01 · Inteligência de dispositivo para prevenção a fraudes As jornadas que você marca com tag
Uma tag por tela que você escolher
Um script no seu site lê o navegador e o dispositivo em cerca de um décimo de segundo no desktop. Uma chamada assinada do seu backend, com uma tag que você nomeia, traz a resposta na hora: nota de confiança, cobertura de evidência e 13 indicadores, de bots e automação, navegador falsificado e emuladores a VPN, proxy e Tor, com o motivo por trás de cada recomendação. Identifique account takeover, cadastros falsos e fraude em saque com evidência, não com palpite. Nós recomendamos. Você decide e age.
Resposta síncrona em qualquer tela que você marcar · Shadow mode antes de influenciar qualquer decisão · Suas regras, suas listas, sua decisão
Como ler esta resposta · exemplo v1.1/login_completed
Por que esta recomendação
ALLOW
Nenhum indicador que a política pondera voltou detectado. Exemplo do contrato: a política gerenciada do FingerTrackID recomenda MONITOR em qualquer nota; ALLOW vem de uma faixa de nota que a sua empresa definiu nas próprias regras de risco. Decidido sob policy-login-v1.
O que a nota é, e o que não é
trust_score 100
Confiança neste acesso sob esta versão de política, não uma probabilidade de fraude. Fora de COMPLETED ela é null, nunca um valor padrão.
Quanto deu para ver
evidence_coverage 100
A parcela das verificações esperadas que rodou. Evidência ausente seria nomeada aqui: ela reduz a cobertura e nunca é motivo de risco.
Depois, é com você
customer_action
Seu backend decide e age, depois informa o que fez e o resultado real. Nós nunca bloqueamos nem retemos dinheiro.
POST /v1/assessments → 201
event-assessment.v1.1 · exemplo do contrato
{ "schema_version": "event-assessment.v1.1", "tag": "login", "assessment_status": "COMPLETED", "trust_score": 100, "device_match_confidence": 0.98, "evidence_coverage": 100, "signals": [ … 13 objects ], "limitation_codes": [], "reason_codes": ["NO_ADVERSE_INDICATOR_MATCH"], "recommended_action": "ALLOW", "recommendation_basis": "EVALUATION", "policy_version": "policy-login-v1" // … 21 more fields in the full response: ids, snapshot, versions, timestamps}
1{2 "schema_version": "event-assessment.v1.1",3 "assessment_id": "01996f2a-0000-7000-8000-000000000101",4 "assessment_version": 1,5 "supersedes_assessment_id": null,6 "business_event_id": "01996f2a-0000-7000-8000-000000000102",7 "external_event_id": "login_20260904_000001",8 "tag": "login",9 "assessment_status": "COMPLETED",10 "retryable": false,11 "trust_score": 100,12 "device_intelligence_snapshot_id": "01996f2a-0000-7000-8000-000000000103",13 "device_intelligence_snapshot_version": 1,14 "device_id": "dev_0123456789abcdefghij",15 "device_match_confidence": 0.98,16 "evidence_coverage": 100,17 "data_freshness": {18 "evidence_cutoff_at": "2026-09-04T12:00:00Z",19 "oldest_required_observed_at": "2026-09-04T11:59:59Z",20 "maximum_required_age_ms": 300000,21 "all_required_fresh": true22 },23 "signals": [24 { "signal_code": "ANTI_FINGERPRINTING", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },25 { "signal_code": "BOT_AUTOMATION", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },26 { "signal_code": "BROWSER_SPOOFING", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },27 { "signal_code": "EMULATED_ENVIRONMENT", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },28 { "signal_code": "PRIVATE_BROWSING", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },29 { "signal_code": "BROWSER_PRIVACY_BRAVE", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },30 { "signal_code": "BROWSER_PRIVACY_SAFARI", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },31 { "signal_code": "BROWSER_PRIVACY_SAMSUNG_INTERNET", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },32 { "signal_code": "NETWORK_PROXY", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },33 { "signal_code": "NETWORK_VPN", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },34 { "signal_code": "NETWORK_HOSTING", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },35 { "signal_code": "NETWORK_TOR", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … },36 { "signal_code": "DEVICE_MULTI_USER", "signal_state": "NOT_DETECTED", "source": "DERIVED", "detector_version": "detector-web-v1", … }37 ],38 "limitation_codes": [],39 "reason_codes": ["NO_ADVERSE_INDICATOR_MATCH"],40 "recommended_action": "ALLOW",41 "recommendation_basis": "EVALUATION",42 "policy_version": "policy-login-v1",43 "fallback_policy_version": "production-observation-fallback-v2",44 "ruleset_version": "ruleset-web-v1",45 "signal_catalog_version": "signals-web-v1",46 "feature_schema_version": "features-v1",47 "resolver_version": "resolver-v1",48 "sdk_version": "web-sdk-1.0.0",49 "provider_versions": ["network-provider-2026-09-04"],50 "evidence_cutoff_at": "2026-09-04T12:00:00Z",51 "evaluated_at": "2026-09-04T12:00:01Z",52 "expires_at": "2026-09-04T12:05:00Z",53 "correlation_id": "corr-assessment-login-0001"54}
