Waarom wij nooit om je brokerlogin vragen

Veel portefeuille-apps openen met dezelfde vraag: koppel je broker. Geef je inloggegevens of OAuth-toegang, en je transacties synchroniseren vanzelf. Handig. Wel eerlijk om te benoemen wat je ervoor inlevert.

Dit is geen randzorg. Voor veel mensen zit achter die login de grootste bak geld die ze ooit buiten hun huis zullen beheren. De beslissing om er een app van derden op aan te sluiten verdient meer nadenken dan de twee seconden die het aanmeldscherm ervoor uittrekt. Dus hier de lange versie: wat "koppelen" werkelijk inhoudt, hoe het eruitziet als het misgaat, en waarom we BullBenchmark in plaats daarvan om een saaier en veiliger mechanisme hebben gebouwd.

Wat "koppel je broker" betekent

In het beste geval is het een alleen-lezen OAuth-koppeling via een aggregator — een extra bedrijf in de keten, met toegang tot je complete financiële leven. In het slechtste geval (nog altijd gangbaar) is het screen-scraping: de dienst logt in als jou, met je echte inloggegevens opgeslagen op hun servers. Bij sommige brokers vervallen volgens de voorwaarden je beschermingen zodra je je inloggegevens deelt. Mensen koppelen toch, want de knop staat er nu eenmaal en het alternatief klinkt als werk.

Het helpt om die twee smaken uit elkaar te trekken, want het zijn heel verschillende beesten onder dezelfde knop.

OAuth, netjes uitgevoerd, is de fatsoenlijke variant. Je logt in op de eigen pagina van de broker, de broker geeft de app een token, en dat token heeft een bereik: alleen-lezen, intrekbaar, en het bevat nooit je wachtwoord. Dit is een beproefd patroon en het is oprecht beter dan het alternatief. Maar "beter" doet in die zin stilletjes veel werk. Een alleen-lezen token stelt je positiehistorie, je rekeningwaarde en je handelsgedrag nog steeds doorlopend bloot aan de servers van een ander bedrijf, zolang dat token leeft. Alleen-lezen is een grens aan handelingen, niet aan informatie.

Screen-scraping is de variant die niemand in de marketingtekst zet. De app vraagt om je echte gebruikersnaam en wachtwoord, bewaart ze, en logt periodiek in alsof hij jou is. Er is geen bereik, want de broker heeft geen idee dat het gebeurt; wat jij kunt doen zolang je bent ingelogd, kan de dienst technisch gezien ook. En omdat je de inloggegevens vrijwillig hebt afgestaan, legt het papierwerk de gevolgen doorgaans aan jouw kant van de tafel.

De aggregator in het midden

De meeste trackerapps bouwen hun brokerkoppelingen niet zelf. Ze huren ze van een aggregator: een bedrijf waarvan de hele business bestaat uit het onderhouden van leidingen naar honderden financiële instellingen. Dat is verstandige techniek en een ongemakkelijke vertrouwensconstructie. Jouw relatie is met de app; je gegevens stromen door een firma die je nooit hebt beoordeeld, onder een privacybeleid dat je nooit hebt gelezen, bewaard gedurende een periode waar jij niet over gaat. Elke extra database met een compleet beeld van je vermogen is één plek extra waar dat beeld uit kan lekken.

Hier is niemand met kwade bedoelingen voor nodig. Er is alleen het gewone basispercentage aan datalekken, overnames en stille draaien in het verdienmodel voor nodig dat softwarebedrijven nu eenmaal treft, toegepast op een gegevensverzameling die je liever privé houdt. Lekt een takenlijst-app, dan ben je je boodschappenlijst kwijt. Lekt een financiële aggregator, dan krijgt iemand een keurig overzicht van wat je bezit en waar.

Het dreigingsmodel voor thuis

Beveiligingsmensen praten over dreigingsmodellen. De huis-tuin-en-keukenversie is één vraag: als dit misgaat, hoe groot is de schade? Bij opgeslagen inloggegevens is dat je rekening, alles wat erin zit, en mogelijk je juridische bescherming. Bij een OAuth-token is het je complete financiële historie, doorlopend bijgewerkt. Bij een bestand dat je hebt geüpload is het dat bestand. Dat is eigenlijk het hele argument. Alles hieronder is uitwerking.

Merk ook op wie zich hoe lang goed moet blijven gedragen. Een levende koppeling is een doorlopende afspraak: de app, de aggregator en de API van de broker moeten allemaal onbepaald veilig, solvabel en eerlijk blijven. Een bestandsupload is één handeling waarvan je de inhoud vooraf hebt bekeken. In doorlopende afspraken huizen de verrassingen.

