feat: Bankanbindung ueber PSD2 (Backend)

Seit PSD2 muessen EU-Banken eine Schnittstelle anbieten, aber nur fuer lizenzierte Dienste mit eIDAS-Zertifikat. Enable Banking haelt die Lizenz und reicht sie weiter: eigene Anwendung registrieren, eigene Konten verknuepfen, danach genau diese lesen. Deckt N26 und Revolut ab; die Schweiz faellt nicht unter PSD2, Raiffeisen bleibt beim CSV-Weg. Es gibt keinen API-Schluessel. Jede Anfrage traegt ein selbst gebautes JWT, signiert mit dem privaten Schluessel der Anwendung (RS256). Signiert wird mit cryptography, das ohnehin schon fuer die Verschluesselung im Projekt ist – der Test prueft die Signatur echt gegen den oeffentlichen Schluessel, denn genau daran scheitert so eine Anbindung sonst als Erstes. Abgerufene Umsaetze werden NICHT gebucht. Sie laufen durch detect_rows und landen als Vorschlag im Eingang – dieselbe Strecke wie Mail und Kurzbefehl, also greifen Duplikatschutz und Schlagwortregeln ohne Sonderbehandlung. Eine dritte Quelle, kein dritter Sonderweg. Bewusst eng gehalten: nur Lesen; Zuordnung Bankkonto -> Konto trifft der Nutzer; die Zuordnung verlangt dieselbe Waehrung; die Rueckleitungs-Adresse wird eingetragen statt geraten (hinter einem Proxy sieht der Dienst "http", obwohl der Browser HTTPS spricht) und muss HTTPS sein. Der Ablauf der Zustimmung (bis 180 Tage) wird sichtbar gemeldet, damit der Abruf nicht eines Tages stumm aufhoert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-26 21:25:20 +02:00
parent 3ee18c4d21
commit 7a3bd200b1
10 changed files with 1232 additions and 1 deletions
@@ -593,3 +593,72 @@ class MailSenderOut(MailSenderIn):
    source_id: int

    model_config = ConfigDict(from_attributes=True)
+
+
+# --- Bankanbindung (PSD2) ----------------------------------------------------
+
+
+class BankAppIn(BaseModel):
+    application_id: str = Field(min_length=1, max_length=64)
+    # Inhalt der .pem-Datei aus dem Control Panel.
+    private_key: str = Field(min_length=1)
+    # Öffentliche Adresse dieser Installation; die Bank leitet dorthin zurück.
+    base_url: str = Field(min_length=1, max_length=255)
+
+    @field_validator("base_url")
+    @classmethod
+    def nur_https(cls, v: str) -> str:
+        """Ohne HTTPS lehnt die Bank die Rückleitung ab.
+
+        Bewusst eingetragen statt erkannt: Hinter einem Proxy sieht der Dienst
+        selbst „http", obwohl der Browser HTTPS spricht – automatisches Raten
+        würde hier zuverlässig das Falsche liefern.
+        """
+        v = v.strip().rstrip("/")
+        if not v.lower().startswith("https://"):
+            raise ValueError(
+                "Die Adresse muss mit https:// beginnen. Banken leiten nicht "
+                "auf eine unverschlüsselte Adresse zurück."
+            )
+        return v
+
+
+class BankAppOut(BaseModel):
+    id: int
+    application_id: str
+    base_url: str
+    created_at: datetime | None
+    # Der Schlüssel verlässt den Server nie – nur die Tatsache, dass einer da ist.
+    key_set: bool = True
+
+    model_config = ConfigDict(from_attributes=True)
+
+
+class BankConnectionOut(BaseModel):
+    id: int
+    aspsp_name: str
+    aspsp_country: str
+    valid_until: datetime | None
+    last_sync_at: datetime | None
+    last_error: str | None
+    expires_soon: bool = False
+
+    model_config = ConfigDict(from_attributes=True)
+
+
+class BankAccountLinkOut(BaseModel):
+    id: int
+    connection_id: int
+    remote_uid: str
+    iban: str | None
+    remote_name: str | None
+    currency: str
+    account_id: int | None
+
+    model_config = ConfigDict(from_attributes=True)
+
+
+class BankConnectStart(BaseModel):
+    aspsp_name: str = Field(min_length=1, max_length=120)
+    country: str = Field(min_length=2, max_length=2)
+    psu_type: Literal["personal", "business"] = "personal"