Usambazaji wa Orodha Haramu: Kufanya Kisa Kimoja cha Matumizi Mabaya Kudhoofisha Mtandao Mzima (SW)

Kuna wakati maalum ambapo programu nyingi za matumizi mabaya huvuja thamani: wakati baada ya wewe kushinda.

Kifaa chako cha trafiki huweka alama kwenye akaunti. Mchambuzi huchunguza. Ushahidi ni thabiti, kesi imethibitishwa, akaunti imezuiwa. Kisha, saa kadhaa baadaye, mwendeshaji yuleyule anarudi na akaunti mpya, kwa sababu kitu pekee ambacho utekelezaji wako uligusa kilikuwa safu katika jedwali la watumiaji.

Anthropic ilielezea hali hii hasa katika ripoti yake ya Februari 2026 kuhusu kampeni za uondoaji — mtandao mbadala ambao "ulisimamia zaidi ya akaunti 20,000 za ulaghai kwa wakati mmoja," ukizibadilisha zilipoondolewa. Kuondoa hakukuwa kizuizi. Kuzalisha upya kulikuwa nafuu kuliko kuondoa.

Suluhisho ni kufanya utekelezaji utumie vitambulisho badala ya akaunti. API ya Orodha ya Didit imeundwa kuzunguka utaratibu mmoja unaofanya hivi kwa simu moja.

Mambo muhimu ya kuzingatia

• Kuzuia na reference_session_id hufanya Didit kuchomoa kiotomatiki thamani sahihi kutoka kikao — uso, hati, simu, barua pepe, IP au kifaa — kuweka alama kwenye mfumo mkuu kama uliokatazwa, na kuunganisha kiingilio hicho na kikao chanzo.
• Aina 12 za viingilio: face, document, phone, email, ip_address, device_fingerprint, wallet_address, bank_account, user, business, country, key.
• Orodha zilizokatazwa huundwa na mfumo, moja kwa kila aina ya kiingilio, na haziwezi kubadilishwa. Huwezi kuziunda, na ndiyo maana utekelezaji unakuwa sawa.
• Viingilio huanza kutumika mara moja wakati wa uthibitishaji. Kufuta kiingilio huondoa kizuizi cha mechi.
• ip_address inakubali masafa ya CIDR, kwa hivyo unaweza kuzuia miundombinu badala ya anwani moja.
• Orodha za kuruhusu kwenye aina 12 sawa huweka watengenezaji wanaoaminika nje ya kila njia ya kuongezeka.

Aina mbili za orodha muhimu

API ina aina tatu za orodha, na tofauti kati yao ni ya makusudi.

Orodha zilizokatazwa huundwa na mfumo — moja kwa kila aina ya kiingilio — na haziwezi kubadilishwa. Huwezi kuziunda, kuzipa jina jipya, au kuzifuta. Unaongeza na kuondoa viingilio. Kikwazo hicho ni kipengele: inamaanisha "kilichokatazwa" kina maana moja tu katika shirika lako, na hakuna njia ya kuishia na orodha nne zinazoshindana za nyuso zilizokatazwa ambazo huduma tofauti huangalia kwa kutofautiana.

Orodha za kuruhusu ni zako kuunda. Vifaa vinavyojulikana kuwa vizuri, safu za anwani, vyombo vya biashara na watumiaji huenda hapa.

Orodha maalum ni kwa ajili ya kila kitu kingine — taxonomies zako mwenyewe, vikundi vya kutazama, vikundi vya ukaguzi.

# Tafuta orodha ya nyuso zilizokatazwa
curl -X GET 'https://verification.didit.me/v3/lists/?list_type=blocklist&entry_type=face' \
  -H 'x-api-key: YOUR_API_KEY'

Utaratibu muhimu

Hii ndiyo njia ya kawaida ya kuzuia kitu, na siyo njia sahihi katika karibu kila hali halisi:

curl -X POST 'https://verification.didit.me/v3/lists/{list_uuid}/entries/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{ "value": "203.0.113.44" }'

Hiyo inazuia anwani moja. Wakati huo huo kikao ulichokuwa ukichunguza pia kilikuwa na uso, nambari ya hati, simu, barua pepe na alama ya kidole ya kifaa — kila moja ikiwa kitambulisho ambacho mwendeshaji anapaswa kukibadilisha kabla ya kurudi.

