Codes d'avertissement : empreinte d'appareil et risque IP

Vue d’ensemble

L’analyse de l’appareil et de l’IP émet des tags d’avertissement dans ip_analyses[].warnings[] dès qu’elle détecte un comportement suspect lié à l’appareil, au réseau ou à la localisation. Neuf tags disposent d’une action configurable (Refuser / Examen / Aucune action) par nœud de workflow ; les deux tags de liste de blocage imposent systématiquement Declined, et les deux tags de liste d’autorisation sont toujours informatifs. Le champ log_type de chaque avertissement reflète l’action appliquée : error (Refuser), warning (Examen) ou information (Aucune action). Chaque risque ne se déclenche au maximum qu’une seule fois par session. Chaque risque ci-dessous est vérifié par rapport au pipeline de décision en production ; les avertissements portent le tag de fonctionnalité LOCATION et la structure standard de l’objet d’avertissement. Les avertissements relatifs à l’empreinte de l’appareil sont intentionnellement répartis entre les signaux exacts et les signaux récupérés :

DUPLICATED_DEVICE_FINGERPRINT signifie que la même identité déterministe d’appareil (match_source persistent_id ou legacy_fp) a été réutilisée sur plusieurs sessions avec des valeurs vendor_data différentes.
DEVICE_RECOVERED_HIGH_CONFIDENCE signifie que la récupération d’empreinte v2 a associé la session à un appareil déjà observé après modification de l’identifiant persistant (stockage effacé, navigation privée, réinstallation de l’application). L’avertissement n’apparaît que lorsque la correspondance atteint le seuil de similarité requis pour une forte confiance et satisfait aux conditions strictes.

Exemple d'avertissement d'analyse de l'appareil et de l'IP Didit avec alertes d'appareil, de VPN, de proxy et de non-concordance de localisation

