Como a integração funciona

O caminho de uma avaliação

O Web SDK aprovado, empacotado no seu frontend, coleta sinais do navegador pelo seu domínio de coleta ativo e devolve ao seu frontend um event_context_token opaco para cada ação de negócio (um login, um saque, uma ordem de negociação). A plataforma prepara por conta própria o certificado, o roteamento e o desafio de titularidade do domínio de coleta; você publica os registros DNS que ela mostra, e ela os verifica e ativa o domínio (domínio de coleta).
Seu frontend envia esse token ao seu backend, junto com a requisição de negócio que ele já faz.
Seu backend faz a chamada POST /v1/assessments, assinada com HMAC, com o token (ou null quando não houve coleta) e referências pseudônimas da pessoa e da conta.
O FingerTrackID avalia, armazena e responde na mesma chamada com o status da avaliação, a nota (trust_score) quando houver, os indicadores e uma recomendação (recommended_action).
Seu sistema decide e age. Durante a validação em modo shadow, observe a recomendação e compare-a com a sua decisão atual. Quando sua empresa configura as próprias regras de risco ativas, um BLOCK_RECOMMENDED vem das suas regras e das suas faixas; quem o executa continua sendo o seu backend (ação recomendada).

Quando o SDK não conseguir fornecer um contexto a tempo, envie event_context_token: null. Isso significa que nenhuma evidência do navegador foi fornecida para a ação; não garante sucesso HTTP nem um status de avaliação específico. Leia a resposta ou o Problem que você de fato receber sob a política emitida para você, e siga com o comportamento normal de autenticação e de fallback do seu produto.

O que fica em cada sistema

Sistema	Responsabilidade	Nunca coloque aqui
O navegador do seu cliente	Carregar o SDK aprovado, coletar antes do envio da ação avaliada, obter um contexto opaco por ação de negócio dentro da janela de evidência da aplicação (60 ou 300 segundos)	O segredo HMAC, autoridade sobre a conta, bloqueio com base na nota
Seu backend	Autenticar seu usuário, resolver as referências pseudônimas, criar os IDs de evento, solicitar a avaliação e executar a própria decisão	Confiança em identidade, nota ou flag vinda do navegador
FingerTrackID	Autenticar a integração, avaliar a evidência disponível, aplicar a política gerenciada ou as regras próprias da sua empresa, devolver uma recomendação explicável	Aprovar um login, liberar um saque, executar uma ordem ou bloquear uma conta

O segredo HMAC fica somente no seu backend. Fora a única exibição dele no console, de onde você o copia direto para o seu gerenciador de segredos, ele nunca vai para um navegador, um app, um log, analytics, um chamado de suporte, um repositório de código nem uma variável de ambiente do frontend.

Identificadores públicos e segredos

Item	Público?	Onde é usado
Chave pública da aplicação (`pub_app_…`)	Sim — é um localizador, não um segredo	Inicialização do Web SDK
`key_id` da credencial	Sim	Cabeçalho `X-FTID-Signature`
Segredo HMAC	Não	Somente no gerenciador de segredos do seu backend
`event_context_token`	Não deve ir para logs nem analytics	Do navegador para o seu backend, e de lá para a API

Próximo passo: cadastro da empresa.