Simu bora zaidi:

curl -X POST 'https://verification.didit.me/v3/lists/{list_uuid}/entries/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{ "reference_session_id": "a7f3...c19" }'

Pitisha reference_session_id na Didit huchomoa kiotomatiki thamani sahihi kwa aina ya kiingilio cha orodha hiyo kutoka kikao, huweka alama kwenye mfumo mkuu kama uliokatazwa, na huunganisha kiingilio hicho na kikao ili dashibodi iweze kukuonyesha kilitoka wapi.

Mambo matatu hutokana na hayo, na yote matatu ni muhimu kiutendaji:

Hakuna uchomoaji wa mikono. Mchambuzi wako haasomi alama ya kidole ya kifaa kutoka skrini na kuandika upya. Makosa ya kunakili katika data ya utekelezaji ni kushindwa kimya kimya — kizuizi hakifanyi kazi, na hakuna anayegundua.

Uthibitisho wa asili unahifadhiwa. Kila kiingilio kinaunganishwa na kikao kilichokihalalisha. Mtu anapouliza baada ya miezi minne kwa nini kifaa hiki kimezuiliwa, jibu ni kubofya mara moja, si mradi wa akiolojia.

Utekelezaji unarudiwa. Simu ileile dhidi ya kila orodha iliyokatazwa ya aina ya kiingilio inashughulikia uso mzima wa kitambulisho cha kikao.

Ikiwa kikao kina matukio mengi ya aina moja, pitisha value pamoja na reference_session_id ili kuondoa utata.

Unaweza pia kutekeleza kutoka nje ya kikao cha uthibitishaji. reference_object_uuid pamoja na metadata.reference_type — transaction, vendor_user au vendor_business — inazuia kutoka kwa muamala au kutoka kwa mtumiaji wa muuzaji au biashara, na huweka kiungo hicho hicho kurudi kwenye chanzo.

Aina 12 za viingilio

Aina ya kiingilio	Huzuia	Maelezo
face	Mtu	Pia inaweza kupakiwa moja kwa moja kupitia upakiaji wa uso
document	Hati
phone	Nambari	Imerekebishwa kiotomatiki kwa E.164
email	Anwani
ip_address	Anwani au masafa	Inakubali CIDR, k.m. 10.0.0.0/8
device_fingerprint	Mashine	Kiwango cha chini cha herufi 8 za alphanumeric
wallet_address	Anwani ya mnyororo
bank_account	Akaunti
user	Rekodi ya mtumiaji
business	Chombo
country	Mamlaka
key	Ufunguo maalum

Mbili zinafaa kutajwa kwa tatizo hili.

ip_address inakubali masafa ya CIDR. Kuzuia 203.0.113.0/24 kunazuia miundombinu, si anwani moja. Wakati operesheni ya kilimo inapoendeshwa kwenye subnet iliyokodishwa, hii ndiyo tofauti kati ya utekelezaji unaokua na utekelezaji unaocheza "whack-a-mole". Itumie kwa uangalifu — masafa hufunika watumiaji halisi pia, na masafa mapana kupita kiasi ndiyo jinsi unavyomzuia kimya kimya mtoa huduma wa simu wa nchi.

face inasaidia upakiaji wa moja kwa moja. Unapokuwa na picha lakini hakuna kikao, pakia moja kwa moja:

curl -X POST 'https://verification.didit.me/v3/lists/{list_uuid}/entries/face-upload/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{ "image": "<base64-encoded image>" }'

Didit huchomoa biometri. Kuanzia hapo, uso huo huchunguzwa katika kila uthibitishaji.

Kinachotokea baada ya kiingilio kutua

Kuongeza kwenye orodha ya mfumo iliyokatazwa huzuia mechi za baadaye mara moja wakati wa uthibitishaji. Hakuna kuchelewa kwa usambazaji na hakuna kazi ya kundi.