Versões que a definiram · policy-login-v1 · production-observation-fallback-v2 · ruleset-web-v1 · signals-web-v1 · features-v1 · resolver-v1 · web-sdk-1.0.0 · network-provider-2026-09-04
13 sinais na resposta completa · matriz de indicadores ↓
O produto em números
A resposta
13
Indicadores web em toda resposta
3
Estados por indicador: detectado, não detectado, não avaliado
14
Motivos nomeados para “não avaliado”, nunca um falso silencioso
5
Recomendações possíveis
3
Medidas separadas: confiança, correspondência de dispositivo, cobertura de evidência
1
Chamada assinada por evento avaliado
A coleta
17
Seções de evidência do navegador e do dispositivo por coleta
48
APIs do navegador conferidas com a versão que o navegador declara
125
Milissegundos ou menos: mediana da coleta no desktop em Chrome, Firefox e Safari
0
Pedidos de permissão exibidos ao seu usuário
Suas regras e sua investigação
54
Itens de contexto calculados dentro de cada avaliação
67
Regras que sua empresa pode pesar na própria nota: 13 indicadores e 54 itens de contexto
6
Listas de referência públicas por trás dos indicadores de rede
6
Idiomas do console: inglês, português (Brasil e Portugal), espanhol, francês, alemão
Nunca — e isso não muda conforme o plano
— Cada valor é uma contagem de um contrato, catálogo ou lista versionados, exceto o tempo de coleta, medido nas nossas máquinas de teste com cache frio. Nenhum deles muda conforme o plano ou o volume.
03 · Casos de uso
A inteligência de dispositivo responde a uma pergunta antes de o seu backend liberar a ação: o que existe de verdade do outro lado desta tela? A mesma chamada atende todas as jornadas; a tag que você envia só a classifica.
login · password_recovery · profile_change
Uma conta conhecida num dispositivo que ela nunca usou, um navegador que mente sobre si mesmo, um navegador anti-detect, uma viagem impossível de fazer no tempo. Cada um volta como evidência, para você pedir um segundo fator só quando importa.
signup · login · checkout
Navegadores headless, frameworks de automação, agentes de IA identificados por assinatura e tráfego vindo de datacenters. BOT_AUTOMATION e NETWORK_HOSTING dizem o que foi visto; a cobertura diz quanto deu para ver.
signup · deposit · promotions
Contas e pessoas por dispositivo e por IP, quão raro é o perfil do dispositivo na sua base, uma mesma coleta repetida em outro dispositivo. Contexto que suas regras podem pesar, nunca um veredito automático: uma pessoa pode ter várias contas legítimas.
withdrawal · pix_transfer · trade
Um saque na primeira hora depois de um dispositivo novo, beneficiários compartilhados entre contas, vizinhos que você marcou como fraude confirmada. Quem retém ou revisa o dinheiro é o seu backend; nós nunca.
qualquer jornada
Emuladores Android e virtualização, uma GPU impossível para o sistema declarado, uma versão de navegador que as próprias APIs contradizem. Sinais de device fingerprinting lidos como hashes e famílias, nunca como pixels brutos.
qualquer jornada
Provedores de VPN conhecidos, proxies públicos, saídas Tor, faixas de hospedagem e Apple iCloud Private Relay, a partir de listas públicas atualizadas do nosso lado. Anonimização é contexto, não culpa: sua política decide quanto ela pesa.
04 · As medidas
Juntar confiança, cobertura e correspondência de dispositivo num único número esconde justamente o que o analista precisa ver: se o problema é o acesso ou a evidência.
trust_score
72
Responde quão confiável é este acesso sob esta versão de política; a tag que você envia não a altera. Inteiro de 0 a 100. Só existe quando assessment_status = COMPLETED; em qualquer outro estado é null, nunca um valor padrão.
Não é uma probabilidade de fraude, a reputação da pessoa nem um valor padrão para dado ausente. Mostramos 72/100, nunca “72% confiável”.
device_match_confidence
0.94
Força da evidência de que este acesso vem do mesmo dispositivo já visto, de 0 a 1. Vem com device_id, um identificador público opaco do cluster probabilístico.
Não é a identidade da pessoa, nem prova de hardware. Party e Account são coisas diferentes.
evidence_coverage
100
Quanto do conjunto esperado de verificações pôde rodar, de 0 a 100. Todo indicador aplicável que fica como NOT_EVALUATED reduz a cobertura e aparece em limitation_codes.
