VÉRIFICATION D’IDENTITÉ
Vérification d’identité hébergée, la décision vous appartient
Dirigez vos clients vers un parcours de vérification hébergé. Consultez le statut du dossier depuis votre propre backend et orientez les cas particuliers vers un examen humain.
Un processus encadré, pas un verdict automatique
La vérification d’identité renvoie le statut d’un dossier et permet de le faire examiner. Elle éclaire votre décision, sans la prendre.
Parcours de la session
Session créée
Un lien à usage unique et une date d’expiration.
Lien ouvert
Le client consulte un avis de confidentialité. Le délai pour terminer la démarche est limité.
Statut du dossier
Consultation du statut ou événement
Terminée, non vérifiée ou à examiner. Prenez chaque statut en compte dans votre propre décision.
Solutions de repli à prévoir
Expirée
N’émet aucun événement. Consultez le statut pour le constater.
Annulée
Consultez le statut depuis votre backend.
Se termine par une erreur
Une session peut se terminer par une erreur. Prévoyez une solution de repli.
Lien de vérification hébergé
Statut du dossier pour éclairer votre décision
Possibilité d’examen humain
Notifications d’événements
De la session au statut du dossier
Serveur
Créer une session
Utilise votre propre référence pour la personne concernée. Vous recevez un lien à usage unique et une date d’expiration.
Noxtica
Le client effectue la démarche sur la page hébergée
Lien à usage unique
Le client consulte un avis de confidentialité, puis fournit les éléments demandés dans un délai limité.
Serveur
Consultation du statut ou événement
Statut du dossier
Consultez le statut depuis votre backend ou recevez un événement sur votre point de terminaison.
Console
Examen humain
Cas particuliers
Les dossiers qui nécessitent un second examen sont transmis à un opérateur. L’activité d’examen est consignée dans une piste d’audit.
Votre équipe
Votre décision
Votre équipe prend la décision.
Créer une session
Le client effectue la démarche sur la page hébergée
Consulter le statut et décider
De quoi s’agit-il et à qui s’adresse cette solution ?
La vérification d’identité Noxtica (KYC) est un parcours hébergé. Votre serveur crée une session, votre client effectue les étapes dans son propre navigateur sur une page hébergée par Noxtica, puis votre serveur récupère le résultat en consultant le statut ou en recevant un événement signé. Votre serveur ne reçoit jamais directement les réponses ni les captures du client.
Les résultats sont des signaux automatisés. Vous décidez de ce que chaque résultat signifie pour votre client. Noxtica vous transmet les éléments disponibles et une piste d’audit.
À qui s’adresse cette solution ?
- Ingénieurs backend qui créent des sessions et consultent les résultats.
- Équipes des opérations et de la conformité qui configurent la page hébergée et traitent la file d’examen dans Backoffice.
- Équipes dont la politique exige des justificatifs d’identité et qui disposent d’une personne responsable de leur examen.
Vérification des entreprises et des commerçants
La même approche hébergée couvre les entreprises et les commerçants. Le KYB (connaissance de l’entreprise) est un parcours d’intégration hébergé pour les entreprises : leur représentant saisit les informations de l’entreprise, téléverse les documents, déclare les propriétaires, vérifie les informations et soumet le dossier. Celui-ci est ensuite examiné par une personne dans Backoffice, où les opérateurs consultent la structure de propriété, les documents et les résultats du filtrage. Le KYM (connaissance du commerçant) comprend l’intégration hébergée des commerçants et une surveillance des transactions à titre informatif uniquement : une alerte informe une personne qu’un examen est nécessaire et ne déclenche jamais d’action de paiement. Aucun contrôle automatisé des registres d’entreprises n’est décrit. Les résultats sont des signaux ; vos opérateurs prennent les décisions. Disponible. Activé pour votre compte sur demande.
Disponibilité
Disponibilité contrôlée. La vérification d’identité est activée pour chaque tenant par votre équipe de compte ; vous ne pouvez pas l’activer vous-même. Les étapes indiquées comme facultatives ne s’appliquent que si elles sont activées pour votre organisation.
