Acesso Verificado à API para Provedores de Modelos de IA: Uma Arquitetura por Níveis de Risco (PT-BR)

A parte difícil de colocar a verificação de identidade em uma API de IA não é a verificação em si. É decidir quem nunca a vê.

Se errar na direção restritiva, você sobrecarrega todo desenvolvedor que queria experimentar seu modelo em uma tarde de sábado — exatamente a população que você gastou seu orçamento de crescimento para adquirir. Se errar na direção permissiva, você constrói um controle que as pessoas que realmente importam contornam.

Este é um problema de arquitetura, e tem uma resposta razoavelmente bem definida: verifique com base no risco, não na população. Este guia aborda como escalar o acesso, o que deve acionar uma verificação em cada nível, quais endpoints da Didit implementam cada um e quanto custa.

Principais pontos

• A verificação pertence às transições de acesso — aumentos de cota, concessões de crédito, emissão de novas chaves, upgrades de nível — não no momento do cadastro.
• Quatro níveis funcionam para a maioria das plataformas: anônimo / gratuito, autoatendimento pago, alta cota ou alto crédito e organização ou pesquisa.
• O custo escala com a fração do acesso que você realmente controla: $0.03 para análise de IP e dispositivo, $0.33 para o pacote completo de identidade, $0.10 para reautenticação biométrica, a partir de $2.00 para verificação de negócios.
• KYC Reutilizável é grátis — um desenvolvedor já verificado na rede Didit passa por uma verificação sem repeti-la.
• Alertas comportamentais da sua própria camada de tráfego são os melhores gatilhos. A identidade é a resposta, não o detector.
• Tudo é um fluxo de trabalho, não uma barreira. Construa-o no Workflow Orchestrator (grátis) e altere a política sem precisar implementar código.

O princípio de design

Toda decisão de verificação negocia dois custos: o atrito imposto a usuários legítimos e o acesso concedido a um usuário não verificado. Uma política fixa não otimiza nenhum — ela assume o máximo de ambos.

A alternativa é fazer da verificação uma função do que a conta está solicitando. Um desenvolvedor que faz 200 requisições contra um modelo público com um limite de gastos de $5 não representa um risco significativo de extração, independentemente de quem seja. Uma conta recém-criada solicitando um aumento de cota de 50x, pagando com um instrumento que apareceu em nove outras contas esta semana, de um dispositivo que seu sistema já viu antes sob um proprietário diferente, é uma proposta totalmente diferente — e vale trinta e três centavos saber quem eles são.

As próprias mitigações publicadas da Anthropic apontam exatamente nessa direção. Além de classificadores de detecção e fingerprinting comportamental, a empresa lista “verificação reforçada para contas educacionais e de startups” — verificação direcionada a categorias de acesso específicas, em vez de aplicada a toda a base de desenvolvedores. Essa é a forma.

Os quatro níveis

Nível 0 — anônimo / gratuito

Quem: qualquer um que se cadastrou para experimentar o modelo.

Verificar: nada. Verificação de e-mail no máximo.

Por que: a população é enorme, o valor por conta para um atacante é limitado pelos seus limites de taxa, e qualquer atrito aqui é um imposto direto sobre o crescimento.

Custo: $0.03 para verificação de e-mail, ou zero.

O controle neste nível é o limite de taxa, não a identidade.

Nível 1 — autoatendimento pago

Quem: qualquer um que anexou um método de pagamento e está gastando.

Verificar: apenas sinais passivos — análise de IP e dispositivo a $0.03.

Por que: você quer o substrato de vinculação sem o atrito. Coletar sinais de dispositivo e rede neste nível significa que, quando uma conta escalar mais tarde, ou quando sua camada de tráfego a sinalizar, você já tem os dados de correlação. Retrofitar isso depois é impossível.

Custo: $0.03 por conta, uma vez.

Este é o nível de maior alavancagem em todo o design e o mais frequentemente ignorado. Os códigos que você está comprando — DUPLICATED_DEVICE_FINGERPRINT, DEVICE_RECOVERED_HIGH_CONFIDENCE, DUPLICATED_IP_ADDRESS, AUTOMATION_FRAMEWORK_DETECTED — são o que tornam toda investigação posterior possível.

Nível 2 — alta cota / alto crédito / acesso restrito a recursos

Quem: contas solicitando limites de taxa elevados, grandes concessões de crédito ou acesso a níveis de recursos que você considera sensíveis.

Verificar: identidade completa — $0.33 para documento de identidade, prova de vida passiva, correspondência facial e análise de IP.

Por que: é aqui que a economia de extração começa a funcionar para um atacante, e onde vincular a conta a uma pessoa atribuível muda seu cálculo.

Custo: $0.33 por conta verificada. As primeiras 500 verificações KYC a cada mês são gratuitas.

