Waarom wij nooit om je brokerlogin vragen

Veel portefeuille-apps openen met hetzelfde verzoek: koppel je broker. Je geeft je inloggegevens of een OAuth-toestemming af, en je transacties synchroniseren vanzelf. Dat is handig, en het kost iets wat het aanmeldscherm niet noemt.

Voor veel mensen zit achter die login het grootste bedrag dat ze buiten hun huis beheren. De beslissing om er een app van derden aan te koppelen verdient meer dan de twee seconden die het aanmeldscherm ervoor uittrekt.

Dit artikel legt uit wat koppelen inhoudt, wat er mis kan gaan, en waarom we BullBenchmark hebben gebouwd rond een bestand dat je zelf uploadt. Het korte antwoord is dat een geüpload bestand een tracker je eerdere transacties laat zien en niets anders, terwijl een live koppeling een doorlopende toestemming is die veilig moet blijven zolang ze bestaat.

Wat je broker koppelen betekent

In het beste geval is het een alleen-lezen OAuth-koppeling via een aggregator, een extra bedrijf in de keten met toegang tot je volledige rekeninghistorie. In het slechtste geval, dat nog altijd gangbaar is, is het screen-scraping, waarbij de dienst inlogt als jij, met je inloggegevens opgeslagen op zijn servers.

Bij sommige brokers vervallen volgens de voorwaarden je beschermingen zodra je je inloggegevens deelt. De twee methoden verschillen in wat ze blootleggen.

OAuth, netjes uitgevoerd, is de betere van de twee. Je logt in op de eigen pagina van de broker, de broker geeft de app een token, en dat token is begrensd. Het is alleen-lezen, het kan worden ingetrokken, en het bevat je wachtwoord niet.

Een alleen-lezen token legt je positiehistorie, je rekeningwaarde en je handelsgedrag nog steeds bloot aan de servers van een ander bedrijf, zolang dat token leeft. Alleen-lezen begrenst wat de app kan doen, niet wat de app kan zien.

Screen-scraping is de variant die niet in de marketingtekst staat. De app vraagt om je gebruikersnaam en wachtwoord, bewaart ze, en logt met tussenpozen in als jij. Er is geen begrenzing, want de broker weet niet dat het gebeurt. Wat jij kunt doen zolang je bent ingelogd, kan de dienst technisch gezien ook.

Omdat je de inloggegevens vrijwillig hebt afgestaan, leggen de voorwaarden van de broker de gevolgen doorgaans bij jou.

De aggregator in het midden

De meeste trackerapps bouwen hun brokerkoppelingen niet zelf. Ze huren ze van een aggregator, een bedrijf waarvan de business bestaat uit het onderhouden van koppelingen met honderden financiële instellingen. Jouw relatie is met de app, maar je gegevens stromen door een firma die je nooit hebt beoordeeld, onder een privacybeleid dat je nooit hebt gelezen, voor een bewaartermijn waar jij niet over gaat.

Elke extra database met een compleet beeld van je vermogen is één plek extra waar dat beeld uit kan lekken.

Hier is niemand met kwade bedoelingen voor nodig. Er is alleen het normale tempo van datalekken, overnames en veranderende verdienmodellen voor nodig dat softwarebedrijven doormaken, toegepast op een gegevensverzameling die je liever privé houdt.

Lekt een takenlijst-app, dan ben je je boodschappenlijst kwijt. Lekt een financiële aggregator, dan krijgt iemand een overzicht van wat je bezit en waar.

Wat er blootligt als het misgaat

Beveiligingsmensen noemen dit een dreigingsmodel. De huis-tuin-en-keukenversie is één vraag: als dit misgaat, wat ligt er dan bloot? Bij opgeslagen inloggegevens is dat je rekening, alles wat erin zit, en mogelijk je juridische bescherming. Bij een OAuth-token is het je volledige rekeninghistorie, doorlopend bijgewerkt. Bij een bestand dat je hebt geüpload is het dat bestand.

Er is ook de vraag wie zich hoe lang goed moet blijven gedragen. Een live koppeling is een doorlopende afspraak waarin de app, de aggregator en de API van de broker allemaal veilig en solvabel moeten blijven zolang die afspraak bestaat. Een bestandsupload is één handeling waarvan je de inhoud vooraf hebt bekeken.

