AISP legge movimenti e saldi, ma non può disporre bonifici né cambiare le impostazioni del conto
- Legge le stesse righe del tuo estratto conto: PAGAMENTO POS, ADDEBITO SDD, BONIFICO con la causale, PAGAMENTO PAGOPA
- Si aggiorna fino a quattro volte al giorno da sola, più ogni volta che lo chiedi tu (Regolamento delegato (UE) 2018/389)
- La conferma con autenticazione forte va rinnovata almeno ogni 180 giorni: se la sincronizzazione si ferma, di solito è per questo
Come funziona la sincronizzazione del conto corrente con un'app?
La sincronizzazione del conto corrente con un'app è una lettura periodica: l'app chiede alla banca movimenti e saldi del conto, la banca li consegna attraverso un canale riservato ai prestatori autorizzati, e l'app li mostra e li ordina. Quel canale esiste perché la PSD2, la Direttiva (UE) 2015/2366, obbliga le banche a offrirlo. In Italia è legge dal 13 gennaio 2018, con il decreto legislativo 218/2017.
Visto da te, il percorso è questo: scegli la banca nell'app, vieni portato nella pagina ufficiale della banca, ti identifichi con le tue credenziali e con la conferma nell'app della banca, autorizzi la lettura dei dati. Da quel momento i movimenti arrivano da soli. Se ti interessa la parte giuridica per intero, c'è la guida su come funziona l'open banking e perché è sicuro.
Cosa vede l'app, e cosa no?
Un'app autorizzata come AISP vede l'elenco dei movimenti, i saldi, le date, gli importi e le descrizioni, oltre ai dati di base del conto come IBAN e valuta. Non vede il tuo nome utente, la password o il PIN, non può disporre un bonifico e non può cambiare nessuna impostazione del conto. È come dare a qualcuno una copia dell'estratto conto che si aggiorna da sola: può leggerla, non può toccare un euro.
Cos'è un AISP?
Un AISP (Account Information Service Provider, in italiano prestatore di servizi di informazione sui conti) è un soggetto autorizzato che, con il tuo consenso, legge le informazioni del tuo conto. La PSD2 lo distingue dal PISP, il prestatore che dispone pagamenti per conto tuo. Le app di bilancio come Martia usano l'accesso da AISP: sola lettura, nessun pagamento.
Cosa legge l'app dal tuo estratto conto, riga per riga
La sincronizzazione non inventa niente: l'app riceve le stesse righe che trovi nell'estratto conto della tua banca, con le stesse sigle, spesso in maiuscolo e tagliate. Il suo lavoro è leggerle e capire che cosa c'è dietro. Queste sono le righe che compaiono più spesso su un conto italiano.
Le righe tipiche di un estratto conto italiano e la categoria in cui le mette una categorizzazione automatica. Le descrizioni sono esempi, non movimenti reali.
| Riga sull'estratto conto | Che cosa significa | Categoria |
|---|---|---|
| PAGAMENTO POS 12/03 MILANO CONAD | Pagamento con carta in un negozio fisico, con città e data | Spesa alimentare |
| ADDEBITO SDD ENEL ENERGIA MANDATO … | Addebito diretto ricorrente (il vecchio RID): bollette, assicurazioni, rate | Utenze |
| BONIFICO A VOSTRO FAVORE, causale: stipendio | Bonifico in entrata; la causale dice il perché | Stipendio |
| PAGAMENTO PAGOPA AVVISO … | Pagamento alla pubblica amministrazione: tributi, multe, ticket, rette | Tasse e imposte |
| DELEGA F24 | Pagamento di imposte e contributi | Tasse e imposte |
| IMPOSTA DI BOLLO | 34,20 € l'anno sui conti con giacenza media sopra i 5.000 € | Spese bancarie |
| RICARICA SATISPAY | Ricarica del saldo Satispay dal tuo IBAN | Trasferimento, non spesa |
Due righe meritano attenzione. La causale del bonifico è un campo libero: dentro c'è «affitto marzo», un numero di fattura o il numero di pratica di un finanziamento, ed è spesso l'unico indizio su che cosa sia quel movimento. Gli addebiti SDD, invece, sono la parte del conto che si muove da sola, mese dopo mese. Se vuoi vedere quanto pesano, parti dalla guida su quanto spendi in abbonamenti.
