Servicios de integración de API de BBVA Business Mexico (SPEI / CoDi / B Negocios)

Diseñada para las PyMEs mexicanas

BBVA es el banco más grande de México por depósitos y cartera de crédito, y B Negocios (nombre interno GEMA) es su producto móvil dedicado para comercios, MicroNegocios y corporativos. Con aproximadamente 87 millones de cuentas activas de banca móvil operando en México al cierre del 1T 2024, una parte importante del flujo de efectivo corporativo se origina ahora en apps como ésta — lo que convierte el acceso del lado del servidor a esos datos en un requerimiento estratégico para flujos de ERP, contabilidad, crédito y riesgo.

Estado de servidor rico en información

Detrás de la app hay un backend estructurado: cuentas en varias divisas, tarjetas empresariales, terminales TPV por afiliación, historial de cobros CoDi, inversiones en pagarés y contratos de crédito. Cada pantalla de la app (resumen ejecutivo, movimientos, resumen TPV, créditos) corresponde con un recurso del servidor identificable que puede exponerse como endpoint REST una vez comprendida la cadena de autenticación B Negocios.

Complementario a BBVA API Market

BBVA ya publica APIs sólo para socios como Business Payments y Business Collections en bbvaapimarket.com, pero esas requieren un alta comercial directa con el banco y no cubren todos los datos que un usuario ve en la app. Nuestro servicio de análisis de protocolo cubre los huecos: datos de estado de cuenta y TPV en sólo lectura, estado de créditos y automatizaciones que las APIs oficiales para socios no exponen a todos los clientes.

API de movimientos de cuentas y tarjetas

Consultas de estado para cuentas de cheques, dólares y euros de BBVA, además de tarjetas de débito y crédito empresariales. Admite filtros por rango de fechas, tipo de operación e ingreso/egreso, cursores paginados e IDs de transacción estables aptos para escrituras idempotentes aguas abajo. Uso típico: importación nocturna a un libro contable o ERP.

Automatización de transferencias SPEI

Transferencias programáticas a terceros por CLABE o número de tarjeta de débito, incluidas transferencias entre cuentas propias y flujos multidivisa (MXN / USD / EUR). Cada llamada devuelve la clave de rastreo SPEI para que tu back office pueda conciliarla contra los acuses SPEI de Banxico.

Cobros CoDi por QR

Genera un QR de cobro CoDi y recolecta los eventos de liquidación sin necesidad de TPV físico. Los endpoints cubren creación del QR, expiración, sondeo de estatus y devoluciones por webhook para que un checkout de comercio electrónico o un kiosco puedan confirmar el pago en menos de un segundo.

Conciliación de terminales TPV

Resúmenes diarios y mensuales de ventas TPV por afiliación, con comisiones, importe bruto y liquidación neta. Ideal para contabilidad del comercio o para calcular el costo efectivo de adquirencia por terminal y marca de tarjeta.

Crédito al instante y feed de pagarés

Lee los créditos al instante por anticipo de TPV de BBVA (la oferta que aparece dentro de la app como reconocimiento al buen uso de la terminal), las líneas de crédito vigentes y las posiciones de inversión en pagarés. Útil para tableros de tesorería y servicios de monitoreo de límite de crédito.

Seguridad y manejo de tokens

Encapsulamos el manejo del token móvil B Negocios, la aprobación biométrica y el reto visual Cronto para que las automatizaciones no se rompan cuando el banco rote la lógica OTP. Tiempos de vida del token, flujos de CVV dinámico y aprobaciones step-up quedan abstraídos detrás de una sola llamada authorize().

1. Sincronización contable nocturna

Contexto: Un retailer con 12 cuentas BBVA en MXN / USD requiere que todo movimiento BBVA esté en su herramienta contable a las 07:00.

Dato / API: GET /bbva/accounts para enumerar y luego POST /bbva/statement con from_date / to_date; cada fila se normaliza en una póliza contable cuya llave es la clave de rastreo SPEI o el ID interno BBVA.

Mapeo OpenFinance: Es la capa canónica de datos transaccionales de la Ley Fintech mexicana — basada en consentimiento, por cuenta y por periodo — exactamente el patrón que el Artículo 76 previó para APIs bancarias estandarizadas.

2. Checkout CoDi para un sitio de e-commerce

Contexto: Una tienda mexicana tipo Shopify quiere aceptar CoDi sin tener que comprar un TPV físico.

Dato / API: POST /bbva/codi/charge devuelve el payload del QR y un charge_id; un webhook charge.settled se dispara cuando el pagador confirma desde su app bancaria. El backend del comercio marca la orden como pagada y dispara el surtido.