Avertissements générés

Risque	Cause	`log_type`	Impact sur le statut	Mesure recommandée
`PRIVATE_NETWORK_DETECTED`	`is_vpn_or_tor` était à `true` — la session a été ouverte via un VPN, un proxy ou un nœud de sortie Tor. `additional_data` est `null`.	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Aucune action).	Déterminez si votre tolérance au risque autorise le trafic masqué. Si vous l’acceptez, laissez l’option sur Aucune action.
`COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP`	Le pays ISO de la pièce d’identité diffère du pays déterminé à partir de l’adresse IP. `additional_data` contient les deux codes ISO-3 : `document_country_code`, `ip_country_code`.	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Aucune action).	Passez en examen lorsque l’utilisateur voyage légitimement. Refusez lorsque ce signal est associé à un VPN ou à des signaux d’appareil dupliqué.
`EXPECTED_IP_ADDRESS_MISMATCH`	La session a été créée avec une adresse IP attendue, et l’adresse IP réelle diffère. `additional_data` contient `expected_ip_address` et `actual_ip_address`.	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Aucune action).	À utiliser lorsque vous pré-associez l’adresse IP lors de la création de la session. Refusez la session ou renforcez l’authentification en cas de non-concordance.
`IP_ADDRESS_IN_BLOCKLIST`	L’adresse IP de la session correspond à une entrée de la liste de blocage d’IP de l’application. `additional_data` : `ip_address`.	toujours `error`	Force le statut à `Declined`.	Rejetez la session. Auditez la source de la liste de blocage pour vérifier les faux positifs si nécessaire.
`DEVICE_FINGERPRINT_IN_BLOCKLIST`	L’empreinte d’appareil de la session correspond à une entrée de la liste de blocage d’appareils. `additional_data` : `device_fingerprint`.	toujours `error`	Force le statut à `Declined`.	Rejetez la session.
`IP_ADDRESS_IN_ALLOWLIST`	L’adresse IP de la session correspondait à plusieurs entrées mais figure sur la liste d’autorisation d’IP de l’application ; l’avertissement d’IP en double a donc été ignoré. `additional_data` : `ip_address`.	toujours `information`	Aucun.	À utiliser pour les NAT d’entreprise de confiance, les réseaux QA ou les points d’accès partagés connus.
`DEVICE_FINGERPRINT_IN_ALLOWLIST`	L’empreinte d’appareil de la session correspondait de manière déterministe à plusieurs entrées mais figure sur la liste d’autorisation d’appareils ; l’avertissement d’appareil dupliqué a donc été ignoré. `additional_data` : `device_fingerprint`.	toujours `information`	Aucun.	À utiliser uniquement pour les appareils partagés de confiance. Les listes de blocage restent prioritaires.
`DUPLICATED_IP_ADDRESS`	La même adresse IP a été utilisée dans une autre session avec un `vendor_data` différent. `additional_data` : `duplicated_session_id`, `duplicated_session_number`, `api_service`. Ignoré lorsque l’adresse IP figure sur la liste d’autorisation.	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Aucune action).	Fréquent sur les NAT d’entreprise ou partagés. Associez ce signal à d’autres indicateurs (appareil dupliqué, non-concordance de pays) avant de refuser.
`DUPLICATED_DEVICE_FINGERPRINT`	La même identité déterministe d’appareil a été réutilisée sur plusieurs sessions avec des `vendor_data` différents. `additional_data` : `duplicated_session_id`, `duplicated_session_number`, `api_service`, `match_source` (`persistent_id` ou `legacy_fp`). Ignoré lorsque l’empreinte figure sur la liste d’autorisation.	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Aucune action).	Preuve solide d’abus multi-comptes. Passez en examen ou refusez selon votre tolérance à la fraude.
`DEVICE_RECOVERED_HIGH_CONFIDENCE`	Le modèle de récupération d’appareil v2 a associé la session à un appareil déjà observé avec un niveau de confiance élevé, même après la modification de l’identifiant persistant. `additional_data` : `duplicated_session_id`, `duplicated_session_number`, `api_service`, `match_source` (`recovered_high`), `recovery_similarity`, `recovery_match_device_uuid`. Non supprimé par la liste d’autorisation d’appareils.	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Aucune action).	Commencez par Examen, mesurez votre taux de faux positifs, puis durcissez l’action. Signal fort pour les tentatives de réinitialisation du stockage ou d’utilisation du mode navigation privée.
`DEVICE_LINKED_TO_LIVENESS_ATTACK`	Le même appareil (mis en correspondance selon son identifiant d’appareil persistant) a été utilisé dans une session antérieure d’un autre utilisateur dont la capture de détection du vivant a été considérée comme une attaque. Un appareil déjà utilisé pour attaquer le contrôle de détection du vivant est un indicateur fort que cette capture provient du même attaquant. `additional_data` : `liveness_attack_session_id`, `liveness_attack_session_number`, `liveness_attack_sessions_count`, `match_source` (`persistent_id`).	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Aucune action).	Commencez par Examen et mesurez votre taux de faux positifs avant de passer à Refuser.
`DEVICE_MODEL_INCONSISTENT`	Le même appareil (mis en correspondance selon son identifiant d’appareil persistant) a été signalé sous un modèle d’appareil différent lors d’une session antérieure. Un appareil physique ne changeant pas de modèle, le modèle signalé est probablement usurpé, ou l’identifiant d’appareil a été copié vers un autre appareil. Les chaînes de modèle génériques ne sont jamais comparées. `additional_data` : `device_model`, `earlier_device_model`, `earlier_session_id`, `earlier_session_number`, `match_source`.	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Aucune action).	Comparez les deux modèles signalés et examinez la session antérieure avant d’agir.
`IP_LOCATION_NOT_ALLOWED`	Le géorepérage IP est activé et l’IP de la session est située dans un pays ou un État/région marqué comme non autorisé. `additional_data` : `ip_country_code` (ISO-3), `ip_country`, `ip_state`, `restricted_by` (`country` ou `state`).	reflète l’action configurée	Configurable : Refuser / Examen / Aucune action (par défaut : Refuser).	À utiliser pour appliquer des restrictions juridictionnelles. Combinez cette option avec `vpn_detection_action` pour que le trafic masqué ne puisse pas contourner la restriction géographique.

