Sidik Jari Perangkat: Cara Kerja dan Penggunaan Didit untuk Mencegah Penipuan (ID)

Dua akun, dua nama, dua dokumen — tetapi ponsel yang sama, versi browser yang sama, GPU yang sama. Cookie telah dihapus, pendaftaran kedua dilakukan di jendela samaran, dan IP dirotasi melalui VPN. Bagi sebagian besar alur orientasi, itu terlihat seperti dua orang yang berbeda. Sidik jari perangkatlah yang memberi tahu Anda bahwa mereka tidak berbeda.

Posting ini menjelaskan apa itu sidik jari perangkat, bagaimana cara kerjanya, perbedaannya dengan cookie, dan bagaimana Didit menggunakannya di dalam Analisis Perangkat & IP untuk menangkap perangkat duplikat, jaringan penipuan, dan multi-akun selama verifikasi identitas — tanpa secara tidak sengaja menggabungkan pengguna yang tidak terkait.

Poin-poin Penting

• Sidik jari perangkat membangun pengenal yang stabil untuk suatu perangkat dari sinyal browser, perangkat keras, dan jaringannya — independen dari cookie, sehingga bertahan dari penghapusan penyimpanan, mode penyamaran, dan penginstalan ulang aplikasi.
• Ini adalah salah satu sinyal penipuan sentuhan pertama terkuat karena hal-hal yang membuat perangkat unik (GPU, layar, font, versi OS, keanehan sensor) sulit diubah dalam skala besar dan mahal bagi penipu untuk dipalsukan secara meyakinkan.
• Kasus penggunaan bernilai tinggi adalah mendeteksi perangkat yang sama di balik identitas yang berbeda: multi-akun, penyalahgunaan bonus dan rujukan, jaringan penipuan, identitas sintetis, dan orientasi money-mule.
• Didit menjalankan sidik jari perangkat secara otomatis di setiap sesi verifikasi sebagai bagian dari Analisis Perangkat & IP ($0,03), mengembalikan device_fingerprint, kecocokan perangkat duplikat, sinyal pemulihan kepercayaan tinggi, dan peringatan yang dapat dikonfigurasi yang dapat Anda sambungkan untuk menyetujui / meninjau / menolak.
• Didit memisahkan kecocokan tepat dari kecocokan yang dipulihkan dan menjaga terhadap tabrakan hash, sehingga Anda mendapatkan sinyal penipuan tanpa secara keliru menautkan perangkat kantor bersama atau WebView bersama.

Apa itu sidik jari perangkat?

Sidik jari perangkat adalah praktik mengidentifikasi perangkat — ponsel, laptop, atau tablet — dari kombinasi atribut yang diungkapkannya saat terhubung ke aplikasi Anda. Tidak ada satu atribut pun yang unik, tetapi kombinasi dari puluhan atribut (resolusi layar, model GPU, font yang terinstal, versi sistem operasi, zona waktu, bahasa, versi browser, keanehan rendering kanvas dan WebGL) cukup khas untuk mengenali perangkat yang sama lagi nanti.

Outputnya adalah sidik jari: pengenal stabil yang berasal dari sinyal-sinyal tersebut. Tidak seperti nama pengguna atau alamat email, pengguna tidak pernah memilihnya dan biasanya tidak tahu keberadaannya. Itulah mengapa ini berguna untuk pencegahan penipuan — penipu dapat menciptakan nama baru dan membeli dokumen curian baru, tetapi mereka sering kali menggunakan mesin yang sama.

Cara kerja sidik jari perangkat

Sidik jari terjadi di sisi klien: skrip kecil atau SDK berjalan di browser atau aplikasi seluler, membaca serangkaian sinyal, dan mengubahnya menjadi satu atau beberapa hash. Sinyal-sinyal tersebut biasanya termasuk dalam beberapa kategori.

Sinyal browser dan perangkat lunak

• String agen-pengguna, keluarga dan versi browser, plugin yang terinstal dan jenis MIME
• Bahasa, zona waktu, dan lokal
• Resolusi layar, kedalaman warna, font yang tersedia
• Urutan header HTTP dan karakteristik TLS

Sinyal perangkat keras dan rendering

• Model dan driver GPU, diekspos melalui WebGL
• Sidik jari kanvas — browser diminta untuk merender teks/grafik tersembunyi; perbedaan kecil pada GPU, driver, dan anti-aliasing menghasilkan hash gambar per perangkat
• Sidik jari AudioContext — tumpukan audio memproses sinyal sedikit berbeda per perangkat
• Kelas CPU, memori perangkat, baterai, dan keanehan sensor pada perangkat seluler

Sinyal jaringan dan perilaku (sering dipasangkan dengan sidik jari)

• Alamat IP, geolokasi, jenis koneksi, ASN
• Deteksi VPN / proxy / Tor / pusat data
• Secara opsional, petunjuk perilaku seperti irama pengetikan

Sinyal-sinyal tersebut digabungkan menjadi hash. Implementasi yang kuat menghasilkan lebih dari satu: pengenal perangkat persisten (stabil selama penyimpanan lokal bertahan), hash komposit (pengelompokan sinyal yang deterministik), dan vektor sinyal yang digunakan untuk memulihkan perangkat bahkan ketika ID persisten telah dihapus.

