Capacidades admitidas y activación

Todas las empresas usan el mismo flujo de registro e integración. Un entorno de producción operativo y una aplicación de cliente activa son hechos distintos, y publicar esta documentación no crea ninguno de los dos.

Estado en producción el 2026-10-17

Superficie	Estado
Consola del cliente, dash.fingertrackid.com	Operativa. Inicio de sesión nominativo con autenticador obligatorio. Las pantallas leen los datos reales de su empresa; Ciclo de vida do cliente todavía no envía ni lee solicitudes (contacte con el soporte) (pantallas de la consola)
Correo de invitación	Operativo. Se envía con la modalidad de mejor esfuerzo cuando se crea una cuenta; la recuperación de contraseña de la página de inicio de sesión es la alternativa
Correo de recuperación de contraseña	Operativo. Lo envía FingerTrackID desde `no-reply@fingertrackid.com`, como máximo un correo por dirección en cada ventana fija de 15 minutos
Solicitudes de configuración gestionadas (aplicación, configuración de la captura, credencial de servidor, configuración del SDK, miembros)	Operativas. Se envían desde Início, normalmente se aprueban en el momento en que se envían (quedan registradas en la pista de auditoría y son visibles para FingerTrackID, que puede cancelarlas o revertirlas) y después se aplican automáticamente
Backoffice interno	Operativo, solo para los operadores de FingerTrackID
API firmada de evaluación, `POST https://api.fingertrackid.com/v1/assessments`	Operativa, en modo shadow (desde 2026-10-08). Las respuestas son solo recomendaciones; FingerTrackID nunca bloquea, permite ni ejecuta nada. Con el perfil gestionado de producción actual, una evaluación almacenada sin un `event_context_token` del navegador es `INCONCLUSIVE` con `trust_score: null` y la recomendación gestionada de contingencia, nunca `COMPLETED`; aun así, la llamada puede terminar en un Problem operativo como `503`. Su aplicación necesita su credencial de servidor instalada y su admisión activa
Solicitud etiquetada `event-assessment-request.v1.1`	Operativa (desde 2026-10-13). Es el perfil recomendado para las integraciones nuevas (recorridos y etiquetas): un cuerpo v1.1 con su `tag` se acepta y se responde con `event-assessment.v1.1`. La solicitud v1 no cambia y sigue aceptándose
API de feedback de acciones y resultados	Operativa junto con la API firmada de evaluación, en el mismo runtime firmado. Necesita los permisos de credencial `action:write` y `outcome:write`
Captura del Web SDK	Desplegada, solo a través del dominio de captura first-party registrado de su empresa, `collect.<your-domain>`, una vez que ese dominio esté activo para su aplicación. Su funcionamiento de extremo a extremo desde una página de cliente (una captura que se convierte en un contexto de evento `COMPLETED` vinculado a una evaluación) todavía se está midiendo. Las primeras cifras de latencia, de una sola aplicación y una muestra pequeña (no un SLA): `getEventContext` sobre una captura aceptada, 0,15 s en la mediana; una captura iniciada en el clic, 2,6 s en la mediana (medido en producción). El paquete privado del SDK y sus digests SHA-256/SHA-512 se descargan en la consola (instalación)
Distribución pública del script del SDK (recursos de script firmados servidos por FingerTrackID)	No habilitada. El paquete privado incluido en su frontend es la única vía de entrega
Webhooks salientes de evaluación	No habilitados. Necesitan su propia verificación de endpoint, su credencial saliente y su release
Contexto del acceso en la consola (Contexto do acesso)	Operativo (calculado durante la evaluación desde 2026-10-17). Los 54 ítems de contexto se calculan dentro de la evaluación, con un presupuesto de tiempo corto: un ítem que no cabe en él queda sin datos y nunca descuenta, y si falla todo el paso, el contexto se calcula en cambio después de la evaluación, como antes, sin error, y entonces no cambia nada en la puntuación de ese acceso. El contexto cambia la puntuación, la recomendación y la respuesta solo mediante reglas de contexto que su empresa haya activado; en caso contrario, es informativo. Los ítems de cuenta necesitan `account_ref`, y el historial de una cuenta empieza con el primer evento que lo lleva (pantallas de la consola)
Búsqueda por el ID de su empresa en la consola (Buscar titular ou conta pelo ID da sua empresa)	Operativa para Administrador da empresa, Analista de risco y Supervisor de risco: una búsqueda exacta y auditada de los accesos que su backend envió con un `subject_ref` o un `account_ref` concreto. El ID nunca va en la dirección de la página (pantallas de la consola)
Reglas de riesgo de la empresa (desactivadas, fantasma o activas, editadas en Configuração de risco)	Operativas (desde 2026-10-13; las reglas de contexto pueden estar activas desde 2026-10-17). Cualquier regla, incluidos los 54 ítems de contexto, puede publicarse como activa directamente; una regla fantasma se calcula y se registra, pero nunca cambia la puntuación. Cada ítem de contexto se dispara según una escala que su empresa ajusta, a partir del valor predeterminado de FingerTrackID. Medir el impacto antes de publicar es opcional. Solo su empresa activa una regla; FingerTrackID nunca lo hace, y mientras ninguna regla esté activa, toda recomendación sigue siendo `MONITOR`. La falta de evidencia, un tiempo de espera agotado o un fallo nunca recomiendan bloquear, y un bloqueo recomendado por sus propias reglas activas sigue siendo una recomendación que su backend ejecuta (pantallas de la consola)

