VERIFICACIÓN DE IDENTIDAD
Verificación de identidad alojada; tú conservas la decisión
Dirige a los clientes a un flujo de verificación alojado. Consulta el estado del caso en tu propio backend y deriva las excepciones a una revisión humana.
Un flujo de trabajo supervisado, no un veredicto automático
La verificación de identidad devuelve el estado de un caso y una vía de revisión. Sirve de apoyo para tu decisión, pero no la toma.
Recorrido de la sesión
Sesión creada
Un enlace de un solo uso y una fecha de vencimiento.
Enlace abierto
El cliente lee un aviso de privacidad. El plazo para completar el proceso es limitado.
Estado del caso
Consulta de estado o evento
Finalizado, sin verificar o requiere revisión. Usa cada estado como dato para tu propia decisión.
Alternativas que conviene prever
Vencida
No genera ningún evento. Consulta el estado para detectarlo.
Cancelada
Consulta el estado desde tu backend.
Termina con un error
Las sesiones pueden terminar con un error. Prevé una alternativa.
Enlace de verificación alojado
Estado del caso para que decidas
Vía de revisión humana
Notificaciones de eventos
De la sesión al estado del caso
Servidor
Crear una sesión
Usa tu propia referencia para la persona. Recibes un enlace de un solo uso y una fecha de vencimiento.
Noxtica
El cliente completa el proceso en la página alojada
Enlace de un solo uso
El cliente lee un aviso de privacidad y luego aporta los indicios solicitados durante un plazo limitado.
Servidor
Consulta de estado o evento
Estado del caso
Consulta el estado desde tu backend o recibe un evento en tu endpoint.
Consola
Revisión humana
Excepciones
Los casos que requieren una segunda revisión pasan a revisión por un operador. La actividad de revisión queda registrada en un historial de auditoría.
Tu equipo
Tu decisión
Tu equipo toma la decisión.
Crear una sesión
El cliente completa el proceso en la página alojada
Consultar el estado y decidir
Qué es y para quién está pensado
La verificación de identidad de Noxtica (KYC) es un flujo alojado. Tu servidor crea una sesión, tu cliente completa los pasos en una página alojada por Noxtica en su propio navegador y tu servidor consulta el resultado mediante una lectura del estado o un evento firmado. Tu servidor nunca recibe directamente las respuestas ni la captura del cliente.
Los resultados son indicadores automatizados. Tú decides qué significa cada resultado para tu cliente. Noxtica te proporciona las pruebas y un registro de auditoría.
Para quién está pensado
- Ingenieros de backend que crean sesiones y consultan los resultados.
- Equipos de operaciones y cumplimiento que configuran la página alojada y gestionan la cola de revisión en Backoffice.
- Equipos cuyas políticas requieren pruebas de identidad y que cuentan con una persona responsable de la revisión.
Verificación de empresas y comercios
El mismo enfoque alojado cubre empresas y comercios. KYB (conoce tu empresa) es un proceso alojado de incorporación de empresas: el representante de la empresa introduce la información, carga documentos, declara a los propietarios, revisa y envía los datos; después, el caso enviado pasa a revisión humana en Backoffice, donde los operadores ven el gráfico de propiedad, los documentos y los controles. KYM (conoce a tu comercio) es la incorporación alojada de comercios, junto con la supervisión de transacciones que solo envía notificaciones: una alerta notifica a una persona para que la revise y nunca inicia una acción de pago. No se describe ninguna comprobación automatizada de registros mercantiles. Los resultados son indicadores y tus operadores deciden. Disponible. Se habilita para tu cuenta a petición.
Disponibilidad
Disponibilidad controlada. La verificación de identidad se habilita por tenant a través de tu equipo de cuenta; no puedes activarla por tu cuenta. Los pasos descritos como opcionales solo se aplican cuando están habilitados para tu organización.
El flujo alojado, de principio a fin
Esto es lo que ocurre desde la primera llamada a la API hasta el resultado. Los pasos marcados como opcionales solo se aplican cuando están activados para tu organización.
Tu servidor crea una sesión
Una llamada del servidor crea una sesión con una referencia opaca de cliente que defines tú. La respuesta incluye un id de sesión y un enlace de un solo uso.
El cliente recibe el enlace
Envía al cliente al enlace mediante una redirección, una pestaña nueva, un correo electrónico o un mensaje, o un código QR. La página alojada también ofrece un código QR y la opción de copiar el enlace para que quien empieza en un ordenador pueda continuar en un teléfono.
Aviso de privacidad y consentimiento
Antes de capturar nada, el cliente ve el nombre de tu empresa, la finalidad de la verificación y un enlace a tu aviso de privacidad, y acepta continuar.
Elegir un documento y capturar el anverso y el reverso
El cliente elige uno de los tipos de documentos que aceptas y captura el anverso. El reverso es obligatorio para los documentos de identidad, permisos de conducir y permisos de residencia. El pasaporte no requiere un paso para el reverso.