A Busca Facial 1:N é executada automaticamente durante a etapa de prova de vida aqui, então o nível que mais importa é também o nível onde você obtém detecção de duplicidade gratuitamente.

Nível 3 — organização, empresa, pesquisa e educação

Quem: empresas, laboratórios e instituições solicitando acesso em nível de organização, termos personalizados ou entrada em programas de pesquisa.

Verificar: verificação de negócios a partir de $2.00 — consulta de registro, proprietários beneficiários finais, diretores, triagem de entidade, além de uma verificação de identidade vinculada para cada proprietário beneficiário.

Por que: “esta é uma empresa real, e quem realmente a controla” é uma pergunta diferente de “esta é uma pessoa real”, e neste nível é a pergunta certa. É também o nível onde uma entidade de fachada obtém a maior alavancagem por unidade de esforço.

Custo: a partir de $2.00 por empresa; $0.20 por documento; $0.20 para triagem de entidade.

O que deve acionar uma verificação

Os níveis descrevem quem. Os gatilhos descrevem quando. Os melhores designs de gatilho são acionados por transições e evidências, não por calendário.

Transições de acesso. Aumento de cota, concessão de crédito, emissão de nova chave de API, upgrade de nível, primeiro pagamento, adição de um membro da equipe com escopo elevado.

Alertas comportamentais da sua própria camada de tráfego. Este é o importante. Sua detecção semântica — seja um classificador interno ou algo na forma da abordagem de máxima discrepância média em arXiv 2606.05725 — produz um sinal que a infraestrutura de identidade não pode. Use-o como um gatilho. A identidade é a resposta a esse alerta, não um substituto para ele.

Sinais de vinculação de uma verificação anterior. Uma conta cujo dispositivo já possui DEVICE_RECOVERED_HIGH_CONFIDENCE, ou cujo rosto correspondeu a um usuário verificado existente, merece um passo adicional, independentemente do que esteja solicitando.

Geografia da política. IP_LOCATION_NOT_ALLOWED e COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP cobrem restrições jurisdicionais onde você as possui.

Nunca apenas por um temporizador. Reverificar todos trimestralmente gera custo e atrito proporcionais à sua base de usuários e inversamente proporcionais a nada.

E para ser explícito sobre o limite: nada disso impede a extração de modelo. Uma arquitetura de acesso verificado reduz o anonimato, vincula contas a um único ator e torna as contas regeneradas caras — ela não inspeciona prompts e não pode dizer se um fluxo de requisições se parece com destilação. Controles de saída em nível de modelo e detecção de tráfego semântico são camadas separadas que permanecem dentro de sua própria stack. Esta arquitetura torna essas camadas mais acionáveis; ela não substitui nenhuma delas.

Implementação

Um endpoint de sessão, um fluxo de trabalho por política

Cada nível de verificação é uma sessão contra o mesmo endpoint. O fluxo de trabalho determina quais verificações são executadas.

curl -X POST 'https://verification.didit.me/v3/session/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "workflow_id": "YOUR_TIER2_WORKFLOW_ID",
    "vendor_data": "acct_8842",
    "callback": "https://yourplatform.example/verification/complete"
  }'

vendor_data é o seu próprio identificador de conta. Mantenha-o estável em todas as sessões para essa conta — é o que permite correlacionar uma reautenticação biométrica posterior à verificação original, e é o que aparece nas correspondências de Busca Facial para que você possa mapear os resultados diretamente para IDs de conta.

A resposta contém uma URL de sessão para a qual você redireciona o desenvolvedor, ou você incorpora o fluxo diretamente com os SDKs web, iOS, Android, React Native ou Flutter — todos gratuitos.

Decisões chegam por webhook

Assine session.status.updated e leia a decisão:

curl -X GET 'https://verification.didit.me/v3/session/{sessionId}/decision/' \
  -H 'x-api-key: YOUR_API_KEY'

A decisão contém os resultados por recurso e os códigos de aviso. Roteie com base nos avisos, em vez de apenas no status de nível superior — uma sessão pode ser aprovada e ainda conter DUPLICATED_DEVICE_FINGERPRINT, que é um sinal que você deseja.

Componha os níveis no Workflow Orchestrator

O Workflow Orchestrator é gratuito e visual. Crie um fluxo de trabalho por nível, com ramificações condicionais para que um único fluxo de trabalho possa escalar — comece com análise de IP e dispositivo, ramifique para verificação completa de documentos quando um aviso for acionado, ramifique para verificação de negócios quando a conta declarar uma organização. Alterar a política é uma mudança no console, não uma implementação.

Mantenha o caminho confiável rápido

Dois mecanismos importam aqui.

KYC Reutilizável é gratuito. Um desenvolvedor que já concluiu a verificação em outro lugar na rede Didit pode passar sua verificação sem repetir o fluxo de documentos e selfie. Para um público de desenvolvedores — que tende a ser composto por pessoas que já se verificaram antes — isso reduz materialmente o atrito sentido.