Lo que todavía necesita cada aplicación

Que una capacidad esté operativa en producción no activa su aplicación; cada aplicación se activa por separado:

Capacidad	Requisito de activación para su aplicación
Acceso a la consola	Cuenta nominativa aprovisionada, correo electrónico verificado, contraseña, autenticador y membresía vigente. FingerTrackID crea cada empresa y su primer administrador; no hay registro de empresas en autoservicio
Solicitudes de configuración	La solicitud debe llegar a su estado completado; una solicitud enviada o aprobada no es un recurso creado
Configuración de la captura	El perfil gestionado de observación web cooperativa, sus artefactos de detector/política/admisión aplicados por los pasos automáticos de configuración, su dominio propio exacto, la prueba de DNS/TLS y la finalización nativa
API de evaluación	Una solicitud v1.1 con su propio `tag` (recomendada) o una solicitud v1 con uno de los recorridos `LOGIN`, `WITHDRAWAL`, `TRADE`; credencial instalada, admisión activa y un release/política calificados y activos
Captura en el navegador	Archivo privado del SDK aprobado y el host first-party, el origen y la clave pública exactos y activos
Contexto del navegador ausente	`event_context_token: null` es una entrada admitida, no una promesa de éxito, de puntuación ni de un estado concreto
Feedback	Capacidades de credencial `action:write` y `outcome:write`, efectivamente activas
Exportaciones y uso	Permiso vigente sobre el conjunto de datos; las exportaciones se entregan enmascaradas y caducan, las cifras de uso son estimaciones, no facturas
Recuperación de contraseña	Restablecimiento a cargo del proveedor; su autenticador existente sigue siendo obligatorio
Autenticador perdido	Recuperación aparte por un operador, con verificación de identidad; el acceso se bloquea primero y se restablece solo después de una nueva configuración

Una credencial que todavía espera su instalación segura no se puede usar. Una configuración que espera revisión no está lista. Un DNS válido no es una captura activa, y una política aprobada no es una política activa. Las pruebas de seguridad, de aislamiento del verificador independiente, de retención/eliminación técnica, de restauración y first-party siguen siendo obligatorias antes de los datos reales.

Límites del contrato y de la medición

Dos perfiles de solicitud comparten la misma ruta y la misma firma. v1.1 nombra el momento con su propio tag y es el perfil recomendado para las integraciones nuevas; v1 mantiene exactamente LOGIN, WITHDRAWAL y TRADE y sigue admitido, sin cambios. Producción acepta ambos. Toda etiqueta se evalúa de la misma manera (recorridos y etiquetas).
La entrega del Web SDK como archivo privado no implica un paquete npm público ni una CDN. La distribución del script requiere un release, una ruta y un SRI exactos aprobados por separado, y no es la instalación estándar.
No hay un GET de consulta de evaluaciones; la conciliación usa el mismo POST original de la evaluación.
Una señal listada no es prueba de un detector activo. Si la evaluación de una señal falta, está desactualizada o ha fallado, el estado es NOT_EVALUATED, nunca NOT_DETECTED.
La puntuación de confianza es un índice ordenado, no una probabilidad de fraude medida. Ninguna recomendación ejecuta una acción del cliente. Empiece en SHADOW y mantenga sus decisiones actuales durante la validación.
La configuración gestionada COOPERATIVE_WEB_SHADOW_V1 recomienda MONITOR y no hace ninguna afirmación de detección de fraude calibrada. Los nuevos clientes de servidor gestionados se admiten en el nivel estándar, 5 solicitudes por segundo con una ráfaga de 10; los niveles superiores se solicitan en la consola (límites), y los rangos más amplios del esquema no prometen un mayor rendimiento.
Las estimaciones de uso no son una aceptación comercial, un precio, una cuota, un SLA ni una factura.
El contrato OpenAPI descargable conserva su anotación histórica de implementación planned y su servidor de ejemplo. No son evidencia de disponibilidad operativa ni de un origen de API emitido.

Empiece por el alta de la empresa y la entrega al desarrollador. Preguntas: contato@fingertrackid.com.