Lorsque l’appareil récupéré n’a pas encore de sessions sœurs éligibles (rien ne figure donc dans matches[]), DEVICE_RECOVERED_HIGH_CONFIDENCE se déclenche tout de même avec une structure de additional_data de secours : recovery_match_device_uuid, recovery_match_similarity, recovery_match_band, recovery_gate_reason. IP_LOCATION_NOT_ALLOWED se déclenche lorsque le géorepérage IP est activé (is_ip_geofencing_enabled) et que l’IP de la session est située dans un pays ou un État/région marqué comme non autorisé dans ip_geofencing_by_country. additional_data contient ip_country_code (ISO-3), ip_country, ip_state et restricted_by (country ou state). Les entrées d’État/région prévalent sur le paramètre du pays et sont comparées au nom de région du fournisseur IP sans tenir compte de la casse (par ex. "California") ; les pays non répertoriés dans la configuration sont autorisés.

Intégrité de l’appareil et de l’environnement d’exécution

Signaux rapportés par les SDK natifs et le client web décrivant l’état de l’appareil sur lequel la vérification a été exécutée. Ils existent pour détecter les attaques par injection : un attaquant capable d’obtenir un accès root à un appareil ou d’intercepter le processus de l’application peut remplacer le flux de la caméra avant même qu’il n’atteigne les contrôles biométriques. Chacun est configurable par workflow et est défini par défaut sur Aucune action, de sorte que l’activation de la fonctionnalité ne modifie aucune décision tant que vous n’avez pas choisi de l’activer.

Risque	Cause	Clé de configuration	Valeur par défaut
`DEVICE_APP_TAMPERED`	L’attestation de la plateforme n’a pas pu vérifier que la requête provenait d’une version authentique et non modifiée de l’application sur un appareil authentique.	`device_app_tampered_action`	`NO_ACTION`
`DEVICE_RUNTIME_HOOKING_DETECTED`	Un framework d’instrumentation ou d’interception lors de l’exécution (Frida, Xposed, LSPosed, Substrate) a été détecté dans le processus de l’application.	`device_hooking_action`	`NO_ACTION`
`DEVICE_ROOTED_OR_JAILBROKEN`	L’appareil présente des indicateurs de root ou de jailbreak, ce qui supprime les protections du système d’exploitation empêchant l’interception de la caméra.	`device_rooted_action`	`NO_ACTION`
`DEVICE_EMULATOR_DETECTED`	La session provenait d’un émulateur ou d’un simulateur plutôt que d’un appareil physique.	`device_emulator_action`	`NO_ACTION`
`DEVICE_DEBUGGER_ATTACHED`	Un débogueur ou un traceur de processus était attaché à l’application pendant la vérification.	`device_debugger_action`	`NO_ACTION`
`AUTOMATION_FRAMEWORK_DETECTED`	La session était pilotée par un framework d’automatisation de navigateur ou un navigateur sans interface plutôt que par une personne.	`automation_detected_action`	`NO_ACTION`
`DEVICE_INTEGRITY_SIGNALS_MISSING`	Le client a signalé une version du SDK qui prend en charge les rapports d’intégrité, mais aucun signal d’intégrité n’est parvenu — ce qui peut indiquer que les signaux ont été supprimés pendant le transit.	`device_integrity_missing_action`	`NO_ACTION`

Chaque sonde fonctionne au mieux. Lorsqu’un contrôle ne peut pas s’exécuter, il signale non déterminé plutôt qu’un résultat sans anomalie, de sorte qu’une sonde défaillante ne produit jamais de faux positif à l’encontre d’un utilisateur légitime. Les signaux sont rapportés à partir de la version 4.4.0 du SDK natif ; les sessions provenant de SDK antérieurs n’envoient légitimement rien et ne déclenchent jamais DEVICE_INTEGRITY_SIGNALS_MISSING.

Les signaux de root et d’émulateur sont fréquents chez les utilisateurs légitimes sur des appareils modifiés mais non frauduleux. Commencez par l’action « Examiner » plutôt que par « Refuser » et surveillez votre propre taux de refus avant d’adopter une action plus stricte.