Sidik jari perangkat vs cookie

Cookie dan sidik jari perangkat sama-sama mengenali pengunjung yang kembali, tetapi cara kerjanya berbeda — dan perbedaan itulah mengapa tim penipuan mengandalkan sidik jari.

	Cookie	Sidik jari perangkat
Tempat tinggalnya	File yang disimpan browser di sisi klien	Berasal dari sinyal perangkat; data referensi disimpan di sisi server
Kontrol pengguna	Mudah dihapus atau diblokir	Tidak dapat dihapus begitu saja; bertahan dari penghapusan penyimpanan
Bertahan dalam mode penyamaran?	Tidak	Ya (sinyal pemulihan)
Bertahan dari penginstalan ulang?	Tidak	Seringkali ya
Tujuan utama	Sesi, preferensi, analitik	Mengenali perangkat di balik suatu identitas

Seorang penipu yang membuka 50 akun akan menghapus cookie, beralih ke mode penyamaran, atau menginstal ulang aplikasi di antara upaya. Cookie direset setiap kali; sidik jari perangkat yang baik terus menunjuk ke mesin yang sama.

Mengapa sidik jari perangkat penting untuk pencegahan penipuan

Sebagian besar penipuan tingkat akun memiliki satu ciri umum: satu perangkat di balik banyak identitas. Sidik jari mengungkapnya pada titik paling awal — pendaftaran atau orientasi — sebelum uang bergerak.

• Multi-akun — satu orang menjalankan banyak akun untuk menghindari batasan, larangan, atau aturan kelayakan.
• Penyalahgunaan bonus, rujukan, dan promosi — perangkat yang sama mengumpulkan bonus pendaftaran, uji coba gratis, atau pembayaran rujukan dengan nama yang berbeda.
• Jaringan penipuan — jaringan terkoordinasi yang mengoperasikan lusinan akun dari serangkaian perangkat atau infrastruktur bersama.
• Orientasi identitas sintetis — identitas palsu yang dibuat dalam jumlah besar, seringkali dari kumpulan perangkat kecil.
• Orientasi money-mule — banyak orang "berbeda" yang orientasi dari mesin yang sama.
• Pengambilalihan akun (ATO) — login atau peningkatan dari perangkat yang belum pernah dikaitkan dengan pengguna yang sah.

Mendeteksi pengaturan yang mencurigakan juga penting: mesin virtual, kerangka kerja otomatisasi, emulator, atau kombinasi sinyal yang tidak mungkin (agen-pengguna "seluler" dengan GPU desktop) adalah tanda bahaya itu sendiri.

Bagaimana Didit menggunakan sidik jari perangkat: Analisis Perangkat & IP

Didit menjalankan sidik jari perangkat secara otomatis di setiap sesi verifikasi sebagai bagian dari Analisis Perangkat & IP — menggabungkan sidik jari perangkat, pemulihan perangkat duplikat, intelijen IP, dan geolokasi menjadi satu permukaan risiko. Tidak ada integrasi terpisah yang perlu dibangun: SDK Web dan Seluler mengumpulkan sinyal secara in-band selama alur KYC yang dihosting, dan hasilnya mendarat di payload keputusan di bawah ip_analyses[].

Apa yang ditangkap Didit

Didit mengirimkan payload sidik jari v2 yang aman privasi dari klien verifikasi:

Sinyal	Untuk apa
ID perangkat persisten	Pengenal pihak pertama untuk deteksi perangkat yang sama persis selama penyimpanan tetap ada.
Hash komposit	Hash sinyal berkelompok yang stabil untuk pemeriksaan duplikat deterministik, dengan perlindungan tabrakan.
Vektor sinyal	Atribut perangkat dan browser/aplikasi yang di-vektor untuk pemulihan kepercayaan tinggi.
Konteks platform	Browser, OS, aplikasi, perangkat keras, WebGL/kanvas, media, lokal, zona waktu, dan sinyal integritas seluler.

Secara paralel, ini memperkaya koneksi: geolokasi IP, deteksi VPN / proxy / Tor / pusat data, pinning IP yang diharapkan opsional, dan pemeriksaan daftar blokir IP.

