ScotiaMóvil MX: integración API y servicios de Open Finance

Inicio de sesión y gestión de sesiones

Replicamos el handshake de autenticación ScotiaWeb / ScotiaMóvil —huella del dispositivo, factores e-Llave / biométricos y rotación de tokens de sesión— y lo exponemos como un endpoint limpio /auth con refresh y revocación. Útil para apps de finanzas personales que necesitan acceso de lectura delegado sin pedir credenciales en cada sesión.

Histórico de movimientos y exportación de estados

Recupera hasta 12 meses de movimientos por producto (débito, crédito, inversiones) con campos normalizados: amount, currency, clave_rastreo, concepto, referencia_numerica, CLABE de contraparte y canal. Útil para conciliación, dashboards de flujo de efectivo y feeds para preparación de declaraciones SAT.

Integración de QR CoDi y transferencias SPEI

Genera y valida solicitudes de pago QR / push CoDi 0.2, consulta el estatus SPEI por clave_rastreo y envía confirmaciones a tu webhook. Casos típicos: cierre de orden en punto de venta, plataformas de donativos y liquidación de facturas en segundos.

Servicios de tarjeta y CVV dinámico

Expone interruptores de encendido/apagado de tarjeta, emisión de tarjeta virtual, regeneración de CVV dinámico y códigos de retiro sin tarjeta en cajeros. Útil para dashboards de prevención de fraude, productos de pago a trabajadores de la economía gig y controles de gasto corporativo.

Automatización de Apartados (metas de ahorro)

Crea Apartados puntuales o recurrentes, actualiza reglas de aportación y monitorea el avance de las metas. Las apps de presupuesto usan esto para convertir cuentas Scotiabank en sobres de ahorro programables sin construir su propio ledger.

Pago de servicios, tiempo aire e inversiones

Paga CFE, Telmex, Izzi, gas y recargas a celular; lee posiciones de inversión y descarga estados de cuenta de inversión. Lo usan agregadores que buscan una superficie unificada para pagar y consultar servicios mexicanos.

1. Sincronización contable PyME con ContPAQi / Aspel

Contexto: PyMEs mexicanas con cuentas operativas en Scotiabank necesitan llevar sus movimientos diarios a su stack contable para el reporte ante el SAT.

Datos / API: /statements/scotiamx devuelve movimientos con clave_rastreo, concepto, CLABE de contraparte y referencia. Nuestro servicio de ingesta mapea cada renglón a una póliza ContPAQi/Aspel y detecta duplicados por hash.

Mapeo Open Finance: Categoría de datos transaccionales definida por la CNBV — nuestra integración siempre carga artefactos explícitos de consentimiento y traza de auditoría por registro.

2. Liquidación de marketplace con SPEI + CoDi

Contexto: Un marketplace recibe pagos del comprador por SPEI o CoDi y necesita confirmación de orden casi instantánea.

Datos / API: /webhooks/spei-in dispara con cada transferencia entrante; el payload incluye clave_rastreo, monto, CLABE del ordenante y referencia_numerica (usada como ID de orden). El flujo CoDi usa /codi/request + confirmación push.

Mapeo Open Finance: Patrón de intercambio de datos agregados + transaccionales previsto en el Artículo 76 de la Ley Fintech.

3. Finanzas personales / agregación PFM

Contexto: Una app PFM busca una vista unificada del débito, crédito y Apartados del usuario en Scotiabank junto a tarjetas de otros bancos mexicanos.

Datos / API: /accounts regresa todos los productos; /apartados devuelve el progreso de metas; los estados de cuenta se descargan de forma incremental con un cursor para soportar sincronización en segundo plano.

Mapeo Open Finance: El agregador actúa como Entidad Solicitante de Datos; nuestra capa provee hooks de gestión de consentimiento compatibles con la topología API esperada por la CNBV.

4. Originación de crédito y suscripción

Contexto: Un prestamista digital requiere 6–12 meses de estados de cuenta verificados para suscribir un crédito personal sin PDFs en papel.