Paramètres configurables

Contrôles de workflow par nœud (également configurables globalement dans les paramètres de vérification de l’application ; chaque action est définie par défaut sur Aucune action, sauf indication contraire) :

Paramètre	Déclenche	Valeur par défaut
`vpn_detection_action`	`PRIVATE_NETWORK_DETECTED`	Aucune action
`ip_mismatch_action`	`COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP`	Aucune action
`expected_ip_mismatch_action`	`EXPECTED_IP_ADDRESS_MISMATCH`	Aucune action
`duplicated_ip_action`	`DUPLICATED_IP_ADDRESS`	Aucune action
`duplicated_device_action`	`DUPLICATED_DEVICE_FINGERPRINT`	Aucune action
`recovered_device_action`	`DEVICE_RECOVERED_HIGH_CONFIDENCE`	Aucune action
`device_liveness_attack_history_action`	`DEVICE_LINKED_TO_LIVENESS_ATTACK`	Aucune action
`device_model_inconsistency_action`	`DEVICE_MODEL_INCONSISTENT`	Aucune action
`ip_geofencing_action`	`IP_LOCATION_NOT_ALLOWED`	Refuser

Les listes d’autorisation d’IP et d’appareils suppriment uniquement l’avertissement de doublon exact d’adresse IP ou de doublon déterministe d’appareil pour la valeur autorisée. Elles ne suppriment pas les avertissements de VPN/proxy, de non-concordance de pays, de non-concordance d’IP attendue, d’appareil récupéré ou de liste de blocage. Les avertissements d’appareil récupéré sont utiles pour détecter les réseaux de fraude qui alternent les comptes et les sessions depuis le même matériel, mais Didit est conservateur par conception — le système préfère manquer certains utilisateurs dupliqués plutôt que de fusionner des appareils sans lien lorsque les preuves ne sont pas assez solides. Déploiement recommandé : commencez par Examiner, observez le volume pendant deux semaines, puis adoptez une action plus stricte si votre taux de faux positifs est faible.

Appareil dupliqué vs appareil récupéré

Traitez les deux avertissements différemment — ils se déclenchent sur des éléments de preuve distincts :

Avertissement	Déclencheur	Signification typique	Première action recommandée
`DUPLICATED_DEVICE_FINGERPRINT`	Correspondance exacte d’identité d’appareil persistante (`persistent_id`) ou de hachage d’empreinte hérité (`legacy_fp`).	Forte preuve que le même appareil apparaît chez différents utilisateurs.	Examiner ou refuser, selon votre tolérance à la fraude.
`DEVICE_RECOVERED_HIGH_CONFIDENCE`	Récupération v2 à haute confiance (`recovered_high`) après modification du stockage, de la session ou de l’identité de l’application.	Signal fort de tentatives de navigation privée / réinitialisation du stockage / réinstallation de l’application. Volontairement séparé pour que vous puissiez le surveiller de manière indépendante.	Examiner d’abord, puis adoptez une action plus stricte après avoir mesuré votre taux de faux positifs.

Correspondances entre sessions

Lorsque la même adresse IP, l’identité exacte de l’appareil ou un appareil récupéré sont détectés sur plusieurs sessions appartenant à différents utilisateurs, Didit les enregistre sous forme de matches[] dans ip_analyses[]. Les sessions sont regroupées par vendor_data : les sessions ayant le même vendor_data sont traitées comme étant le même utilisateur et exclues des correspondances. Sans vendor_data, chaque session est considérée comme un utilisateur unique et tous les doublons potentiels sont signalés — nous vous recommandons vivement de toujours fournir vendor_data pour réduire le bruit. Chaque correspondance comprend :

session_id, session_number, vendor_data et verification_date de la session correspondante, ainsi que son status de cycle de vie et api_service (null pour les sessions de workflow) ; source vaut toujours session
match_type — ip_address ou device_fingerprint
match_source — ip_address, persistent_id, legacy_fp ou recovered_high
matched_value — l’IP partagée, l’identifiant de l’appareil ou (pour les correspondances récupérées) l’UUID de l’appareil récupéré
confidence (0–1, 1 - P(false positive)) et match_mode (deterministic / probabilistic / co_occurrence)
device_info — device_brand, device_model, browser_family, os_family, platform, device_fingerprint
location_info — ip_address, ip_country, ip_country_code, ip_state, ip_city, is_vpn_or_tor, is_data_center
Informations supplémentaires sur l’appareil récupéré lorsque match_source est recovered_high : recovery_similarity, tls_ja4_corroborated, recovery_gate_reason

Les correspondances IP et les correspondances d’appareils sont limitées à 5 chacune (au maximum 10 entrées). Consultez la page du rapport pour obtenir le schéma complet des correspondances et le modèle de confiance.