Selfie
El cliente se hace un selfie. Se compara con el retrato del documento y se comprueba su calidad.
Prueba de vida
El cliente completa ante la cámara un breve desafío de prueba de vida: girar la cabeza y parpadear.
Revisión
Una captura finalizada queda en la cola de revisión de Backoffice hasta que alguien de tu organización registra una decisión. La sesión indica review pending y no caduca mientras espera.
Resultado: consulta del estado y eventos firmados
Tu servidor consulta el estado de la sesión y puede suscribirse a eventos de webhook firmados. Antes de actuar sobre un evento, consulta el estado: ese es el dato de referencia.
Duración del enlace
Un enlace que no se ha abierto sigue siendo válido hasta su propia fecha de caducidad, que es de un día de forma predeterminada. Tras abrirlo por primera vez, el cliente tiene 30 minutos para terminar, o hasta la fecha de caducidad original si llega antes.
Qué no hace la página alojada
- No se puede insertar en un iframe. Ábrelo como página completa o en una pestaña nueva.
- Utiliza el idioma del navegador del cliente. No puedes configurarlo.
- Algunos navegadores integrados en aplicaciones no pueden ejecutarlo. La página indica al cliente cómo continuar en un navegador normal.
Documentos admitidos y datos que se leen
En la configuración de la página alojada en Backoffice, eliges qué documentos pueden usar tus clientes y de qué países emisores. El cliente elige entre esas opciones. El flujo alojado reconoce cuatro tipos de documentos:
| Tipo de documento | Captura del reverso |
|---|---|
| Documento nacional de identidad | Sí |
| Permiso de conducir | Sí |
| Permiso de residencia | Sí |
| Pasaporte | No |
El texto impreso se lee directamente del documento. Si el documento tiene una zona de lectura mecánica, esta se lee, se verifican sus dígitos de control y el resultado se contrasta con el texto impreso. El permiso de conducir no tiene zona de lectura mecánica, y esa ausencia no se penaliza.
Los documentos nacionales de identidad y permisos de conducir turcos se procesan de forma explícita: se lee el número personal turco (T.C. Kimlik No) y, de forma predeterminada, es un campo obligatorio para esos dos documentos. Si un número supera la comprobación de sus dígitos de control, no es necesario proporcionar también el número del documento.
Una zona que no se puede encontrar o comparar con el texto impreso constituye una laguna de medición. El resultado indica revisión, nunca fallo. Noxtica no publica una lista de países más allá de lo que configures ni afirma que todos los documentos de todos los países se procesen igual de bien.
Comprobaciones y señales
El flujo alojado genera resultados de comprobaciones para que los revise una persona. Son señales que ayudan en la revisión. No determinan el resultado ni garantizan el bloqueo del fraude.
| Comprobación | Qué analiza |
|---|---|
| Autenticidad del documento | Diseño, estructura de la zona de lectura mecánica, coherencia de impresión, indicios de edición o de regiones copiadas, presencia de hologramas, indicios de una recaptura de pantalla y geometría de la tarjeta. Cada comprobación informa su propio resultado. |
| Coincidencia facial | Compara el retrato del documento con el selfie. Una puntuación baja aporta indicios para la persona revisora. |
| Calidad del selfie | Nitidez, exposición, tamaño y posición del rostro en el selfie. |
| Prueba de vida | Un desafío que consiste en girar la cabeza y parpadear. Las comprobaciones de gestos indican que se realizó el movimiento solicitado. No son una prueba de detección de ataques de presentación. |
| Detección de ataques de presentación (PAD) | Analiza fotogramas del desafío de prueba de vida y el selfie, y genera una puntuación. El resultado es orientativo. |
Resultados y revisión
| Estado | Significado |
|---|---|
pending | Creada. El cliente aún no ha abierto el enlace. |
opened | El cliente abrió el enlace y está completando los pasos. |
verifying | El cliente envió la información y el procesamiento está en curso. |
review_pending | El procesamiento terminó y se necesita una decisión en la cola de revisión de Backoffice. No es un rechazo ni una aprobación. |
completed | Una decisión aprobó la sesión. |
unverified | El procesamiento terminó con un resultado negativo. |
error | No se pudo completar el procesamiento por un fallo o una negativa. |
expired | El enlace o el plazo para capturar los datos venció antes de que se tomara una decisión. |
cancelled_by_user | El cliente canceló en la página alojada. Se aplica cuando la cancelación está habilitada para tu organización. |
Una persona cualificada de tu equipo debe revisar las decisiones desfavorables antes de que afecten a un cliente. Los resultados son probabilísticos y pueden incluir falsos positivos y falsos negativos. No constituyen una prueba legal de identidad.