Il giorno dopo la sincronizzazione
Colleghi il conto la domenica sera. Il lunedì mattina l'app ti mette in fila le uscite ricorrenti degli ultimi mesi: luce e gas in addebito SDD, il telefono, l'assicurazione dell'auto, uno streaming sulla carta che non ricordavi di pagare ancora. Nessuna di queste righe è nuova: erano tutte nell'estratto conto. Solo che nessuno te le aveva mai messe una accanto all'altra.
Il caso Satispay
Satispay conta oltre 5,3 milioni di utenti, ma non è un conto corrente né un'app di bilancio: è una rete di pagamento con un proprio saldo, che si ricarica dal tuo IBAN. Per questo, quando sincronizzi il conto della banca, vedi le ricariche e non il bar o il negozio dove hai speso. Non è un difetto dell'app. È il punto in cui finisce quello che la banca sa.
Come pagano gli italiani, in quattro numeri
Fonti: Osservatorio Innovative Payments, Politecnico di Milano, Satispay
La sincronizzazione bancaria è sicura? Tre livelli di protezione
La sincronizzazione del conto tramite open banking è sicura perché poggia su tre livelli: una legge che stabilisce chi può leggere i dati, l'autenticazione forte a ogni collegamento e un accesso che, per costruzione, è solo in lettura.
Detto questo, il rischio zero non esiste, e conviene dire dove sta. Il punto debole non è il canale tra banca e app: è la pagina falsa. Un messaggio che imita la tua banca e ti porta a scrivere le credenziali in un modulo che non è della banca è phishing, con o senza open banking. La regola che ti protegge è una sola: la password si scrive solo nella pagina o nell'app ufficiale della tua banca.
1. La legge: chi può leggere i tuoi dati
Solo un prestatore autorizzato può accedere al conto per conto tuo. In Italia la PSD2 è stata recepita con il decreto legislativo 218/2017, e la vigilanza sugli istituti di pagamento spetta alla Banca d'Italia. Un prestatore autorizzato in un altro Paese dell'Unione può operare in Italia con il passaporto europeo previsto dalla direttiva, e resta vigilato dall'autorità del suo Paese.
2. L'autenticazione forte a ogni collegamento
Dal 14 settembre 2019 si applicano le norme tecniche della PSD2, il Regolamento delegato (UE) 2018/389, che impongono l'autenticazione forte del cliente: nome utente e password non bastano, serve anche una conferma nell'app della banca o un codice. Quando colleghi il conto a un'app, questa conferma la dai alla banca, non all'app.
3. La sola lettura
L'app di bilancio non può disporre bonifici, non può cambiare le impostazioni del conto e non vede la tua password. Vede movimenti e saldi. Nient'altro.
Mito e realtà
Mito: «Collegare il conto a un'app è come darle la password: potrebbe prendermi i soldi.»
Realtà: con l'open banking la password la scrivi solo alla tua banca, e l'app riceve un permesso di lettura che la banca stessa ha emesso. Un'app collegata come AISP non ha nessun canale per disporre un pagamento: il permesso che le hai dato non lo prevede.
La password resta alla banca. Le domande le fai a Martia
Martia legge i movimenti in sola lettura tramite Enable Banking e ti risponde in italiano. Chiedi «quanto ho pagato di addebiti SDD quest'anno?» e la risposta arriva dai movimenti veri del tuo conto, non da una stima.
Che differenza c'è tra sincronizzare il conto e dare la password all'app?
Tra la sincronizzazione tramite open banking e il vecchio metodo delle credenziali condivise c'è una differenza sola, ed è quella che conta: con l'open banking l'app non vede mai la tua password. Il vecchio metodo si chiama screen scraping: consegnavi nome utente e password a un'azienda terza, che entrava nell'home banking al posto tuo e copiava i dati dallo schermo.
