Checklist da API de autenticação facial para produção

Use este checklist para integrar os resultados de autenticação da FACEIO ao backend, vinculá-los à conta correta e evitar que o estado do navegador controle o acesso.

Voltar à Central de Conhecimento
FACEIO Engineering Team Atualizado

O widget autentica; o backend decide o acesso

A FACEIO conduz o fluxo de autenticação no navegador, mas o JavaScript não deve decidir o acesso. Seu backend deve associar o Facial ID retornado à conta esperada, validar o estado da conta e o contexto da solicitação e decidir qual acesso conceder.

O SDK fio.js realiza a captura da câmera, as verificações de liveness e a autenticação facial no navegador. O resultado retorna ao frontend, mas não representa uma decisão final de autorização. O backend deve aplicar as regras de conta, sessão e acesso.

Este checklist trata das decisões de API e segurança para autenticação facial em aplicações web. Para implementar a interface, consulte o guia de integração. Para entender o escopo do produto, veja a página da API de autenticação facial.

Checklist de autenticação no servidor

Antes de emitir uma sessão, aplique estas verificações no servidor:

  • Não inclua API keys privadas no frontend, em pacotes móveis ou repositórios públicos. O navegador usa o App ID público; a API key permanece no servidor.
  • Use CHECKFACIALID no backend quando precisar confirmar que um Facial ID continua registrado. Esse endpoint não autentica um callback específico do navegador.
  • Associe o resultado à conta, ao tenant e ao contexto esperados. Não trate um ID de usuário enviado pelo cliente como definitivo.
  • Use a confirmação por PIN quando sua política exigir um fator adicional. Consulte Always Ask for PIN e SETFACIALIDPINCODE para configurar a política e administrá-la no backend.
  • Registre eventos de autenticação concluídos e falhos com o contexto necessário para análise, sem armazenar mídia de verificação, capturas faciais ou hashes biométricos.
  • Defina regras de nova tentativa, acesso alternativo, bloqueio e revisão manual para verificações malsucedidas.
  • Limite as tentativas por IP e Facial ID para reduzir capturas repetidas e abuso automatizado.

Vínculo de sessão e emissão de tokens

Depois de validar o estado da conta e o contexto da solicitação, o backend pode emitir uma sessão. Vincule-a à conta associada ao Facial ID retornado, não a um identificador enviado pelo navegador:

Vincule a sessão ao Facial ID

Localize a conta associada ao Facial ID retornado. Não trate um ID de usuário enviado pelo navegador como definitivo.

Tokens de curta duração

Emita tokens de sessão de curta duração. Para ações que exigem segurança adicional, solicite nova autenticação facial ou um método alternativo em vez de depender de uma sessão prolongada.

Trilha de auditoria

Registre data e hora, Facial ID, App ID e resultado. Esse histórico permite revisar acessos e casos de suporte sem armazenar mídia de verificação.

Erros comuns de integração

Confiar no estado do cliente

Não permita que um callback concluído no frontend selecione uma conta ou conceda acesso sozinho. Associe o Facial ID no backend e aplique suas regras de sessão, tenant e autorização.

Não vincular a sessão

Um resultado de autenticação concluído ainda deve ser associado à conta e à ação solicitada. Vincule a sessão no backend em vez de aceitar um identificador enviado pelo navegador.

Não registrar métricas operacionais

Acompanhe cadastros concluídos, autenticações, falhas de câmera, novas tentativas e intervenções de suporte. Essas métricas ajudam a distinguir problemas de implantação e de produto.

Expor a API key

A API key é um segredo do servidor. Se aparecer no frontend, em um repositório público ou pacote móvel, faça a rotação imediatamente na FACEIO Console.

Recursos para integrar a API

Use estes recursos da FACEIO para configurar fio.js, administrar Facial IDs e webhooks, proteger API keys e preparar o fluxo de contas para produção.

Primeiros passos Crie uma aplicação e prepare as chaves da integração. Guia de integração Implemente a captura e a autenticação no navegador. Guias para desenvolvedores Aplique controles do servidor e as orientações de implantação em produção. REST API Administre Facial IDs, PIN, payloads, exclusão e verificações do backend. Webhooks Receba eventos de cadastro, autenticação e conta no servidor. FACEIO Console Crie aplicações, configure a API e prepare a implantação.

Perguntas frequentes

Como o servidor deve tratar o resultado de autenticação do cliente?

O navegador está sob controle do usuário. Trate o resultado de fio.js como entrada, associe o Facial ID à conta esperada no backend, valide a conta e o contexto da solicitação e decida se emitirá uma sessão. Use CHECKFACIALID para confirmar que um Facial ID continua registrado; ele não autentica um callback específico do navegador.

Onde devo armazenar a API key da FACEIO?

Armazene-a somente no servidor, de preferência em uma variável de ambiente ou gerenciador de segredos. Não a inclua no frontend, em pacotes móveis ou repositórios públicos. O App ID público pode ser usado no navegador; a API key não.

Quais dados devo registrar em um evento de autenticação?

Registre data e hora, Facial ID, resultado, App ID e o contexto necessário para análise. Não registre mídia de verificação, capturas faciais nem hashes biométricos. Consulte os guias de segurança e privacidade.

Qual é a diferença entre este checklist e o checklist de lançamento?

O checklist de lançamento cobre UX, consentimento, privacidade e etapas de implantação. Este checklist da API se concentra em controles de conta no servidor, vínculo de sessão, API keys e decisões posteriores à autenticação.

Guias relacionados

Prepare uma integração segura da API

Para autenticar contas, use o fluxo do SDK da FACEIO, mantenha as API keys privadas no backend, associe Facial IDs às suas contas e aplique controles de sessão no servidor. Para comparar duas imagens faciais sem cadastro, consulte a API de verificação facial online.

Abrir FACEIO Console Abrir guias para desenvolvedores