Le parcours hébergé de bout en bout
Voici les étapes, du premier appel API jusqu’au résultat. Les étapes indiquées comme facultatives ne s’appliquent que lorsqu’elles sont activées pour votre organisation.
Votre serveur crée une session
Un appel serveur crée une session avec votre propre référence client opaque. La réponse contient un identifiant de session et un lien à usage unique.
Le client reçoit le lien
Envoyez le client vers le lien par redirection, dans un nouvel onglet, par e-mail ou message, ou via un code QR. La page hébergée propose aussi un code QR et une option de copie du lien : un client qui commence sur un ordinateur peut ainsi continuer sur son téléphone.
Avis de confidentialité et consentement
Avant toute capture, le client voit le nom de votre entreprise, l’objectif de la vérification et un lien vers votre avis de confidentialité, puis accepte de continuer.
Choix du document et capture du recto et du verso
Le client choisit un type de document accepté, puis capture le recto. Le verso est requis pour les cartes d’identité, les permis de conduire et les titres de séjour. Le passeport ne comporte pas d’étape de capture du verso.
Selfie
Le client prend un selfie. Celui-ci est comparé au portrait du document et sa qualité est vérifiée.
Présence réelle
Le client effectue devant la caméra un bref défi de présence réelle : tourner la tête et cligner des yeux.
Examen
Une capture terminée attend dans la file d’examen de votre Backoffice jusqu’à ce qu’une personne de votre organisation consigne une décision. La session indique « en attente d’examen » et n’expire pas pendant cette attente.
Résultat : état consulté et événements signés
Votre serveur consulte l’état de la session et peut s’abonner aux événements webhook signés. Avant d’agir sur un événement, consultez l’état : c’est lui qui fait autorité.
Durée de validité du lien
Un lien qui n’a pas été ouvert reste valide jusqu’à sa date d’expiration, fixée par défaut à un jour. Après la première ouverture du lien, le client dispose de 30 minutes pour terminer, ou jusqu’à l’expiration initiale si elle survient avant.
Ce que la page hébergée ne permet pas
- Il ne peut pas être intégré dans une iframe. Ouvrez-le en pleine page ou dans un nouvel onglet.
- La langue dépend de celle du navigateur du client. Vous ne pouvez pas la choisir.
- Certains navigateurs intégrés aux applications ne peuvent pas l’exécuter. La page indique au client comment continuer dans un navigateur classique.
Documents pris en charge et données lues
Dans les paramètres de la page hébergée de Backoffice, vous choisissez les documents que vos clients peuvent utiliser et les pays émetteurs acceptés. Le client choisit parmi ces options. Le parcours hébergé reconnaît quatre types de documents :
| Type de document | Verso capturé |
|---|---|
| Carte nationale d’identité | Oui |
| Permis de conduire | Oui |
| Titre de séjour | Oui |
| Passeport | Non |
Le texte imprimé est lu à partir du document. Lorsqu’il en comporte une, la zone lisible par machine est lue, ses chiffres de contrôle sont vérifiés et le résultat est recoupé avec le texte imprimé. Un permis de conduire ne comporte pas de zone lisible par machine ; cette absence n’est pas prise en compte à son détriment.
Les cartes nationales d’identité et les permis de conduire turcs font l’objet d’un traitement spécifique : le numéro personnel turc (T.C. Kimlik No) est lu et, par défaut, il est obligatoire pour ces deux documents. Si un numéro passe la vérification de ses chiffres de contrôle, le numéro du document n’est pas nécessaire.
Une zone introuvable ou impossible à comparer au texte imprimé constitue une lacune de mesure. Elle indique « à examiner », jamais « échec ». Noxtica ne publie pas de liste de pays au-delà de ceux que vous configurez et n’affirme pas que tous les documents de tous les pays donnent des résultats aussi fiables.
