Acesso Verificado à API para Fornecedores de Modelos de IA: Uma Arquitetura por Níveis de Risco (PT-PT)

A parte difícil de colocar a verificação de identidade à frente de uma API de IA não é a verificação. É decidir quem nunca vê uma.

Se errar na direção estrita, sobrecarregou todos os programadores que queriam experimentar o seu modelo numa tarde de sábado — a população exata que gastou o seu orçamento de crescimento a adquirir. Se errar na direção permissiva, construiu um controlo que as únicas pessoas que importam contornam.

Este é um problema de arquitetura, e tem uma resposta razoavelmente bem definida: verificar com base no risco, não na população. Este guia aborda como categorizar o acesso, o que deve acionar uma verificação em cada nível, quais os endpoints da Didit que implementam cada um e qual o custo.

Principais conclusões

• A verificação deve ser feita nas transições de acesso — aumentos de quota, concessões de crédito, emissão de novas chaves, atualizações de nível — e não no momento da inscrição.
• Quatro níveis funcionam para a maioria das plataformas: anónimo / gratuito, autoatendimento pago, quota alta ou crédito alto e organização ou pesquisa.
• O custo escala com a fração do acesso que realmente controla: 0,03 $ para análise de IP e dispositivo, 0,33 $ para o pacote de identidade completo, 0,10 $ para reautenticação biométrica, a partir de 2,00 $ para verificação de negócios.
• O KYC reutilizável é gratuito — um programador já verificado na rede Didit conclui uma verificação sem a repetir.
• Os alertas comportamentais da sua própria camada de tráfego são os melhores acionadores. A identidade é a resposta, não o detetor.
• Tudo é um fluxo de trabalho, não uma barreira. Construa-o no Workflow Orchestrator (gratuito) e altere a política sem ter de implementar código.

O princípio de design

Cada decisão de verificação troca dois custos: o atrito que impõe aos utilizadores legítimos e o acesso que concede a um utilizador não verificado. Uma política única não otimiza nenhum — assume o máximo de ambos.

A alternativa é fazer da verificação uma função do que a conta está a pedir. Um programador a fazer 200 pedidos contra um modelo público com um limite de gastos de 5 $ não representa um risco de extração significativo, independentemente de quem seja. Uma conta recém-criada a solicitar um aumento de quota de 50×, a pagar com um instrumento que apareceu em nove outras contas esta semana, de um dispositivo que o seu sistema já viu antes com um proprietário diferente, é uma proposta totalmente diferente — e vale trinta e três cêntimos saber quem é.

As mitigações publicadas pela própria Anthropic apontam exatamente nesta direção. Além de classificadores de deteção e impressão digital comportamental, a empresa lista “verificação reforçada para contas educacionais e de startups” — verificação direcionada a categorias de acesso específicas, em vez de aplicada a toda a base de programadores. Essa é a forma.

Os quatro níveis

Nível 0 — anónimo / gratuito

Quem: qualquer pessoa que se inscreveu para experimentar o modelo.

Verificar: nada. Verificação de e-mail no máximo.

Porquê: a população é enorme, o valor por conta para um atacante é limitado pelos seus limites de taxa, e qualquer atrito aqui é um imposto direto sobre o crescimento.

Custo: 0,03 $ para verificação de e-mail, ou zero.

O controlo neste nível é o limite de taxa, não a identidade.

Nível 1 — autoatendimento pago

Quem: qualquer pessoa que tenha associado um método de pagamento e esteja a gastar.

Verificar: apenas sinais passivos — análise de IP e dispositivo a 0,03 $.

Porquê: deseja o substrato de ligação sem o atrito. A recolha de sinais de dispositivo e rede neste nível significa que, quando uma conta escalar mais tarde, ou quando a sua camada de tráfego a sinalizar, já tem os dados de correlação. Retrofazer isso depois é impossível.

Custo: 0,03 $ por conta, uma vez.

Este é o nível de maior alavancagem em todo o design e o mais frequentemente ignorado. Os códigos que está a comprar — DUPLICATED_DEVICE_FINGERPRINT, DEVICE_RECOVERED_HIGH_CONFIDENCE, DUPLICATED_IP_ADDRESS, AUTOMATION_FRAMEWORK_DETECTED — são o que tornam possível cada investigação posterior.

Nível 2 — quota alta / crédito alto / acesso restrito por capacidade

Quem: contas que solicitam limites de taxa elevados, grandes concessões de crédito ou acesso a níveis de capacidade que considera sensíveis.

Verificar: identidade completa — 0,33 $ para documento de identificação, vivacidade passiva, correspondência facial e análise de IP.

Porquê: é aqui que a economia de extração começa a funcionar para um atacante, e onde a vinculação da conta a uma pessoa atribuível altera o seu cálculo.

Custo: 0,33 $ por conta verificada. As primeiras 500 verificações KYC por mês são gratuitas.