Não faz parte da nota. Cobertura baixa não puxa a nota para baixo nem para cima: ela deixa a avaliação inconclusiva.
Por que não somamos
Uma única nota de “suspeita” mistura três perguntas diferentes: este acesso merece confiança? A evidência foi suficiente? É o mesmo dispositivo? Quando a resposta vem separada, seu analista sabe se pede um segundo fator, espera a coleta ou olha o histórico. Quando vem fundida, ele só sabe que “deu 42”.
05 · 13 indicadores
Toda avaliação web devolve os 13 códigos, sempre. O que muda é o estado de cada um, nunca a lista. Cada indicador tem o próprio detector versionado, e a resposta nomeia a versão que o avaliou. Um detector ausente, vencido ou com falha nunca vira false.
signal_catalog web · 13 códigos · exemplo withdrawal_completed
Integridade do ambiente
Privacidade do navegador · contexto neutro
Rede · contexto neutro
Dispositivo
Nas nossas políticas gerenciadas, Tor sozinho nunca justifica BLOCK_RECOMMENDED; as regras que sua empresa configura seguem os pesos e o corte que ela escolheu. Neste exemplo do contrato v1, policy-withdrawal-v1 pediu revisão do saque, não um bloqueio, e o único reason code diz exatamente isso. A política gerenciada em produção hoje recomenda MONITOR em qualquer nota.
O mesmo indicador, três estados
Um detector ausente, vencido ou com falha nunca vira false. NOT_APPLICABLE só vem da matriz imutável do catálogo por canal, engine e plataforma; sua tag nunca a altera, e uma política desligada, um timeout ou uma indisponibilidade nunca usam esse atalho.
Contexto neutro por padrão
Eles podem limitar o que observamos. A cobertura só cai onde a evidência não é avaliada. Não são fraude. Descrevem o ambiente; não acusam a pessoa. Nas nossas políticas gerenciadas, sozinhos eles nunca justificam BLOCK_RECOMMENDED; as regras que sua empresa configura seguem os pesos e o corte que ela escolheu. Quando não dá para distinguir o tipo de rede, como atrás do iCloud Private Relay da Apple, hospedagem, VPN e proxy ficam todos NOT_EVALUATED com NETWORK_TYPE_AMBIGUOUS: nunca marcamos três detecções a partir de um único booleano.
A evidência de rede vem de listas de referência públicas que atualizamos na nossa própria infraestrutura: endereços de saída Tor, faixas de provedores de nuvem, listas de redes de hospedagem, faixas de provedores de VPN e uma base de proxies públicos. Os endereços dos seus usuários nunca são enviados a quem publica as listas. Uma lista que passou da idade máxima deixa o indicador NOT_EVALUATED, nunca NOT_DETECTED.
06 · Itens de contexto
Dentro de cada avaliação, antes da resposta, calculamos 54 itens de contexto a partir do que foi coletado e do histórico da própria empresa: quem mais usa o dispositivo, com que velocidade a conta está se movendo, de qual rede, ao lado de quais contas. A política gerenciada do FingerTrackID os deixa fora da nota. Nas suas próprias regras de risco, qualquer um deles pode ficar desligado, em fantasma ou ativo, com pontos para incomum e muito incomum: um item ativo que dispara desconta pontos da nota de confiança e se nomeia em reason_codes.
context-insight.v1 · 54 itens em seis temas · como agrupados no console e nas suas regras
Conta e dispositivo · 10
Dispositivo novo e sistema operacional novo para a conta · contas e pessoas distintas no dispositivo em 30 dias · contas da mesma pessoa nele · dispositivos por conta e por pessoa em 24 horas · dispositivo com alta atividade · quão comum, incomum ou raro é o perfil do dispositivo na sua empresa · cookie do dispositivo perdido
Saques e pedidos · 7
Saques na primeira hora depois de um dispositivo novo · beneficiários por dispositivo e contas por beneficiário em 30 dias · quantidade e valor de saques por conta · quantidade de pedidos por conta e o intervalo mediano entre pedidos
Rede e localização · 12
País novo e provedor de internet (ASN) novo para a conta · países, provedores e IPs distintos por conta · contas e pessoas por IP · viagem impossível · fuso horário do navegador que não bate com o país do IP · país de saída da VPN · provedor numa lista pública de abuso · Apple iCloud Private Relay
Integridade do navegador e do SDK · 16
Ferramentas de desenvolvedor abertas · marcas de automação · marcador de navegador anti-detect · assinatura TLS que não bate com o navegador declarado, e sua estabilidade em 30 dias · renderizador por software e família de GPU · canvas ou áudio que muda entre duas leituras · navegador in-app · possível modo convidado · agente de IA identificado por assinatura · categoria de bot · SDK diferente do pacote aprovado · uma sessão do SDK em vários dispositivos · coleta idêntica repetida em outro dispositivo · cookie do dispositivo usado em lugares distantes demais
Velocidade · 5
Acessos por dispositivo e por conta em 5 minutos, 1 hora e 24 horas; por IP em 5 minutos e 1 hora · avaliações com a mesma tag por conta e por dispositivo em 1 minuto, 5 minutos e 1 hora
Vínculos entre contas, a um salto · 4
Outras contas que usaram os mesmos dispositivos · contas vizinhas em que foi detectada automação ou falsificação de navegador · contas vizinhas que você marcou como fraude confirmada · beneficiários de saque compartilhados com outras contas
Três estados · um motivo, nunca um zero
Alguns itens dependem do que você envia. Sem refs de conta ou de pessoa, sem tag ou sem resultados, o item diz isso: conta não enviada, avaliação sem tag, nenhum resultado enviado. Uma requisição com tag não leva valor nem beneficiário, então os itens de valor e beneficiário do saque também dizem isso. Um primeiro acesso, uma rede anonimizada ou um IP fora da janela de uma hora de uma verificação também são motivos.