Katika uthibitishaji unaofuata, utekelezaji huonekana kama maonyo:

• FACE_IN_BLOCKLIST — mechi thabiti, uthibitishaji umekataliwa. POSSIBLE_FACE_IN_BLOCKLIST ni mechi isiyo thabiti chini ya kizingiti kigumu na inapaswa kuelekezwa kwenye ukaguzi, si kukataliwa.
• IP_ADDRESS_IN_BLOCKLIST / DEVICE_FINGERPRINT_IN_BLOCKLIST — hitilafu za mtandao na kifaa.

Katika Utafutaji wa Uso, mechi ya orodha iliyokatazwa ndiyo pekee inayoweka status kuwa "Declined". Kila mechi katika jibu pia hubeba is_blocklisted, kwa hivyo uchunguzi hukuonyesha mara moja ni sehemu gani za kundi tayari ziko chini ya utekelezaji na zipi bado ziko hai.

Kuondoa ni sawa: kufuta kiingilio huondoa kizuizi cha chombo kinacholingana. Utekelezaji unaweza kubadilishwa kwa muundo, jambo ambalo ni muhimu kwa sababu utekelezaji mpana kupita kiasi ni hatari halisi na unahitaji njia safi ya kurudi.

curl -X DELETE 'https://verification.didit.me/v3/lists/{list_uuid}/entries/{entry_uuid}/' \
  -H 'x-api-key: YOUR_API_KEY'

Orodha za kuruhusu: kulinda watengenezaji unaowataka

Utekelezaji unaoongezeka tu hatimaye hukaba bidhaa. Aina 12 zilezile za viingilio zinaunga mkono orodha za kuruhusu, na ndizo vali ya shinikizo.

Ruhusu masafa ya IP ya ofisi ya mshirika wa kubuni. Ruhusu vifaa vya timu ya uhandisi ya mteja wa biashara. Ruhusu chombo cha biashara kilichothibitishwa ili watumiaji wake wasiwahi kukutana na njia ya kuongezeka. IP_ADDRESS_IN_ALLOWLIST na DEVICE_FINGERPRINT_IN_ALLOWLIST huwaka wakati mechi inapotokea, kwa hivyo unaweza kuthibitisha msamaha ulitumika badala ya kudhani ulitumika.

Huu ndio utaratibu unaofanya utekelezaji mkali uweze kustahimili. Unaweza kumudu sera kali juu ya miundombinu isiyojulikana kwa sababu tu idadi yako inayojulikana kuwa nzuri imetengwa waziwazi.

Makosa yanayostahili kushughulikiwa

• 400 — thamani ilishindwa kithibitishaji cha aina ya kiingilio, list_type si sahihi kwa operesheni (kwa mfano, upakiaji wa uso dhidi ya orodha isiyo ya uso), au reference_session_id haina data ya aina iliyoombwa. Kesi hiyo ya mwisho ni ya kawaida na haina madhara: si kila kikao kinachukua kila kitambulisho.
• 403 — {"detail": "Huna ruhusa ya kufanya kitendo hiki."}

Kumbuka kuwa 400 kutoka "kikao hakina data ya aina hiyo" inatarajiwa unapoingiza kikao kwenye orodha zote zilizokatazwa za aina ya kiingilio. Ishughulikie kama kuruka, si kushindwa.

Mchakato wa utekelezaji uliofanyiwa kazi

Mchambuzi amethibitisha matumizi mabaya kwenye akaunti acct_8842.

1. Tatua kundi kwanza. Utafutaji wa Uso kwenye uso wa kikao unarudisha akaunti kumi na mbili; uwiano wa kifaa na IP unatoa dazeni nyingine. Utekelezaji kabla ya utatuzi unazuia akaunti moja na kumuonya mwendeshaji.
2. Zuia kutoka kikao kilichothibitishwa — reference_session_id dhidi ya orodha zilizokatazwa za uso, kifaa, IP, barua pepe, simu na hati. Simu sita, hakuna uchomoaji wa mikono, uthibitisho kamili wa asili.
3. Fikiria masafa. Ikiwa ushahidi wa mtandao unaonyesha miundombinu iliyokodishwa, kiingilio cha CIDR hufunika subnet. Angalia ni nini kingine kinachoishi hapo kwanza.
4. Fanya kazi kwenye kundi kulingana na sera yako mwenyewe — akaunti ulizozitambua tayari hazijiondoi zenyewe.
5. Thibitisha utekelezaji. Endesha tena utafutaji wa uso. Mechi zinapaswa sasa kubeba is_blocklisted: true.
6. Subiri jaribio la kuzalisha upya. Akaunti inayofuata iliyoundwa kwenye uso huo, kifaa au subnet inakataliwa wakati wa uthibitishaji badala ya kuonekana kwenye trafiki yako wiki tatu baadaye.