Exemples

VPN + incohérence de pays (configuré sur Examen)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "PRIVATE_NETWORK_DETECTED",
      "additional_data": null,
      "log_type": "warning",
      "short_description": "Private network (VPN/Tor) detected",
      "long_description": "The system detected that the user tried to use a private network (VPN/TOR) to complete the verification process.",
      "node_id": "ip-1"
    },
    {
      "feature": "LOCATION",
      "risk": "COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP",
      "additional_data": { "document_country_code": "ESP", "ip_country_code": "NLD" },
      "log_type": "warning",
      "short_description": "Document country does not match IP country",
      "long_description": "The country from the document does not match the country from the IP address, suggesting a potential mismatch between the document and the user's location.",
      "node_id": "ip-1"
    }
  ]
}

Détection dans la liste de blocage (force le refus)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "IP_ADDRESS_IN_BLOCKLIST",
      "additional_data": { "ip_address": "45.61.20.5" },
      "log_type": "error",
      "short_description": "IP address in blocklist",
      "long_description": "The IP address used for this session was found in the application's IP blocklist, indicating a known suspicious or forbidden origin.",
      "node_id": "ip-1"
    }
  ]
}

Appareil récupéré avec un niveau de confiance élevé (configuré sur Examen)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "DEVICE_RECOVERED_HIGH_CONFIDENCE",
      "additional_data": {
        "duplicated_session_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
        "duplicated_session_number": 5101,
        "api_service": null,
        "match_source": "recovered_high",
        "recovery_similarity": 0.9874,
        "recovery_match_device_uuid": "f47ac10b-58cc-4372-a567-0e02b2c3d479"
      },
      "log_type": "warning",
      "short_description": "Device matches a previously seen device with high confidence",
      "long_description": "A previously seen device matched this session with high confidence through v2 fuzzy fingerprint recovery after passing strict hard gates, indicating the same physical device under a fresh persistent_id.",
      "node_id": "ip-1"
    }
  ]
}

Liens associés

Rapport d’analyse de l’appareil et de l’IP — structure complète de la réponse et sémantique des statuts
Vue d’ensemble de l’analyse de l’appareil et de l’IP — ce que chaque bloc mesure
Modèles de données — Analyse IP — schéma canonique
Webhooks — status.updated transmet les avertissements d’analyse IP

Authentification

Vérification

Surveillance

Plateforme

Codes d'avertissement : empreinte d'appareil et risque IP

Vue d’ensemble

Avertissements générés

Intégrité de l’appareil et de l’environnement d’exécution

Paramètres configurables

Appareil dupliqué vs appareil récupéré

Correspondances entre sessions

Exemples

VPN + incohérence de pays (configuré sur Examen)

Détection dans la liste de blocage (force le refus)

Appareil récupéré avec un niveau de confiance élevé (configuré sur Examen)

Liens associés

Types d’avertissements

​Vue d’ensemble

​Avertissements générés

​Intégrité de l’appareil et de l’environnement d’exécution

​Paramètres configurables

​Appareil dupliqué vs appareil récupéré

​Correspondances entre sessions

​Exemples

​VPN + incohérence de pays (configuré sur Examen)

​Détection dans la liste de blocage (force le refus)

​Appareil récupéré avec un niveau de confiance élevé (configuré sur Examen)

​Liens associés

​Types d’avertissements

Vue d’ensemble

Avertissements générés

Intégrité de l’appareil et de l’environnement d’exécution

Paramètres configurables

Appareil dupliqué vs appareil récupéré

Correspondances entre sessions

Exemples

VPN + incohérence de pays (configuré sur Examen)

Détection dans la liste de blocage (force le refus)

Appareil récupéré avec un niveau de confiance élevé (configuré sur Examen)

Liens associés

Types d’avertissements