Contrôles et signaux
Le parcours hébergé fournit des résultats de vérification à la personne chargée de l’examen. Ce sont des signaux qui alimentent l’examen. Ils ne déterminent pas l’issue et ne garantissent pas le blocage des fraudes.
| Contrôle | Éléments examinés |
|---|---|
| Authenticité du document | Mise en page, structure de la zone lisible par machine, cohérence de l’impression, signes de retouche ou de zones copiées, présence d’un hologramme, signes de reprise depuis un écran et géométrie de la carte. Chaque contrôle communique son propre résultat. |
| Correspondance des visages | Compare le portrait du document au selfie. Un score faible constitue un élément à prendre en compte par la personne chargée de l’examen. |
| Qualité du selfie | Netteté, exposition, taille et pose du visage dans le selfie. |
| Présence réelle | Un défi comprenant des rotations de la tête et un clignement des yeux. Les contrôles gestuels indiquent que le mouvement demandé a eu lieu. Ils ne constituent pas un test de détection des attaques par présentation. |
| Détection des attaques par présentation (PAD) | Analyse des images du défi de présence réelle et du selfie, puis calcul d’un score. Le résultat est consultatif. |
Résultats et examen
| Statut | Signification |
|---|---|
pending | Créée. Le client n’a pas ouvert le lien. |
opened | Le client a ouvert le lien et suit les étapes. |
verifying | Le client a envoyé sa demande et le traitement est en cours. |
review_pending | Le traitement est terminé et une décision doit être prise dans votre file d’examen Backoffice. Il ne s’agit ni d’un rejet ni d’une approbation. |
completed | Une décision a approuvé la session. |
unverified | Le traitement s’est terminé par un résultat négatif. |
error | Le traitement n’a pas pu aboutir en raison d’un incident ou d’un refus. |
expired | Le lien ou la période de capture a expiré avant qu’une décision soit prise. |
cancelled_by_user | Le client a annulé depuis la page hébergée. S’applique lorsque l’annulation est activée pour votre organisation. |
Une personne qualifiée de votre équipe doit examiner les décisions défavorables avant qu’elles n’affectent un client. Les résultats sont probabilistes et peuvent comporter des faux positifs comme des faux négatifs. Ils ne constituent pas une preuve légale d’identité.
Pour les développeurs
Tout ce qui suit utilise simplement HTTPS depuis votre serveur. La documentation contient la référence complète.
Trois façons de lancer une vérification
- Session hébergée créée depuis votre serveur. Votre serveur crée le lien via API et Noxtica héberge la page.
- Invitation depuis Backoffice. Une personne de votre organisation crée le lien dans Backoffice, sans code.
- API directe depuis votre serveur. Parcours serveur à serveur sans lien hébergé. Aujourd’hui, vos propres écrans ne permettent pas de capturer un document à vérifier ; utilisez donc une session hébergée lorsque le client doit capturer un document.
Créer une session
Authentifiez-vous avec une clé serveur disposant de l’autorisation d’identité. Conservez la clé sur votre serveur. Envoyez une Idempotency-Key pour qu’une nouvelle tentative ne crée pas une deuxième session.
curl -sS https://collect.noxtica.com/v1/kyc/sessions \
-H "Authorization: Bearer $NOXTICA_SERVER_KEY" \
-H "Content-Type: application/json" \
-H "Idempotency-Key: $(uuidgen)" \
-d '{"subjectRef":"cust_example","returnUrl":"https://merchant.example.com/verification/return"}'La réponse
Le lien est renvoyé une seule fois dans cette réponse. Traitez-le comme un secret et ne le consignez pas dans les journaux. L’expiration est exprimée en millisecondes depuis l’époque Unix.
{
"ok": true,
"sessionId": "00000000-0000-4000-8000-000000000001",
"url": "https://verify.noxtica.com/s/EXAMPLE_TOKEN",
"expiresAt": 1790848845000,
"domainId": null,
"requestId": "req_example"
}Lire l’état
Une session que vous avez créée renvoie toujours 200, même si elle a expiré. Interrogez-la à intervalles de plus en plus espacés et arrêtez-vous lorsqu’elle atteint un état final.
