Capacidades suportadas e ativação

Toda empresa usa o mesmo fluxo de cadastro e integração. Um ambiente de produção no ar e uma aplicação de cliente ativa são fatos separados, e publicar esta documentação não cria nenhum dos dois.

Status em produção em 17/10/2026

Superfície	Status
Console do cliente, dash.fingertrackid.com	No ar. Entrada nominal com autenticador obrigatório. As telas leem os dados reais da sua empresa; Ciclo de vida do cliente ainda não envia nem lê solicitações (fale com o suporte) (telas do console)
E-mail de convite	No ar. Enviado em regime de melhor esforço quando uma conta é criada; a recuperação de senha da página de entrada é a alternativa
E-mail de recuperação de senha	No ar. Enviado pelo FingerTrackID a partir de `no-reply@fingertrackid.com`, no máximo um e-mail por endereço em cada janela fixa de 15 minutos
Solicitações de configuração gerenciada (aplicação, configuração da coleta, credencial de servidor, configuração do SDK, membros)	No ar. Enviadas pelo Início, normalmente aprovadas assim que são enviadas (registradas na trilha de auditoria e visíveis ao FingerTrackID, que pode cancelá-las ou revertê-las) e depois aplicadas automaticamente
Backoffice interno	No ar, só para operadores do FingerTrackID
API de avaliação assinada, `POST https://api.fingertrackid.com/v1/assessments`	No ar, em modo shadow (desde 08/10/2026). As respostas são apenas recomendações; o FingerTrackID nunca bloqueia, libera nem executa nada. No perfil gerenciado de produção atual, uma avaliação armazenada sem um `event_context_token` do navegador é `INCONCLUSIVE`, com `trust_score: null` e a recomendação gerenciada de fallback, nunca `COMPLETED`; a chamada ainda pode terminar num Problem operacional como `503`. Sua aplicação precisa da própria credencial de servidor instalada e da admissão ativa
Requisição com etiqueta `event-assessment-request.v1.1`	No ar (desde 13/10/2026). É o perfil recomendado para novas integrações (jornadas e etiquetas): um corpo v1.1 com a sua `tag` é aceito e respondido com `event-assessment.v1.1`. A requisição v1 não mudou e continua aceita
API de feedback de ação e desfecho	No ar junto com a API de avaliação assinada, no mesmo runtime assinado. Ela precisa das permissões de credencial `action:write` e `outcome:write`
Coleta do Web SDK	Implantada, só pelo domínio de coleta first-party registrado da sua empresa, `collect.<your-domain>`, depois que esse domínio estiver ativo para a sua aplicação. A operação dela de ponta a ponta a partir de uma página de cliente (uma coleta que vira um contexto de evento `COMPLETED` anexado a uma avaliação) ainda está sendo medida. Os primeiros números de latência, de uma aplicação e de uma amostra pequena (não é um SLA): `getEventContext` numa coleta aceita, 0,15 s na mediana; uma coleta iniciada no clique, 2,6 s na mediana (medido em produção). O pacote privado do SDK e os digests SHA-256/SHA-512 dele são baixados no console (instalação)
Distribuição pública do script do SDK (arquivos de script assinados servidos pelo FingerTrackID)	Não habilitada. O pacote privado incluído no bundle do seu frontend é a única forma de entrega
Webhooks de saída de avaliação	Não habilitados. Eles precisam de verificação de endpoint, credencial de saída e release próprios
Contexto do acesso no console	No ar (calculado durante a avaliação desde 17/10/2026). Os 54 itens de contexto são calculados dentro da avaliação, num orçamento de tempo curto: um item que não cabe nele fica sem dados e nunca desconta, e, se a etapa inteira falhar, em vez disso o contexto é calculado depois da avaliação, como antes, sem erro, e então não muda nada na nota desse acesso. O contexto muda a nota, a recomendação e a resposta só por meio das regras de contexto que a sua empresa tornou ativas; fora isso, ele é informativo. Os itens de conta precisam de `account_ref`, e o histórico de uma conta começa no primeiro evento que o traz (telas do console)
Busca pelo ID da sua empresa no console (Buscar titular ou conta pelo ID da sua empresa)	No ar para Administrador da empresa, Analista de risco e Supervisor de risco: uma busca exata e auditada dos acessos que o seu backend enviou com um determinado `subject_ref` ou `account_ref`. O ID nunca vai para o endereço da página (telas do console)
Regras de risco da empresa (desligadas, fantasma ou ativas, editadas em Configuração de risco)	No ar (desde 13/10/2026; regras de contexto podem estar ativas desde 17/10/2026). Qualquer regra, inclusive os 54 itens de contexto, pode ser publicada como ativa diretamente; uma regra fantasma é calculada e registrada, mas nunca muda a nota. Cada item de contexto dispara numa régua que a sua empresa ajusta, a partir do padrão do FingerTrackID. Medir o impacto antes de publicar é opcional. Só a sua empresa ativa uma regra; o FingerTrackID nunca faz isso, e, enquanto nenhuma regra estiver ativa, toda recomendação continua `MONITOR`. Evidência ausente, um timeout ou uma falha nunca recomendam bloqueio, e um bloqueio recomendado pelas suas próprias regras ativas continua sendo uma recomendação que o seu backend executa (telas do console)

