IDENTITEITSVERIFICATIE
Gehoste identiteitsverificatie, waarbij u de beslissing neemt
Stuur klanten naar een gehost verificatieproces. Lees de casestatus in uw eigen backend en stuur uitzonderingen door voor menselijke beoordeling.
Een beheerst proces, geen automatisch oordeel
Identiteitsverificatie geeft een casestatus en een mogelijkheid tot beoordeling. Het ondersteunt uw beslissing, maar neemt die niet.
Sessieverloop
Sessie aangemaakt
Een eenmalige link en een vervaltijd.
Link geopend
De klant leest een privacyverklaring. De tijd om de sessie af te ronden is beperkt.
Casestatus
Statusopvraging of gebeurtenis
Afgerond, niet geverifieerd of beoordeling vereist. Gebruik elke status als input voor uw eigen beslissing.
Terugvalopties om rekening mee te houden
Verlopen
Genereert geen gebeurtenis. Lees de status om dit vast te stellen.
Geannuleerd
Lees de status vanuit uw backend.
Eindigt met een fout
Een sessie kan eindigen met een fout. Voorzie een terugvaloptie.
Gehoste verificatielink
Casestatus voor uw beslissing
Mogelijkheid tot menselijke beoordeling
Gebeurtenismeldingen
Van sessie naar casestatus
Server
Een sessie aanmaken
Gebruikt uw eigen referentie voor de betrokkene. U ontvangt een eenmalige link en een vervaltijd.
Noxtica
De klant doorloopt de gehoste pagina
Eenmalige link
De klant leest een privacyverklaring en levert daarna het gevraagde bewijs binnen een beperkte termijn aan.
Server
Statusopvraging of gebeurtenis
Casestatus
Lees de status vanuit uw backend of ontvang een gebeurtenis op uw endpoint.
Console
Menselijke beoordeling
Uitzonderingen
Zaken die extra aandacht nodig hebben, gaan naar een operator voor beoordeling. Beoordelingsactiviteiten worden vastgelegd in een auditlog.
Uw team
Uw beslissing
Uw team neemt de beslissing.
Een sessie aanmaken
De klant doorloopt de gehoste pagina
De status bekijken en beslissen
Wat het is en voor wie het bedoeld is
Noxtica-identiteitsverificatie (KYC) verloopt via een gehoste flow. Je server maakt een sessie aan, je klant doorloopt de stappen in een browser op een door Noxtica gehoste pagina en je server leest het resultaat uit via een statusopvraag of een ondertekend event. De antwoorden en opnamen van de klant worden nooit rechtstreeks naar je server gestuurd.
Resultaten zijn geautomatiseerde signalen. Jij bepaalt wat elke uitkomst betekent voor je klant. Noxtica levert je het bewijsmateriaal en een audittrail.
Voor wie het bedoeld is
- Backend-engineers die sessies aanmaken en resultaten uitlezen.
- Operations- en complianceteams die de gehoste pagina instellen en de beoordelingswachtrij in Backoffice beheren.
- Teams waarvan het beleid identiteitsbewijs vereist en die iemand hebben aangewezen om de beoordeling uit te voeren.
Verificatie van bedrijven en merchants
Dezelfde gehoste aanpak ondersteunt bedrijven en merchants. KYB (Know Your Business) is gehoste zakelijke onboarding: de vertegenwoordiger van het bedrijf voert bedrijfsgegevens in, uploadt documenten, geeft de eigenaren op, controleert alles en dient de aanvraag in. De ingediende aanvraag wordt vervolgens door een medewerker beoordeeld in Backoffice. Operators zien daar de eigendomsstructuur, documenten en screeningsresultaten. KYM (Know Your Merchant) is gehoste onboarding voor merchants, met transactiemonitoring die alleen meldingen verstuurt: een waarschuwing is een melding voor beoordeling door een medewerker en start nooit een betalingsactie. Er wordt geen geautomatiseerde controle van bedrijfsregisters beschreven. Resultaten zijn signalen; je operators nemen de beslissing. Beschikbaar. Op verzoek ingeschakeld voor je account.
Beschikbaarheid
Beperkte beschikbaarheid. Identiteitsverificatie wordt per tenant door je accountteam beschikbaar gemaakt; je kunt deze functie niet zelf inschakelen. Stappen die als optioneel zijn aangeduid, zijn alleen van toepassing wanneer ze voor je organisatie zijn ingeschakeld.
