Domínio de coleta (DNS)

O Web SDK envia a coleta por um subdomínio seu, collect.<your-domain>. O SDK em si é entregue como um pacote privado aprovado, empacotado no seu frontend. Esta é a coleta first-party. Ela é obrigatória para a coleta do SDK: não existe domínio compartilhado como fallback automático, e sem um domínio de coleta ativo o SDK não é habilitado para sua aplicação. Preparar o DNS não o ativa. Cada requisição precisa corresponder ao seu host de coleta verificado atual, a uma das origens de site permitidas da sua aplicação sob esse domínio e à chave da aplicação. Não existe fallback de roteamento para o host da API nem para o coletor de outra empresa.

Solicite a preparação do domínio

No console, abra o Início e conclua Criar a aplicação com as origens HTTPS exatas do seu site. Depois, em Configurar a coleta web, escolha a Origem registrada da aplicação (uma dessas origens) e informe o Domínio-base de coleta da sua empresa (um domínio-base que pertence a você), como yourcompany.com. O coletor resultante é collect.yourcompany.com. O SDK então coleta em toda origem permitida da aplicação cujo host seja yourcompany.com ou um dos subdomínios dele, como https://yourcompany.com, https://www.yourcompany.com e https://app.yourcompany.com; você edita essa lista depois em Integração e saúde › Origens das páginas. Veja o cadastro da empresa.

A plataforma então prepara sozinha o certificado vinculado à aplicação, o roteamento e o desafio de titularidade, sem solicitação ao FingerTrackID e sem etapa de operador. Sua única ação é publicar os três registros DNS públicos que ela mostra e configurar o coletor aprovado na aplicação. Planos privados de infraestrutura, credenciais de nuvem e acesso ao gerenciador de segredos não são insumos da integração.

Quem age: “Depende de você” e “Automático”

Cada etapa do progresso da configuração no Início traz um de dois rótulos:

Depende de você: a configuração espera algo que só você pode fazer, como publicar os registros DNS ou ajustar sua política CAA.
Automático: a plataforma está fazendo o trabalho; não há nada para você fazer. A etapa avança sozinha.

A etapa Confirmar o domínio de coleta passa por estes estados:

Na tela	Rótulo	O que significa
Preparando o certificado e os registros	Automático	A plataforma está preparando o certificado e os registros DNS para você.
Publique os três registros	Depende de você	Publique os três registros mostrados, exatamente como aparecem.
Registros encontrados, verificando	Automático	Seus registros foram encontrados; a plataforma está verificando o certificado e a rota de coleta.
Registros ainda não encontrados	Depende de você	Seus registros ainda não foram vistos. Confira seu DNS e escolha Verificar agora; os valores continuam os mesmos, então você não muda o que publicou.
Nova verificação sendo preparada	Automático	A plataforma está preparando uma nova verificação, com os mesmos registros. Nada a mudar no seu DNS.
O CAA não permite a autoridade certificadora	Depende de você	A política CAA do seu domínio bloqueia o certificado. Veja CAA.
Conferindo o domínio de novo	Automático	A plataforma está conferindo o domínio de novo. Nada a fazer.
Todos os registros encontrados, finalizando	Automático	Todo registro mostra Encontrado; a plataforma está finalizando a verificação e ativando o domínio. Nada a fazer.
Pausado pelo suporte	—	O suporte do FingerTrackID pausou esta etapa. Fale com o suporte para retomá-la.
Concluído	—	O domínio de coleta está confirmado.

A etapa Definir a guarda dos dados é sempre Automático: a plataforma aplica sozinha a retenção gerenciada à sua aplicação: os dados são guardados por no mínimo 10 anos e nenhum deles é apagado (retenção). Você nunca age sobre ela.

Se uma etapa automática não avançar por 30 minutos, ela mostra Algo travou: fale com o suporte do FingerTrackID informando a referência da solicitação mostrada no Início. A espera pelos seus registros DNS nunca aparece como travada.

Os registros que você publica

Você publica dois registros CNAME e um registro TXT de propriedade, todos sob collect.<your-domain>. Os valores exatos aparecem no progresso da configuração da sua aplicação no console assim que ficam prontos, cada um com um botão de copiar e com a indicação de se a plataforma já o encontrou (Encontrado, Ainda não encontrado ou Ainda não conferido). Eles são gerados para a sua aplicação e não podem ser adivinhados nem copiados de outro cliente.