O que eles não são
reason_codes por uma regra que sua empresa deixou ativa.Onde o analista os lê
Detalhe do acesso. Um cartão “Contexto do acesso” agrupa os itens por tema, com as janelas de tempo, o corte do histórico considerado, quão incomum cada um é na sua régua e o motivo de cada item que ficou sem valor. Um item que não cabe no orçamento de tempo da avaliação é concluído em segundo plano e diz isso; ele nunca atrasa nem derruba a resposta.
Catálogo de indicadores. Uma página explica o que cada um dos 13 indicadores procura, o que o deixa não avaliado e se ele pode mexer na nota, e lista os itens de contexto com os motivos pelos quais podem ficar sem valor.
Canvas, WebGL, áudio e fontes são lidos sob a política de coleta gerenciada de todas as empresas, só como valores derivados, e alimentam alguns desses itens, como a família de GPU, um renderizador por software ou uma renderização que muda entre duas leituras. Onde o navegador não permite uma verificação, o item fica não avaliado, com o motivo.
07 · Inconclusivo é um resultado
Evidência ausente não produz confiança 100 e não vira sinal de fraude. Sem nota, a recomendação vem do fallback congelado dentro da versão de política e coberto pelo hash dela, e é uma única resposta para todo estado sem nota, qualquer que seja a tag: MONITOR. Nunca ALLOW.
Casos sem nota dos exemplos do contrato
A tag nunca seleciona o fallback. Na política gerenciada, todo estado sem nota, em qualquer tag, recomenda MONITOR: siga em frente e registre. Os três exemplos do contrato abaixo também.
INCONCLUSIVEtag login · o SDK não carregou
Sem coleta: trust_score: null, evidence_coverage: 0, COLLECTOR_NOT_LOADED, basis INSUFFICIENT_EVIDENCE. Nada é liberado como ALLOW.
INCONCLUSIVEevidência de rede indisponível
Quatro indicadores de rede NOT_EVALUATED, evidence_coverage: 69, PROVIDER_UNAVAILABLE. Seja qual for a operação, ela fica no seu sistema, sob a sua decisão; nunca retemos dinheiro.
FAILEDtag pix_transfer · política indisponível
Falha técnica: POLICY_UNAVAILABLE, policy_version: null, basis TECHNICAL_FAILURE. Nunca lida como “sem risco”.
Sem nota, nunca recomendamos ALLOW · fallback_policy_version production-observation-fallback-v2 nos exemplos · o fallback é validado junto com a política toda vez que a política é lida
Quatro estados da avaliação
Os 14 códigos de limitação do catálogo · o que faltou, nunca por que é arriscado
Um código de limitação explica a coleta e a qualidade; um reason code explica a política. Todo indicador NOT_EVALUATED aponta para o seu; a avaliação agrega todos em limitation_codes. Uma limitação de coleta nunca é motivo de risco.
08 · Você decide
recommended_action diz o que a política sugere. customer_action diz o que você fez. Dois campos porque são dois fatos.
Quem recomenda, quem decide, quem age
O FingerTrackID recomenda
Nunca só por privacidade · Tor, VPN, proxy, aba anônima, dispositivo compartilhado
Seu fluxo decide
Seu backend decide e age. Nós devolvemos uma recomendação; hoje a política gerenciada responde MONITOR, só observação. O que acontece com o acesso é decidido e executado do seu lado. Você conhece a conta, o limite, o histórico e o custo da fricção. Nós não.
Você age e nos informa
customer_action · o campo que você devolve
O que cada recomendação não significa
A política não encontrou motivo para fricção neste acesso. Não significa que a pessoa é legítima nem que o acesso está certificado. Só é emitida com nota e com a evidência exigida avaliada.
