Cómo funciona la integración

El camino de una evaluación

El Web SDK aprobado, empaquetado en su frontend, captura señales del navegador a través de su dominio de captura activo y devuelve a su frontend un event_context_token opaco por cada acción de negocio (un inicio de sesión, un retiro, una orden de negociación). La plataforma prepara por sí sola el certificado, el enrutamiento y el desafío de titularidad del dominio de captura; usted publica los registros DNS que ella muestra, y ella los verifica y activa el dominio (dominio de captura).
Su frontend envía ese token a su backend, junto con la solicitud de negocio que ya realiza.
Su backend llama a POST /v1/assessments, con firma HMAC, enviando el token (o null cuando no hubo captura) y referencias seudónimas para la persona y la cuenta.
FingerTrackID evalúa, almacena y responde en la misma llamada con el estado de la evaluación, la puntuación (trust_score) cuando la hay, los indicadores y una recomendación (recommended_action).
Su sistema decide y actúa. Durante la validación en modo shadow, observe la recomendación y compárela con su decisión actual. Cuando su empresa configura sus propias reglas de riesgo activas, un BLOCK_RECOMMENDED proviene de sus reglas y de sus franjas; aun así, es su backend quien lo ejecuta (acción recomendada).

Cuando el SDK no pueda proporcionar un contexto a tiempo, envíe event_context_token: null. Eso significa que no se aportó evidencia del navegador para la acción; no garantiza un éxito HTTP ni un estado de evaluación determinado. Lea la respuesta o el Problem que efectivamente obtenga bajo su política emitida, y continúe con el comportamiento normal de autenticación y de contingencia de su producto.

Qué reside en cada sistema

Sistema	Responsabilidad	Nunca ponga aquí
El navegador de su cliente	Cargar el SDK aprobado, capturar antes del envío de la acción evaluada, obtener un contexto opaco por acción de negocio dentro de la ventana de evidencia de la aplicación (60 o 300 segundos)	El secreto HMAC, la autoridad sobre la cuenta, el bloqueo basado en la puntuación
Su backend	Autenticar a su usuario, resolver las referencias seudónimas, crear los ID de evento, solicitar la evaluación y ejecutar su propia decisión	Confianza en una identidad, puntuación o marca proveniente del navegador
FingerTrackID	Autenticar la integración, evaluar la evidencia disponible, aplicar la política gestionada o las reglas propias de su empresa, devolver una recomendación explicable	Aprobar un inicio de sesión, liberar un retiro, ejecutar una orden o bloquear una cuenta

El secreto HMAC reside solo en su backend. Salvo en su única revelación en la consola, donde usted lo copia directamente a su gestor de secretos, nunca va a un navegador, una app, un log, analítica, un ticket de soporte, un repositorio de código ni una variable de entorno del frontend.

Identificadores públicos y secretos

Elemento	¿Público?	Dónde se usa
Clave pública de la aplicación (`pub_app_…`)	Sí — es un localizador, no un secreto	Inicialización del Web SDK
`key_id` de la credencial	Sí	Encabezado `X-FTID-Signature`
Secreto HMAC	No	Solo en el gestor de secretos de su backend
`event_context_token`	No debe ir a logs ni a analítica	Del navegador a su backend, y de allí a la API

Siguiente paso: alta de la empresa.