Het alternatief met bestanden

Het alternatief is weinig glamoureus: download het exportbestand van je broker en upload het naar de tracker. Dertig seconden werk, één keer per maand of wanneer je hebt gehandeld.

Wat je voor die dertig seconden krijgt: niets kan iets doen met je rekening — een exportbestand kan geen orders plaatsen, geen geld opnemen en niet eens inloggen. Je ziet precies wat je deelt — open het bestand, het is een lijst van je transacties, meer niet. Geen aggregator in het midden — één database minder met je vermogen erin. Het werkt altijd — geen kapotte koppelingen wanneer je broker zijn API verandert.

Elk van die punten verdient nog één zin. Een bestand is inerte data; er is geen token om te stelen, geen sessie om te kapen, geen doorlopende toestemming om te misbruiken, want er is nooit toestemming gegeven. Transparantie is hier geen belofte in een beleidsdocument maar een fysieke eigenschap: je kunt het bestand vóór het uploaden in een spreadsheet openen en elke regel lezen die je handen verlaat. De aggregator eruit halen schrapt een hele partij uit je vertrouwenssom, wat zeldzamer is dan het klinkt in moderne financiële apps. En betrouwbaarheid is het verborgen voordeel: iedereen die ooit een gekoppelde tracker heeft gebruikt, kent het ritueel van de kapotte synchronisatie, de lus van opnieuw inloggen, het raadselachtige gat in de gegevens. Bestanden hebben geen storing.

"Maar is een bestand uploaden niet óók gegevens delen?"

Jazeker, en het is de moeite waard om precies te zijn over wat voor gegevens. Een transactie-export beschrijft wat je hebt gekocht, verkocht en aan dividend hebt ontvangen. Dat is precies de informatie die een tracker nodig heeft om je rendement te berekenen, en niets daarbuiten. Er zit geen wachtwoord in, geen sessie, en geen mogelijkheid om je rekening in de toekomst te volgen. Jij kiest wanneer je het deelt, je kunt de volledige inhoud vooraf zien, en stop je met uploaden, dan stopt de informatiestroom met jou. Vergelijk dat met een levende koppeling, waar het uitgangspunt is dat gegevens blijven stromen tot je eraan denkt iets in te trekken op een instellingenpagina die je nooit meer bezoekt. Bij het bestandsmodel ligt de uitknop standaard in jouw hand.

Het eerlijke nadeel

Handmatig uploaden betekent dat je dashboard zo actueel is als je laatste export. Voor daytraders is dat een dealbreaker. Voor iedereen die voor de lange termijn belegt, dekt "juist tot en met mijn laatste upload, koersen dagelijks bijgewerkt" het prima: je hebt de waarheid nodig, geen ticks.

Er is een tweede, kleiner nadeel: het vraagt iets van jou. Eén keer per maand, of na een reeks transacties, besteed je een halve minuut aan een bestand downloaden en dat in de tracker droppen. Sommige mensen vinden dat een klus; anderen vinden het een nuttig ritueel, het boekhoudkundige equivalent van het oliepeil controleren. Is het exportscherm van je broker onbekend terrein, dan behandelen onze gidsen voor DeGiro, Interactive Brokers en Trading 212 de klikken.

Een mogelijkheid die we hebben geweigerd

Er zit een wezenlijk verschil tussen een bedrijf dat belooft toegang niet te misbruiken en een bedrijf dat die toegang nooit heeft gekregen. Beloftes hangen af van beleid, van personeel en van de volgende eigenaar van de zaak. Architectuur niet. Een tracker die je inloggegevens nooit heeft gezien, kan ze niet lekken, kan niet worden gedwongen ze te gebruiken en kan ze niet kwijtraken aan een dief, hoe slecht de week van zijn ontwikkelaars ook is.

Dat is de ruil die BullBenchmark permanent maakt: dagelijkse marktkoersen boven op de historie die jij uploadt, en wij komen nooit bij je rekening omdat wij dat nooit kunnen. Veiligheid is geen functie die we hebben toegevoegd. Het is een mogelijkheid die we hebben geweigerd.

Als de reden dat je überhaupt een tracker wilde is om erachter te komen of je beleggen werkelijk iets oplevert, dan zit dat antwoord in je transactiehistorie en niet in een live verbinding. Begin bij de vraag of je de S&P 500 verslaat; het exportbestand dat je vandaag downloadt, bevat alles wat daarvoor nodig is.

De eerste week van BullBenchmark is gratis, zonder creditcard: upload de export die je net hebt gedownload en zie waar je staat.

Lees ook: DeGiro-exportgids · Trading 212-exportgids