De gehoste flow van begin tot eind
Dit gebeurt er vanaf de eerste API-aanroep tot aan de uitkomst. Stappen met het label optioneel gelden alleen wanneer ze voor je organisatie zijn ingeschakeld.
Je server maakt een sessie aan
Een serveraanroep maakt een sessie aan met je eigen ondoorzichtige klantreferentie. De reactie bevat een sessie-id en een eenmalig te gebruiken link.
De klant ontvangt de link
Stuur de klant naar de link via een omleiding, nieuw tabblad, e-mail, bericht of QR-code. De gehoste pagina biedt ook een QR-code en een optie om de link te kopiëren, zodat een klant die op een computer begint op een telefoon verder kan gaan.
Privacyverklaring en toestemming
Voordat er iets wordt vastgelegd, ziet de klant je bedrijfsnaam, het doel van de verificatie en een link naar je privacyverklaring. Daarna stemt de klant ermee in om verder te gaan.
Document kiezen en voor- en achterkant vastleggen
De klant kiest een van de documenttypen die je accepteert en legt daarna de voorkant vast. Voor identiteitskaarten, rijbewijzen en verblijfsvergunningen is ook de achterkant vereist. Een paspoort heeft geen stap voor de achterkant.
Selfie
De klant maakt een selfie. Deze wordt vergeleken met het portret op het document en op kwaliteit gecontroleerd.
Liveness
De klant voert voor de camera een korte liveness-opdracht uit: het hoofd draaien en knipperen.
Beoordeling
Een voltooide vastlegging wacht in de beoordelingswachtrij in Backoffice totdat iemand in je organisatie een besluit vastlegt. De sessie krijgt de status review pending en verloopt niet tijdens het wachten.
Uitkomst: status uitlezen en ondertekende gebeurtenissen
Je server leest de sessiestatus uit en kan zich abonneren op ondertekende webhookgebeurtenissen. Lees de status voordat je op een gebeurtenis handelt: de status is leidend.
Geldigheidsduur van de link
Een ongeopende link blijft geldig tot de eigen vervaltijd, standaard één dag. Nadat de klant de link voor het eerst opent, heeft die 30 minuten om de verificatie af te ronden, of tot de oorspronkelijke vervaltijd als die eerder valt.
Wat de gehoste pagina niet doet
- De pagina kan niet in een iframe worden ingesloten. Open deze als volledige pagina of in een nieuw tabblad.
- De pagina volgt de browsertaal van de klant. Je kunt deze niet instellen.
- Sommige in-appbrowsers kunnen de pagina niet uitvoeren. De pagina vertelt de klant hoe die in een gewone browser verder kan gaan.
Ondersteunde documenten en wat wordt uitgelezen
Je kiest in de instellingen van de gehoste pagina in Backoffice welke documenten klanten mogen gebruiken en uit welke landen ze mogen zijn afgegeven. De klant kiest daaruit. De gehoste flow herkent vier documenttypen:
| Documenttype | Achterkant vastgelegd |
|---|---|
| Nationale identiteitskaart | Ja |
| Rijbewijs | Ja |
| Verblijfsvergunning | Ja |
| Paspoort | Nee |
De gedrukte tekst wordt van het document gelezen. Als het document een machineleesbare zone heeft, wordt die uitgelezen, worden de controlecijfers gecontroleerd en wordt de uitkomst vergeleken met de gedrukte tekst. Een rijbewijs heeft geen machineleesbare zone; het ontbreken daarvan telt niet als tekortkoming.
Voor Turkse nationale identiteitskaarten en rijbewijzen gelden expliciete regels: het Turkse persoonsnummer (T.C. Kimlik No) wordt uitgelezen en is standaard een verplicht veld voor deze twee documenten. Als het nummer de controlecijfers doorstaat, is het documentnummer niet ook nodig.
Een zone die niet kan worden gevonden of vergeleken met de gedrukte tekst vormt een meetlacune. De status is review, nooit fail. Noxtica publiceert geen landenlijst buiten wat je zelf configureert en claimt niet dat elk document uit elk land even goed wordt uitgelezen.
