Guía de buenas prácticas de seguridad

Cuando está activa, esta opción comprueba si la persona parece estar registrada en la misma aplicación FACEIO. Si se detecta un duplicado, el registro se cancela y el código de error fioErrCode.FACE_DUPLICATION se devuelve a tu aplicación. La detección de duplicados es un resultado de reconocimiento, no una garantía de que se identifiquen todos los registros repetidos. Mantén esta opción activa cuando una persona deba corresponder a una cuenta o a un Facial ID en tu aplicación.

Cuando está activa, esta función ayuda a contrarrestar ataques de presentación con fotos, imágenes impresas, videos reproducidos, pantallas de teléfonos, máscaras e intentos de spoofing similares. Ninguna capa de detección debe considerarse una garantía independiente, por lo que tu aplicación debe decidir cómo gestionar sesiones sospechosas. Si se detecta un ataque de presentación, FACEIO genera el código de error fioErrCode.PAD_ATTACK para que tu backend pueda denegar el acceso, permitir un nuevo intento o enviar la sesión a revisión.

En la autenticación biométrica para sitios y aplicaciones móviles, la detección de vivacidad debe formar parte del recorrido del usuario y de la decisión de riesgo del backend. No trates un resultado anti-spoofing fallido como un error normal de inicio de sesión.

• Registra el evento en el servidor cuando afecte el acceso a la cuenta o la evaluación de fraude.
• Evita dar a los atacantes detalles sobre qué señal anti-spoofing falló.
• Usa webhooks y la supervisión de la aplicación para correlacionar fallos repetidos con actividad sospechosa de la cuenta.

Combina el anti-spoofing con restricciones de dominio, políticas de PIN, límites de solicitudes y una alternativa clara para los usuarios legítimos cuyas condiciones de cámara, iluminación o dispositivo requieran otro intento.

Cuando está activa, esta opción aplica el resultado de estimación de edad de FACEIO durante el registro y devuelve fioErrCode.MINORS_NOT_ALLOWED cuando el resultado queda por debajo del mínimo configurado. La estimación de edad es probabilística y no debe tratarse como una edad exacta ni como garantía de elegibilidad legal.

Activa esta configuración desde FACEIO Console ↗ solo cuando una estimación de edad sea una señal adecuada durante el registro. Los propietarios de la aplicación siguen siendo responsables de los avisos, el consentimiento, la revisión legal y cualquier comprobación separada de edad o elegibilidad.

Durante la autenticación, FACEIO puede pedir al usuario que confirme su PIN después de la verificación facial. Si esta opción está desactivada y la comparación facial es suficientemente clara según tu política configurada, la sesión puede continuar sin una solicitud adicional de PIN.

Si esta opción está activa, el usuario debe confirmar su PIN antes de que FACEIO complete la autenticación. Después de varios intentos inválidos, FACEIO cancela el flujo y devuelve el código de error correspondiente. Tu backend sigue siendo responsable del acceso, los límites de frecuencia y la recuperación de cuenta.

Durante el registro, cada usuario puede definir un PIN de al menos 4 y no más de 16 dígitos. Si se activa la unicidad del PIN, FACEIO rechaza un PIN que ya use otro usuario registrado en la misma aplicación. Esto reduce el riesgo de que un valor alternativo compartido se convierta en un punto débil del flujo de autenticación facial.

De forma predeterminada, los rostros ocultos, las capturas con poca iluminación y los rostros parcialmente cubiertos se descartan del proceso de reconocimiento. FACEIO solicita otro cuadro hasta detectar un rostro claramente visible. Mantén este comportamiento estricto en la autenticación biométrica de producción, salvo que tu aplicación tenga un motivo específico de accesibilidad u operación para flexibilizarlo.

Cuando está activa, esta opción impide instanciar fio.js si la solicitud del navegador no incluye un encabezado Origin ↗ o Referer ↗. Trátalo como un control básico contra solicitudes falsificadas o anómalas y usa restricciones de dominio para limitar dónde puede usarse el Public ID de tu aplicación.

Cuando está activa, esta opción limita la instanciación de fio.js a los nombres de dominio que autorices. Otros dominios no podrán usar el Public ID de tu aplicación para iniciar registros o autenticaciones de FACEIO. Configura la lista de dominios permitidos desde Application Manager ↗ antes del lanzamiento en producción.

Cuando está activa, esta opción limita la instanciación de fio.js a los países que definas. Úsala cuando tu servicio tenga límites geográficos o requisitos regionales. Configura los países permitidos con códigos ISO 3166-1 desde Application Manager ↗.