[Open Finance] Informa #920

Informe nº 920 | 07/07/2026

Publicação do Perfil de Segurança FAPI-BR 2.2.1

Prezados participantes,

A Associação Open Finance Brasil informa a publicação do Perfil de Segurança FAPI-BR 2.2.1 ([PT] Open Finance Brasil Financial-grade API Security Profile - v2.2.1 - Área do Desenvolvedor - Open Finance Brasil - Área do Desenvolvedor) que incorpora a clarificação sobre o comportamento esperado para escopos associados ao uso de refresh_token.

Esta publicação complementa o entendimento comunicado no Informa nº 871 — Clarificação sobre escopos associados ao refresh_token, disponível em: [Open Finance] Informa #871

Conforme já esclarecido, quando um refresh_token estiver associado a consentimentos válidos, o Authorization Server deve manter como referência a base de escopos originalmente autorizada pelo cliente. A solicitação ou emissão de um access_token com subconjunto de escopos pode limitar o token daquela renovação específica, mas não deve reduzir permanentemente a base de escopos elegíveis associada ao refresh_token.

Esse entendimento aplica-se à Jornada Otimizada e aos demais cenários do Open Finance Brasil em que um refresh_token esteja associado a múltiplos escopos.

As instituições que identificarem divergência entre suas implementações atuais e o comportamento previsto no Perfil de Segurança FAPI-BR 2.2.1 deverão planejar os ajustes necessários e comunicar à Associação Open Finance Brasil o respectivo plano de adequação, incluindo os prazos previstos para conclusão.

Atenciosamente, Associação Open Finance Brasil