Controles en signalen
De gehoste flow levert controleresultaten op voor een beoordelaar. Het zijn signalen die de beoordeling ondersteunen. Ze bepalen de uitkomst niet en garanderen geen fraudeblokkering.
| Controle | Waar de controle naar kijkt |
|---|---|
| Authenticiteit van het document | Indeling, structuur van de machineleesbare zone, consistentie van de afdruk, tekenen van bewerking of gekopieerde delen, aanwezigheid van een hologram, tekenen dat een scherm opnieuw is gefotografeerd en kaartgeometrie. Elke controle rapporteert een eigen uitkomst. |
| Gezichtsovereenkomst | Vergelijkt de portretfoto op het document met de selfie. Een lage score is informatie voor de beoordelaar. |
| Selfiekwaliteit | Scherpte, belichting en grootte en houding van het gezicht op de selfie. |
| Liveness | Een opdracht met hoofdbewegingen en een knippering. De gebarencontroles laten zien of de gevraagde beweging is gemaakt. Ze testen niet op presentatieaanvallen. |
| Detectie van presentatieaanvallen (PAD) | Analyseert beelden van de liveness-opdracht en de selfie en berekent een score. De uitkomst is adviserend. |
Resultaten en beoordeling
| Status | Betekenis |
|---|---|
pending | Aangemaakt. De klant heeft de link nog niet geopend. |
opened | De klant heeft de link geopend en doorloopt de stappen. |
verifying | De klant heeft de gegevens ingediend en de verwerking is gestart. |
review_pending | De verwerking is afgerond en er is een beslissing nodig in de beoordelingswachtrij van je Backoffice. Dit is geen afwijzing en geen goedkeuring. |
completed | Een beslissing heeft de sessie goedgekeurd. |
unverified | De verwerking is afgerond met een negatief resultaat. |
error | De verwerking kon niet worden afgerond door een fout of een weigering. |
expired | De link of de opnameperiode is verlopen voordat er een beslissing is genomen. |
cancelled_by_user | De klant heeft geannuleerd op de gehoste pagina. Dit geldt wanneer annuleren voor je organisatie is ingeschakeld. |
Een gekwalificeerd teamlid moet negatieve beslissingen beoordelen voordat die gevolgen hebben voor een klant. Resultaten zijn probabilistisch en kunnen fout-positieven en fout-negatieven bevatten. Ze vormen geen juridisch bewijs van identiteit.
Voor ontwikkelaars
Alles hieronder is gewone HTTPS vanaf je server. De volledige referentie staat in de documentatie.
Drie manieren om een verificatie te starten
- Gehoste sessie vanuit je server. Je server maakt de link via de API aan en Noxtica host de pagina.
- Uitnodiging vanuit Backoffice. Iemand in je organisatie maakt de link aan in Backoffice, zonder code.
- Directe API vanuit je server. Server-naar-serverroutes zonder gehoste link. Hiermee kun je op dit moment geen document vastleggen voor controle via je eigen schermen. Gebruik daarom een gehoste sessie wanneer de klant een document moet vastleggen.
Een sessie aanmaken
Verifieer met een serversleutel die de identiteitsbevoegdheid heeft. Bewaar de sleutel op je server. Stuur een Idempotency-Key mee, zodat een nieuwe poging geen tweede sessie aanmaakt.
curl -sS https://collect.noxtica.com/v1/kyc/sessions \
-H "Authorization: Bearer $NOXTICA_SERVER_KEY" \
-H "Content-Type: application/json" \
-H "Idempotency-Key: $(uuidgen)" \
-d '{"subjectRef":"cust_example","returnUrl":"https://merchant.example.com/verification/return"}'De reactie
De link wordt één keer in deze reactie teruggestuurd. Behandel deze als geheim en neem hem niet op in logbestanden. De vervaltijd is uitgedrukt in epochmilliseconden.
{
"ok": true,
"sessionId": "00000000-0000-4000-8000-000000000001",
"url": "https://verify.noxtica.com/s/EXAMPLE_TOKEN",
"expiresAt": 1790848845000,
"domainId": null,
"requestId": "req_example"
}De status opvragen
Een sessie die je hebt aangemaakt geeft altijd 200 terug, ook als deze is verlopen. Voer polling uit met steeds langere tussenpozen en stop zodra de status definitief is.