Mapeo OpenFinance: Un patrón de Iniciación de Pago, equivalente al PSD2 PIS en Europa pero sobre los rieles domésticos CoDi en lugar de SEPA.

3. Conciliación TPV entre afiliaciones

Contexto: Un grupo restaurantero con 40 terminales TPV quiere conocer, por sucursal, las ventas brutas, la comisión y el depósito neto del día anterior.

Dato / API: GET /bbva/pos/summary?day=2026-04-19 regresa una lista por affiliation_id con bruto, comisiones, neto y fecha esperada de liquidación; el monto neto se concilia contra el movimiento de la cuenta de cheques.

Mapeo OpenFinance: API de reporte de adquirente, complementaria a la capa de datos transaccionales de la CNBV.

4. Scoring de riesgo crediticio PyME

Contexto: Una fintech de crédito preaprueba a clientes BBVA Business para capital de trabajo con base en 12 meses de flujos.

Dato / API: Con consentimiento explícito del usuario, el prestamista jala estados de cuenta vía POST /bbva/statement más resúmenes de TPV; la estabilidad del ingreso, la estacionalidad y los saldos de crédito BBVA vigentes alimentan el modelo de scoring.

Mapeo OpenFinance: Patrón de Account Information Services (AIS) — exactamente el caso de uso para el que se diseñó el piloto de open finance entre Banxico y el Open Bank Project.

5. Dispersión automatizada a proveedores

Contexto: Un ERP agrupa 500 pagos a proveedores y necesita ejecutar transferencias SPEI con rastro de auditoría completo.

Dato / API: POST /bbva/spei por beneficiario con CLABE, importe y concepto; la respuesta contiene la tracking_key SPEI, que luego se concilia contra el estado de cuenta usando el mismo campo.

Mapeo OpenFinance: Iniciación de Pago Masivo, ruteada por SPEI en vez de instrucciones de transferencia en bruto.

Lista de entregables

• Especificación OpenAPI 3.1 de todos los endpoints BBVA Business entregados
• Reporte de protocolo y autenticación B Negocios (token móvil, Cronto, aprobación biométrica)
• Código fuente ejecutable (Python / Node.js / Go) para login, estados de cuenta, SPEI y CoDi
• Dockerfile y docker-compose.yml de ejemplo para despliegue auto-hospedado
• Pruebas automatizadas, colección Postman y sitio de docs generado a partir de OpenAPI
• Nota de cumplimiento que cita la Ley Fintech mexicana (Artículo 76) y los lineamientos de la CNBV
• Entrega de código fuente desde 300 USD — pago contra entrega a satisfacción
• Opción de pago por llamada — usa nuestros endpoints hospedados y paga sólo por llamada exitosa

Ejemplo 1 — Login B Negocios y token

// Paso 1: abrir sesión con credenciales del usuario
POST /api/v1/bbva-mx/auth/login
Content-Type: application/json

{
  "document_type": "RFC",
  "document_number": "XAXX010101000",
  "password": "<plain>",
  "device_id": "a7c9...e4"
}

// Paso 2: confirmar el reto del token móvil
POST /api/v1/bbva-mx/auth/token/confirm
Authorization: Bearer <SESSION_TOKEN>

{
  "otp": "847213",
  "cronto_signature": "<base64-signed-image>"
}

Response:
{
  "access_token": "eyJhbGciOi...",
  "expires_in": 900,
  "scope": ["statement", "spei", "codi", "pos"]
}

Ejemplo 2 — Consulta de estado de cuenta

POST /api/v1/bbva-mx/statement
Authorization: Bearer <ACCESS_TOKEN>
Content-Type: application/json

{
  "account_id": "014180655012345678",
  "currency": "MXN",
  "from_date": "2026-03-01",
  "to_date":   "2026-03-31",
  "type": "ALL",
  "page": 1,
  "page_size": 100
}

// 200 OK
{
  "account_id": "014180655012345678",
  "opening_balance": 152304.55,
  "closing_balance": 184902.10,
  "currency": "MXN",
  "items": [
    {
      "tx_id": "BBVA-2026-03-02-0001",
      "posted_at": "2026-03-02T10:22:11-06:00",
      "concept": "SPEI RECIBIDO CLIENTE ABC",
      "amount": 18450.00,
      "direction": "IN",
      "tracking_key": "CR1400000012023030210221100001",
      "counterpart": { "clabe": "012180001234567890", "name": "CLIENTE ABC SA" }
    }
  ],
  "has_next": true,
  "next_cursor": "eyJwYWdlIjoyfQ=="
}

Ejemplo 3 — Webhook CoDi

// Genera un cobro CoDi
POST /api/v1/bbva-mx/codi/charge
Authorization: Bearer <ACCESS_TOKEN>

{
  "amount": 349.00,
  "currency": "MXN",
  "concept": "Pedido #A-1029",
  "reference": "A-1029",
  "expires_in": 600
}

// Callback por webhook (backend del comercio)
POST https://merchant.example.com/webhooks/bbva-codi
X-Signature: sha256=9e0a...