Datos / API: /statements/export?format=pdf&range=12m entrega un PDF firmado más un feed JSON normalizado con detección de ingresos y categorización de gastos recurrentes.

Mapeo Open Finance: Reduce el riesgo de fraude frente a PDFs subidos por el usuario y se integra con bitácoras de consentimiento estilo CNBV, lo que permite al prestamista demostrar el origen del dato ante auditorías.

5. Verificación de tesorería y nómina corporativa

Contexto: Una plataforma corporativa de RRHH debe confirmar que las dispersiones de nómina hayan llegado a las cuentas Scotiabank de los colaboradores antes de cerrar el ciclo.

Datos / API: El lote /payroll/verify recibe un CSV con CLABE y monto esperado y devuelve el estatus por colaborador usando los SPEI entrantes; los datos de inversión y crédito son opcionales para herramientas de compliance avanzadas.

Mapeo Open Finance: La verificación de nómina es un caso citado con frecuencia en las disposiciones secundarias de la Ley Fintech como intercambio legítimo de datos agregados.

Autenticación y sesión (token estilo OAuth)

POST /api/v1/scotiamx/auth/login
Content-Type: application/json

{
  "username": "user_alias",
  "credential_ref": "e-llave://session-123",
  "device_id": "fp_8f1c...",
  "consent_id": "consent_2026_04_a1b2"
}

200 OK
{
  "access_token": "eyJhbGciOi...",
  "refresh_token": "rft_9c...",
  "expires_in": 900,
  "consent": {
    "scope": ["accounts.read","statements.read","codi.push"],
    "expires_at": "2026-07-20T00:00:00Z"
  }
}

Consulta de estado de cuenta

POST /api/v1/scotiamx/statement
Authorization: Bearer <ACCESS_TOKEN>

{
  "account_clabe": "044180XXXXXXXXXXXX",
  "from_date": "2026-01-01",
  "to_date":   "2026-03-31",
  "types": ["SPEI_IN","SPEI_OUT","CARD","BILL_PAY"],
  "page_size": 100,
  "cursor": null
}

200 OK
{
  "items": [
    {
      "posted_at": "2026-03-28T14:03:11-06:00",
      "amount": -1250.00,
      "currency": "MXN",
      "type": "SPEI_OUT",
      "clave_rastreo": "SCT20260328A1B2",
      "counterparty_clabe": "012180XXXXXXXXXXXX",
      "concepto": "PAGO PROVEEDOR #4421",
      "referencia_numerica": "4421"
    }
  ],
  "next_cursor": "c_7f3..."
}

Webhook de notificación push CoDi

POST /your-app/webhooks/scotiamx/codi
X-Signature: sha256=...

{
  "event": "codi.payment.confirmed",
  "merchant_order_id": "ORD-9871",
  "amount": 499.00,
  "currency": "MXN",
  "payer_alias": "5255XXXXXXX",
  "clave_rastreo": "SCT20260419CODIZ",
  "timestamp": "2026-04-19T22:15:44Z"
}

Error model (shared across endpoints):
4xx -> { "code": "CONSENT_EXPIRED", "message": "...", "trace_id": "..." }
5xx -> retry with exponential backoff, idempotency key required

Cumplimiento y privacidad

La Ley Fintech de México (Ley para Regular las Instituciones de Tecnología Financiera) y sus disposiciones secundarias 2023–2024 obligan a las instituciones reguladas —incluida Scotiabank México— a exponer APIs estandarizadas para datos abiertos, datos agregados y datos transaccionales. La CNBV supervisa el cumplimiento; las obligaciones para Entidades Proveedoras de Datos son exigibles desde junio de 2024, en línea con las primeras reglas y estándares de Open Finance publicadas por el regulador. Nuestra capa de integración registra consentimientos explícitos, mantiene bitácoras inmutables y reportes de incidentes compatibles con las plantillas de la CNBV. Para datos personales seguimos la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares). Consulta la página oficial de la CNBV para revisar las disposiciones vigentes.