GET https://collect.noxtica.com/v1/kyc/sessions/00000000-0000-4000-8000-000000000001
Authorization: Bearer $NOXTICA_SERVER_KEYÉvénements webhook
Les événements sont transmis via HTTPS avec une signature à un point de terminaison que vous enregistrez dans Backoffice. Un événement est une notification, pas une décision.
| Événement | Déclencheur |
|---|---|
kyc.session.completed | Une session hébergée passe à l’état completed, unverified ou error. Si une session est en attente d’examen, cet événement est envoyé plus tard, lorsqu’une personne chargée de l’examen prend une décision. |
kyc.session.cancelled | Le client annule sur la page hébergée. Abonnez-vous explicitement à cet événement. Lorsqu’il est activé pour votre organisation. |
kyc.verification.completed | Une vérification atteint un état final. |
kyc.erasure.completed | Une demande d’effacement est terminée. Lorsque l’effacement est activé pour votre organisation. |
kyc.document.expiry_warning | Un document vérifié approche de sa date d’expiration ou a expiré. Lorsque cette option est activée pour votre organisation. |
kyc.reverification.due | Une nouvelle vérification planifiée arrive à échéance. Lorsque cette option est activée pour votre organisation. |
Exemple d’événement
Valeurs synthétiques uniquement. Les événements ne contiennent jamais votre référence client : associez un événement à votre client à l’aide de l’identifiant de session.
{
"id": "00000000-0000-4000-8000-000000000001:endpoint_example",
"type": "kyc.session.completed",
"created_at": 1790762445000,
"tenant_id": "tenant_example",
"data": {
"schemaVersion": "1",
"sessionId": "00000000-0000-4000-8000-000000000001",
"status": "completed",
"verificationId": "verification_example",
"reasonCodes": ["provider_manual_review"],
"occurredAt": 1790762445000,
"deliveryId": "00000000-0000-4000-8000-000000000001:endpoint_example"
}
}Vérifier chaque transmission
- Chaque transmission contient les en-têtes X-Noxtica-Signature, X-Noxtica-Timestamp, X-Noxtica-Event et X-Noxtica-Delivery.
- La signature est un HMAC-SHA256 calculé sur l’horodatage, un point et le corps brut de la requête. Vérifiez-la avant d’analyser le corps et définissez votre propre tolérance d’horodatage.
- Les événements sont transmis au moins une fois et leur ordre n’est pas garanti. Dédupliquez avec X-Noxtica-Delivery, puis vérifiez l’état de la session avant d’agir.
Aucun SDK n’est requis. La documentation présente des exemples avec curl, Node.js et Python.
En savoir plus dans la documentation
Protection des données
Cette section décrit ce qu’indique la documentation. Elle ne constitue pas un avis juridique. La Politique de confidentialité et la page Sécurité décrivent la manière dont Noxtica traite les données personnelles.
Conservation
Noxtica ne supprime pas automatiquement les détails ni les éléments de preuve de vérification et ne leur attribue aucune durée de conservation. Ils restent dans votre tenant jusqu’à leur suppression par un administrateur du tenant.
Suppression
Un administrateur du tenant supprime les vérifications dans Backoffice en indiquant un motif, en saisissant une confirmation et en effectuant une nouvelle vérification renforcée. La suppression retire la vérification, ses fichiers et ses enregistrements de preuve, tout en conservant les données d’utilisation pour la facturation, les justificatifs de base juridique et la piste d’audit. Elle est irréversible.
Droits des personnes concernées
Les demandes d’effacement sont traitées sur la page KYC Erasure. Un deuxième administrateur approuve la demande, une obligation de conservation légale peut la suspendre et chaque élément stocké dispose d’un justificatif de suppression. Avant de promettre un délai à un client, demandez à votre équipe de compte ce que couvre une demande approuvée pour votre tenant.
Accès aux éléments de preuve
L’accès aux captures originales requiert une autorisation distincte et plus élevée que l’examen d’un dossier. Il est réservé aux administrateurs, nécessite une nouvelle vérification renforcée et chaque consultation est auditée. Les autres rôles voient les constats et les mesures, mais pas les originaux.
Chiffrement et isolation
Les éléments bruts de preuve d’identité sont chiffrés au repos, uniquement lorsque le stockage des éléments bruts est activé pour votre tenant. Une session appartenant à une autre organisation renvoie « introuvable ».