Siga em frente, mas registre. É o fallback sem nota em qualquer tag e, hoje, também a resposta da política gerenciada em qualquer nota. Não significa suspeita confirmada e não exige nenhuma ação do usuário.
Peça um segundo fator ou uma confirmação. Não significa que desafiamos alguém: quem mostra o desafio é você.
Envie para revisão humana. Não significa que retemos dinheiro: a operação fica no seu sistema, sob a sua decisão.
A política sugere negar. Não significa bloqueio executado, fraude confirmada nem banimento. Quando você bloqueia, isso vira customer_action: BLOCKED, um evento seu, e alimenta a medição de acerto.
09 · Integração
Um script no seu site, um endpoint servidor a servidor no seu backend e duas chamadas para devolver a ação e o resultado. Nenhuma decisão no cliente.
SDK no seu site
Servido de um subdomínio seu. Antes de você enviar a requisição que quer avaliar, seja qual for a tela, ele coleta sinais do navegador e do ambiente e recebe 202 PROCESSING: confirma o recebimento, não um resultado. Os sinais de rede são adicionados pela borda no seu domínio de coleta, nunca pelo script. Nenhuma nota, sinal ou decisão volta para o navegador.
import { initializeSdk } from '@ftid/sdk-web'
// publicKey is a public locator, not a secret.
// collectionOrigin is YOUR collection domain (https).
const sdk = initializeSdk({
publicKey: 'pub_app_0123456789abcdef',
collectionOrigin: 'https://collect.yourcompany.com',
})
// ACCEPTED (202 PROCESSING on the wire): confirms receipt, not a result.
const collection = await sdk.collect()
if (collection.status !== 'ACCEPTED') {
// Without collection the journey continues; the backend will get
// INCONCLUSIVE / COLLECTOR_NOT_LOADED: no fake score.
return continueWithoutToken()
}
// Create the event before sending the request to be assessed.
const event = sdk.createEvent(collection.observation)
// Only a COMPLETED collection yields a token. The token goes in the POST
// that YOUR backend makes; the decision never comes back here.
const ctx = await sdk.getEventContext(event)
const token =
ctx.status === 'COMPLETED'
? ctx.eventContextToken
: nullSeu backend chama
HMAC-SHA-256 sobre dez linhas canônicas — marcador, key_id, método, path, timestamp, ids do evento e da requisição, metadados do conteúdo e, na última linha, o SHA-256 dos bytes exatos do corpo. Nunca reserialize o JSON antes de calcular o hash; o contrato traz o vetor normativo. key_id é o único localizador público. O segredo nunca trafega. Vetor canônico requests.both_refs_deadline_750 do contrato v1.1: a mesma rota e a mesma assinatura do v1, com tag no lugar de journey, action e journey_context.
POST /v1/assessments HTTP/1.1
Host: api.fingertrackid.com
Content-Type: application/json
X-FTID-Signature: v1=<key_id>:<mac-hex>
X-FTID-Timestamp: 1791720000
X-FTID-Request-Id: <uuidv7 of the attempt>
X-FTID-External-Event-Id: evt:tag-0003
{
"schema_version": "event-assessment-request.v1.1",
"external_event_id": "evt:tag-0003",
"idempotency_key": "idem-tag-0003",
"occurred_at": "2026-10-11T12:00:00.000Z",
"subject_ref": "subject:synthetic",
"account_ref": "account:synthetic",
"event_context_token": "ctx.synthetic-token_0003",
"tag": "pix_transfer_a1b2c3d4e5f6g7h8i9j0abcdeabcdeabcdeabcdeabcdeabcdez",
"deadline_ms": 750
}tag é um slug em minúsculas de até 64 caracteres (letras, dígitos e underscore, no máximo dez dígitos), nunca dado pessoal; este vetor está nesse limite · subject_ref e account_ref podem ser null, e um account_ref exige um subject_ref · refs são códigos opacos seus, nunca CPF, e-mail ou ID sequencial · deadline_ms é um inteiro de 250 a 5000, ou null para 5000; se for excedido, volta um Problem 503 que pode ser repetido, não uma nota parcial
Resposta síncrona
Depois, duas chamadas de retorno: customer_action com o que você fez e, quando souber, truth_status com o resultado real (o outcome: legítimo, fraude confirmada ou evidência insuficiente). O contrato submete as duas à mesma disciplina da chamada de avaliação: nada conta como aceito antes de um commit durável, e uma repetição idêntica não gera um segundo efeito. Um outcome pode ser corrigido depois — a correção entra como sucessora, e o registro anterior continua legível.
POST /v1/assessments/POST /v1/assessments/
Web, em qualquer navegador moderno · nenhum app para instalar · SDK, avaliação e retorno no mesmo contrato versionado
npm install @fingertrackid/server assina a chamada por você, e @fingertrackid/mcp deixa o Claude Code, o Cursor ou qualquer agente de código compatível com MCP montar a integração a partir do contrato publicado. Passo a passo no quickstart, no guia do Web SDK e na referência da API.