A pesquisa facial 1:N é executada automaticamente durante a etapa de vivacidade aqui, então o nível que mais importa é também o nível onde obtém deteção de duplicados gratuitamente.

Nível 3 — organização, empresa, pesquisa e educação

Quem: empresas, laboratórios e instituições que solicitam acesso a nível de organização, termos personalizados ou entrada em programas de pesquisa.

Verificar: verificação de negócios a partir de 2,00 $ — pesquisa de registo, beneficiários efetivos, diretores, triagem de entidades, mais uma verificação de identidade ligada para cada beneficiário efetivo.

Porquê: “Esta é uma empresa real e quem a controla realmente” é uma questão diferente de “Esta é uma pessoa real”, e neste nível é a correta. É também o nível onde uma entidade fictícia obtém a maior alavancagem por unidade de esforço.

Custo: a partir de 2,00 $ por empresa; 0,20 $ por documento; 0,20 $ para triagem de entidades.

O que deve acionar uma verificação

Os níveis descrevem quem. Os acionadores descrevem quando. Os melhores designs de acionadores disparam em transições e em evidências, não no calendário.

Transições de acesso. Aumento de quota, concessão de crédito, emissão de nova chave de API, atualização de nível, primeiro pagamento, adição de um membro da equipa com âmbito elevado.

Alertas comportamentais da sua própria camada de tráfego. Este é o importante. A sua deteção semântica — seja um classificador interno ou algo na forma da abordagem de máxima discrepância média em arXiv 2606.05725 — produz um sinal que a infraestrutura de identidade não consegue. Alimente-o como um acionador. A identidade é a resposta a esse alerta, não um substituto para ele.

Sinais de ligação de uma verificação anterior. Uma conta cujo dispositivo já possui DEVICE_RECOVERED_HIGH_CONFIDENCE, ou cujo rosto corresponde a um utilizador verificado existente, ganhou um passo em frente, independentemente do que está a pedir.

Geografia da política. IP_LOCATION_NOT_ALLOWED e COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP cobrem restrições jurisdicionais onde as tem.

Nunca apenas por um temporizador. Reverificar todos trimestralmente gera custos e atrito proporcionais à sua base de utilizadores e inversamente proporcionais a nada.

E para ser explícito sobre o limite: nada disto impede a extração de modelos. Uma arquitetura de acesso verificado reduz o anonimato, liga contas a um único ator e torna as contas regeneradas caras — não inspeciona pedidos e não consegue dizer se um fluxo de pedidos parece uma destilação. Os controlos de saída a nível de modelo e a deteção de tráfego semântico são camadas separadas que permanecem dentro da sua própria stack. Esta arquitetura torna essas camadas mais acionáveis; não substitui nenhuma delas.

Implementação

Um endpoint de sessão, um fluxo de trabalho por política

Cada nível de verificação é uma sessão contra o mesmo endpoint. O fluxo de trabalho determina quais as verificações que são executadas.

curl -X POST 'https://verification.didit.me/v3/session/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "workflow_id": "YOUR_TIER2_WORKFLOW_ID",
    "vendor_data": "acct_8842",
    "callback": "https://yourplatform.example/verification/complete"
  }'

vendor_data é o seu próprio identificador de conta. Mantenha-o estável em todas as sessões para essa conta — é o que lhe permite correlacionar uma reautenticação biométrica posterior com a verificação original, e é o que aparece nas correspondências de pesquisa facial para que possa mapear os resultados diretamente para os IDs das contas.

A resposta contém um URL de sessão para o qual redireciona o programador, ou incorpora o fluxo diretamente com os SDKs da web, iOS, Android, React Native ou Flutter — todos gratuitos.

As decisões chegam por webhook

Subscreva session.status.updated e leia a decisão:

curl -X GET 'https://verification.didit.me/v3/session/{sessionId}/decision/' \
  -H 'x-api-key: YOUR_API_KEY'

A decisão contém os resultados por funcionalidade e os códigos de aviso. Direcione com base nos avisos, em vez de apenas no status de nível superior — uma sessão pode ser aprovada e ainda conter DUPLICATED_DEVICE_FINGERPRINT, que é um sinal que deseja.

Componha os níveis no Workflow Orchestrator

O Workflow Orchestrator é gratuito e visual. Crie um fluxo de trabalho por nível, com ramificação condicional para que um único fluxo de trabalho possa escalar — comece com a análise de IP e dispositivo, ramifique para a verificação completa de documentos quando um aviso é acionado, ramifique para a verificação de negócios quando a conta declara uma organização. Alterar a política é uma alteração na consola, não uma implementação.

Mantenha o caminho confiável rápido

Dois mecanismos importam aqui.

O KYC reutilizável é gratuito. Um programador que já concluiu a verificação noutro local da rede Didit pode passar na sua verificação sem ter de repetir o fluxo de documentos e selfie. Para um público de programadores — que tende a ser composto por pessoas que já verificaram noutro local — isso reduz materialmente o atrito sentido.