Screen scraping e open banking a confronto, dal punto di vista di chi collega il conto.
| Aspetto | Screen scraping (vecchio metodo) | Open banking (PSD2) |
|---|---|---|
| Password della banca | La dai all'app | La scrivi solo alla banca |
| Bonifici | Chi ha la password può, in teoria, disporli | Impossibili: accesso in sola lettura |
| Regole | Nessuna garanzia su chi usa le credenziali | PSD2, D.Lgs. 218/2017, vigilanza di un'autorità |
| Autenticazione | Solo la password | Autenticazione forte, con la conferma della banca |
| Come lo interrompi | Cambiando la password della banca | Scolleghi il conto dall'app, o lasci scadere il consenso |
Se un'app ti chiede di scrivere nome utente e password della tua banca dentro un suo modulo, è screen scraping o qualcosa di peggio. Chiudi e cerca un'alternativa.
Le tre domande prima di collegare il conto (metodo Martia)
1. Dove scrivo la password? Solo nella pagina o nell'app ufficiale della tua banca. Se la risposta è «in un modulo dell'app», fermati lì.
2. Chi legge i miei dati, e chi lo vigila? L'app deve dirti quale prestatore autorizzato usa. Il nome lo puoi cercare nel registro pubblico dell'EBA, l'Autorità bancaria europea.
3. Come lo spengo? Scollegare il conto deve essere possibile in qualsiasi momento, dall'app. Se non trovi come, è un segnale.
Chi risponde dei tuoi dati quando sincronizzi il conto?
Quando sincronizzi il conto, dei tuoi dati rispondono in tre: la tua banca, che deve offrire un canale di accesso sicuro; il prestatore autorizzato che legge i dati; e l'autorità che vigila su quel prestatore. Nessuno dei tre lo fa per buona volontà: sono obblighi di legge.
Il prestatore di Martia: Enable Banking
Martia legge i conti tramite Enable Banking, un fornitore finlandese di open banking. Sul proprio sito (consultato a settembre 2026) Enable Banking si dichiara prestatore di servizi di informazione sui conti registrato e vigilato dall'autorità finanziaria finlandese, la FIN-FSA. È lo stesso tipo di autorizzazione che, per un soggetto italiano, rilascia la Banca d'Italia. E qualunque app tu stia valutando, il suo prestatore lo puoi verificare nel registro pubblico dell'EBA.
Quali dati condividi, e quali no
Condividi: l'elenco dei movimenti con date, importi e descrizioni, i saldi, i dati di base del conto come IBAN e valuta.
Non condividi: password, PIN, i dati completi della carta, l'accesso ai bonifici, la possibilità di cambiare le impostazioni del conto. L'app non ha il modo di fare un'operazione sul tuo conto.
Resta una cosa da dire con franchezza: un'app in sola lettura conosce comunque i tuoi movimenti, e i movimenti raccontano molto di te. Per questo vale la pena sapere chi li tratta e con quale autorizzazione, prima di collegare qualsiasi conto.
DORA: un livello in più dal 2025
Dal 17 gennaio 2025 si applica il DORA (Digital Operational Resilience Act), il Regolamento (UE) 2022/2554. Chiede a banche e prestatori di servizi finanziari regole più severe su sicurezza informatica, gestione e segnalazione degli incidenti e test di resilienza dei sistemi.
Fondatore di Martia
Dal fondatore
Quando ho scelto il fornitore di open banking per Martia, ho confrontato più di dieci opzioni. Enable Banking non ha vinto perché costava meno, ma perché è un prestatore autorizzato, vigilato dalla FIN-FSA, e perché nessun utente deve dare le proprie credenziali a qualcuno che non sia la sua banca. La sicurezza non era un compromesso. Era un requisito.
Ogni quanto si aggiorna la sincronizzazione, e perché a volte si ferma?
Una sincronizzazione del conto si aggiorna in due modi: da sola, in background, e ogni volta che la chiedi tu. Le norme tecniche europee (articolo 36 del Regolamento delegato (UE) 2018/389) consentono a un'app autorizzata di leggere i dati fino a quattro volte in 24 ore senza che tu intervenga, salvo accordi diversi con la banca, e in più ogni volta che apri l'app e chiedi dati aggiornati.
Un movimento compare quando la banca lo registra, e non sempre coincide con il giorno del pagamento: una preautorizzazione, per esempio quella di un albergo, può restare in sospeso prima di diventare un movimento vero. Non è l'app: è il ritmo con cui la banca conferma le operazioni.
