Les règles de cybersécurité brésiliennes pour l'application bancaire mobile qu'utilisent vos clients.
Depuis les modifications de décembre 2025, le Conseil monétaire national et la Banco Central do Brasil demandent aux institutions des tests de vulnérabilité périodiques, des tests d'intrusion au moins une fois par an par un spécialiste indépendant, un développement sécurisé et des exigences de sécurité pour les systèmes intégrés via des interfaces électroniques. Les règles Pix ajoutent une authentification robuste du payeur et des appareils enregistrés. Ostorlab vous aide à tester ces contrôles dans votre application et ses API, à chaque version.
- Tests d'intrusion par des agents IA derrière la connexion, avec un exploit rejouable pour chaque résultat d'un agent IA
- Tests statiques et dynamiques de la version que vous livrez, sans besoin du code source
- La connexion, les codes à usage unique et les parcours d'authentification renforcée testés avec vos comptes de test
- Les API derrière Pix et les parcours de compte testées, même avec TLS pinning
- Qui est concerné
- Les banques et autres institutions agréées par la BCB ; les établissements de paiement relèvent de la Résolution BCB 85
- Base juridique
- Résolution CMN 4.893 du 26 février 2021, modifiée par la Résolution CMN 5.274 du 18 décembre 2025
- Objet
- Tests de vulnérabilité, pentests indépendants annuels, développement sécurisé, sécurité Pix et Open Finance
- Référence
- Résolution CMN 4.893, Résolution BCB 85, Règlement Pix, Résolution conjointe 1/2020
Les règles de cybersécurité brésiliennes, date par date
Les résolutions sur la cybersécurité s'appliquent depuis 2021. Les modifications de décembre 2025 ont ajouté des règles de test détaillées, avec une date limite d'adaptation au 1er mars 2026.
- 1er juillet 2021
Entrée en vigueur de la Résolution CMN 4.893
Politique de cybersécurité et règles de recours au cloud pour les institutions agréées par la Banco Central do Brasil. Elle a remplacé la Résolution CMN 4.658 de 2018.
- 1er août 2021
Entrée en vigueur de la Résolution BCB 85
Les mêmes règles pour les établissements de paiement. Le champ d'application a ensuite été étendu aux sociétés de courtage et de négociation de titres et de change, et aux prestataires de services sur actifs virtuels.
- 1er novembre 2024
Contrôles antifraude Pix
Les participants à Pix doivent utiliser une solution de gestion du risque de fraude, et les transactions Pix des particuliers doivent provenir d'un appareil d'accès préalablement enregistré, sauf exceptions limitées.
- 18 décembre 2025
Résolution CMN 5.274 et Résolution BCB 538
De nouveaux contrôles minimaux, dont l'évaluation et la correction des vulnérabilités, des tests d'intrusion au moins une fois par an et des exigences de sécurité pour les interfaces électroniques.
- 1er mars 2026
Date limite d'adaptation
Les institutions déjà en activité avaient jusqu'à cette date pour s'adapter aux modifications de décembre 2025.
- Chaque année
Pentest et rapport annuel
Des tests d'intrusion au moins une fois par an. Le rapport annuel, arrêté au 31 décembre, inclut les résultats des pentests et des tests de vulnérabilité et est présenté au conseil d'administration au plus tard le 31 mars.
Les règles de cybersécurité de la BCB, appliquées à votre application mobile
La Résolution CMN 4.893 fixe les règles pour les banques, et la Résolution BCB 85 les reprend pour les établissements de paiement. Les règles Pix et Open Finance ajoutent des contrôles pour les paiements et le partage de données. Pour chaque règle : ce que dit le texte, ce que cela implique pour une application bancaire mobile, comment Ostorlab vous aide et ce qui reste du ressort de votre équipe.
- Résolution CMN 4.893, art. 3, §2 et §8
Tester les vulnérabilités, et les corriger à temps
Ce que dit le texte
Les procédures et contrôles de la politique de cybersécurité doivent couvrir, au minimum, l'authentification, le chiffrement, la prévention et la détection des intrusions, la prévention des fuites, ainsi que l'évaluation et la correction des vulnérabilités des systèmes. Le traitement des vulnérabilités comprend des tests et analyses périodiques pour détecter les vulnérabilités des systèmes d'information, des tests d'intrusion et la correction en temps utile des vulnérabilités détectées.
Ce que cela implique pour votre application mobile
L'application mobile et les API qu'elle appelle sont des systèmes d'information. Il leur faut une fréquence de test qui détecte les vulnérabilités, et une trace montrant que chacune a été corrigée à temps.