Listas de permissão. A API de Listas suporta listas de permissão em todos os 12 tipos de entrada. Dispositivos conhecidos e bons, faixas de IP, entidades comerciais e usuários podem ser adicionados à lista de permissão para que nunca passem por uma verificação adicional. IP_ADDRESS_IN_ALLOWLIST e DEVICE_FINGERPRINT_IN_ALLOWLIST são emitidos quando uma correspondência ocorre, para que você possa confirmar que a isenção foi aplicada.

O que isso custa na prática

O objetivo da segmentação por níveis é que as verificações caras se apliquem a uma pequena fração das contas. Uma plataforma com 100.000 desenvolvedores registrados pode ter algo como:

Nível	Compartilhamento de contas	Verificação	Custo unitário
Gratuito	85%	nenhum, ou e-mail a $0.03	$0 – $0.03
Autoatendimento pago	12%	IP + dispositivo	$0.03
Alta cota / crédito	2.5%	pacote completo de identidade	$0.33
Organização / pesquisa	0.5%	verificação de negócios	a partir de $2.00

Cada preço acima é publicado, pago por sucesso e não tem mínimo. Você é cobrado por verificações bem-sucedidas, então fluxos abandonados não custam. As primeiras 500 verificações KYC a cada mês são gratuitas.

A distribuição ilustrativa não é um benchmark — sua combinação será diferente. O ponto estrutural se mantém independentemente: o nível que mais custa se aplica ao menor número de contas, e o nível que se aplica à maioria das contas não custa nada.

Casos de uso

Provedores de modelos de fronteira controlando a escalada de cotas e a entrada em programas de pesquisa, enquanto deixam o nível gratuito intocado.

Agregadores de inferência e API que revendem acesso a modelos e herdam o abuso sem possuir os controles em nível de modelo — para eles, a camada de acesso é frequentemente o único controle que realisticamente possuem.

Produtos de IA para codificação e agentes vinculando concessões de crédito e extensões de teste a uma pessoa verificada, já que a "credit farming" e a extração compartilham a mesma mecânica.

Marketplaces de IA em nuvem verificando a entidade vendedora e seus beneficiários finais antes de listar.

Perguntas frequentes

Onde exatamente deve ficar a etapa de verificação no fluxo?

No momento da concessão do acesso, não no cadastro. Deixe o desenvolvedor se cadastrar, ler a documentação, obter uma chave e fazer chamadas reais. Peça verificação quando ele solicitar algo que envolva risco. A verificação no cadastro converte pior e protege menos.

O que acontece com um desenvolvedor que se recusa a verificar?

Essa é sua política, e a resposta honesta é que geralmente não deveria ser um banimento. Mantenha-o no nível para o qual ele se qualifica sem verificação. A recusa é um sinal, não um veredito — muitos desenvolvedores legítimos simplesmente não querem entregar um documento para um projeto de hobby, e eles devem ser capazes de continuar construindo em um nível onde seu acesso não vale muito para um atacante.

Isso pode funcionar sem redirecionar o desenvolvedor para uma página hospedada?

Sim. Os SDKs web, iOS, Android, React Native e Flutter incorporam o fluxo em seu próprio produto, e o White Label ($0.20) remove completamente a marca Didit. Todos os SDKs são gratuitos.

Como evito verificar a mesma pessoa duas vezes?

Use um vendor_data estável por conta e confie no KYC Reutilizável — gratuito — para que um desenvolvedor verificado em outro lugar da rede não precise repetir o fluxo. A Busca Facial 1:N também informa quando uma nova verificação corresponde a um usuário verificado existente, o que é um sinal de deduplicação e um sinal de abuso, dependendo do contexto.

A Didit vê nossos prompts ou nosso tráfego?

Não. A Didit vê a sessão de verificação — documento, selfie, sinais de dispositivo e rede para essa sessão — e nada sobre o tráfego da sua API. A detecção semântica permanece inteiramente dentro da sua stack. O ponto de integração é que seu alerta se torna um gatilho para uma etapa de verificação.

Quanto tempo leva todo o processo para o desenvolvedor?

A verificação em si retorna em menos de dois segundos assim que as imagens são capturadas. Do início ao fim, um fluxo de documento e selfie geralmente leva bem menos de um minuto, e o KYC Reutilizável é ainda mais rápido.

Pronto para começar?

Construa a estrutura de níveis uma vez e ajuste os limites para sempre.

• Leia a documentação — API de Sessões, Análise de IP e Dispositivo, KYC Reutilizável e a API de Listas para listas de permissão.
• Veja o produto — Verificação de Usuário e Verificação de Empresas.
• Verifique os preços — cada módulo tem preço público, sem mínimos.
• Comece grátis — business.didit.me. Construa o fluxo de trabalho, execute 500 verificações KYC por mês sem custo.