Para desarrolladores
Todo lo que aparece a continuación usa HTTPS directamente desde tu servidor. La documentación contiene la referencia completa.
Tres formas de iniciar una verificación
- Sesión alojada desde tu servidor. Tu servidor crea el enlace mediante la API y Noxtica aloja la página.
- Invitación desde Backoffice. Una persona de tu organización crea el enlace en Backoffice, sin código.
- API directa desde tu servidor. Rutas de servidor a servidor sin enlace alojado. Actualmente, no permiten capturar un documento para comprobarlo desde tus propias pantallas. Usa una sesión alojada cuando el cliente tenga que capturar un documento.
Crear una sesión
Autentícate con una clave de servidor que tenga el permiso de identidad. Mantén la clave en tu servidor. Envía una Idempotency-Key para que un reintento no cree una segunda sesión.
curl -sS https://collect.noxtica.com/v1/kyc/sessions \
-H "Authorization: Bearer $NOXTICA_SERVER_KEY" \
-H "Content-Type: application/json" \
-H "Idempotency-Key: $(uuidgen)" \
-d '{"subjectRef":"cust_example","returnUrl":"https://merchant.example.com/verification/return"}'La respuesta
El enlace se devuelve una sola vez, en esta respuesta. Trátalo como un secreto y no lo registres en logs. La caducidad se expresa en milisegundos desde la época Unix.
{
"ok": true,
"sessionId": "00000000-0000-4000-8000-000000000001",
"url": "https://verify.noxtica.com/s/EXAMPLE_TOKEN",
"expiresAt": 1790848845000,
"domainId": null,
"requestId": "req_example"
}Consultar el estado
Una sesión que creaste siempre devuelve 200, incluso si ha caducado. Consulta el estado con intervalos cada vez mayores y detente cuando sea final.
GET https://collect.noxtica.com/v1/kyc/sessions/00000000-0000-4000-8000-000000000001
Authorization: Bearer $NOXTICA_SERVER_KEYEventos de webhook
Los eventos se envían mediante entregas HTTPS firmadas a un endpoint que registras en Backoffice. Un evento es una notificación, no una decisión.
| Evento | Se activa cuando |
|---|---|
kyc.session.completed | Una sesión alojada llega al estado completed, unverified o error. Si queda en review pending, el evento se envía más tarde, cuando una persona revisora toma una decisión. |
kyc.session.cancelled | El cliente cancela en la página alojada. Suscríbete explícitamente. Disponible cuando se activa para tu organización. |
kyc.verification.completed | Una verificación llega a un estado final. |
kyc.erasure.completed | Se completa una solicitud de supresión. Disponible cuando la supresión está activada para tu organización. |
kyc.document.expiry_warning | Un documento verificado está próximo a caducar o ya ha caducado. Disponible cuando se activa para tu organización. |
kyc.reverification.due | Llega la fecha prevista para una reverificación programada. Disponible cuando se activa para tu organización. |
Evento de ejemplo
Solo valores sintéticos. Los eventos nunca incluyen la referencia de tu cliente: vincula cada evento con tu cliente mediante el id de sesión.
{
"id": "00000000-0000-4000-8000-000000000001:endpoint_example",
"type": "kyc.session.completed",
"created_at": 1790762445000,
"tenant_id": "tenant_example",
"data": {
"schemaVersion": "1",
"sessionId": "00000000-0000-4000-8000-000000000001",
"status": "completed",
"verificationId": "verification_example",
"reasonCodes": ["provider_manual_review"],
"occurredAt": 1790762445000,
"deliveryId": "00000000-0000-4000-8000-000000000001:endpoint_example"
}
}Verifica cada entrega
- Cada entrega incluye los encabezados X-Noxtica-Signature, X-Noxtica-Timestamp, X-Noxtica-Event y X-Noxtica-Delivery.
- La firma es un HMAC-SHA256 del timestamp, un punto y el cuerpo sin procesar de la solicitud. Verifícala antes de analizar el cuerpo y establece tu propia tolerancia al timestamp.
- Las entregas se realizan al menos una vez y no siguen un orden fijo. Elimina duplicados mediante X-Noxtica-Delivery y luego consulta el estado de la sesión antes de actuar.
No se requiere ningún SDK. La documentación incluye ejemplos en curl, Node.js y Python.
Más información en la documentación
Protección de datos
Esta sección describe lo que indica la documentación. No constituye asesoramiento jurídico. La Política de privacidad y la página de Seguridad describen cómo Noxtica trata los datos personales.
Conservación
Noxtica no elimina automáticamente los detalles ni las evidencias de verificación, y no establece un plazo de conservación. Permanecen en tu tenant hasta que los elimine un administrador del tenant.
