التحقق من الوصول إلى واجهة برمجة التطبيقات لمقدمي نماذج الذكاء الاصطناعي: بنية متعددة المستويات حسب المخاطر (AR)

الجزء الصعب في وضع التحقق من الهوية أمام واجهة برمجة تطبيقات الذكاء الاصطناعي ليس التحقق نفسه. بل هو تحديد من لا يراه أبدًا.

إذا أخطأت في الاتجاه الصارم، تكون قد فرضت ضريبة على كل مطور أراد تجربة نموذجك بعد ظهر يوم سبت — وهو الجمهور الذي أنفقت ميزانية نموك لاكتسابه. وإذا أخطأت في الاتجاه المتساهل، تكون قد بنيت نظام تحكم يتجنبه الأشخاص المهمون فقط.

هذه مشكلة معمارية، ولها إجابة محددة جيدًا: تحقق بناءً على المخاطر، وليس بناءً على السكان. يغطي هذا الدليل كيفية تقسيم الوصول إلى مستويات، وما الذي يجب أن يحفز الفحص في كل مستوى، ونقاط نهاية Didit التي تنفذ كل منها، وما تكلفته.

النقاط الرئيسية

• ينتمي التحقق إلى انتقالات الوصول — زيادة الحصص، منح الائتمان، إصدار مفاتيح جديدة، ترقيات المستوى — وليس عند التسجيل.
• أربعة مستويات تناسب معظم المنصات: مجهول / مجاني، خدمة ذاتية مدفوعة، حصص عالية أو ائتمان عالي، و مؤسسة أو بحث.
• تتصاعد التكلفة مع نسبة الوصول الذي تتحكم فيه فعليًا: 0.03 دولار لتحليل IP والجهاز، 0.33 دولار لحزمة الهوية الكاملة، 0.10 دولار لإعادة المصادقة البيومترية، بدءًا من 2.00 دولار للتحقق من الشركات.
• خدمة اعرف عميلك القابلة لإعادة الاستخدام مجانية — المطور الذي تم التحقق منه بالفعل على شبكة Didit يمر الفحص دون تكراره.
• تعد التنبيهات السلوكية من طبقة حركة المرور الخاصة بك أفضل المحفزات. الهوية هي الاستجابة، وليست الكاشف.
• العملية برمتها هي سير عمل، وليست جدارًا. قم بإنشائها في منظم سير العمل (Workflow Orchestrator) (مجاني) وقم بتغيير السياسة دون نشر التعليمات البرمجية.

مبدأ التصميم

كل قرار تحقق يوازن بين تكلفتين: الاحتكاك الذي تفرضه على المستخدمين الشرعيين والوصول الذي تمنحه لمستخدم غير متحقق منه. السياسة الثابتة لا تحسن أياً منهما - بل تأخذ الحد الأقصى من كليهما.

البديل هو جعل التحقق دالة لما يطلبه الحساب. المطور الذي يسحب 200 طلب مقابل نموذج عام بحد إنفاق 5 دولارات لا يشكل خطر استخلاص كبيرًا بغض النظر عن هويته. الحساب الذي تم إنشاؤه حديثًا والذي يطلب زيادة في الحصة بمقدار 50 ضعفًا، ويدفع بأداة ظهرت على تسعة حسابات أخرى هذا الأسبوع، من جهاز شاهده نظامك من قبل تحت مالك مختلف، هو اقتراح مختلف تمامًا - ويستحق ثلاثة وثلاثين سنتًا لمعرفة من هو.

تشير تخفيفات Anthropic المنشورة إلى هذا الاتجاه بالضبط. فبالإضافة إلى مصنفات الكشف وبصمات الأصابع السلوكية، تدرج الشركة "التحقق المعزز لحسابات التعليم والشركات الناشئة" - التحقق المستهدف لفئات وصول محددة بدلاً من تطبيقه على قاعدة المطورين بأكملها. هذا هو الشكل.

المستويات الأربعة

المستوى 0 — مجهول / مجاني

من: أي شخص سجل لتجربة النموذج.

التحقق: لا شيء. التحقق من البريد الإلكتروني على الأكثر.

لماذا: عدد السكان هائل، والقيمة لكل حساب للمهاجم محدودة بحدود معدلك، وأي احتكاك هنا هو ضريبة نمو مباشرة.

التكلفة: 0.03 دولار للتحقق من البريد الإلكتروني، أو صفر.

التحكم في هذا المستوى هو حد المعدل، وليس الهوية.

المستوى 1 — خدمة ذاتية مدفوعة

من: أي شخص قام بربط طريقة دفع وينفق.

التحقق: إشارات سلبية فقط — تحليل IP والجهاز بتكلفة 0.03 دولار.