Comment Ostorlab vous aide
Lancez des scans automatisés depuis votre pipeline CI/CD à chaque build et surveillez les versions publiées sur les stores sans déclenchement manuel. Les résultats sont classés critiques, élevés, moyens ou faibles, suivis sous forme de tickets dans la plateforme ou dans Jira et ServiceNow, et retestés une fois le correctif publié.
Ce qui reste de votre ressort
La politique elle-même, les délais d'application des correctifs et les tests du reste de votre parc, comme les réseaux et les équipements.
- Résolution CMN 4.893, art. 22-A ; Résolution BCB 85, art. 22-A
Un pentest au moins une fois par an, en toute indépendance
Ce que dit le texte
Les tests d'intrusion doivent être réalisés au moins une fois par an. Ils doivent être menés avec indépendance et impartialité par une personne physique ou une société spécialisée que l'institution engage à cet effet, sans préjudice des tests réalisés par les propres équipes de l'institution. Les résultats doivent être documentés, en particulier les vulnérabilités détectées et les plans d'action pour les corriger.
Source :Résolution CMN 4.893, art. 22-A ; Résolution BCB 85, art. 22-A
Ce que cela implique pour votre application mobile
Le pentest annuel de votre application et de ses API est un test indépendant, confié à un prestataire. Votre propre équipe peut tester plus souvent, et le texte le permet.
Comment Ostorlab vous aide
Votre équipe sécurité utilise Ostorlab entre les tests annuels. Un pentest par agents IA teste l'application et ses API derrière la connexion, généralement en quelques heures, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA : vous abordez ainsi le test annuel avec les problèmes connus déjà corrigés.
Ce qui reste de votre ressort
L'engagement du testeur indépendant, la décision sur la recevabilité d'un test et les plans d'action.
- Résolution CMN 4.893, art. 3, §3 et §6
Appliquer les contrôles au développement sécurisé
Ce que dit le texte
Les procédures et contrôles doivent être appliqués au développement de systèmes d'information sécurisés et à l'adoption de nouvelles technologies. L'institution doit le vérifier, le cas échéant, pour les systèmes qu'elle acquiert ou que des prestataires tiers développent et qui s'exécutent sur ses propres ressources informatiques.
Ce que cela implique pour votre application mobile
Chaque version de l'application devrait passer des tests de sécurité avant d'arriver sur le store. Le code développé par une agence ou un prestataire, et les SDK de l'application, relèvent de la même vérification.
Comment Ostorlab vous aide
Mobile SAST analyse directement l'APK, l'AAB ou l'IPA, sans besoin du code source, y compris par une analyse de propagation (taint) à travers les SDK intégrés. Mobile DAST exécute l'application, maintient les sessions authentifiées et capture le trafic, les traces d'appels et les captures d'écran. SCA identifie par empreinte les bibliothèques compilées statiquement que les scanners basés sur les manifestes peuvent manquer.
Ce qui reste de votre ressort
Votre cycle de développement sécurisé, les revues de code hors de l'application et les contrats avec les prestataires.
- Résolution CMN 4.893, art. 3, III et §2
Authentification, chiffrement et prévention des fuites
Ce que dit le texte
L'authentification, les mécanismes de chiffrement et les mécanismes de prévention des fuites d'informations font partie des procédures et contrôles minimaux de la politique de cybersécurité. La politique doit aussi inclure des contrôles spécifiques pour garantir la sécurité des informations sensibles.
Ce que cela implique pour votre application mobile
Dans une application mobile, ces contrôles se trouvent dans la connexion et la gestion des sessions, dans la manière dont les données sont stockées sur l'appareil, et dans la manière dont elles transitent vers le backend.
Comment Ostorlab vous aide
Ostorlab se connecte avec vos comptes de test, saisit les codes à usage unique reçus par SMS, e-mail ou TOTP, et teste la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration, l'invalidation des sessions et l'application effective de la MFA. Il recherche les jetons de session et les données personnelles dans le stockage local, les caches, les journaux et les captures d'écran, et détecte les erreurs de configuration qui affaiblissent la protection du transport et des sessions.
Ce qui reste de votre ressort
Le choix des normes d'authentification et de chiffrement, et les accès du personnel.
- Résolution CMN 4.893, art. 3, §2, XIII, et art. 24
Sécuriser les interfaces entre systèmes
Ce que dit le texte
Les contrôles minimaux comprennent des exigences de sécurité pour l'intégration des systèmes d'information via des interfaces électroniques. La Banco Central do Brasil peut préciser ces exigences, en les adaptant à l'innovation technologique.
