VERIFICAÇÃO DE IDENTIDADE
Verificação de identidade hospedada, com a decisão nas suas mãos
Direcione os clientes para um fluxo de verificação hospedado. Consulte o status do caso no seu próprio backend e encaminhe as exceções para análise humana.
Um fluxo com supervisão, não um veredito automático
A verificação de identidade retorna o status de um caso e oferece uma opção de análise. Ela dá suporte à sua decisão, mas não a toma.
Etapas da sessão
Sessão criada
Um link de uso único e um prazo de validade.
Link aberto
O cliente lê um aviso de privacidade. O prazo para concluir é limitado.
Status do caso
Consulta de status ou evento
Concluída, não verificada ou requer análise. Considere cada status como uma informação para sua própria decisão.
Alternativas a planejar
Expirada
Não gera evento. Consulte o status para verificar.
Cancelada
Consulte o status no seu backend.
Termina com erro
As sessões podem terminar com um erro. Planeje uma alternativa.
Link de verificação hospedado
Status do caso para apoiar sua decisão
Opção de análise humana
Notificações de eventos
Da sessão ao status do caso
Servidor
Criar uma sessão
Usa sua própria referência para identificar a pessoa. Você recebe um link de uso único e um prazo de validade.
Noxtica
O cliente realiza o processo na página hospedada
Link de uso único
O cliente lê um aviso de privacidade e, em seguida, fornece as evidências solicitadas dentro de um prazo limitado.
Servidor
Consulta de status ou evento
Status do caso
Consulte o status no seu backend ou receba um evento no seu endpoint.
Console
Análise humana
Exceções
Os casos que precisam de uma segunda análise são encaminhados para revisão por um operador. A atividade de análise fica registrada em uma trilha de auditoria.
Sua equipe
Sua decisão
Sua equipe toma a decisão.
Criar uma sessão
O cliente realiza o processo na página hospedada
Consultar o status e decidir
O que é e a quem se destina
A verificação de identidade Noxtica (KYC) é um fluxo alojado. O seu servidor cria uma sessão, o cliente conclui as etapas numa página alojada pela Noxtica no próprio navegador e o seu servidor consulta o resultado através da leitura do estado ou de um evento assinado. O seu servidor nunca recebe diretamente as respostas nem as capturas do cliente.
Os resultados são sinais automatizados. Cabe-lhe decidir o que cada resultado significa para o seu cliente. A Noxtica fornece-lhe as evidências e um registo de auditoria.
A quem se destina
- Engenheiros de backend que criam sessões e consultam resultados.
- Equipas de operações e conformidade que configuram a página alojada e tratam da fila de revisão no Backoffice.
- Equipas cuja política exige evidências de identidade e que têm uma pessoa responsável pela revisão.
Verificação de empresas e comerciantes
A mesma abordagem alojada abrange empresas e comerciantes. KYB (conheça a sua empresa) é um processo alojado de integração de empresas: o representante da empresa introduz os dados da empresa, carrega documentos, declara os proprietários, revê e submete; o caso submetido segue para revisão humana no Backoffice, onde os operadores consultam a estrutura de propriedade, os documentos e os resultados do rastreio. KYM (conheça o seu comerciante) é um processo alojado de integração de comerciantes, complementado por monitorização de transações que apenas envia notificações: um alerta notifica uma pessoa para rever e nunca inicia uma ação de pagamento. Não é descrita qualquer verificação automatizada de registos comerciais. Os resultados são sinais e cabe aos seus operadores decidir. Disponível. Ativado para a sua conta mediante pedido.
Disponibilidade
Disponibilidade controlada. A verificação de identidade é aprovisionada por tenant pela sua equipa de conta e não pode ser ativada por si. As etapas descritas como opcionais só se aplicam quando estão ativadas para a sua organização.
O fluxo alojado, de ponta a ponta
Veja o que acontece desde a primeira chamada à API até ao resultado. Os passos assinalados como opcionais só se aplicam quando estão ativados para a sua organização.
O seu servidor cria uma sessão
Uma chamada do servidor cria uma sessão com uma referência opaca do seu cliente. A resposta inclui um ID de sessão e uma ligação de utilização única.
O cliente recebe a ligação
Envie o cliente para a ligação através de um redirecionamento, de um novo separador, de um email ou mensagem, ou de um código QR. A página alojada também disponibiliza um código QR e uma opção para copiar a ligação, para que um cliente que comece num computador possa continuar num telemóvel.
Aviso de privacidade e consentimento
Antes de qualquer captura, o cliente vê o nome da sua empresa, a finalidade da verificação e uma ligação para o seu aviso de privacidade, e aceita continuar.
Escolher um documento e capturar a frente e o verso
O cliente escolhe um dos tipos de documentos que aceita e, em seguida, captura a frente. É obrigatório capturar o verso dos cartões de identidade, das cartas de condução e dos títulos de residência. O passaporte não tem um passo de captura do verso.