Los clientes transfronterizos pueden solicitar alineación adicional con GDPR (UE), LGPD (Brasil) o controles SOC 2; documentamos minimización de datos, ventanas de retención y flujos de borrado para cada despliegue.

Flujo de datos / arquitectura

1. Canal cliente ScotiaMóvil MX — sesión autenticada con artefactos de consentimiento.
2. Ingesta y normalización — adaptadores a nivel de protocolo mapean respuestas crudas a registros tipados (saldos, movimientos, CoDi, tarjetas).
3. Almacén de consentimiento y auditoría — consentimiento por cliente, alcance, vigencia y bitácora de acceso.
4. Gateway API / webhooks de integración — expone /accounts, /statements, /codi, /cards y streams de eventos hacia tu backend, con rate limiting y llaves por tenant.
5. Analítica / almacenamiento — sink opcional a warehouse (BigQuery, Snowflake, Redshift) para BI y modelos de riesgo.

Checklist de entregables

• Especificación OpenAPI / Swagger de la superficie de integración ScotiaMóvil MX
• Reporte de protocolo y autenticación (flujo de sesión, binding de dispositivo, ciclo de vida de tokens)
• Código fuente ejecutable para login, estados de cuenta, CoDi y endpoints de tarjeta (Python o Node.js)
• Esqueleto de receptor de webhooks para eventos SPEI y CoDi, con verificación de firma
• Colección de Postman y suite de pruebas automatizadas con fixtures de sandbox
• Paquete de cumplimiento: plantilla de consentimiento, esquema de bitácora, mapeo al reporte de incidentes CNBV

Modelos de contratación

Entrega de código fuente desde $300 — ideal para equipos que quieren poseer y hospedar la integración. Entregamos código fuente API ejecutable, documentación y pruebas; el pago se libera al validar la entrega.

API alojada de pago por llamada — ideal para equipos que prefieren consumir un endpoint gestionado y evitar mantener adaptadores de protocolo. Pagas por llamada exitosa sin costo inicial.

Sobre nuestro estudio

Somos un estudio técnico independiente especializado en análisis de protocolos de apps móviles e integración de APIs autorizadas, con foco en fintech y banca en Latinoamérica, APAC y EMEA. Nuestros ingenieros han trabajado en seguridad móvil, switches de pago, integraciones de core bancario y despliegues de Open Banking bajo PSD2 (UE), UPI/RBI (India), Open Finance Brasil y ahora el marco de la Ley Fintech mexicana.

• Análisis de protocolo → diseño de API → build ejecutable → paquete de cumplimiento
• Lenguajes y runtimes: Python, Node.js, Go, Kotlin, Swift
• Entrega segura: builds firmados, SBOM, credenciales sandbox aisladas
• NDAs y cobertura legal por región a solicitud
• Responsable técnico dedicado por proyecto, no una fila de tickets

Contacto

Envíanos el nombre de la app objetivo (en este caso ScotiaMóvil MX), las superficies de datos que necesitas y cualquier credencial sandbox o carta de socio que tengas. Te responderemos con alcance, cronograma y cotización fija.

Abrir página de contacto

Para consultas específicas de ScotiaMóvil MX, menciona el ID del paquete com.scotiabankmx.scotiamovil en tu mensaje para que lo dirijamos al ingeniero correcto.

Flujo de trabajo

1. Confirmación de alcance — superficies de integración (login, estados, CoDi, tarjetas, Apartados), volumen objetivo y alcance de cumplimiento.
2. Análisis de protocolo y diseño de API — 2–5 días hábiles según complejidad.
3. Build y validación interna — 3–8 días hábiles con pruebas automatizadas.
4. Documentación, ejemplos y llamada de entrega — 1–2 días hábiles.
5. La primera entrega suele tomar 5–15 días hábiles de extremo a extremo; las aprobaciones de terceros pueden extender los plazos.

Preguntas frecuentes

¿Tienen estatus oficial de socio de Scotiabank?

¿Pueden entregar únicamente la API alojada?

¿Cómo manejan la privacidad de datos?