IDENTITY VERIFICATION
Verifica dell'identità con flusso ospitato, decisione a tuo carico
Invia i clienti a un flusso di verifica ospitato. Consulta lo stato del caso nel tuo backend e indirizza le eccezioni alla revisione umana.
Un flusso con supervisione, non un verdetto automatico
La verifica dell'identità restituisce lo stato di un caso e un percorso di revisione. Supporta la tua decisione, ma non la prende.
Percorso della sessione
Sessione creata
Un link monouso e una scadenza.
Link aperto
Il cliente legge un'informativa sulla privacy. Il tempo a disposizione per completare la procedura è limitato.
Stato del caso
Consultazione dello stato o evento
Completato, non verificato o da esaminare. Usa ogni stato come dato per la tua decisione.
Alternative da prevedere
Scaduta
Non genera eventi. Consulta lo stato per verificarlo.
Annullata
Consulta lo stato dal tuo backend.
Termina con un errore
Le sessioni possono terminare con un errore. Prevedi un'alternativa.
Link di verifica ospitato
Stato del caso per la tua decisione
Percorso di revisione umana
Notifiche degli eventi
Dalla sessione allo stato del caso
Server
Crea una sessione
Usa un tuo riferimento per il soggetto. Riceverai un link monouso e una scadenza.
Noxtica
Il cliente completa la procedura sulla pagina ospitata
Link monouso
Il cliente legge un'informativa sulla privacy e poi fornisce i dati richiesti entro un periodo limitato.
Server
Consultazione dello stato o evento
Stato del caso
Consulta lo stato dal tuo backend oppure ricevi un evento sul tuo endpoint.
Console
Revisione umana
Eccezioni
I casi che richiedono un secondo esame passano alla revisione di un operatore. Le attività di revisione vengono registrate in un audit trail.
Il tuo team
La tua decisione
La decisione spetta al tuo team.
Crea una sessione
Il cliente completa la procedura sulla pagina ospitata
Consulta lo stato e decidi
Di cosa si tratta e a chi si rivolge
La verifica dell’identità (KYC) di Noxtica segue una procedura ospitata. Il tuo server crea una sessione, il cliente completa i passaggi su una pagina ospitata da Noxtica nel proprio browser e il tuo server legge l’esito tramite una richiesta di stato o un evento firmato. Il tuo server non riceve mai le risposte del cliente né i dati acquisiti direttamente.
I risultati sono segnali automatizzati. Spetta a te decidere cosa significa ciascun esito per il cliente. Noxtica ti fornisce le evidenze e una traccia di audit.
A chi si rivolge
- Ingegneri backend che creano sessioni e leggono gli esiti.
- Team operativi e di conformità che configurano la pagina ospitata e gestiscono la coda di revisione nel Backoffice.
- Team le cui policy richiedono evidenze d’identità e che hanno una persona responsabile della revisione.
Verifica di aziende e commercianti
Lo stesso approccio ospitato si applica ad aziende e commercianti. KYB (conosci la tua azienda) è l’onboarding aziendale ospitato: il rappresentante dell’azienda inserisce i dati aziendali, carica i documenti, dichiara i titolari, verifica e invia la richiesta; il caso inviato passa alla revisione umana nel Backoffice, dove gli operatori visualizzano la struttura proprietaria, i documenti e i controlli. KYM (conosci il tuo commerciante) è l’onboarding ospitato dei commercianti, con monitoraggio delle transazioni solo tramite notifiche: un avviso informa una persona che deve esaminarlo e non avvia mai un’azione di pagamento. Non è descritto alcun controllo automatico dei registri delle imprese. I risultati sono segnali e le decisioni spettano ai tuoi operatori. Disponibile. Attivazione per il tuo account su richiesta.
Disponibilità
Disponibilità soggetta a controllo. La verifica dell’identità viene attivata per tenant dal tuo team account e non puoi abilitarla autonomamente. I passaggi indicati come facoltativi si applicano solo se abilitati per la tua organizzazione.