Résidence des données
Le stockage des éléments de preuve comporte un paramètre de résidence par tenant : TR, EU ou US. Demandez à votre équipe de compte ce qu’il couvre pour votre tenant. Cette page n’affirme pas que les données restent dans un pays donné.
Consentement et base juridique
Avant toute capture, la page hébergée présente au client votre objectif et votre avis de confidentialité. Une personne autorisée de votre organisation consigne la base juridique ; Noxtica ne la choisit pas à votre place. Il vous appartient de gérer les avis, les consentements et la base juridique dans chaque juridiction où vous exercez.
Questions fréquentes
Puis-je activer moi-même la vérification d’identité ?
Non. La fonctionnalité est mise à disposition par tenant dans le cadre d’une disponibilité contrôlée. Contactez l’équipe pour discuter de votre cas d’usage et de votre juridiction.
L’approbation des clients est-elle automatique ?
Non. Aucun résultat de contrôle ne suffit à lui seul pour qu’une vérification hébergée soit marquée comme vérifiée. Chaque vérification hébergée attend qu’une personne consigne une décision ; seul l’état completed correspond à une approbation.
La détection des attaques par présentation bloque-t-elle la fraude ?
Non. La PAD est consultative. Noxtica communique son résultat sans jamais le laisser décider. Comme chaque contrôle, considérez-le comme un signal destiné à la personne chargée de l’examen.
Un résultat constitue-t-il une preuve juridique d’identité ?
Non. Aucun résultat ne constitue une preuve juridique d’identité en dehors du périmètre du fournisseur et du contrat configurés. Noxtica n’est pas un organisme d’évaluation du crédit à la consommation ; les résultats ne doivent pas servir à déterminer l’admissibilité au crédit, à l’assurance, à l’emploi ou au logement.
Combien de temps un lien de vérification reste-t-il valide ?
Un jour par défaut ; vous pouvez définir cette durée lors de la création de la session. Après l’ouverture du lien, le client dispose de 30 minutes pour terminer.
Puis-je intégrer la page hébergée ou choisir sa langue ?
Non. La page refuse de se charger dans une iframe et sa langue dépend du navigateur du client.
Quels événements puis-je recevoir ?
Six événements d’identité : kyc.session.completed, kyc.session.cancelled, kyc.verification.completed, kyc.erasure.completed, kyc.document.expiry_warning et kyc.reverification.due. Certains dépendent des paramètres de votre organisation.
Combien de temps conservez-vous les éléments de preuve ?
Noxtica ne définit aucune durée de conservation et ne supprime pas automatiquement les détails ni les éléments de preuve de vérification. Un administrateur du tenant les supprime.
La vérification des entreprises et des commerçants est-elle disponible ?
Oui. La vérification des entreprises (KYB) et des commerçants (KYM) est disponible. Votre serveur crée un lien ; l’entreprise ou le commerçant effectue l’onboarding sur une page hébergée par Noxtica et vos équipes examinent le dossier dans Backoffice. Activation sur demande pour votre compte.
Pages associées
Ce que la vérification d’identité ne fait pas
- Disponibilité contrôlée. La vérification d’identité est configurée pour chaque locataire.
- Ne constitue pas une preuve d’identité juridique. En dehors du périmètre du fournisseur configuré et du contrat, aucun résultat ne constitue une telle preuve. Les résultats sont probabilistes et peuvent comporter des faux positifs et des faux négatifs.
- Vous décidez. Une personne qualifiée de votre équipe devrait examiner les décisions défavorables. Noxtica n’est pas une agence d’évaluation du crédit à la consommation. N’utilisez pas les résultats pour déterminer l’admissibilité au crédit, à l’assurance, à l’emploi ou au logement.
- Vos responsabilités. Il vous incombe de fournir les avis, d’obtenir les consentements et de disposer d’une base juridique pour collecter des éléments d’identité auprès de vos clients dans chaque juridiction où vous exercez.
Les scores, les raisons et les verdicts sont des estimations probabilistes, et non des faits établis. Votre équipe prend chaque décision.Lire l’avis de non-responsabilité