Het alternatief met bestanden

Het alternatief is het exportbestand van je broker downloaden en naar de tracker uploaden. Dat is dertig seconden werk, één keer per maand of nadat je hebt gehandeld. Die dertig seconden leveren je vier dingen op.

• Niets kan iets doen met je rekening. Een exportbestand kan geen orders plaatsen, geen geld opnemen en niet inloggen.
• Je ziet wat je deelt. Open het bestand en je vindt een lijst van je transacties, meer niet.
• Geen aggregator in het midden. Dat is één database minder met je vermogen erin.
• Het werkt altijd. Er is geen kapotte koppeling wanneer je broker zijn API verandert.

Een bestand is inerte data. Er is geen token om te stelen, geen sessie om te kapen en geen doorlopende toestemming om te misbruiken, want er is geen toestemming gegeven. Je kunt het bestand vóór het uploaden in een spreadsheet openen en elke regel lezen die je handen verlaat.

De aggregator weglaten schrapt één partij uit de keten. Betrouwbaarheid is het voordeel dat mensen het laatst opmerken. Iedereen die ooit een gekoppelde tracker heeft gebruikt, kent de kapotte synchronisatie, de lus van opnieuw inloggen en het onverklaarde gat in de gegevens. Bestanden hebben geen storing.

Is een bestand uploaden niet ook gegevens delen?

Ja. Een transactie-export beschrijft wat je hebt gekocht, verkocht en aan dividend ontvangen. Dat is de informatie die een tracker nodig heeft om je rendement te berekenen, en niets daarbuiten. Er zit geen wachtwoord in, geen sessie en geen manier om je rekening in de toekomst te bekijken.

Jij kiest wanneer je het deelt, je kunt de volledige inhoud vooraf zien, en stop je met uploaden, dan stopt de stroom informatie. Bij een live koppeling blijven gegevens stromen tot je de toegang intrekt in een instellingenpagina waar je zelden komt.

Het nadeel

Handmatig uploaden betekent dat je transactiehistorie zo actueel is als je laatste export. Voor een daytrader valt de methode daarmee af. Voor beleggen op de lange termijn is nauwkeurig tot aan de laatste upload genoeg. Koersen worden elk uur ververst zolang de beurzen open zijn en worden na het slot in de VS vastgezet op de officiële slotkoersen, en dividend en wisselkoersen worden dagelijks bijgewerkt.

Het tweede, kleinere nadeel is dat het iets van jou vraagt. Eén keer per maand, of na een reeks transacties, besteed je een halve minuut aan een bestand downloaden en dat in de tracker zetten. Is het exportscherm van je broker onbekend, dan behandelen de gidsen voor DeGiro, Interactive Brokers en Trading 212 de klikken.

Toegang die we nooit hebben gekregen

Er zit verschil tussen een bedrijf dat belooft toegang niet te misbruiken en een bedrijf dat die toegang nooit heeft gekregen. Een belofte hangt af van beleid, van personeel en van de volgende eigenaar van de zaak. Een tracker die je inloggegevens nooit heeft gezien, kan ze niet lekken, kan niet worden gedwongen ze te gebruiken en kan ze niet kwijtraken aan een dief.

Dat is de ruil die BullBenchmark maakt: marktkoersen die elk uur tijdens beurstijden worden ververst boven op de historie die jij uploadt, en geen toegang tot je rekening, omdat we er nooit om hebben gevraagd.

Is de reden dat je een tracker wilde om erachter te komen of je beleggen werkt, dan zit het antwoord in je transactiehistorie en niet in een live verbinding. Het exportbestand dat je vandaag downloadt, bevat alles wat nodig is om te controleren of je de S&P 500 verslaat.

BullBenchmark leest de transactie-export van je broker en zet je rendement naast de S&P 500 en de Nasdaq 100, met dezelfde aankopen en verkopen op dezelfde dagen, in je eigen valuta. Geld dat je niet hebt belegd, blijft buiten de vergelijking. De eerste twee weken zijn gratis en er is geen creditcard nodig.

Lees ook: DeGiro-exportgids · Trading 212-exportgids · BullBenchmark vs getquin