Model pencocokan

Bagian sulit dari sidik jari perangkat bukanlah menangkap penggunaan ulang yang jelas — melainkan menangkap penggunaan ulang setelah penipu mereset, tanpa secara keliru menautkan pengguna yang tidak bersalah yang kebetulan berbagi kumpulan WebView atau jaringan kantor. Didit memisahkan lapisan sehingga Anda dapat menyetel respons Anda dengan aman:

Lapisan	Apa yang dideteksinya	Sikap
ID persisten yang tepat	Identitas perangkat pihak pertama yang sama digunakan kembali dalam sesi pengguna lain.	Sinyal terkuat → DUPLICATED_DEVICE_FINGERPRINT.
Hash komposit	Hash perangkat deterministik yang sama di seluruh pengguna.	Dilindungi oleh deteksi tabrakan sehingga kumpulan browser/WebView umum ditekan.
Perangkat yang dipulihkan v2	ID persisten berubah, tetapi sinyal kaya cocok dengan perangkat sebelumnya dengan kepercayaan tinggi.	Konservatif → DEVICE_RECOVERED_HIGH_CONFIDENCE, hanya setelah melewati gerbang keras.
Penggunaan ulang IP	IP yang sama di seluruh pengguna.	Kontekstual — kantor bersama, rumah tangga, dan operator seluler bisa sah.

Lapisan pemulihan itulah yang menangkap trik penghapusan penyimpanan / penyamaran / penginstalan ulang: bahkan ketika ID persisten berubah, model v2 dapat menautkan sesi kembali ke perangkat yang pernah dilihatnya sebelumnya.

Peringatan yang Anda tindak lanjuti

Setiap entri dalam ip_analyses[] membawa device_fingerprint, merek/model/browser/OS perangkat, array matches[] sesi duplikat (dikelompokkan berdasarkan vendor_data sehingga pengguna yang sama tidak ditandai terhadap dirinya sendiri), dan serangkaian peringatan yang dapat dikonfigurasi:

Peringatan	Arti	Tindakan default
DUPLICATED_DEVICE_FINGERPRINT	Perangkat persisten yang sama digunakan kembali dengan identitas yang berbeda	Setujui (dapat dikonfigurasi)
DEVICE_RECOVERED_HIGH_CONFIDENCE	Perangkat dipulihkan setelah penyimpanan/incognito/instal ulang	Setujui (dapat dikonfigurasi)
DEVICE_FINGERPRINT_IN_BLOCKLIST	Perangkat cocok dengan daftar blokir Anda	Memaksa Penolakan
DUPLICATED_IP_ADDRESS	IP yang sama di seluruh pengguna	Setujui (dapat dikonfigurasi)
PRIVATE_NETWORK_DETECTED	VPN, proxy, atau Tor	Tinjau (dapat dikonfigurasi)
COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP	Negara dokumen ≠ negara IP	Tinjau (dapat dikonfigurasi)
EXPECTED_IP_ADDRESS_MISMATCH	IP Langsung ≠ IP yang Anda sematkan saat pembuatan sesi	Tolak (dapat dikonfigurasi)

Anda mengonfigurasi setiap kategori secara independen di Konsol Bisnis — menyetujui, mengarahkan ke peninjauan manual, atau menolak secara keras — dan menggunakan hasilnya melalui webhook, API keputusan, dasbor, atau PDF verifikasi. Lihat katalog peringatan lengkap.

Contoh yang dikerjakan

Berikut adalah keputusan Declined: daftar blokir IP yang terdeteksi, lalu lintas tertutup, dan perangkat yang digunakan kembali semuanya dalam satu sesi.

{
  "ip_analyses": [
    {
      "status": "Declined",
      "device_brand": "Generic",
      "device_model": "Linux PC",
      "browser_family": "Chrome",
      "device_fingerprint": "fp_re-used_a13c",
      "warnings": [
        { "risk": "IP_ADDRESS_IN_BLOCKLIST" },
        { "risk": "PRIVATE_NETWORK_DETECTED" },
        { "risk": "DUPLICATED_DEVICE_FINGERPRINT" }
      ],
      "matches": [
        {
          "match_type": "device_fingerprint",
          "matched_value": "fp_re-used_a13c",
          "device_info": { "brand": "Generic", "model": "Linux PC", "os": "Linux", "platform": "desktop" }
        }
      ]
    }
  ]
}

Perangkat tersebut sudah terdaftar di bawah vendor_data yang berbeda, lalu lintasnya tertutup, dan IP-nya ada di daftar blokir Anda — tiga alasan independen untuk menghentikan sesi sebelum menjadi akun.