10 · Zero trust no navegador
Nada que vem do navegador é tratado como autoridade. A avaliação é servidor a servidor, assinada, e cada tentativa conta uma vez: repeti-la não cria efeito novo.
Quem fala com quem
O navegador recebe só IDs opacos de sessão e de evento. Nota, sinais e recomendação nascem e ficam no servidor. O cookie first-party é assinado, HttpOnly, Secure e restrito ao seu tenant e à sua aplicação.
Anatomia da chamada
ftidHmacV1 do contratokey_id UUIDv7 é o único localizador; tenant, aplicação, ambiente e capabilities só viram autoridade depois de um MAC válido em comparação de tempo constante. X-Client-Id, nonce legado e múltiplas assinaturas são recusados.request_id; um MAC inválido não cria reserva.assessment-unavailable (503, retryable: true), não uma nota parcial.key_id que não existe ou foi revogado, ou uma assinatura errada, produzem o mesmo authentication-failed.key_id existe. Assine um novo request_id.11 · Política versionada
Mudar a sensibilidade de um indicador cria uma nova versão, com autor, período de vigência, simulação e rollback. O histórico não muda. Sem versão real, o uso fica bloqueado.
Versão que decidiu · exemplo withdrawal_completed
policy-withdrawal-v1
correlation_id serve para o suporte sem expor um identificador pessoal. As versões expostas são tags públicas opacas; IDs internos do banco de dados nunca aparecem na API, no webhook nem no console.
O que uma versão de política congela
Reproduzível, nunca reescrita
exemplo login_completed
assessment_version1
supersedes_assessment_idnull
exemplo login_completed_revision_2
assessment_version2
supersedes_assessment_id…0000000101
Uma revisão operacional preserva a política e todas as demais versões vigentes no received_at do evento. Uma política nova sobre um evento antigo é uma simulação à parte; ela nunca reescreve qual recomendação orientou a decisão histórica.
12 · Shadow mode
Shadow mode é rodar o FingerTrackID lado a lado com o que você usa hoje, sem que a resposta toque em nenhuma decisão. Você compara, devolve os resultados reais e só então começa a usar a recomendação. É assim que recomendamos começar.
O ciclo completo
O SDK coleta
202 PROCESSING · event_context_token
Seu backend pede a avaliação
POST /v1/assessments · síncrono
Você decide pelo seu fluxo
em shadow, sem usar a resposta
Você informa a ação
customer_action · POST …/customer-actions
Você informa o resultado
truth_status · POST …/outcomes
recommendation_alignment · derivado no servidor a partir do par recomendação × ação; nunca declarado pelo cliente. Coincidência não prova causalidade, nem acerto, nem fraude.
Comparação, campo a campo
| recommended_action | customer_action | recommendation_alignment |
|---|---|---|
REVIEW | REVIEWED ou HELD | ALIGNED |
STEP_UP | ALLOWED | NOT_ALIGNED |
ALLOW ou MONITOR | ALLOWED | ALIGNED |
BLOCK_RECOMMENDED | BLOCKED | ALIGNED |
| qualquer | CANCELLED | NOT_COMPARABLE |
Bloquear não prova fraude. Confirmar fraude exige evidência independente: truth_status passa de PENDING para LEGITIMATE, FRAUD_CONFIRMED ou INSUFFICIENT_EVIDENCE, com maturidade PROVISIONAL ou MATURE. Só um rótulo maduro vira métrica de qualidade.
O que o ciclo alimenta
customer_action e truth_status são fatos separados, e toda correção cria uma sucessora.13 · Privacidade por contrato
Dado pessoal em texto claro não é requisito do produto. Você envia refs opacas de pessoa e de conta; não pedimos CPF, e-mail nem telefone para avaliar um acesso.
packages/contracts/src/sdk-handshake-v1.ts · política de coleta
canvas: z.boolean(),
audio: z.boolean(),
fonts: z.boolean(),
behavioral: z.literal(false),packages/contracts/src/sdk-signals/rendering-v1.ts · trecho
const Hash128 = z.string().regex(/^[0-9a-f]{32}$/)
canvas_hash: Hash128.optional(),
webgl_gpu_family: z.enum(SDK_RENDERING_GPU_FAMILY_V1).optional(),
audio_hash: Hash128.optional(),
fonts_count: z.number().int().min(0).max(SDK_RENDERING_FONT_COUNT_V1).optional(),A coleta comportamental, ou seja, movimento do ponteiro e digitação, só aceita o valor desligado: ligá-la exige mudar o contrato, não uma configuração. Canvas, WebGL, áudio offline e presença de fontes são lidos sob a política de coleta gerenciada, que os liga para todas as empresas, e só saem do navegador como valores derivados: hashes de tamanho fixo, uma família de GPU fechada, uma contagem e uma máscara de presença sobre uma lista fixa de fontes. O contrato não tem campo para pixels, amostras de áudio, nomes de fabricante ou renderizador de GPU, nem nomes de fontes. Juntos, esses valores derivados podem reconhecer o mesmo navegador de novo, então são tratados como dado de dispositivo, não como dado anônimo. Nunca coletados, como regra absoluta: senha, texto digitado, conteúdo de chat ou documento, área de transferência, captura de tela, microfone, câmera. Toda evidência tem uma classe de privacidade, e classe não é peso de risco.
