Porque é obrigatório
A segunda diretiva dos serviços de pagamento (PSD2, Diretiva (UE) 2015/2366) abriu o acesso às contas bancárias a terceiros autorizados: prestadores de serviços de iniciação de pagamentos e de informação sobre contas. As normas técnicas de regulamentação sobre autenticação forte e comunicação segura, o Regulamento Delegado (UE) 2018/389, definem como esses terceiros e os bancos se identificam.
O artigo 34.º desse regulamento manda os prestadores de serviços de pagamento recorrerem a certificados qualificados de selo eletrónico (QSealC) ou a certificados qualificados de autenticação de sítios web (QWAC), ambos do eIDAS, e exige que o certificado inclua o número de registo do prestador e a sua função. É aplicável desde 14 de setembro de 2019.
O que um QWAC PSD2 tem a mais
A norma ETSI TS 119 495 define o perfil. Além de tudo o que um QWAC contém, o QWAC PSD2 leva uma declaração própria com:
- Funções autorizadas do prestador, uma ou mais:
PSP_AS: gestão de contas (os bancos e outros prestadores que mantêm contas);PSP_PI: iniciação de pagamentos;PSP_AI: informação sobre contas;PSP_IC: emissão de instrumentos de pagamento baseados em cartões.
- Autoridade competente que autorizou o prestador, pelo nome e identificador. Em Portugal, o Banco de Portugal.
- Número de autorização, no campo
organizationIdentifier, no formatoPSD+ país + autoridade + número: por exemplo,PSDPT-BP-….
O prestador qualificado confirma estes dados junto do registo público da autoridade competente ou do registo central da Autoridade Bancária Europeia antes de emitir.
QWAC ou QSealC?
| QWAC PSD2 | QSealC PSD2 | |
|---|---|---|
| Protege | O canal: identifica as partes na ligação TLS | A mensagem: sela pedidos e respostas |
| Onde atua | Camada de transporte (TLS, muitas vezes mútuo) | Camada de aplicação (assinatura dos pedidos HTTP) |
| Prova a posteriori | Não fica registo assinado da mensagem | Sim, o selo acompanha os dados |
| Uso típico | Ligação às APIs do banco | Assinatura de pedidos em normas como a NextGenPSD2 do Berlin Group |
A PSD2 aceita um ou outro, mas muitos bancos pedem os dois: o QWAC para a ligação e o QSealC para assinar os pedidos. Confirme sempre a documentação das APIs de cada banco a que se vai ligar.
2026: o fim da autenticação de cliente nos certificados TLS públicos
Nas APIs PSD2, o QWAC é muitas vezes usado em TLS mútuo: o terceiro apresenta o seu certificado ao banco como cliente. Para isso o certificado precisa da utilização alargada clientAuth.
O programa de raiz do Chrome passou a exigir hierarquias dedicadas só à autenticação de servidores TLS, e as Autoridades de Certificação deixaram de emitir certificados TLS públicos com clientAuth a partir de 15 de junho de 2026. O efeito para a PSD2:
- um QWAC PSD2 emitido numa hierarquia aceite pelos browsers deixa de poder servir de certificado de cliente;
- os QWAC PSD2 para TLS mútuo passam a vir de hierarquias qualificadas fora dos programas de raiz dos browsers, ao abrigo da ETSI TS 119 495, o que o Regulamento de Execução 2025/2527 prevê para o uso «fora do contexto de um browser»;
- quem usa o mesmo certificado no site público e nas APIs deve separar os dois.
Verifique onde o seu QWAC PSD2 é usado (como servidor, como cliente, ou ambos), se tem clientAuth, e o que cada banco aceita. Fazemos esse levantamento consigo antes de encomendar.
Quem precisa de um QWAC PSD2
- Bancos e outros prestadores que gerem contas (
PSP_AS) e expõem APIs a terceiros. - Prestadores de serviços de iniciação de pagamentos (
PSP_PI) e de informação sobre contas (PSP_AI), autorizados ou registados pela autoridade competente. - Emitentes de instrumentos de pagamento baseados em cartões (
PSP_IC). - Instituições de pagamento e de moeda eletrónica com essas funções.
Só pode pedir um QWAC PSD2 quem já está autorizado ou registado. Plataformas que acedem às APIs através de um agregador licenciado normalmente usam o certificado do agregador.
Documentos e prazos
Para além dos documentos de um QWAC normal (certidão permanente, identificação do representante legal e, se for o caso, procuração), o prestador qualificado confirma a autorização PSD2 e as funções no registo público. A emissão demora em regra 3 a 7 dias úteis depois de entregues os documentos. Ver Obter um QWAC.