Perché la sincronizzazione si è fermata
- È ora di rinnovare la conferma. Le norme tecniche, aggiornate dal Regolamento delegato (UE) 2022/2360, prevedono che l'autenticazione forte per l'accesso di un'app ai tuoi conti venga ripetuta almeno ogni 180 giorni. Non è un guasto: rinnovi come la prima volta, dalla pagina della banca.
- La banca ha un disservizio o una manutenzione. Il canale per i prestatori autorizzati a volte si ferma per qualche ora. Aspetta e riprova più tardi.
- Hai revocato l'accesso. In quel caso i dati smettono di arrivare subito, ed è giusto così: il consenso è tuo.
Se invece il collegamento non parte proprio, per esempio perché non arriva la conferma nell'app della banca, la guida su come collegare il conto corrente a un'app raccoglie i problemi più comuni e come risolverli.
Come sincronizzare il conto corrente con Martia, passo per passo
Sincronizzare il conto con Martia richiede tre passi, e quelli delicati avvengono tutti nella pagina ufficiale della tua banca: Martia non vede mai la tua password. La PSD2 obbliga le banche che offrono conti accessibili online nell'Unione, da Intesa Sanpaolo a UniCredit, da BancoPosta a Fineco, a mettere a disposizione il canale di accesso. Se la tua banca è nell'elenco di Martia lo vedi prima di iniziare.
1. Scegli la banca
In Martia scegli la tua banca dall'elenco. Se hai conti in più banche li colleghi uno alla volta, e poi li vedi insieme: come e perché lo spiega la guida su come vedere tutti i conti in un'unica app.
2. Identificati nella pagina della banca
Vieni portato nella pagina ufficiale della banca. Scrivi le credenziali lì, alla banca e non a Martia, e confermi con l'autenticazione forte: una notifica nell'app della banca o un codice.
3. Autorizza la sola lettura
La banca ti mostra la richiesta di consenso: lettura di movimenti e saldi. Confermi. Da quel momento i movimenti arrivano da soli, e puoi revocare il consenso quando vuoi scollegando il conto.
E poi? Il primo uso concreto di un conto sincronizzato è capire dove vanno i soldi senza sommare a mano: la guida su dove finiscono i miei soldi parte proprio da lì. Se stai ancora scegliendo l'app, il confronto è nella guida alla migliore app per il bilancio familiare.
Raccomandazione rapida
- Metodo: Open banking (PSD2) — la password la scrivi solo alla banca, l'app legge e basta.
- Prima di collegare: Le tre domande (metodo Martia) — dove scrivo la password, chi legge i dati, come si spegne.
- Se si ferma: Rinnova la conferma — l'autenticazione forte va ripetuta almeno ogni 180 giorni.
- Per il quadro completo: Collega tutti i conti — corrente, carta e deposito: il bilancio regge solo se non manca un pezzo.
Chiedi a Martia che cosa c'è nel tuo estratto conto
Collegato il conto in sola lettura, fai domande in italiano: «quanto ho pagato tra imposta di bollo e commissioni quest'anno?», «quali addebiti SDD sono aumentati?». Le risposte arrivano dai tuoi movimenti veri.
Domande frequenti
La sincronizzazione del conto corrente con un'app è sicura?
Sì, se passa dall'open banking previsto dalla PSD2. L'app riceve solo un accesso in lettura a movimenti e saldi: non può disporre bonifici né cambiare le impostazioni del conto. La password la scrivi nella pagina ufficiale della tua banca, mai nell'app, e il collegamento richiede l'autenticazione forte, obbligatoria dal 14 settembre 2019 con il Regolamento delegato (UE) 2018/389. Il rischio che resta è il phishing: una pagina falsa che imita la banca. Per questo la regola è una sola: le credenziali si scrivono solo nella pagina o nell'app della tua banca.
L'app vede la password della mia banca?
No. Con l'open banking ti identifichi direttamente nella pagina o nell'app ufficiale della tua banca, e l'app di bilancio non vede, non conserva e non riceve né il nome utente né la password. Riceve soltanto un permesso di lettura, emesso dalla banca dopo che hai confermato con l'autenticazione forte. Se un'app ti chiede di scrivere le credenziali della banca dentro un suo modulo, non sta usando l'open banking: è il vecchio screen scraping, o un tentativo di phishing, e conviene chiudere e cercare un'alternativa.