GET https://collect.noxtica.com/v1/kyc/sessions/00000000-0000-4000-8000-000000000001
Authorization: Bearer $NOXTICA_SERVER_KEYWebhookgebeurtenissen
Gebeurtenissen worden als ondertekende HTTPS-berichten afgeleverd bij een endpoint dat je in Backoffice registreert. Een gebeurtenis is een melding, geen besluit.
| Gebeurtenis | Wordt verzonden wanneer |
|---|---|
kyc.session.completed | Een gehoste sessie krijgt de status completed, unverified of error. Bij een sessie met de status review pending wordt deze gebeurtenis later verzonden, wanneer een beoordelaar een besluit vastlegt. |
kyc.session.cancelled | De klant annuleert op de gehoste pagina. Abonneer je hier expliciet op. Alleen wanneer dit voor je organisatie is ingeschakeld. |
kyc.verification.completed | Een verificatie bereikt een definitieve status. |
kyc.erasure.completed | Een verzoek om gegevens te wissen is afgerond. Alleen wanneer wissen voor je organisatie is ingeschakeld. |
kyc.document.expiry_warning | Een geverifieerd document verloopt binnenkort of is verlopen. Alleen wanneer dit voor je organisatie is ingeschakeld. |
kyc.reverification.due | Een geplande herverificatie moet worden uitgevoerd. Alleen wanneer dit voor je organisatie is ingeschakeld. |
Voorbeeldgebeurtenis
Uitsluitend synthetische waarden. Gebeurtenissen bevatten nooit je klantreferentie: koppel een gebeurtenis aan je klant via de sessie-id.
{
"id": "00000000-0000-4000-8000-000000000001:endpoint_example",
"type": "kyc.session.completed",
"created_at": 1790762445000,
"tenant_id": "tenant_example",
"data": {
"schemaVersion": "1",
"sessionId": "00000000-0000-4000-8000-000000000001",
"status": "completed",
"verificationId": "verification_example",
"reasonCodes": ["provider_manual_review"],
"occurredAt": 1790762445000,
"deliveryId": "00000000-0000-4000-8000-000000000001:endpoint_example"
}
}Verifieer elke aflevering
- Elke aflevering bevat de headers X-Noxtica-Signature, X-Noxtica-Timestamp, X-Noxtica-Event en X-Noxtica-Delivery.
- De handtekening is een HMAC-SHA256 over de timestamp, een punt en de onbewerkte requestbody. Verifieer deze voordat je de body parseert en stel zelf een tolerantie voor de timestamp in.
- Aflevering vindt minstens één keer plaats en de volgorde staat niet vast. Verwijder duplicaten op basis van X-Noxtica-Delivery en lees daarna de sessiestatus voordat je handelt.
Een SDK is niet nodig. De documentatie bevat voorbeelden in curl, Node.js en Python.
Lees meer in de documentatie
Gegevensbescherming
In dit gedeelte staat wat de documentatie vermeldt. Het is geen juridisch advies. In het Privacybeleid en op de pagina Beveiliging lees je hoe Noxtica met persoonsgegevens omgaat.
Bewaartermijn
Noxtica verwijdert verificatiegegevens of bewijs niet automatisch en stelt er geen bewaartermijn voor vast. Ze blijven in je tenant totdat een tenantbeheerder ze verwijdert.
Verwijderen
Een tenantbeheerder verwijdert verificaties in Backoffice met een reden, een bevestiging door tekst in te voeren en een nieuwe step-up-controle. Bij verwijdering verdwijnen de verificatie, bewijsbestanden en bijbehorende gegevens. Gebruiksgegevens voor facturering, ontvangstbewijzen van de rechtsgrond en het auditspoor blijven bewaard. Verwijderen kan niet ongedaan worden gemaakt.
Rechten van betrokkenen
Verzoeken om gegevens te wissen worden behandeld op de pagina KYC Erasure. Een tweede beheerder keurt een verzoek goed, een juridische bewaarplicht kan de behandeling pauzeren en voor elk opgeslagen item is er een verwijderingsbewijs. Vraag je accountteam wat een goedgekeurd verzoek voor jouw tenant omvat voordat je een klant een termijn toezegt.
Toegang tot bewijs
De originele opnamen openen vereist een hogere, aparte bevoegdheid dan een zaak beoordelen. Dit is beperkt tot beheerders en vereist een nieuwe step-up-controle. Elk bekeken origineel wordt geregistreerd. Andere rollen zien bevindingen en metingen, maar niet de originelen.
Versleuteling en isolatie
Ruw identiteitsbewijs wordt versleuteld opgeslagen wanneer opslag van ruw bewijs voor je tenant is ingeschakeld. Een sessie van een andere organisatie wordt weergegeven als niet gevonden.