Do que cada aplicação ainda precisa

O fato de uma capacidade estar no ar em produção não ativa a sua aplicação; cada aplicação é ativada separadamente:

Capacidade	Requisito de ativação para a sua aplicação
Acesso ao console	Conta nominal provisionada, e-mail verificado, senha, autenticador e vínculo vigente com a empresa. O FingerTrackID cria cada empresa e o primeiro administrador dela; não existe cadastro de empresa por autosserviço
Solicitações de configuração	A solicitação precisa chegar ao estado concluído; uma solicitação enviada ou aprovada não é um recurso criado
Configuração da coleta	O perfil gerenciado de observação web cooperativa, os artefatos de detector/política/admissão dele aplicados pelas etapas automáticas de configuração, o domínio exato que pertence a você, a prova de DNS/TLS e a conclusão nativa
API de avaliação	Uma requisição v1.1 com a sua própria `tag` (recomendada) ou uma requisição v1 com uma das jornadas `LOGIN`, `WITHDRAWAL`, `TRADE`; credencial instalada, admissão ativa e um release/política qualificado e ativo
Coleta no navegador	Arquivo privado aprovado do SDK e o host first-party, a origem e a chave pública exatos e ativos
Contexto do navegador ausente	`event_context_token: null` é uma entrada suportada, não uma promessa de sucesso, de nota nem de um status específico
Feedback	Capacidades de credencial `action:write` e `outcome:write`, efetivamente ativas
Exportações e Uso	Permissão vigente de conjunto de dados; as exportações são mascaradas e expiram, os números de uso são estimativas, não faturas
Recuperação de senha	Redefinição feita pelo provedor; seu autenticador atual continua obrigatório
Autenticador perdido	Recuperação separada, feita por operador com verificação de identidade; o acesso é bloqueado primeiro e só é restaurado depois de uma nova configuração

Uma credencial que ainda aguarda instalação segura não pode ser usada. Uma configuração aguardando revisão não está pronta. DNS válido não é coleta ativa, e uma política aprovada não é uma política ativa. Segurança, isolamento do verificador independente, retenção/descarte técnico, restauração e provas first-party continuam exigidos antes de dados reais.

Limites do contrato e da medição

Dois perfis de requisição compartilham a mesma rota e a mesma assinatura. O v1.1 nomeia o momento com a sua própria tag e é o perfil recomendado para novas integrações; o v1 mantém exatamente LOGIN, WITHDRAWAL e TRADE e continua suportado, sem mudança. A produção aceita os dois. Toda etiqueta é avaliada da mesma forma (jornadas e etiquetas).
A entrega do Web SDK como arquivo privado não implica um pacote público no npm nem uma CDN. A distribuição por script exige release, caminho e SRI exatos aprovados separadamente e não é a instalação padrão.
Não existe GET de consulta de avaliação; a reconciliação usa o mesmo POST original da avaliação.
Um sinal listado não é prova de um detector ativo. Um sinal sem avaliação, com avaliação desatualizada ou com falha é NOT_EVALUATED, nunca NOT_DETECTED.
A nota de confiança é um índice ordenado, não uma probabilidade de fraude medida. Nenhuma recomendação executa uma ação do cliente. Comece em SHADOW e mantenha as decisões que você já toma durante a validação.
A configuração gerenciada COOPERATIVE_WEB_SHADOW_V1 recomenda MONITOR e não alega detecção de fraude calibrada. Novos clientes de servidor gerenciados são admitidos no nível padrão, 5 requisições por segundo com rajada de 10; níveis maiores são solicitados no console (limites), e faixas mais amplas no schema não prometem vazão maior.
Estimativas de uso não são aceite comercial, preço, cota, SLA nem fatura.
O contrato OpenAPI disponível para download mantém a anotação histórica de implementação planned e o servidor de exemplo. Eles não são evidência de disponibilidade no ar nem de uma origem de API emitida.

Comece pelo cadastro da empresa e pela entrega ao desenvolvedor. Dúvidas: contato@fingertrackid.com.