Il flusso ospitato, dall'inizio alla fine
Ecco cosa succede dalla prima chiamata API al risultato. I passaggi contrassegnati come facoltativi si applicano solo se abilitati per la tua organizzazione.
Il tuo server crea una sessione
Una chiamata dal server crea una sessione con un tuo riferimento cliente opaco. La risposta contiene un id sessione e un link monouso.
Il cliente riceve il link
Invia il cliente al link tramite reindirizzamento, nuova scheda, email o messaggio oppure codice QR. La pagina ospitata offre anche un codice QR e l'opzione per copiare il link, così chi inizia da un computer può proseguire sul telefono.
Informativa sulla privacy e consenso
Prima di qualsiasi acquisizione, il cliente vede il nome della tua azienda, la finalità della verifica e un link alla tua informativa sulla privacy, poi acconsente a proseguire.
Scelta del documento e acquisizione del fronte e del retro
Il cliente sceglie uno dei tipi di documento che accetti e acquisisce il fronte. Il retro è necessario per carte d'identità, patenti e permessi di soggiorno. Per il passaporto non è previsto il passaggio del retro.
Selfie
Il cliente scatta un selfie, che viene confrontato con il ritratto sul documento e sottoposto a un controllo di qualità.
Liveness
Il cliente completa davanti alla videocamera una breve prova di liveness: ruota la testa e sbatte le palpebre.
Revisione
Una volta completata l'acquisizione, il caso resta nella coda di revisione in Backoffice finché una persona della tua organizzazione non registra una decisione. La sessione risulta in attesa di revisione e non scade mentre è in attesa.
Risultato: stato e eventi firmati
Il tuo server legge lo stato della sessione e può iscriversi agli eventi webhook firmati. Prima di agire in base a un evento, leggi lo stato: è lo stato a fare fede.
Durata del link
Un link non aperto resta valido fino alla sua scadenza, che per impostazione predefinita è di 1 giorno. Dopo la prima apertura, il cliente ha 30 minuti per completare la procedura o fino alla scadenza originale, se precedente.
Cosa non fa la pagina ospitata
- Non può essere incorporato in un iframe. Aprilo come pagina intera o in una nuova scheda.
- Segue la lingua del browser del cliente. Non puoi impostarla.
- Alcuni browser integrati nelle app non sono compatibili. La pagina spiega al cliente come proseguire con un browser standard.
Documenti supportati e dati letti
Nelle impostazioni della pagina ospitata in Backoffice, scegli quali documenti possono usare i tuoi clienti e i relativi paesi di emissione. Il cliente sceglie tra quelli disponibili. Il flusso ospitato riconosce 4 tipi di documento:
| Tipo di documento | Acquisizione del retro |
|---|---|
| Carta d'identità nazionale | Sì |
| Patente | Sì |
| Permesso di soggiorno | Sì |
| Passaporto | No |
Il testo stampato viene letto dal documento. Se presente, viene letta la zona a lettura ottica, di cui vengono verificate le cifre di controllo; il risultato è poi confrontato con il testo stampato. La patente non ha una zona a lettura ottica e la sua assenza non viene considerata a suo sfavore.
Le carte d'identità nazionali e le patenti turche sono gestite in modo specifico: viene letto il numero personale turco (T.C. Kimlik No) e, per impostazione predefinita, è un campo obbligatorio per questi 2 documenti. Se il numero supera il controllo delle cifre di verifica, non è necessario inserire anche il numero del documento.
Una zona che non può essere trovata o confrontata con il testo stampato rappresenta una lacuna di misurazione. Indica revisione, mai esito negativo. Noxtica non pubblica un elenco di paesi oltre a quelli che configuri e non afferma che tutti i documenti di ogni paese vengano elaborati con la stessa efficacia.