Eliminación
Un administrador del tenant elimina las verificaciones en Backoffice indicando un motivo, escribiendo una confirmación y completando una nueva comprobación de acceso reforzado. La eliminación borra la verificación, sus archivos de evidencia y registros, pero conserva los registros de uso para facturación, los comprobantes de base jurídica y el registro de auditoría. No se puede deshacer.
Derechos de los interesados
Las solicitudes de supresión se gestionan en la página de Supresión de KYC. Un segundo administrador aprueba la solicitud, una retención legal puede pausarla y cada elemento almacenado tiene un comprobante de eliminación. Antes de prometer a un cliente un plazo, pregunta a tu equipo de cuenta qué abarca una solicitud aprobada para tu tenant.
Acceso a las evidencias
Abrir las capturas originales requiere un permiso distinto y más elevado que revisar un caso. Está limitado a administradores, requiere una nueva comprobación de acceso reforzado y cada visualización queda auditada. Los demás roles ven los hallazgos y las mediciones, no los originales.
Cifrado y aislamiento
Las evidencias de identidad sin procesar se almacenan cifradas en reposo, y solo cuando el almacenamiento de evidencias sin procesar está activado para tu tenant. Una sesión que pertenece a otra organización aparece como no encontrada.
Residencia
El almacenamiento de evidencias tiene una configuración de residencia por tenant: TR, EU o US. Pregunta a tu equipo de cuenta qué abarca para tu tenant. Esta página no afirma que los datos permanezcan en un país concreto.
Consentimiento y base jurídica
Antes de la captura, la página alojada muestra al cliente la finalidad y el aviso de privacidad. Una persona autorizada de tu organización registra la base jurídica; Noxtica no la elige por ti. Tú eres responsable de los avisos, consentimientos y bases jurídicas en cada jurisdicción donde prestas servicios.
Preguntas frecuentes
¿Puedo activar por mi cuenta la verificación de identidad?
No. Se habilita por tenant y su disponibilidad está controlada. Ponte en contacto con el equipo para hablar de tu caso de uso y jurisdicción.
¿Aprueba clientes automáticamente?
No. Ningún resultado de comprobación convierte por sí solo una verificación alojada en una verificación aprobada. Todas las verificaciones alojadas esperan a que una persona registre una decisión; solo el estado completed indica aprobación.
¿La detección de ataques de presentación bloquea el fraude?
No. PAD es orientativa. Noxtica comunica el resultado y nunca permite que determine una decisión. Considérala, como cualquier otra comprobación, una señal para quien revisa el caso.
¿Un resultado es una prueba legal de identidad?
No. Ningún resultado constituye una prueba de identidad legal fuera del alcance del proveedor y del contrato configurados. Noxtica no es una agencia de informes de consumo y los resultados no deben usarse para determinar la elegibilidad para crédito, seguros, empleo o vivienda.
¿Durante cuánto tiempo es válido un enlace de verificación?
Un día de forma predeterminada; puedes configurarlo al crear la sesión. Cuando el cliente abre el enlace, tiene 30 minutos para terminar.
¿Puedo insertar la página alojada o elegir su idioma?
No. La página no se carga dentro de un iframe y su idioma depende del navegador del cliente.
¿Qué eventos puedo recibir?
Seis eventos de identidad: kyc.session.completed, kyc.session.cancelled, kyc.verification.completed, kyc.erasure.completed, kyc.document.expiry_warning y kyc.reverification.due. Algunos dependen de la configuración de tu organización.
¿Durante cuánto tiempo conservan las evidencias?
Noxtica no establece un plazo de conservación ni elimina automáticamente los detalles o las evidencias de verificación. Un administrador del tenant los elimina.
¿Está disponible la verificación de empresas y comercios?
Sí. La verificación de empresas (KYB) y la verificación de comercios (KYM) están disponibles. Tu servidor crea un enlace; la empresa o el comercio completa el proceso de incorporación en una página alojada por Noxtica, y tus operadores revisan el caso en Backoffice. Se activa para tu cuenta previa solicitud.
Páginas relacionadas
Qué no hace la verificación de identidad
- Disponibilidad controlada. La verificación de identidad se aprovisiona por inquilino.
- No es una prueba legal de identidad. Ningún resultado constituye una prueba legal de identidad fuera del alcance del proveedor y del contrato configurados. Los resultados son probabilísticos y pueden incluir falsos positivos y falsos negativos.
- Tú decides. Una persona cualificada de tu equipo debería revisar las decisiones desfavorables. Noxtica no es una agencia de informes del consumidor. No uses estos resultados para determinar la elegibilidad para créditos, seguros, empleo o vivienda.
- Tus responsabilidades. Te corresponden los avisos, los consentimientos y la base jurídica para recopilar indicios de identidad de tus clientes en cada jurisdicción donde operes.
Las puntuaciones, los motivos y los veredictos son estimaciones probabilísticas, no afirmaciones de hechos. Tu equipo toma todas las decisiones.Leer el aviso legal