A função de autorização é muito bacana mesmo. Na prática, não sei como funcionaria. Existe um desafio de infraestrutura aí. Quase que precisaríamos homologar o EC que nem o Bacen fez com a gente, para validarmos se ele é capaz de responder em 200ms cada request, por exemplo.