Selfie
O cliente tira uma selfie, que é comparada com o retrato do documento e verificada quanto à qualidade.
Vivacidade
O cliente conclui um breve desafio de vivacidade diante da câmara: movimentos da cabeça e um piscar de olhos.
Análise
Uma captura concluída aguarda na fila de análise do seu Backoffice até alguém da sua organização registar uma decisão. A sessão indica análise pendente e não expira enquanto aguarda.
Resultado: consulta do estado e eventos assinados
O seu servidor consulta o estado da sessão e pode subscrever eventos webhook assinados. Consulte o estado antes de agir com base num evento: o estado é a fonte oficial.
Validade da ligação
Uma ligação não aberta permanece válida até à sua própria data de expiração, que é de 1 dia por predefinição. Depois de o cliente abrir a ligação pela primeira vez, tem 30 minutos para concluir o processo ou até à data de expiração original, caso esta ocorra primeiro.
O que a página alojada não faz
- Não pode ser incorporada num iframe. Abra-a como página inteira ou num novo separador.
- Segue o idioma do navegador do cliente. Não é possível defini-lo.
- Alguns navegadores integrados em aplicações não a conseguem executar. A página indica ao cliente como continuar num navegador normal.
Documentos aceites e dados lidos
Nas definições da página alojada no Backoffice, escolha os documentos que os seus clientes podem utilizar e os países emissores correspondentes. O cliente escolhe entre essas opções. O fluxo alojado reconhece 4 tipos de documentos:
| Tipo de documento | Captura do verso |
|---|---|
| Cartão de identidade nacional | Sim |
| Carta de condução | Sim |
| Título de residência | Sim |
| Passaporte | Não |
O texto impresso é lido diretamente do documento. Quando existe uma zona de leitura ótica, esta é lida, os dígitos de controlo são verificados e o resultado é cruzado com o texto impresso. A carta de condução não tem zona de leitura ótica, e essa ausência não é penalizada.
Os cartões de identidade nacionais e as cartas de condução turcos são tratados explicitamente: o número de identificação pessoal turco (T.C. Kimlik No) é lido e, por predefinição, é um campo obrigatório nesses 2 documentos. Se o número passar na verificação dos dígitos de controlo, não é necessário indicar também o número do documento.
Uma zona que não pode ser encontrada ou comparada com o texto impresso representa uma lacuna de medição. O resultado indica análise, nunca falha. A Noxtica não publica uma lista de países para além dos que configurar, nem afirma que todos os documentos de todos os países são processados com a mesma qualidade.
Verificações e sinais
O fluxo alojado gera resultados de verificações para análise por um revisor. São sinais que contribuem para a análise. Não determinam um resultado nem garantem o bloqueio de fraude.
| Verificação | O que analisa |
|---|---|
| Autenticidade do documento | Disposição, estrutura da zona de leitura ótica, consistência da impressão, sinais de edição ou de regiões copiadas, presença de holograma, sinais de recaptura de ecrã e geometria do cartão. Cada verificação comunica o seu próprio resultado. |
| Correspondência facial | Compara o retrato do documento com a selfie. Uma pontuação baixa constitui um elemento de análise para o revisor. |
| Qualidade da selfie | Nitidez, exposição, tamanho e pose do rosto na selfie. |
| Vivacidade | Um desafio com movimentos da cabeça e um piscar de olhos. As verificações dos gestos mostram que o movimento pedido ocorreu. Não são um teste de ataque de apresentação. |
| Deteção de ataques de apresentação (PAD) | Analisa fotogramas do desafio de vivacidade e a selfie, e gera uma pontuação. O resultado é consultivo. |
Resultados e revisão
| Estado | Significado |
|---|---|
pending | Criada. O cliente ainda não abriu a ligação. |
opened | O cliente abriu a ligação e está a concluir as etapas. |
verifying | O cliente submeteu os dados e o processamento está em curso. |
review_pending | O processamento terminou e é necessária uma decisão na fila de revisão do seu Backoffice. Não significa rejeição nem aprovação. |
completed | Uma decisão aprovou a sessão. |
unverified | O processamento terminou com um resultado negativo. |
error | Não foi possível concluir o processamento devido a uma falha ou recusa. |
expired | A ligação ou o período de captura expirou antes de ser tomada uma decisão. |
cancelled_by_user | O cliente cancelou na página alojada. Aplica-se quando o cancelamento está ativado para a sua organização. |
Uma pessoa qualificada da sua equipa deve rever as decisões desfavoráveis antes de estas afetarem um cliente. Os resultados são probabilísticos e podem incluir falsos positivos e falsos negativos. Não constituem prova legal de identidade.
Para programadores
Tudo o que se segue é HTTPS simples a partir do seu servidor. A documentação contém a referência completa.