Garantias que não dependem de boa vontade
tenant_id com isolamento forçado no banco de dados. Não existe reputação nem rótulo compartilhado entre clientes.HttpOnly, Secure, restrito ao seu tenant e à sua aplicação. O valor nunca vai para banco de dados, fila ou log; se faltar ou for rejeitado, a continuidade se degrada como limitação e a avaliação não para.Party não é Account
O vínculo vem do seu backend · nunca inferido a partir do fingerprint
Uma pessoa, várias contas legítimas. Uma conta nunca muda de pessoa em silêncio; a sessão só avança de anônima para pessoa e depois para uma conta da mesma pessoa. Uma contradição é um conflito, não uma nova associação nem evidência negativa improvisada.
Onde os dados ficam
14 · Console
O console responde primeiro “estamos recebendo, avaliando e explicando com qualidade?” e só depois deixa alguém falar de legitimidade. Todo percentual nomeia o seu denominador.
Esquemático, não uma captura de tela · tons do console dentro da moldura
Detalhe do acesso. As três medidas como três componentes separados; a recomendação com seu recommendation_basis, a política vigente e o que o seu time informou ter feito; o frescor da evidência; os 13 indicadores com estado, aplicabilidade, fonte, confiança do detector, frescor e o motivo de qualquer não avaliado; limitações e reason codes; sessão, dispositivo e suas associações; multiplicidade no dispositivo; uma localização aproximada pela rede; o contexto do acesso; e uma aba de dados técnicos com tudo o que o SDK e a borda coletaram, incluindo a versão real do navegador lida das APIs que ele expõe, ao lado da versão que ele declara.
Filtros de investigação. A lista de acessos se restringe por provedor de internet (ASN), país da rede, instalação do dispositivo, motivo pelo qual um indicador não foi avaliado e até dois indicadores em estados escolhidos ao mesmo tempo, e encontra um acesso pela sua própria ref de conta ou de pessoa. Não há filtro por endereço IP: é dado pessoal. Cada detalhe de acesso também traz os seus itens de contexto ↑.
Investigação a fundo. A partir de qualquer acesso, um grafo de vínculos abre os dispositivos e as contas ao redor, um salto por vez, em até 92 dias do seu próprio histórico. Cada expansão é uma leitura registrada; endereços IP nunca viram nós.
Listas de bloqueio e de permissão. A partir do detalhe do acesso, seu time coloca um dispositivo, uma ref de conta ou um único IP na lista de bloqueio da empresa (bloquear ou revisar) ou na lista de permissão, com uma observação e o nome de quem adicionou. Num acesso de produção com nota, uma entrada se sobrepõe à recomendação e se nomeia em reason_codes. Nada é apagado: remover uma entrada registra quem removeu e quando.
Assistente de IA. Um painel lateral explica cada tela e responde perguntas sobre a sua própria integração e os seus acessos, dentro da sua empresa e do seu papel.
Configuração de risco. As regras de risco da própria empresa, por aplicação: cada um dos 13 indicadores fica desligado, em fantasma ou ativo, com peso de 1 a 100 pontos, e você define as faixas de nota e a ação de cada uma. Uma regra em fantasma é calculada e registrada, mas nunca muda a resposta. Antes de publicar, o cartão de impacto reaplica o seu rascunho sobre as avaliações dos últimos 1, 7 ou 30 dias. Cada um dos 54 itens de contexto ↑ pode entrar com os próprios pontos. Seu administrador ou supervisor de risco publica direto; toda publicação é uma nova versão auditada, e tudo em fantasma para todas as suas regras de uma vez. O FingerTrackID nunca ativa uma regra por você: o suporte só pode pôr todas as regras de uma aplicação em fantasma, com um motivo que o seu console mostra. Enquanto nenhuma regra está ativa, quem responde é a política gerenciada, publicada pelo time do FingerTrackID com aprovação registrada.
Dezesseis telas em quatro grupos · principal, detecção, operação, administração
A fila de revisão é o módulo de revisão de saques: uma fila operacional construída sobre o mesmo núcleo, que leva a uma pessoa todo saque v1 com recomendação REVIEW, com a evidência ao lado. Avaliações com tag nunca entram nela, e ela fica vazia enquanto a política recomenda MONITOR, como a política gerenciada faz hoje.