Listas de permissões. A API de Listas suporta listas de permissões em todos os 12 tipos de entrada. Dispositivos, gamas de IP, entidades comerciais e utilizadores conhecidos como bons podem ser adicionados à lista de permissões para que nunca vejam um passo adicional. IP_ADDRESS_IN_ALLOWLIST e DEVICE_FINGERPRINT_IN_ALLOWLIST são emitidos quando ocorre uma correspondência, para que possa confirmar que a isenção foi aplicada.

Quanto custa isto na prática

O objetivo da categorização é que as verificações caras se apliquem a uma pequena fração das contas. Uma plataforma com 100.000 programadores registados pode ter algo como:

Nível	Quota de contas	Verificação	Custo unitário
Gratuito	85%	nenhuma, ou e-mail a 0,03 $	0 $ – 0,03 $
Autoatendimento pago	12%	IP + dispositivo	0,03 $
Quota / crédito alto	2,5%	pacote de identidade completo	0,33 $
Organização / pesquisa	0,5%	verificação de negócios	a partir de 2,00 $

Todos os preços acima são publicados, pagos por sucesso e sem mínimos. É faturado apenas por verificações bem-sucedidas, pelo que os fluxos abandonados não lhe custam. As primeiras 500 verificações KYC por mês são gratuitas.

A distribuição ilustrativa não é uma referência — a sua combinação será diferente. O ponto estrutural mantém-se, independentemente: o nível que mais custa aplica-se ao menor número de contas, e o nível que se aplica ao maior número de contas não custa nada.

Casos de uso

Fornecedores de modelos de ponta que limitam a escalada de quotas e a entrada em programas de pesquisa, mantendo o nível gratuito intocado.

Agregadores de inferência e API que revendem o acesso a modelos e herdam o abuso sem possuir os controlos a nível de modelo — para eles, a camada de acesso é muitas vezes o único controlo que realisticamente têm.

Produtos de codificação e agente de IA que vinculam concessões de crédito e extensões de teste a uma pessoa verificada, uma vez que a agricultura de crédito e a extração partilham a mesma mecânica.

Mercados de IA na nuvem que verificam a entidade vendedora e os seus beneficiários efetivos antes de a listar.

Perguntas frequentes

Onde exatamente deve o passo de verificação ficar no fluxo?

No momento da concessão do acesso, não na inscrição. Deixe o programador inscrever-se, ler a documentação, obter uma chave e fazer chamadas reais. Peça verificação quando ele pedir algo que acarrete risco. A verificação na inscrição converte pior e protege menos.

O que acontece a um programador que se recusa a verificar?

Essa é a sua política, e a resposta honesta é que geralmente não deve ser uma proibição. Mantenha-o no nível para o qual se qualifica sem verificação. A recusa é um sinal, não um veredicto — muitos programadores legítimos simplesmente não querem entregar um documento para um projeto de hobby, e devem ser capazes de continuar a construir num nível onde o seu acesso não vale muito para um atacante.

Isto pode ser executado sem redirecionar o programador para uma página alojada?

Sim. Os SDKs da web, iOS, Android, React Native e Flutter incorporam o fluxo no seu próprio produto, e o White Label (0,20 $) remove completamente a marca Didit. Todos os SDKs são gratuitos.

Como evito verificar a mesma pessoa duas vezes?

Utilize um vendor_data estável por conta e confie no KYC Reutilizável — gratuito — para que um programador verificado noutro local da rede não repita o fluxo. A Pesquisa Facial 1:N também lhe diz quando uma nova verificação corresponde a um utilizador verificado existente, o que é um sinal de deduplicação e um sinal de abuso, dependendo do contexto.

A Didit vê os nossos pedidos ou o nosso tráfego?

Não. A Didit vê a sessão de verificação — documento, selfie, sinais de dispositivo e rede para essa sessão — e nada sobre o seu tráfego de API. A deteção semântica permanece inteiramente dentro da sua stack. O ponto de integração é que o seu alerta se torna um acionador para uma etapa de verificação.

Quanto tempo leva todo o processo para o programador?

A verificação em si retorna em menos de dois segundos, uma vez que as imagens são capturadas. Do início ao fim, um fluxo de documento e selfie geralmente leva bem menos de um minuto, e o KYC Reutilizável é ainda mais rápido.

Pronto para começar?

Construa a estrutura de níveis uma vez e ajuste os limiares para sempre.

• Leia a documentação — API de Sessões, Análise de IP e Dispositivo, KYC Reutilizável e a API de Listas para listas de permissões.
• Veja o produto — Verificação de Utilizador e Verificação de Negócios.
• Verifique os preços — cada módulo tem o preço publicamente, sem mínimos.
• Comece gratuitamente — business.didit.me. Construa o fluxo de trabalho, execute 500 verificações KYC por mês sem custo.