3 formas de iniciar uma verificação
- Sessão alojada criada pelo seu servidor. O seu servidor cria a ligação através da API e a Noxtica aloja a página.
- Convite do Backoffice. Uma pessoa da sua organização cria a ligação no Backoffice, sem código.
- API direta a partir do seu servidor. Rotas servidor a servidor sem ligação alojada. Atualmente, não permitem capturar documentos para verificação nos seus próprios ecrãs. Use uma sessão alojada quando o cliente tiver de capturar um documento.
Criar uma sessão
Autentique-se com uma chave de servidor que tenha a permissão de identidade. Mantenha a chave no seu servidor. Envie um Idempotency-Key para que uma repetição do pedido não crie uma segunda sessão.
curl -sS https://collect.noxtica.com/v1/kyc/sessions \
-H "Authorization: Bearer $NOXTICA_SERVER_KEY" \
-H "Content-Type: application/json" \
-H "Idempotency-Key: $(uuidgen)" \
-d '{"subjectRef":"cust_example","returnUrl":"https://merchant.example.com/verification/return"}'A resposta
A ligação é devolvida uma única vez, nesta resposta. Trate-a como um segredo e não a registe em logs. A validade é indicada em milissegundos de época.
{
"ok": true,
"sessionId": "00000000-0000-4000-8000-000000000001",
"url": "https://verify.noxtica.com/s/EXAMPLE_TOKEN",
"expiresAt": 1790848845000,
"domainId": null,
"requestId": "req_example"
}Consultar o estado
Uma sessão criada por si devolve sempre 200, mesmo que tenha expirado. Consulte-a com intervalos cada vez maiores e pare quando atingir um estado final.
GET https://collect.noxtica.com/v1/kyc/sessions/00000000-0000-4000-8000-000000000001
Authorization: Bearer $NOXTICA_SERVER_KEYEventos webhook
Os eventos são enviados por HTTPS com assinatura para um endpoint que regista no Backoffice. Um evento é uma notificação, não uma decisão.
| Evento | Quando é acionado |
|---|---|
kyc.session.completed | Uma sessão alojada passa para concluída, não verificada ou erro. Se uma sessão ficar pendente de análise, este evento é enviado mais tarde, quando um revisor tomar uma decisão. |
kyc.session.cancelled | O cliente cancela na página alojada. Subscreva explicitamente. Disponível quando ativado para a sua organização. |
kyc.verification.completed | Uma verificação chega a um estado final. |
kyc.erasure.completed | Um pedido de apagamento é concluído. Disponível quando o apagamento está ativado para a sua organização. |
kyc.document.expiry_warning | Um documento verificado está perto da data de validade ou já expirou. Disponível quando ativado para a sua organização. |
kyc.reverification.due | Chega a data de uma nova verificação agendada. Disponível quando ativado para a sua organização. |
Evento de exemplo
Apenas valores sintéticos. Os eventos nunca incluem a referência do seu cliente: associe um evento ao seu cliente através do ID da sessão.
{
"id": "00000000-0000-4000-8000-000000000001:endpoint_example",
"type": "kyc.session.completed",
"created_at": 1790762445000,
"tenant_id": "tenant_example",
"data": {
"schemaVersion": "1",
"sessionId": "00000000-0000-4000-8000-000000000001",
"status": "completed",
"verificationId": "verification_example",
"reasonCodes": ["provider_manual_review"],
"occurredAt": 1790762445000,
"deliveryId": "00000000-0000-4000-8000-000000000001:endpoint_example"
}
}Verifique cada entrega
- Cada envio inclui os cabeçalhos X-Noxtica-Signature, X-Noxtica-Timestamp, X-Noxtica-Event e X-Noxtica-Delivery.
- A assinatura é um HMAC-SHA256 calculado sobre o carimbo temporal, um ponto e o corpo bruto do pedido. Verifique-a antes de analisar o corpo e defina a sua própria tolerância de carimbo temporal.
- A entrega ocorre pelo menos uma vez e a ordem não é fixa. Elimine duplicados com base em X-Noxtica-Delivery e, em seguida, consulte o estado da sessão antes de agir.
Não é necessário um SDK. A documentação inclui exemplos em curl, Node.js e Python.
Saiba mais na documentação
Proteção de dados
Esta secção descreve o que a documentação indica. Não constitui aconselhamento jurídico. A Política de Privacidade e a página Segurança descrevem a forma como a Noxtica trata dados pessoais.
Conservação
A Noxtica não elimina automaticamente os detalhes nem os elementos de prova da verificação e não define um prazo de conservação. Estes permanecem no seu tenant até serem eliminados por um administrador do tenant.