Ce que cela implique pour votre application mobile
Les API que votre application appelle sont des interfaces électroniques. Un contrôle d'autorisation défaillant dans l'une d'elles peut exposer les comptes d'autres clients.
Comment Ostorlab vous aide
Ostorlab intercepte le trafic de l'application, même avec TLS pinning, et teste les API à la recherche de contrôles d'autorisation défaillants (BOLA, BFLA, IDOR), d'usages abusifs des jetons et des sessions, et d'abus comme l'énumération, le rejeu et l'automatisation, avec les requêtes et réponses à l'appui de chaque résultat.
Ce qui reste de votre ressort
La conception des API, la passerelle et les exigences techniques que publie la BCB.
- Règlement Pix (annexe à la Résolution BCB 1/2020), art. 89
Une sécurité robuste pour l'authentification et l'initiation Pix
Ce que dit le texte
Les participants à Pix doivent adopter des mécanismes robustes pour garantir la sécurité de l'authentification du payeur et de l'identification du bénéficiaire, de l'initiation Pix, de l'ouverture de compte, des processus liés aux clés Pix, et des entrées et sorties de fonds des comptes. L'initiation Pix par les clients particuliers doit provenir uniquement d'un appareil d'accès que le client a préalablement enregistré, sauf exceptions fixées par la BCB.
Source :Règlement Pix (annexe à la Résolution BCB 1/2020), art. 89
Ce que cela implique pour votre application mobile
C'est dans l'application que les clients s'authentifient et initient les paiements Pix. L'enregistrement des appareils, les vérifications d'authentification renforcée et les API derrière les clés Pix et les virements doivent résister aux abus.
Comment Ostorlab vous aide
Ostorlab saisit les codes à usage unique avec vos comptes de test et teste l'application effective de la MFA et les parcours d'authentification renforcée, y compris les tentatives de manipulation par un attaquant, ainsi que les appels d'API derrière les modifications de compte. Le pentest par agents IA teste la logique métier des parcours de paiement et de gestion de compte.
Ce qui reste de votre ressort
La solution de gestion du risque de fraude, les vérifications DICT, les plafonds et le traitement des fraudes présumées.
- Résolution conjointe 1/2020, art. 16 à 18 ; Résolution BCB 32/2020, art. 16
Authentification Open Finance et sécurité des API
Ce que dit le texte
L'institution qui transmet les données ou qui tient le compte doit adopter des procédures et contrôles pour authentifier le client et l'institution destinataire ou initiatrice. L'authentification du client doit être compatible avec celle utilisée dans les propres canaux électroniques de l'institution, et avec sa politique de cybersécurité. Le Manuel de sécurité Open Finance précise les normes de sécurité, les certificats et les exigences techniques des API.
Source :Résolution conjointe 1/2020, art. 16 à 18 ; Résolution BCB 32/2020, art. 16
Ce que cela implique pour votre application mobile
Les étapes de consentement et d'authentification de votre application, et les API qui servent l'Open Finance, relèvent du même périmètre de test que le reste de votre canal numérique.
Comment Ostorlab vous aide
Les tests authentifiés couvrent la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration, l'invalidation des sessions et l'application effective de la MFA, et l'analyse du trafic montre comment les identifiants transitent de l'application vers le backend.
Ce qui reste de votre ressort
La conformité aux normes Open Finance, les certificats et l'annuaire.
- Résolution CMN 4.893, art. 8 et 23
Rendre compte des résultats et conserver les traces pendant cinq ans
Ce que dit le texte
Le rapport annuel sur le plan d'action et de réponse aux incidents, arrêté au 31 décembre, doit inclure les résultats des tests d'intrusion et des tests, scans et analyses de vulnérabilité périodiques, avec les plans d'action pour les corriger. Les résultats des pentests et les plans d'action doivent être tenus à la disposition de la BCB pendant cinq ans à compter de la date du test.
Ce que cela implique pour votre application mobile
Chaque test de l'application nécessite un résultat daté, les corrections qui ont suivi et la preuve de leur efficacité, prêts pour le rapport annuel et pour le superviseur.
Comment Ostorlab vous aide
Les résultats de scan, les vulnérabilités détectées avec leurs étapes de reproduction et les résultats de retest vous donnent une trace datée de la manière dont les contrôles de l'application ont été testés et corrigés, version après version.
Ce qui reste de votre ressort
Le rapport annuel, sa présentation au conseil d'administration au plus tard le 31 mars, et la conservation des traces.
Synthèse de textes en portugais publiés par la Banco Central do Brasil, tels que modifiés, vérifiés le 27 septembre 2026. Certains textes s'appliquent à des types de licences spécifiques, comme indiqué. Cette page ne constitue pas un avis juridique.