Mostrado como	Tipo	Nome	Valor	Finalidade
Endereço de coleta	`CNAME`	`collect.<your-domain>`	O host de coleta do FingerTrackID, fornecido a você	Encaminha o tráfego do SDK para o FingerTrackID
Validação do certificado	`CNAME`	`_acme-challenge.collect.<your-domain>` ou `_acme-challenge_<suffix>.collect.<your-domain>` (nome exato fornecido a você)	O destino de autorização do certificado, fornecido a você	Autoriza a emissão do certificado TLS para `collect.<your-domain>`
Prova de propriedade	`TXT`	`_ftid-ownership.collect.<your-domain>`	`ftid-domain-verification-v1=…`, fornecido a você	Prova que sua empresa controla o domínio

Exemplo com um domínio fictício, yourcompany.com — os valores de destino são marcadores:

collect.yourcompany.com.                          CNAME  <collection-host-provided>.
_acme-challenge_<suffix>.collect.yourcompany.com. CNAME  <authorization-target-provided>.
_ftid-ownership.collect.yourcompany.com.          TXT    "ftid-domain-verification-v1=<value-provided>"

Regras:

Exatamente um registro por nome de CNAME. Exatamente um CNAME em collect.<your-domain> e exatamente um CNAME no nome de autorização do certificado; a verificação falha se o nome responder com mais de um valor ou com um valor diferente. Não crie nenhum outro tipo de registro (A, AAAA, TXT) no mesmo nome de um CNAME.
Só DNS, sem proxy na frente. Publique os CNAMEs como registros DNS simples, sem proxy, CDN ou WAF seu entre o navegador e o FingerTrackID. Um registro com proxy não responde como o CNAME esperado, e por isso a verificação não passa.
Publique os registros e depois escolha Verificar agora. Não há prazo para você cumprir: a plataforma continua conferindo sozinha, e o botão Verificar agora confere os registros na hora. Se a verificação da plataforma precisar ser renovada, o mesmo clique a renova com o mesmo valor de TXT, então você nunca muda seu DNS. Um valor que você mesmo reconstrói nunca é aceito como prova de propriedade.
CAA. Se o seu domínio publica registros CAA, eles precisam permitir as autoridades certificadoras que o Google usa para certificados gerenciados: adicione pki.goog e letsencrypt.org (por exemplo, 0 issue "pki.goog" e 0 issue "letsencrypt.org"). A plataforma tenta de novo sozinha assim que a política as permitir. Se nenhum registro CAA se aplica a collect.<your-domain>, não há nada a fazer.

Cookies que o host de coleta recebe

collect.<your-domain> é um host sob o seu próprio domínio, então o navegador envia a ele todo cookie do seu site cujo escopo o abranja. Um cookie de sessão criado com Domain=.<your-domain> (ou para um domínio pai dele) chega ao host de coleta em toda requisição do SDK, porque o SDK o chama com credentials: "include".

O que o FingerTrackID faz com eles: o coletor lê o cabeçalho Cookie só em memória, durante a requisição, e usa apenas o próprio cookie de instalação (__Host-ftid_i). Todos os outros cookies são descartados com a requisição: não são gravados em logs, no monitoramento de erros, na coleta armazenada nem no banco de dados.
Por que credentials: "include": é o que permite ao navegador devolver o cookie de instalação, que é HttpOnly e restrito ao host de coleta, e que mantém a continuidade do dispositivo entre visitas. Sem isso, a coleta continua funcionando, mas perde essa continuidade.
O que recomendamos: mantenha seus cookies de sessão restritos ao host da sua aplicação (sem o atributo Domain, de preferência com o prefixo __Host-), para que eles nunca cheguem a collect.<your-domain> nem a qualquer outro subdomínio.

Como conferir

Depois de publicar, confira de qualquer máquina com dig (troque yourcompany.com pelo seu domínio):

dig +short CNAME collect.yourcompany.com
dig +short CNAME _acme-challenge_<suffix>.collect.yourcompany.com
dig +short TXT _ftid-ownership.collect.yourcompany.com
dig +short CAA collect.yourcompany.com
dig +short CAA yourcompany.com

Cada comando de CNAME precisa retornar exatamente uma linha, igual ao valor que você recebeu (o dig pode acrescentar um ponto final ao nome). A resposta do TXT precisa conter o valor que você recebeu, entre aspas. Uma resposta vazia significa que o registro ainda não se propagou ou foi criado com outro nome. Os comandos de CAA são um diagnóstico inicial. Eles não provam que a emissão do certificado está autorizada: a plataforma também confere os aliases e a cadeia aplicável de domínios pais antes da ativação, e mostra um problema de CAA no progresso da configuração.

O que acontece depois

A plataforma confere os três registros sozinha, de tempos em tempos. Para conferir logo depois de publicar, escolha Verificar agora: o botão mostra Verificando… e a página se atualiza sozinha até a conferência voltar, normalmente em menos de um minuto. Cada registro então mostra Encontrado ou Ainda não encontrado. Se ainda faltar algo, corrija no seu DNS e escolha Verificar agora de novo (no máximo uma vez por minuto). Quando tudo for encontrado, a etapa passa para Automático enquanto o certificado e a rota de coleta são verificados e o domínio é ativado.
Com o domínio confirmado e o preset de custódia de dados aplicado, a plataforma conclui as etapas automáticas restantes e ativa a coleta da aplicação, sem solicitação ao FingerTrackID.
Configurar a coleta web no Início passa então a mostrar Concluída, e Integração e saúde mostra o domínio first-party como ativo. Contagens de coleta passadas não provam que a verificação do domínio continua ativa hoje (veja a tela).

Com a coleta ativa, continue com a instalação do Web SDK.