Controlli e segnali
Il flusso ospitato produce risultati dei controlli per chi esamina il caso. Sono segnali utili alla revisione. Non determinano l'esito e non garantiscono il blocco delle frodi.
| Controllo | Elementi analizzati |
|---|---|
| Autenticità del documento | Impaginazione, struttura della zona a lettura ottica, coerenza di stampa, segni di modifica o aree copiate, presenza dell'ologramma, segni di acquisizione di uno schermo e geometria della carta. Ogni controllo riporta il proprio risultato. |
| Corrispondenza del volto | Confronta il ritratto sul documento con il selfie. Un punteggio basso è un elemento utile a chi esamina il caso. |
| Qualità del selfie | Nitidezza, esposizione, dimensioni e posa del volto nel selfie. |
| Liveness | Una prova con rotazioni della testa e un battito di ciglia. I controlli dei gesti indicano che il movimento richiesto è avvenuto. Non verificano gli attacchi di presentazione. |
| Rilevamento degli attacchi di presentazione (PAD) | Analizza i fotogrammi della prova di liveness e il selfie, quindi produce un punteggio. Il risultato è indicativo. |
Esiti e revisione
| Stato | Significato |
|---|---|
pending | Creata. Il cliente non ha aperto il link. |
opened | Il cliente ha aperto il link e sta completando i passaggi. |
verifying | Il cliente ha inviato i dati e l’elaborazione è in corso. |
review_pending | L’elaborazione è terminata e serve una decisione nella coda di revisione del tuo Backoffice. Non è un rifiuto né un’approvazione. |
completed | Una decisione ha approvato la sessione. |
unverified | L’elaborazione è terminata con esito negativo. |
error | Non è stato possibile completare l’elaborazione a causa di un errore o di un rifiuto. |
expired | Il link o la finestra di acquisizione sono scaduti prima che venisse presa una decisione. |
cancelled_by_user | Il cliente ha annullato la procedura nella pagina ospitata. Si applica quando l’annullamento è abilitato per la tua organizzazione. |
Una persona qualificata del tuo team dovrebbe esaminare le decisioni sfavorevoli prima che abbiano effetti sul cliente. I risultati sono probabilistici e possono includere falsi positivi e falsi negativi. Non costituiscono una prova legale dell’identità.
Per sviluppatori
Tutto ciò che segue usa HTTPS standard dal tuo server. La documentazione contiene il riferimento completo.
3 modi per avviare una verifica
- Sessione ospitata creata dal tuo server. Il tuo server crea il link tramite API e Noxtica ospita la pagina.
- Invito da Backoffice. Una persona della tua organizzazione crea il link in Backoffice, senza scrivere codice.
- API diretta dal tuo server. Percorsi server-to-server senza un link ospitato. Al momento non consentono alle tue schermate di acquisire un documento da verificare: usa una sessione ospitata quando il cliente deve acquisire un documento.
Crea una sessione
Autenticati con una chiave server dotata dell'autorizzazione per l'identità. Mantieni la chiave sul tuo server. Invia un Idempotency-Key per evitare che un nuovo tentativo crei una seconda sessione.
curl -sS https://collect.noxtica.com/v1/kyc/sessions \
-H "Authorization: Bearer $NOXTICA_SERVER_KEY" \
-H "Content-Type: application/json" \
-H "Idempotency-Key: $(uuidgen)" \
-d '{"subjectRef":"cust_example","returnUrl":"https://merchant.example.com/verification/return"}'La risposta
Il link viene restituito una sola volta, in questa risposta. Trattalo come un segreto e non registrarlo nei log. La scadenza è espressa in millisecondi epoch.
{
"ok": true,
"sessionId": "00000000-0000-4000-8000-000000000001",
"url": "https://verify.noxtica.com/s/EXAMPLE_TOKEN",
"expiresAt": 1790848845000,
"domainId": null,
"requestId": "req_example"
}Leggi lo stato
Una sessione che hai creato restituisce sempre 200, anche se è scaduta. Interroga lo stato aumentando progressivamente l'intervallo e fermati quando raggiunge uno stato finale.