Les règles de la BCB, contrôle par contrôle
Les contrôles visés par les textes du CMN et de la BCB, la manière dont Ostorlab les teste dans votre application et ses API, et les preuves que vous pouvez conserver.
| Contrôle | Comment Ostorlab vous aide | Preuves conservées |
|---|---|---|
| Tests périodiques pour détecter les vulnérabilitésCMN 4.893, art. 3, §8, I | Scans automatisés depuis votre pipeline CI/CD à chaque build, y compris par exécutions planifiées, et surveillance des versions publiées sur les stores. Détails | Résultats de scan par build et par version publiée sur les stores |
| Tests d'intrusionCMN 4.893, art. 3, §8, IV ; art. 22-A | Pentest par agents IA de l'application et de ses API, derrière la connexion, sur la version que vous livrez. Détails | Un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA, et une heatmap de couverture |
| Correction des vulnérabilités en temps utileCMN 4.893, art. 3, §8, V | Regroupe les résultats en tickets dans la plateforme ou dans Jira et ServiceNow, et reteste après correction. | Historique des tickets et issue du retest pour chaque résultat |
| Développement sécurisé des systèmes d'informationCMN 4.893, art. 3, §3 | Mobile SAST sur le binaire et Mobile DAST sur l'application en cours d'exécution, avant la mise en production. Détails | Résultats avec contexte du code décompilé, trafic, traces d'appels et captures d'écran |
| Systèmes développés ou fournis par des tiersCMN 4.893, art. 3, §6 | Identifie par empreinte les bibliothèques compilées statiquement et les associe aux vulnérabilités connues, d'une version à l'autre. Détails | Vulnérabilités identifiées avec recommandations de mise à niveau ou de remplacement, et résolution suivie d'une version à l'autre |
| AuthentificationCMN 4.893, art. 3, §2, I | Tests authentifiés avec codes à usage unique, et vérification des sessions, des jetons, des délais d'expiration et de l'application effective de la MFA. Détails | Résultats sur les parcours de connexion, de session et d'authentification renforcée, avec étapes de reproduction |
| Sécurité des interfaces électroniquesCMN 4.893, art. 3, §2, XIII | Intercepte le trafic même avec TLS pinning et teste les autorisations, les usages abusifs des jetons et les abus comme l'énumération et le rejeu. Détails | Requêtes et réponses à l'appui de chaque résultat d'API |
| Prévention des fuites et données sensiblesCMN 4.893, art. 3, III et §2, IV | Recherche les jetons et les données personnelles dans le stockage, les caches, les journaux et les captures d'écran, et vérifie la protection du transport. Détails | Preuves sur le système de fichiers montrant ce qui a été écrit, où et quand |
| Identifiants codés en dur dans l'applicationCMN 4.893, art. 3, §2, IV | Détecte les clés d'API, jetons et identifiants dans le package de l'application et vérifie s'ils sont fonctionnels. Détails | Secrets validés, avec les permissions et les services qu'ils exposent |
| Authentification et initiation Pix robustesRèglement Pix, art. 89 | Se connecte avec des codes à usage unique et teste l'application effective de la MFA, les parcours d'authentification renforcée et les appels d'API qui les sous-tendent. Détails | Résultats sur les parcours de connexion et d'authentification renforcée, avec étapes de reproduction |
Ostorlab teste les contrôles de l'application et de ses API. La segmentation réseau, les environnements Pix et STR, la gestion des certificats et des clés, la gestion du risque de fraude, la surveillance du dark web, la continuité d'activité et le reporting au conseil d'administration et à la BCB restent du ressort de vos équipes.
Les contrôles de l'application mobile à tester au regard des règles de la BCB
Une liste pratique pour les équipes sécurité et conformité qui travaillent sur les règles de cybersécurité du CMN et de la BCB.
Recenser vos licences
Confirmez si la Résolution CMN 4.893 ou la Résolution BCB 85 s'applique à chaque entité, et si vous participez à Pix et à l'Open Finance.
Scanner chaque version
Lancez des tests statiques et dynamiques sur chaque build avant son arrivée sur le store, y compris les SDK et le code fournis par des prestataires.
Planifier le pentest indépendant annuel
Programmez le test d'intrusion, au moins une fois par an, avec une personne ou une société spécialisée indépendante et impartiale, et incluez l'application et ses API dans le périmètre.
Tester entre les pentests annuels
Faites tester les changements critiques par votre propre équipe, pour que les problèmes soient détectés et corrigés avant le test annuel.
