はじめに
連携 / SDK
ユーザー認証
法人確認
トランザクションモニタリング
変更履歴vendor_dataを持つユーザーに紐付けられ、そのユーザーの認証や取引と並んで表示されます。
同じサインインについて、お客様独自のauth.loginイベントを/v3/events/へ重ねて送信しないでください。イベントが二重に保存されるうえ、それらのイベントではユーザーのサインイン概要は更新されず、auth.* Webhookも送信されません。
送信される内容
ボット対策の判定(
attempt_challenged、attempt_blockedなど)もauth.*イベントとして保存されるため、タイムラインに表示されます。
新しいデバイスとは、そのユーザーが過去にサインインしたデバイスIDとも、フィンガープリントとも一致しないデバイスのことです。
各イベントには次の情報が含まれます。
- サインインの
method(例:password、passkey)、および失敗やロックの場合はそのreason - IPアドレスとデバイスのコンテキスト:永続的なデバイスID、フィンガープリント、ユーザーエージェント、およびクライアントが送信した場合はボットスコア
- セッションID
vendor_dataがありません。Diditが識別子そのものを受け取ることはなく、受け取るのはその鍵付きハッシュのみです。こうした試行がユーザーに紐付けられることはありませんが、後述の不正検知ビューではアカウントごとに集計されます。
確認できる場所
ユーザーのプロフィール
各ユーザーにはサインイン概要が作成され、ユーザーの一覧とプロフィールに表示されるほか、/v3/users/でauthenticationとして返されます。
statusはACTIVE、LOCKED(セキュリティポリシーによるロック)、BLOCKED(お客様のチームによるブロック)のいずれかです。- サインインIDを持たないユーザーの場合、
authenticationはnullになります。 - ユーザーは、サインインのステータス、サインイン方法(「なし」を含む)、MFAでフィルターできます。
イベントとタイムライン
サインインイベントは、コンソールのイベントページと、各ユーザーのイベントタブに表示されます。閲覧するにはlist:transactionsまたはread:authenticationの権限が必要です。サインインイベントを開くと、そのデバイスとネットワーク、保護の理由(例:bots、stuffing、brute、vpn、travel、attack_mode)、および一致したルールが表示されます。
不正検知ビュー
イベントページには、サインインとユーザーのその他のアクティビティを組み合わせた、あらかじめ用意されたビューがあります。
ビューは最大31日前までさかのぼります。
イベントルール
サインインイベントは、その他のイベントと同じイベントルールで処理されます。Authentication fraudバンドルには4つのプリセットがあります。
独自のルールで役立つフィールドには、
event.category、event.action_type、event.payload.method、event.payload.reason、event.security.changed_field、event.device.fingerprint、event.device.persistent_device_id、event.device.bot_score、event.ip.is_vpn_or_tor、event.ip.is_data_center、event.ip.country、event.ip.travel_distance_km、event.ip.travel_speed_kmhがあります。
イベントルールには、サインインイベント専用のアクションが2つあります。Sign the person out of every sessionとBlock the person from signing inです。これらはまだ有効ではありません。有効になるまでは、ルールはこれらのアクションをステータスDISABLEDで記録し、適用はしません。その他のアクション(スコア、ステータス、タグ、メモ、リスト、ケース)は通常どおり機能します。
Webhook
必要なauth.*タイプにWebhookの送信先を登録してください。これらを受信するのは登録済みの送信先のみです。コンソールのTry Webhookを使うと、各タイプのサンプルを送信できます。
auth.new_device
- 重複排除には、サインインイベント自体のIDである
auth_event.event_idを使用してください。このIDは、そのイベントのすべての配信で同じです。auth_event.event_uuidを使うと、保存されたイベントをGET /v3/events/{event_uuid}/で取得できます。 - 既知の人物を指定しない試行では、
vendor_data、vendor_user_id、authenticationはnullになります。 - すべてのDidit Webhookと同様に、署名を検証してください(Webhookを参照)。
請求
認証イベントはイベント単位では請求されません。認証は月間アクティブユーザー数に基づいて請求されます。アプリケーションが管理するイベント
プロフィールの変更や支払いリクエストなど、自社プロダクト内で発生するアクションについては、サーバーから(x-api-keyを付けてPOST /v3/events/を呼び出す)、またはスコープ付きのモニタリングトークンを使ってデバイスから、イベントを自分で送信してください。イベントとSDKによるイベント送信を参照してください。その人物のアクセストークンに含まれるvendor_dataを使用してください。