GET https://collect.noxtica.com/v1/kyc/sessions/00000000-0000-4000-8000-000000000001
Authorization: Bearer $NOXTICA_SERVER_KEYEventi webhook
Gli eventi vengono inviati tramite HTTPS con firma a un endpoint che registri in Backoffice. Un evento è una notifica, non una decisione.
| Evento | Quando viene inviato |
|---|---|
kyc.session.completed | Una sessione ospitata raggiunge lo stato completed, unverified o error. Se la sessione è in attesa di revisione, l'evento viene inviato più tardi, quando chi esamina il caso registra una decisione. |
kyc.session.cancelled | Il cliente annulla dalla pagina ospitata. Iscriviti esplicitamente all'evento. Disponibile quando è abilitato per la tua organizzazione. |
kyc.verification.completed | Una verifica raggiunge uno stato finale. |
kyc.erasure.completed | Una richiesta di cancellazione viene completata. Disponibile quando la cancellazione è abilitata per la tua organizzazione. |
kyc.document.expiry_warning | Un documento verificato è prossimo alla scadenza o è scaduto. Disponibile quando è abilitato per la tua organizzazione. |
kyc.reverification.due | Scade il termine per una nuova verifica pianificata. Disponibile quando è abilitata per la tua organizzazione. |
Evento di esempio
Solo valori sintetici. Gli eventi non contengono mai il riferimento del tuo cliente: associa un evento al cliente tramite l'id della sessione.
{
"id": "00000000-0000-4000-8000-000000000001:endpoint_example",
"type": "kyc.session.completed",
"created_at": 1790762445000,
"tenant_id": "tenant_example",
"data": {
"schemaVersion": "1",
"sessionId": "00000000-0000-4000-8000-000000000001",
"status": "completed",
"verificationId": "verification_example",
"reasonCodes": ["provider_manual_review"],
"occurredAt": 1790762445000,
"deliveryId": "00000000-0000-4000-8000-000000000001:endpoint_example"
}
}Verifica ogni invio
- Ogni invio include le intestazioni X-Noxtica-Signature, X-Noxtica-Timestamp, X-Noxtica-Event e X-Noxtica-Delivery.
- La firma è un HMAC-SHA256 calcolato su timestamp, un punto e il corpo grezzo della richiesta. Verificala prima di analizzare il corpo e imposta la tolleranza temporale che preferisci.
- La consegna avviene almeno una volta e l'ordine non è garantito. Deduplica usando X-Noxtica-Delivery, poi controlla lo stato della sessione prima di agire.
Non è richiesto alcun SDK. La documentazione include esempi in curl, Node.js e Python.
Approfondisci nella documentazione
Protezione dei dati
Questa sezione descrive quanto riportato nella documentazione. Non costituisce consulenza legale. L'Informativa sulla privacy e la pagina Sicurezza descrivono come Noxtica tratta i dati personali.
Conservazione
Noxtica non elimina automaticamente i dettagli o le prove della verifica e non ne stabilisce una data di conservazione. Restano nel tuo tenant finché un amministratore del tenant non li elimina.
Eliminazione
Un amministratore del tenant elimina le verifiche in Backoffice indicando un motivo, confermando con testo digitato e superando una nuova verifica step-up. L'eliminazione rimuove la verifica, i relativi file di prova e i record, ma conserva i dati di utilizzo per la fatturazione, le attestazioni della base giuridica e il registro di audit. Non è reversibile.
Diritti degli interessati
Le richieste di cancellazione dei dati vengono gestite nella pagina Cancellazione KYC. Un secondo amministratore approva la richiesta, un blocco legale può sospenderla e ogni elemento archiviato ha una ricevuta di eliminazione. Prima di promettere a un cliente una tempistica, chiedi al team del tuo account cosa comprende una richiesta approvata per il tuo tenant.
Accesso alle prove
L'apertura delle acquisizioni originali richiede un'autorizzazione separata e più elevata rispetto alla revisione del caso. È riservata agli amministratori, richiede una nuova verifica step-up e ogni visualizzazione viene registrata nell'audit. Gli altri ruoli vedono i risultati e le misurazioni, non gli originali.