Connexion, sessions et authentification renforcée
Vérifiez l'application effective de la MFA, le traitement des codes à usage unique, l'expiration des sessions et la nouvelle authentification pour les actions à haut risque, imposés par le serveur.
Parcours Pix et appareils enregistrés
Vérifiez que l'initiation Pix, la modification des clés Pix et l'enregistrement des appareils ne peuvent pas être contournés via l'application ou ses API.
API et données sur l'appareil
Testez les autorisations sur chaque API de compte et de paiement, et recherchez les jetons, les données personnelles et les secrets codés en dur dans l'application.
Preuves pour le rapport annuel
Conservez les résultats des pentests et des scans, les plans d'action et les retests pour le rapport à présenter au conseil d'administration au plus tard le 31 mars, et pendant cinq ans.
Une liste indicative, et non un modèle de la BCB. Ceci ne constitue pas un avis juridique.
Les capacités associées à cette page
Chacune a sa propre page détaillée.
- Mobile Agentic Deep ScanDes agents IA pentestent la version publiée à chaque release, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA.En savoir plus
- Tests authentifiésTestez la connexion, les codes à usage unique et les parcours d'authentification renforcée avec vos comptes de test.En savoir plus
- Tests des API et du backendInterceptez le trafic de l'application même avec TLS pinning, puis testez les API et backends derrière les comptes et les paiements.En savoir plus
- Mobile SASTAnalyse statique des binaires APK, AAB et IPA, avec analyse de propagation (taint) sur l'application et ses SDK intégrés.En savoir plus
- SCA et SBOMDétectez les dépendances vulnérables, y compris les bibliothèques natives compilées statiquement, et suivez leur résolution version après version.En savoir plus
- Mobile Shielding ScanTestez à l'exécution la détection du root et du jailbreak, l'anti-altération et le pinning, et voyez quelles protections ont tenu et lesquelles ont été contournées.En savoir plus
- Scan on-premisesScannez les applications de préproduction, API et dépôts derrière votre pare-feu ou VPN, sur une infrastructure que vous contrôlez.En savoir plus
- Votre propre clé IALancez les scans par agents IA avec la clé de votre fournisseur d'IA et un plafond de dépense par scan, pour respecter vos politiques internes.En savoir plus
Des banques et fintechs nous font confiance, dont
Sources
Les textes officiels sur lesquels s'appuie cette page, vérifiés le 27 septembre 2026.
- Resolução CMN nº 4.893, de 26 de fevereiro de 2021Conseil monétaire national, publiée par la Banco Central do Brasil, en vigueur depuis le 1er juillet 2021, texte consolidé. Politique de cybersécurité et recours au cloud pour les institutions agréées. En portugais uniquement
- Resolução CMN nº 5.274, de 18 de dezembro de 2025Conseil monétaire national. Modifie la Résolution 4.893 avec des contrôles minimaux, des tests d'intrusion au moins une fois par an et la sécurité des interfaces, avec une adaptation au plus tard le 1er mars 2026. En portugais uniquement
- Resolução BCB nº 85, de 8 de abril de 2021Banco Central do Brasil, en vigueur depuis le 1er août 2021, texte consolidé. Les règles de cybersécurité pour les établissements de paiement et les autres institutions de son champ d'application. En portugais uniquement
- Resolução BCB nº 538, de 18 de dezembro de 2025Banco Central do Brasil. Intègre dans la Résolution BCB 85 les modifications de décembre 2025, dont les tests d'intrusion annuels. En portugais uniquement
- Resolução BCB nº 1, de 12 de agosto de 2020: Regulamento do PixBanco Central do Brasil, Règlement Pix consolidé. L'article 89 porte sur la gestion du risque de fraude, les contrôles antifraude et les appareils d'accès enregistrés. En portugais uniquement
- Resolução Conjunta nº 1, de 4 de maio de 2020Conseil monétaire national et Banco Central do Brasil. Mise en œuvre de l'Open Finance, y compris l'authentification des clients et des institutions. En portugais uniquement
- Resolução BCB nº 32, de 29 de outubro de 2020Banco Central do Brasil. Exigences techniques de l'Open Finance, dont le Manuel de sécurité pour les normes de sécurité des API et les certificats. En portugais uniquement
Questions fréquentes
Des réponses claires sur la couverture, la mise en place et la façon dont les résultats parviennent à vos équipes.
Vous ne trouvez pas votre réponse ? Réservez une démo ou contactez-nous.
Testez votre application bancaire mobile au regard des règles de la BCB
Commencez par un scan gratuit de votre application depuis le store, ou réservez une démo pour lancer des tests authentifiés et un pentest par agents IA avec notre équipe.