Un'app collegata al conto può fare bonifici?
No, se è collegata come AISP, cioè come prestatore di servizi di informazione sui conti. La PSD2 distingue due ruoli: l'AISP legge movimenti e saldi, il PISP dispone pagamenti su tua richiesta. Un'app di bilancio usa il primo: vede le operazioni, ma non ha nessun canale per ordinarne una. Martia, per esempio, legge i conti tramite Enable Banking, un fornitore europeo di open banking, solo in lettura. I bonifici continui a farli dall'app della tua banca, e soltanto da lì.
Ogni quanto si aggiornano i movimenti sincronizzati?
Le norme tecniche europee della PSD2 (articolo 36 del Regolamento delegato (UE) 2018/389) consentono a un'app autorizzata di leggere i dati del conto fino a quattro volte in 24 ore senza che tu intervenga, salvo accordi diversi con la banca, e in più ogni volta che apri l'app e chiedi dati aggiornati. Un movimento compare quando la banca lo registra: un pagamento con carta o una preautorizzazione possono restare in sospeso prima di diventare un movimento contabilizzato. Non è un ritardo dell'app, è il ritmo della banca.
Perché la sincronizzazione del conto si è fermata?
Il motivo più comune è la scadenza della conferma: le norme tecniche europee, aggiornate dal Regolamento delegato (UE) 2022/2360, prevedono che l'autenticazione forte per l'accesso di un'app ai tuoi conti venga ripetuta almeno ogni 180 giorni. Basta rinnovare il collegamento come la prima volta: scegli la banca, ti identifichi nella sua pagina, confermi. Altre cause sono un disservizio temporaneo del canale della banca, che si risolve aspettando qualche ora, oppure un accesso che hai revocato tu. In nessuno di questi casi i tuoi soldi corrono rischi.
Se pago con Satispay, l'app di bilancio vede le mie spese?
In parte. Satispay non è un conto corrente ma una rete di pagamento con un proprio saldo, che si ricarica dal tuo IBAN. Quando sincronizzi il conto della banca, sull'estratto conto compaiono le ricariche, di solito come RICARICA SATISPAY, e non il bar o il negozio dove hai pagato. Per un bilancio onesto conviene trattare quelle ricariche come trasferimenti e non come spese, e ricordare che il dettaglio delle singole spese resta dentro Satispay. È il confine di quello che la banca sa.
Come sincronizzo il conto corrente con Martia?
In tre passi. Primo: apri Martia e scegli la tua banca dall'elenco. Secondo: vieni portato nella pagina ufficiale della banca, dove scrivi le credenziali e confermi con l'autenticazione forte, per esempio con una notifica nell'app della banca. Terzo: autorizzi la lettura di movimenti e saldi. Da lì i movimenti arrivano da soli e puoi fare domande in italiano, come «quanto ho speso in utenze quest'anno?». Se hai conti in più banche li colleghi uno alla volta, e puoi scollegarli quando vuoi.
Fonti
- Parlamento europeo e Consiglio (2015), Direttiva (UE) 2015/2366 sui servizi di pagamento (PSD2), eur-lex.europa.eu
- Repubblica italiana (2017), Decreto legislativo 15 dicembre 2017, n. 218, normattiva.it
- Commissione europea (2017), Regolamento delegato (UE) 2018/389, norme tecniche su autenticazione forte e comunicazione sicura, eur-lex.europa.eu
- Commissione europea (2022), Regolamento delegato (UE) 2022/2360, rinnovo dell'autenticazione per l'accesso ai conti, eur-lex.europa.eu
- Parlamento europeo e Consiglio (2022), Regolamento (UE) 2022/2554 (DORA), eur-lex.europa.eu
- Osservatorio Innovative Payments, Politecnico di Milano (2025), Pagamenti digitali in Italia, osservatori.net
- Enable Banking (2026), Registered Account Information Service Provider regulated by Finnish Financial Supervisory Authority (FIN-FSA), consultato il 25 settembre 2026, enablebanking.com