لماذا: تريد الركيزة الرابطة بدون احتكاك. جمع إشارات الجهاز والشبكة في هذا المستوى يعني أنه عندما يتصاعد الحساب لاحقًا، أو عندما يقوم طبقة حركة المرور الخاصة بك بتحديدها، يكون لديك بالفعل بيانات الارتباط. تركيب ذلك بعد الحقيقة مستحيل.

التكلفة: 0.03 دولار لكل حساب، مرة واحدة.

هذا هو المستوى الأعلى تأثيرًا في التصميم بأكمله والذي يتم تخطيه غالبًا. الرموز التي تشتريها — DUPLICATED_DEVICE_FINGERPRINT، DEVICE_RECOVERED_HIGH_CONFIDENCE، DUPLICATED_IP_ADDRESS، AUTOMATION_FRAMEWORK_DETECTED — هي ما يجعل كل تحقيق لاحق ممكنًا.

المستوى 2 — حصص عالية / ائتمان عالي / وصول مقيد بالقدرات

من: الحسابات التي تطلب حدود معدل مرتفعة، أو منح ائتمان كبيرة، أو الوصول إلى مستويات قدرة تعتبرها حساسة.

التحقق: هوية كاملة — 0.33 دولار لوثيقة الهوية، والتحقق السلبي من الحيوية، ومطابقة الوجه، وتحليل IP.

لماذا: هذا هو المكان الذي تبدأ فيه اقتصاديات الاستخراج في العمل للمهاجم، وحيث يؤدي ربط الحساب بشخص يمكن تتبعه إلى تغيير حساباته.

التكلفة: 0.33 دولار لكل حساب تم التحقق منه. أول 500 عملية تحقق من اعرف عميلك شهريًا مجانية.

يتم تشغيل بحث الوجه 1:N تلقائيًا خلال خطوة التحقق من الحيوية هنا، لذلك فإن المستوى الأكثر أهمية هو أيضًا المستوى الذي تحصل فيه على الكشف عن التكرارات مجانًا.

المستوى 3 — المؤسسة، الشركات الكبرى، البحثية والتعليمية

من: الشركات والمختبرات والمؤسسات التي تطلب وصولًا على مستوى المنظمة، أو شروطًا مخصصة، أو الدخول إلى برامج البحث.

التحقق: التحقق من الشركات بدءًا من 2.00 دولار — البحث في السجل، الملاك المستفيدين النهائيين، المسؤولين، فحص الكيان، بالإضافة إلى فحص هوية مرتبط لكل مالك مستفيد.

لماذا: "هل هذه شركة حقيقية، ومن يتحكم فيها بالفعل" سؤال مختلف عن "هل هذا شخص حقيقي،" وفي هذا المستوى هو السؤال الصحيح. وهو أيضًا المستوى الذي تشتري فيه الكيانات الوهمية أكبر قدر من النفوذ لكل وحدة جهد.

التكلفة: بدءًا من 2.00 دولار لكل شركة؛ 0.20 دولار لكل مستند؛ 0.20 دولار لفحص الكيان.

ما الذي يجب أن يحفز الفحص

تصف المستويات من. تصف المحفزات متى. أفضل تصميمات المحفزات تعمل على الانتقالات وعلى الأدلة، وليس على التقويم.

انتقالات الوصول. زيادة الحصة، منح الائتمان، إصدار مفتاح API جديد، ترقية المستوى، الدفعة الأولى، إضافة عضو فريق بنطاق صلاحيات مرتفع.

تنبيهات سلوكية من طبقة حركة المرور الخاصة بك. هذا هو الأهم. الكشف الدلالي الخاص بك — سواء كان مصنفًا داخليًا أو شيئًا على شكل نهج التباين الأقصى للمتوسط في arXiv 2606.05725 — ينتج إشارة لا يمكن للبنية التحتية للهوية إنتاجها. أدخلها كمحفز. الهوية هي الاستجابة لهذا التنبيه، وليست بديلاً عنه.

إشارات الربط من تحقق سابق. الحساب الذي يحمل جهازه بالفعل DEVICE_RECOVERED_HIGH_CONFIDENCE، أو الذي تطابق وجهه مع مستخدم موثق موجود، قد حصل على ترقية بغض النظر عما يطلبه.

جغرافية السياسة. تغطي IP_LOCATION_NOT_ALLOWED و COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP القيود القضائية حيثما توجد.

أبدًا على مؤقت وحده. إعادة التحقق من الجميع ربع سنويًا يولد تكلفة واحتكاكًا يتناسبان مع قاعدة المستخدمين الخاصة بك ويتناسبان عكسيًا مع لا شيء.