Crittografia e isolamento
Le prove di identità grezze sono archiviate con crittografia a riposo, solo se l'archiviazione delle prove grezze è attivata per il tuo tenant. Una sessione appartenente a un'altra organizzazione risulta non trovata.
Residenza dei dati
L'archiviazione delle prove prevede un'impostazione di residenza per tenant: TR, EU o US. Chiedi al team del tuo account cosa comporta per il tuo tenant. Questa pagina non dichiara che i dati rimangano in un determinato paese.
Consenso e base giuridica
Prima dell'acquisizione, la pagina ospitata mostra al cliente la finalità e l'informativa sulla privacy. Una persona autorizzata della tua organizzazione registra la base giuridica; Noxtica non la sceglie per te. Sei responsabile delle informative, dei consensi e della base giuridica in ogni giurisdizione in cui operi.
Domande frequenti
Posso attivare da solo la verifica dell'identità?
No. La funzionalità viene attivata per tenant con disponibilità controllata. Contatta il team per discutere il tuo caso d'uso e la giurisdizione.
Approva automaticamente i clienti?
No. Nessun risultato di un controllo rende automaticamente verificata una verifica ospitata. Ogni verifica ospitata attende che una persona registri una decisione; solo lo stato completed indica un'approvazione.
Il rilevamento degli attacchi di presentazione blocca le frodi?
No. Il PAD è indicativo. Noxtica comunica il risultato, ma non gli permette mai di determinare l'esito. Consideralo, come ogni controllo, un segnale utile a chi esamina il caso.
Un risultato è una prova legale d'identità?
No. Nessun risultato costituisce una prova legale d'identità al di fuori dell'ambito del provider configurato e del contratto. Noxtica non è un'agenzia di informazioni creditizie e i risultati non devono essere usati per valutare l'idoneità a credito, assicurazioni, impiego o alloggio.
Per quanto tempo è valido un link di verifica?
Per impostazione predefinita, 1 giorno; puoi impostare la durata quando crei la sessione. Dopo aver aperto il link, il cliente ha 30 minuti per completare la procedura.
Posso incorporare la pagina ospitata o impostarne la lingua?
No. La pagina non si carica in un iframe e la lingua segue quella del browser del cliente.
Quali eventi posso ricevere?
6 eventi di identità: kyc.session.completed, kyc.session.cancelled, kyc.verification.completed, kyc.erasure.completed, kyc.document.expiry_warning e kyc.reverification.due. Alcuni dipendono dalle impostazioni della tua organizzazione.
Per quanto tempo conservate le prove?
Noxtica non stabilisce una data di conservazione e non elimina automaticamente i dettagli o le prove della verifica. L'eliminazione è a cura di un amministratore del tenant.
La verifica di aziende ed esercenti è disponibile?
Sì. La verifica di aziende (KYB) ed esercenti (KYM) è disponibile. Il tuo server crea un link, l'azienda o l'esercente completa l'onboarding su una pagina ospitata da Noxtica e i tuoi operatori esaminano il caso in Backoffice. Attivabile su richiesta per il tuo account.
Pagine correlate
Cosa non fa la verifica dell'identità
- Disponibilità controllata. La verifica dell'identità viene configurata per ciascun tenant.
- Non è una prova legale d'identità. Nessun risultato costituisce una prova legale d'identità al di fuori dell'ambito del provider configurato e del contratto. I risultati sono probabilistici e possono includere falsi positivi e falsi negativi.
- Decidi tu. Una persona qualificata del tuo team dovrebbe esaminare le decisioni avverse. Noxtica non è un'agenzia di informazioni sui consumatori. Non usare i risultati per determinare l'idoneità a credito, assicurazioni, impiego o alloggio.
- Le tue responsabilità. Sei responsabile delle informative, dei consensi e della base giuridica per raccogliere dati identificativi dai tuoi clienti in ogni giurisdizione in cui operi.
Punteggi, motivazioni e verdetti sono stime probabilistiche, non affermazioni di fatto. Ogni decisione spetta al tuo team.Leggi la dichiarazione di non responsabilità