Eliminação
Um administrador do tenant elimina verificações no Backoffice, indicando um motivo, escrevendo uma confirmação e concluindo uma nova verificação step-up. A eliminação remove a verificação, os respetivos ficheiros e registos de elementos de prova, mas mantém os registos de utilização para faturação, os comprovativos da base jurídica e o registo de auditoria. Não é possível anular a operação.
Direitos dos titulares dos dados
Os pedidos de apagamento de dados são tratados na página Apagamento KYC. Um segundo administrador aprova o pedido, uma retenção legal pode suspendê-lo e cada elemento armazenado tem um comprovativo de eliminação. Antes de prometer um prazo a um cliente, pergunte à equipa da sua conta o que abrange um pedido aprovado no seu tenant.
Acesso aos elementos de prova
Aceder às capturas originais requer uma permissão distinta e superior à de análise de um caso. O acesso está limitado a administradores, exige uma nova verificação step-up e cada consulta é auditada. As outras funções veem conclusões e medições, não os originais.
Cifragem e isolamento
Os elementos de prova de identidade em bruto são armazenados cifrados em repouso, apenas quando o armazenamento de elementos em bruto está ativado para o seu tenant. Uma sessão pertencente a outra organização é apresentada como não encontrada.
Residência
O armazenamento de elementos de prova tem uma definição de residência por tenant: TR, EU ou US. Pergunte à equipa da sua conta o que abrange no seu tenant. Esta página não afirma que os dados permanecem num país específico.
Consentimento e base jurídica
Antes da captura, a página alojada mostra ao cliente a finalidade e o aviso de privacidade. Uma pessoa autorizada na sua organização regista a base jurídica, que não é escolhida pela Noxtica. Cabe-lhe gerir os avisos, consentimentos e bases jurídicas em cada jurisdição onde opera.
Perguntas frequentes
Posso ativar a verificação de identidade por minha conta?
Não. É disponibilizada por tenant, com disponibilidade controlada. Contacte a equipa para discutir o seu caso de utilização e jurisdição.
Aprova clientes automaticamente?
Não. Nenhum resultado de verificação, por si só, marca uma verificação alojada como verificada. Todas as verificações alojadas aguardam que uma pessoa registe uma decisão, e apenas o estado concluído representa uma aprovação.
A deteção de ataques de apresentação bloqueia fraudes?
Não. A PAD é consultiva. A Noxtica comunica o resultado e nunca o deixa determinar a decisão. Tal como qualquer outra verificação, deve ser tratada como um sinal para o revisor.
Um resultado é uma prova legal de identidade?
Não. Nenhum resultado constitui prova legal de identidade fora do âmbito do fornecedor e do contrato configurados. A Noxtica não é uma agência de informação de crédito, e os resultados não devem ser utilizados para determinar a elegibilidade para crédito, seguros, emprego ou habitação.
Durante quanto tempo é válida uma ligação de verificação?
1 dia por predefinição, podendo defini-lo ao criar a sessão. Depois de abrir a ligação, o cliente tem 30 minutos para concluir o processo.
Posso incorporar a página alojada ou definir o idioma?
Não. A página recusa-se a carregar num iframe e o idioma segue o idioma do navegador do cliente.
Que eventos posso receber?
6 eventos de identidade: kyc.session.completed, kyc.session.cancelled, kyc.verification.completed, kyc.erasure.completed, kyc.document.expiry_warning e kyc.reverification.due. Alguns dependem das definições da sua organização.
Durante quanto tempo conservam os elementos de prova?
A Noxtica não define um prazo de conservação nem elimina automaticamente os detalhes ou elementos de prova da verificação. Um administrador do tenant elimina-os.
A verificação de empresas e comerciantes está disponível?
Sim. A verificação de empresas (KYB) e a verificação de comerciantes (KYM) estão disponíveis. O seu servidor cria uma ligação, a empresa ou o comerciante conclui a integração numa página alojada pela Noxtica e os seus operadores analisam o caso no Backoffice. Ativada para a sua conta mediante pedido.
Páginas relacionadas
O que a verificação de identidade não faz
- Disponibilidade controlada. A verificação de identidade é provisionada por tenant.
- Não é comprovante legal de identidade. Nenhum resultado comprova legalmente a identidade fora do escopo do provedor e do contrato configurados. Os resultados são probabilísticos e podem incluir falsos positivos e falsos negativos.
- Você decide. Uma pessoa qualificada da sua equipe deve analisar decisões desfavoráveis. A Noxtica não é uma agência de informações ao consumidor. Não use os resultados para determinar elegibilidade para crédito, seguros, emprego ou moradia.
- Suas responsabilidades. Você é responsável pelos avisos, consentimentos e pela base legal para coletar evidências de identidade dos seus clientes em cada jurisdição atendida.
Pontuações, motivos e vereditos são estimativas probabilísticas, não declarações de fato. Sua equipe toma todas as decisões.Ler o aviso legal