ولكي نكون واضحين بشأن الحدود: لا شيء من هذا يمنع استخلاص النموذج. بنية الوصول الموثق تقلل من إخفاء الهوية، وتربط الحسابات بجهة فاعلة واحدة، وتجعل الحسابات التي تم إعادة إنشائها مكلفة — فهي لا تفحص المطالبات ولا يمكنها إخبارك بأن تدفق الطلبات يبدو وكأنه استخلاص. تعد ضوابط الإخراج على مستوى النموذج والكشف عن حركة المرور الدلالية طبقات منفصلة تبقى داخل مكدسك الخاص. هذه البنية تجعل تلك الطبقات أكثر قابلية للتنفيذ؛ ولا تحل محل أي منهما.

التطبيق

نقطة نهاية جلسة واحدة، سير عمل واحد لكل سياسة

كل مستوى تحقق هو جلسة مقابل نفس نقطة النهاية. يحدد سير العمل الفحوصات التي يتم تشغيلها.

curl -X POST 'https://verification.didit.me/v3/session/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "workflow_id": "YOUR_TIER2_WORKFLOW_ID",
    "vendor_data": "acct_8842",
    "callback": "https://yourplatform.example/verification/complete"
  }'

vendor_data هو معرف حسابك الخاص. حافظ على استقراره عبر كل جلسة لهذا الحساب — فهو ما يتيح لك ربط إعادة المصادقة البيومترية اللاحقة بالتحقق الأصلي، وهو ما يظهر في مطابقات بحث الوجه حتى تتمكن من ربط النتائج مباشرة بمعرفات الحساب.

تتضمن الاستجابة عنوان URL للجلسة الذي تعيد توجيه المطور إليه، أو يمكنك تضمين التدفق مباشرة باستخدام حزم SDK للويب، iOS، Android، React Native أو Flutter — وكلها مجانية.

تصل القرارات عبر الويب هوك

اشترك في session.status.updated واقرأ القرار:

curl -X GET 'https://verification.didit.me/v3/session/{sessionId}/decision/' \
  -H 'x-api-key: YOUR_API_KEY'

يحمل القرار النتائج لكل ميزة ورموز التحذير. قم بالتوجيه بناءً على التحذيرات بدلاً من الحالة العليا وحدها — يمكن الموافقة على جلسة وما زالت تحمل DUPLICATED_DEVICE_FINGERPRINT، وهي إشارة تريدها.

تكوين المستويات في منظم سير العمل

منظم سير العمل مجاني ومرئي. قم بإنشاء سير عمل واحد لكل مستوى، مع تفرع شرطي بحيث يمكن لسير عمل واحد أن يتصاعد — ابدأ بتحليل IP والجهاز، وتفرع إلى التحقق الكامل من المستندات عند إطلاق تحذير، وتفرع إلى التحقق من الأعمال عندما يعلن الحساب عن منظمة. تغيير السياسة هو تغيير في وحدة التحكم، وليس عملية نشر.

حافظ على المسار الموثوق به سريعًا

تعتبر آليتان مهمتين هنا.

خدمة اعرف عميلك القابلة لإعادة الاستخدام مجانية. المطور الذي أكمل التحقق بالفعل في مكان آخر على شبكة Didit يمكنه إتمام فحصك دون تكرار تدفق المستند والصورة الذاتية. بالنسبة لجمهور المطورين — الذي يميل نحو الأشخاص الذين قاموا بالتحقق في مكان ما من قبل — هذا يقلل بشكل ملموس الاحتكاك المحسوس.

القوائم البيضاء. تدعم واجهة برمجة تطبيقات القوائم القوائم البيضاء عبر جميع أنواع الإدخالات الـ 12. يمكن وضع الأجهزة الجيدة المعروفة، ونطاقات IP، والكيانات التجارية والمستخدمين في القائمة البيضاء بحيث لا يواجهون أبدًا خطوة تصعيد. يتم إصدار IP_ADDRESS_IN_ALLOWLIST و DEVICE_FINGERPRINT_IN_ALLOWLIST عند حدوث تطابق، حتى تتمكن من تأكيد تطبيق الإعفاء.

ما هي التكلفة في الممارسة العملية

الهدف من المستويات هو أن الفحوصات المكلفة تنطبق على جزء صغير من الحسابات. قد تشهد منصة بها 100,000 مطور مسجل شيئًا مثل:

المستوى	حصة الحسابات	الفحص	تكلفة الوحدة
مجاني	85%	لا شيء، أو بريد إلكتروني بتكلفة 0.03 دولار	0 – 0.03 دولار
خدمة ذاتية مدفوعة	12%	IP + الجهاز	0.03 دولار
حصة / ائتمان عالٍ	2.5%	حزمة هوية كاملة	0.33 دولار
منظمة / بحث	0.5%	التحقق من الأعمال	ابتداءً من 2.00 دولار

كل سعر أعلاه منشور، والدفع عند النجاح، ولا يوجد حد أدنى. يتم محاسبتك على الفحوصات الناجحة، لذا فإن التدفقات المهملة لا تكلفك شيئًا. أول 500 عملية تحقق من اعرف عميلك شهريًا مجانية.