Em inglês, português (Brasil e Portugal), espanhol, francês e alemão. Login com passkey ou segundo fator; permissões por papel; trilha de auditoria de quem viu dado sensível e de quem mudou o quê. Dado bruto não aparece livremente: todo acesso a ele é registrado.
15 · Como cobramos
Preço por volume de coletas concluídas, definido na proposta. O shadow mode consome as mesmas unidades e aparece no console como uso estimado; o que entra na fatura desse período é definido na proposta.
A unidade
É a unidade de medida e a unidade candidata de cobrança. Cada device_intelligence_snapshot_id gera no máximo uma unidade, não importa quantas avaliações, tags, provedores ou reprocessamentos usem essa coleta.
Evento · gera unidade?
idempotency_keynãocustomer_action e outcomenão4xx por autenticação, autorização ou contrato inválidonão5xx, timeout do nosso lado, coleta INCONCLUSIVE ou FAILEDnãoProposta por volume, com o uso em shadow mode na mesa.
Pedir uma proposta16 · Perguntas frequentes
customer_action e o outcome e, no console, compara, acesso a acesso, a recomendação com o que o seu time informou ter feito, e acompanha a cobertura de evidência. Quando os números fecham, seu time decide se e onde a recomendação passa a influenciar uma decisão, sempre executada pelo seu backend.tag própria com cada avaliação, um slug em minúsculas como login, withdrawal ou pix_transfer: sem cadastro, sem lista fechada e sem limite. O console filtra, agrupa e exporta por tag, e os modelos (cadastro, login, recuperação de senha, segundo fator, alteração de perfil, depósito, saque, transferência Pix, trade, checkout) são um guia de integração. A tag nunca seleciona a política, os detectores, o fallback nem o prazo: toda avaliação com tag roda sob a mesma política e os mesmos 13 indicadores. Ela nunca deve levar dado pessoal. A requisição não leva valor, moeda nem beneficiário.BLOCK_RECOMMENDED é a recomendação mais forte que existe, e continua sendo uma recomendação. Quando você bloqueia, registra customer_action: BLOCKED, e isso vira dado para medir se a recomendação acertou.BLOCK_RECOMMENDED sozinho; as regras que sua empresa configura seguem os pesos e o corte que ela escolheu. Modo privado e proteções do navegador são contexto neutro: podem reduzir a cobertura e aparecem no detalhe, sem reason code adverso. Tor, proxy, VPN e hospedagem são contexto de anonimização: uma política pode pesá-los junto com o que mais foi visto, nunca por tag. Na política gerenciada hoje, só automação e falsificação de navegador mexem na nota, e a recomendação é MONITOR. No exemplo do contrato v1 de saque nesta página, Tor detectado levou a REVIEW, e o reason code diz isso. Nunca é fraude em si.event_context_token e recebe INCONCLUSIVE, trust_score: null, evidence_coverage: 0, limitation_codes: ["COLLECTOR_NOT_LOADED"] e a recomendação de fallback, MONITOR. Nunca uma nota inventada. Nunca ALLOW por falta de evidência.deadline_ms o define em qualquer valor de 250 a 5000 (mantenha o timeout HTTP acima de cerca de 6 s para o padrão); se for excedido, você recebe um Problem assessment-unavailable (503, retryable: true, com Retry-After), não uma resposta parcial. Repita a mesma operação lógica com um novo request_id. Latência e SLA entram na proposta, medidos no seu shadow mode antes de qualquer decisão depender da resposta.key_id UUIDv7 é o único localizador público; request_id é reservado contra replay; uma falha de autenticação devolve um 401 uniforme sem revelar se a chave existe. O segredo nunca trafega. O vetor de teste normativo do protocolo faz parte do contrato; com ele você reproduz a assinatura byte a byte.@fingertrackid/server assina a chamada, o servidor MCP @fingertrackid/mcp dá ao Claude Code, ao Cursor ou a qualquer agente compatível com MCP os contratos, os vetores de assinatura, um módulo de servidor pronto por tag e uma verificação do seu domínio de coleta, tudo somente leitura, e a documentação publica llms.txt e um bloco pronto de regras para o seu AGENTS.md. O segredo fica no seu ambiente; o agente nunca precisa vê-lo.17 · Contato
Comece em shadow mode: a resposta roda ao lado do seu fluxo real sem tocar em nenhuma decisão, você compara, devolve os resultados e só então começa a usar a recomendação. Se você tem telas em que a decisão importa e quer ver a resposta explicada antes de confiar nela, fale com a gente.
Agendar uma demo
Como começa
O que vem junto
event-assessment.v1 executável, com vetor de teste HMAC