Hatua ya 6 ndiyo maana nzima. Gharama ya mwendeshaji kurudi si "tengeneza anwani mpya ya barua pepe." Ni "pata vifaa vipya, mtandao mpya, na mtu mpya."

Kesi za matumizi

Majukwaa ya API ya AI yanayobadilisha kesi iliyothibitishwa ya uondoaji au matumizi mabaya kuwa utekelezaji kwenye kila kitambulisho ambacho mwendeshaji aligusa.

Matumizi mabaya ya majaribio na mikopo ambapo kifaa na uso uleule hurudi tena kwa ugawaji mpya wa bure.

Masoko yanayowazuia wauzaji walioondolewa kujisajili tena chini ya biashara mpya.

iGaming inayotekeleza kujitenga, ambapo mchezaji aliyerudi aliyetengwa ni kushindwa kwa udhibiti na utekelezaji wa kiwango cha uso ndiyo udhibiti pekee wa kuaminika.

Maswali yanayoulizwa mara kwa mara

Je, ninaweza kuunda orodha yangu mwenyewe iliyokatazwa?

Hapana. Orodha zilizokatazwa huundwa na mfumo, moja kwa kila aina ya kiingilio, na haziwezi kubadilishwa — unaongeza na kuondoa viingilio. Unaweza kuunda orodha za kuruhusu na orodha maalum kwa uhuru. Kikwazo huweka maana ya "kilichokatazwa" kuwa moja kila mahali.

Kiingilio huanza kutumika kwa haraka kiasi gani?

Mara moja, katika uthibitishaji unaofuata.

Je, ikiwa nitazuia kitu kimakosa?

Futa kiingilio na chombo kitaondolewa kizuizi. Hii ndiyo maana uthibitisho wa asili ni muhimu — kila kiingilio kilichoundwa kutoka kikao kinaunganishwa nacho, kwa hivyo unaweza kukagua kiingilio kilikuwa cha nini kabla ya kukiondoa.

Je, kuzuia masafa ya IP kunaathiri watumiaji halali kwenye masafa hayo?

Ndio, na hiyo ndiyo hatari. Kiingilio cha CIDR huzuia kila kitu ndani yake. Tumia masafa wakati ushahidi unaonyesha miundombinu maalum, tumia anwani moja vinginevyo, na ruhusu masafa yanayojulikana kuwa mazuri kwanza.

Je, ninaweza kuzuia kutoka kwa kitu ambacho si kikao cha uthibitishaji?

Ndio. reference_object_uuid pamoja na metadata.reference_type (transaction, vendor_user au vendor_business) inashughulikia miamala na watumiaji wa muuzaji au biashara.

Je, hii inazuia uchomoaji wa mfumo?

Hapana. Inazuia mhusika maalum anayejulikana kuingia tena kupitia vitambulisho ulivyotekeleza, na huongeza gharama ya kuzalisha upya. Kugundua uchomoaji kwanza ni kazi ya kifaa chako cha trafiki, na kupunguza kile ambacho uchomoaji hutoa ni kazi ya kifaa chako cha mfumo. Hii ni sehemu ya utekelezaji wa ulinzi wa tabaka tatu, si mbadala wa zingine mbili.

Uko tayari kuanza?

API ya Orodha inapatikana kwenye kila akaunti ya Didit.

• Soma nyaraka — Muhtasari wa API ya Orodha na katalogi ya onyo ya IP & Kifaa.
• Angalia bidhaa — Uthibitishaji wa Mtumiaji.
• Angalia bei — imeorodheshwa hadharani, lipa kwa kila mafanikio, hakuna viwango vya chini.
• Anza bure — business.didit.me, uthibitishaji 500 wa KYC kwa mwezi bila gharama.