التوزيع التوضيحي ليس معيارًا — سيختلف مزيجك. تظل النقطة الهيكلية قائمة بغض النظر عن ذلك: المستوى الأكثر تكلفة ينطبق على أقل عدد من الحسابات، والمستوى الذي ينطبق على أكبر عدد من الحسابات لا يكلف شيئًا.

حالات الاستخدام

مقدمو النماذج الرائدة الذين يقيدون تصعيد الحصص والدخول إلى برامج البحث مع ترك المستوى المجاني دون مساس.

مجمعات الاستدلال وواجهات برمجة التطبيقات التي تعيد بيع الوصول إلى النماذج وترث إساءة الاستخدام دون امتلاك ضوابط على مستوى النموذج — بالنسبة لهم، غالبًا ما تكون طبقة الوصول هي التحكم الوحيد الذي يمتلكونه بشكل واقعي.

منتجات الذكاء الاصطناعي للبرمجة والوكلاء التي تربط منح الائتمان وتمديدات التجربة بشخص تم التحقق منه، حيث تتشارك زراعة الائتمان والاستخراج نفس الآليات.

أسواق الذكاء الاصطناعي السحابية التي تتحقق من الكيان البائع ومالكيه المستفيدين قبل الإدراج.

الأسئلة الشائعة

أين يجب أن تكون خطوة التحقق بالضبط في التدفق؟

في لحظة منح الوصول، وليس عند التسجيل. دع المطور يسجل، يقرأ الوثائق، يحصل على مفتاح، ويجري مكالمات حقيقية. اطلب التحقق عندما يطلب شيئًا ينطوي على مخاطر. التحقق عند التسجيل يحول الأسوأ ويحمي الأقل.

ماذا يحدث للمطور الذي يرفض التحقق؟

هذه هي سياستك، والإجابة الصادقة هي أنه عادة لا ينبغي أن يكون حظرًا. احتفظ بهم في المستوى الذي يتأهلون له دون تحقق. الرفض إشارة، وليس حكمًا — الكثير من المطورين الشرعيين لا يرغبون ببساطة في تسليم مستند لمشروع هواية، ويجب أن يكونوا قادرين على الاستمرار في البناء في مستوى لا يكون فيه وصولهم ذا قيمة كبيرة للمهاجم.

هل يمكن تشغيل هذا دون إعادة توجيه المطور إلى صفحة مستضافة؟

نعم. تقوم حزم SDK للويب، iOS، Android، React Native و Flutter بتضمين التدفق في منتجك الخاص، ويزيل White Label (0.20 دولار) علامة Didit التجارية بالكامل. جميع حزم SDK مجانية.

كيف أتجنب التحقق من نفس الشخص مرتين؟

استخدم vendor_data مستقر لكل حساب، واعتمد على خدمة اعرف عميلك القابلة لإعادة الاستخدام — مجانية — حتى لا يكرر المطور الذي تم التحقق منه في مكان آخر على الشبكة التدفق. يخبرك بحث الوجه 1:N أيضًا عندما يتطابق تحقق جديد مع مستخدم موثق موجود، وهو إشارة لإلغاء التكرار وإشارة إساءة استخدام اعتمادًا على السياق.

هل ترى Didit مطالباتنا أو حركة المرور الخاصة بنا؟

لا. ترى Didit جلسة التحقق — المستند، الصورة الذاتية، إشارات الجهاز والشبكة لتلك الجلسة — ولا شيء عن حركة مرور واجهة برمجة التطبيقات الخاصة بك. يبقى الكشف الدلالي بالكامل داخل مكدسك. نقطة التكامل هي أن تنبيهك يصبح محفزًا لخطوة التحقق.

كم يستغرق الأمر برمته للمطور؟

يعود التحقق نفسه في أقل من ثانيتين بمجرد التقاط الصور. من البداية إلى النهاية، يستغرق تدفق المستند والصورة الذاتية عادة أقل من دقيقة، وخدمة اعرف عميلك القابلة لإعادة الاستخدام أسرع من ذلك.

هل أنت مستعد للبدء؟

قم ببناء هيكل المستويات مرة واحدة وعدل العتبات إلى الأبد بعد ذلك.

• اقرأ الوثائق — واجهة برمجة تطبيقات الجلسات، تحليل IP والجهاز، خدمة اعرف عميلك القابلة لإعادة الاستخدام وواجهة برمجة تطبيقات القوائم للقوائم البيضاء.
• شاهد المنتج — التحقق من المستخدمين والتحقق من الشركات.
• تحقق من الأسعار — كل وحدة مسعرة علنًا، لا يوجد حد أدنى.
• ابدأ مجانًا — business.didit.me. قم ببناء سير العمل، وقم بإجراء 500 عملية تحقق من اعرف عميلك شهريًا بدون تكلفة.