{
  "event": "charge.settled",
  "charge_id": "codi_01HFQ9Z...",
  "reference": "A-1029",
  "amount": 349.00,
  "status": "SETTLED",
  "settled_at": "2026-04-19T14:05:32-06:00",
  "payer_masked_clabe": "********7890"
}

// Casos de error: EXPIRED, CANCELLED_BY_PAYER, RISK_BLOCKED
// Cada uno devuelve un error_code estable para lógica de reintento/alerta.

Contexto regulatorio mexicano

La Ley para Regular las Instituciones de Tecnología Financiera (Ley Fintech, 2018) es el marco fundacional del open banking. El Artículo 76 obliga a bancos, fintechs, transmisores de dinero y burós de crédito a compartir datos financieros mediante APIs estandarizadas en tres capas: datos abiertos (catálogos de productos, ubicación de cajeros — ya regulados), datos agregados y datos transaccionales. La CNBV y Banxico supervisan estas obligaciones.

A 2026 las disposiciones secundarias para datos transaccionales y agregados aún no se publican en forma vinculante, lo que ha motivado un amparo presentado por emprendedores en enero de 2026 contra la omisión de la CNBV, Banxico y la SHCP. Mientras tanto, las APIs publicadas por BBVA (Business Payments y Business Collections en bbvaapimarket.com) siguen siendo contractuales, no derivadas de un derecho. Nuestras integraciones operan estrictamente bajo la sesión autenticada del cliente o sobre APIs públicas / de socio debidamente documentadas.

Privacidad y manejo de datos

Nos alineamos con la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) y, para clientes que operan internacionalmente, con los principios del GDPR: limitación de finalidad, minimización de datos, ventanas de retención y derecho al olvido. No almacenamos nada que el cliente no necesite explícitamente; los campos PII (RFC, CLABE, nombre del titular) pueden tokenizarse en la capa adaptadora. NDAs y DPAs son estándar.

Acerca de nosotros

Somos un estudio independiente especializado en integración de interfaces de App, análisis de protocolo y entrega OpenData/OpenFinance. Nuestros ingenieros vienen de bancos, procesadores de pago, laboratorios de análisis de protocolo móvil y plataformas en la nube. Entregamos APIs financieras de extremo a extremo bajo estrictas restricciones de seguridad y cumplimiento, con experiencia en América Latina, Europa y Asia.

• Pagos, banca digital, insurtech y compensación transfronteriza
• Análisis de protocolo móvil: Android / iOS, incluyendo SSL pinning, clientes ofuscados, flujos de token móvil y retos visuales tipo Cronto
• SDKs personalizados en Python / Node.js / Go y arneses de prueba
• Pipeline completo: análisis de protocolo → construcción → validación → firma de cumplimiento
• Entrega de código fuente desde 300 USD, pago contra satisfacción; opción de pago por llamada sobre nuestros endpoints hospedados

Contacto

Envíanos el nombre de la app objetivo más tus requerimientos — por ejemplo, "Exportación de estados de BBVA Business Mexico + conciliación de TPV para 20 terminales" — y te regresaremos alcance, tiempos y precio.

Página de contacto

Dos modelos de contratación:

• Entrega de código fuente desde 300 USD — código fuente ejecutable y documentación; pago contra entrega a satisfacción.
• Cobro por llamada de API — accede a nuestros endpoints hospedados y paga sólo por llamada exitosa, sin cuota inicial.

Flujo de trabajo del proyecto

1. Confirmación de alcance. Acordamos exactamente qué datos de BBVA Business necesitas (estados, TPV, CoDi, SPEI, créditos) y el modelo de consentimiento.
2. Análisis de protocolo y diseño de API — 2 a 5 días hábiles, dependiendo de la profundidad del flujo de token B Negocios y Cronto.
3. Construcción y validación interna — 3 a 8 días hábiles, con pruebas unitarias y entorno sandbox.
4. Documentación, ejemplos y casos de prueba — especificación OpenAPI, colección Postman, ejemplos ejecutables.
5. Entrega. Primer drop típicamente en 5 a 15 días hábiles; aprobaciones del banco o pruebas de liquidación SPEI pueden ampliar los tiempos.

Preguntas frecuentes

¿Qué necesitas de mi parte?

¿Cuánto tarda la entrega?

¿Cómo manejas el cumplimiento?

¿También cubren iOS?