Gegevenslocatie
Voor bewijsopslag geldt per tenant een instelling voor gegevenslocatie: TR, EU of US. Vraag je accountteam wat dit voor jouw tenant inhoudt. Deze pagina doet geen uitspraak dat gegevens in een bepaald land blijven.
Toestemming en rechtsgrond
De gehoste pagina toont de klant vóór het vastleggen van gegevens je doel en privacyverklaring. Een bevoegd persoon binnen je organisatie registreert de rechtsgrond; Noxtica kiest die niet voor je. Jij bent verantwoordelijk voor de kennisgevingen, toestemmingen en rechtsgrond in elk rechtsgebied waarin je actief bent.
Veelgestelde vragen
Kan ik identiteitsverificatie zelf inschakelen?
Nee. Het wordt per tenant beschikbaar gesteld onder gecontroleerde beschikbaarheid. Neem contact op met het team om je gebruikssituatie en rechtsgebied te bespreken.
Keurt het klanten automatisch goed?
Nee. Geen enkel controleresultaat maakt een gehoste verificatie op zichzelf geverifieerd. Elke gehoste verificatie wacht tot iemand een besluit vastlegt; alleen de status completed betekent goedgekeurd.
Blokkeert detectie van presentatieaanvallen fraude?
Nee. PAD is adviserend. Noxtica rapporteert de uitkomst en laat die nooit bepalend zijn. Beschouw PAD, net als elke controle, als een signaal voor een beoordelaar.
Is een uitkomst wettelijk bewijs van identiteit?
Nee. Geen enkele uitkomst geldt als wettelijk identiteitsbewijs buiten de reikwijdte van de geconfigureerde provider en het contract. Noxtica is geen bureau voor consumentenkredietinformatie. De uitkomst mag niet worden gebruikt om te bepalen of iemand in aanmerking komt voor krediet, verzekeringen, werk of huisvesting.
Hoelang is een verificatielink geldig?
Standaard één dag; je kunt dit instellen wanneer je de sessie aanmaakt. Nadat de klant de link opent, heeft die 30 minuten om de verificatie af te ronden.
Kan ik de gehoste pagina insluiten of de taal instellen?
Nee. De pagina wordt niet geladen in een iframe en de taal wordt bepaald door de browser van de klant.
Welke gebeurtenissen kan ik ontvangen?
Zes identiteitsgebeurtenissen: kyc.session.completed, kyc.session.cancelled, kyc.verification.completed, kyc.erasure.completed, kyc.document.expiry_warning en kyc.reverification.due. Voor sommige zijn instellingen voor je organisatie vereist.
Hoelang bewaren jullie het bewijs?
Noxtica stelt geen bewaartermijn vast en verwijdert verificatiegegevens of bewijs niet automatisch. Een tenantbeheerder verwijdert ze.
Zijn bedrijfs- en merchantverificatie beschikbaar?
Ja. Bedrijfsverificatie (KYB) en merchantverificatie (KYM) zijn beschikbaar. Je server maakt een link aan, het bedrijf of de merchant voltooit de onboarding op een door Noxtica gehoste pagina en je medewerkers beoordelen de zaak in Backoffice. Op verzoek ingeschakeld voor je account.
Gerelateerde pagina’s
Wat identiteitsverificatie niet doet
- Beperkte beschikbaarheid. Identiteitsverificatie wordt per tenant ingericht.
- Geen wettelijk identiteitsbewijs. Buiten de scope van de geconfigureerde provider en het contract geldt geen enkel resultaat als wettelijk identiteitsbewijs. Resultaten zijn probabilistisch en kunnen fout-positieven en fout-negatieven bevatten.
- U beslist. Een bevoegde medewerker van uw team moet ongunstige beslissingen beoordelen. Noxtica is geen bureau voor consumenteninformatie. Gebruik de uitvoer niet om te bepalen of iemand in aanmerking komt voor krediet, verzekering, werk of huisvesting.
- Uw verantwoordelijkheden. U bent verantwoordelijk voor kennisgevingen, toestemmingen en de rechtsgrond voor het verzamelen van identiteitsgegevens van uw klanten in elk rechtsgebied waarin u actief bent.
Scores, redenen en uitkomsten zijn probabilistische schattingen, geen feitelijke beweringen. Uw team neemt alle beslissingen.Lees de disclaimer