Privasi dan kepatuhan

Sidik jari perangkat berada di dalam hukum privasi (GDPR, ePrivacy, dan rezim serupa memperlakukan pengenal perangkat sebagai data pribadi). Implementasi Didit dirancang agar aman privasi: ia mengumpulkan sidik jari untuk pencegahan penipuan — tujuan minat yang sah yang terkait dengan verifikasi yang sudah Anda jalankan — daripada untuk iklan lintas situs. Sinyal di-vektor dan di-hash, pencocokan diatur untuk menghindari penggabungan pengguna yang tidak terkait, dan seluruh fitur hanya berjalan dalam sesi verifikasi yang disetujui. Didit adalah satu-satunya penyedia identitas yang secara resmi diakui oleh pemerintah negara anggota UE (Tesoro / Banco de España / kotak pasir SEPBLAC Spanyol) sebagai lebih aman daripada verifikasi tatap muka.

Cara berintegrasi dengan Didit

Analisis Perangkat & IP bersifat sesi-saja — tidak ada endpoint mandiri yang harus dipanggil. Ini berjalan secara otomatis di setiap sesi:

1. (Opsional) Di Konsol Bisnis, atur tindakan mode ketat per risiko — mis. tolak pada VPN, tinjau pada perangkat duplikat, tolak pada ketidakcocokan negara-vs-dokumen.
2. Buat sesi — POST /v3/session/ dengan workflow_id, vendor_data (selalu kirim nilai per-pengguna yang stabil agar duplikasi dilingkup dengan benar), dan callback Anda.
3. Buka session.url untuk pengguna — SDK mengumpulkan sidik jari dan IP secara in-band.
4. Baca hasilnya — GET /v3/session/{sessionId}/decision/ atau berlangganan session.status.updated, dan parse ip_analyses[].

curl -X POST 'https://verification.didit.me/v3/session/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "workflow_id": "YOUR_WORKFLOW_ID",
    "vendor_data": "user-123",
    "callback": "https://yourapp.com/post-kyc"
  }'

Referensi lengkap: Ikhtisar Analisis Perangkat & IP, skema laporan, dan model data.

Pertanyaan yang sering diajukan

Berapa biaya sidik jari perangkat dengan Didit?

Ini adalah bagian dari Analisis Perangkat & IP dengan biaya $0,03 per pemeriksaan, dan ini berjalan di dalam sesi verifikasi — tidak ada integrasi terpisah. Didit juga memberi Anda 500 verifikasi gratis setiap bulan.

Bisakah penipu mengalahkan sidik jari perangkat?

Mereka mencoba — VM, browser anti-deteksi, agen pengguna palsu, reset penyimpanan. Didit mengatasi ini di dua sisi: model pemulihan menautkan kembali perangkat bahkan setelah ID persisten berubah, dan sinyal lalu lintas tertutup / pengaturan mencurigakan (VPN, Tor, IP pusat data, kombinasi sinyal yang tidak mungkin) ditampilkan sebagai peringatan mereka sendiri. Tidak ada satu sinyal pun yang menentukan, itulah sebabnya Didit mengembalikan serangkaian lapisan yang Anda gabungkan sesuai kebijakan Anda.

Apakah ini akan secara keliru menautkan dua pengguna yang tidak terkait?

Didit sengaja menjaga terhadap hal ini: hash komposit ditekan oleh pelindung tabrakan untuk kumpulan WebView/browser umum, kecocokan perangkat yang dipulihkan memerlukan gerbang kepercayaan tinggi, dan kecocokan dilingkup oleh vendor_data sehingga pengguna yang sama tidak pernah ditandai terhadap dirinya sendiri.

Apakah saya perlu menangani kasus di mana tidak ada sidik jari?

Ya — ip_analyses[] dapat kembali kosong jika pengguna memblokir skrip sidik jari SDK dengan ekstensi privasi atau pemblokir konten. Putuskan di awal apakah akan gagal-tertutup atau kembali ke sinyal risiko Anda yang lain.

Apakah ini berfungsi di seluler maupun web?

Ya. SDK Web dan Seluler keduanya mengumpulkan sidik jari v2, termasuk sinyal integritas seluler jika tersedia.

Siap untuk memulai?

Sidik jari perangkat adalah salah satu sinyal dalam permukaan penipuan Didit yang lebih luas — dipasangkan dengan intelijen IP, verifikasi dokumen, biometrik, dan penyaringan AML, semuanya dapat disusun dalam satu alur kerja.

• Pelajari fiturnya → Dokumen Analisis Perangkat & IP
• Lihat di platform → Verifikasi Pengguna
• Periksa harga → Harga — Analisis Perangkat & IP seharga $0,03, 500 verifikasi gratis/bulan
• Mulai gratis → business.didit.me