Códigos de aviso de fingerprint de dispositivo e IP

Visão geral

A Análise de dispositivo e IP emite tags de aviso em ip_analyses[].warnings[] sempre que detecta um comportamento suspeito de dispositivo, rede ou localização. Nove tags têm uma ação configurável (Recusar / Revisão / Nenhuma ação) por nó do fluxo de verificação (workflow); as duas tags de lista de bloqueio sempre forçam Declined, e as duas tags de lista de permissões são sempre informativas. O log_type de cada aviso reflete a ação aplicada: error (Recusar), warning (Revisão) ou information (Nenhuma ação). Cada risco é disparado no máximo uma vez por sessão. Cada risco abaixo é verificado no pipeline de decisão em produção; os avisos trazem a tag de recurso LOCATION e o formato padrão do objeto de aviso. Os avisos de impressão digital do dispositivo são divididos intencionalmente em sinais exatos e sinais de recuperação:

DUPLICATED_DEVICE_FINGERPRINT significa que a mesma identidade determinística do dispositivo (match_source persistent_id ou legacy_fp) foi reutilizada em sessões com valores diferentes de vendor_data.
DEVICE_RECOVERED_HIGH_CONFIDENCE significa que a recuperação de impressão digital v2 associou a sessão a um dispositivo já visto depois que o ID persistente mudou (dados de armazenamento apagados, modo anônimo, reinstalação do app). O aviso só aparece quando a correspondência passa pelo limiar de similaridade de alta confiança e pelos critérios obrigatórios.

Exemplo de aviso da Análise de dispositivo e IP da Didit com alertas de dispositivo, VPN, proxy e divergência de localização

Avisos gerados

Risco	Causa	`log_type`	Afeta o status	Ação recomendada
`PRIVATE_NETWORK_DETECTED`	`is_vpn_or_tor` era `true`: a sessão foi aberta por VPN, proxy ou nó de saída Tor. `additional_data` é `null`.	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Nenhuma ação).	Decida se a sua tolerância a risco permite tráfego mascarado. Se você aceitar, deixe em Nenhuma ação.
`COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP`	O país ISO do documento de identidade é diferente do país obtido a partir do endereço IP. `additional_data` traz os dois códigos ISO-3: `document_country_code`, `ip_country_code`.	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Nenhuma ação).	Envie para revisão quando o usuário viaja legitimamente. Recuse quando vier acompanhado de sinais de VPN ou de dispositivo duplicado.
`EXPECTED_IP_ADDRESS_MISMATCH`	A sessão foi criada com um endereço IP esperado, e o IP atual é diferente. `additional_data` traz `expected_ip_address` e `actual_ip_address`.	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Nenhuma ação).	Use quando você fixa o IP previamente na criação da sessão. Recuse a sessão ou exija autenticação adicional em caso de divergência.
`IP_ADDRESS_IN_BLOCKLIST`	O endereço IP da sessão corresponde a uma entrada na lista de bloqueio de IPs da aplicação. `additional_data`: `ip_address`.	sempre `error`	Força `Declined`.	Rejeite a sessão. Se necessário, audite a origem da lista de bloqueio em busca de falsos positivos.
`DEVICE_FINGERPRINT_IN_BLOCKLIST`	A impressão digital do dispositivo da sessão corresponde a uma entrada na lista de bloqueio de dispositivos. `additional_data`: `device_fingerprint`.	sempre `error`	Força `Declined`.	Rejeite a sessão.
`IP_ADDRESS_IN_ALLOWLIST`	O IP da sessão teve correspondências duplicadas, mas está na lista de permissões de IPs da aplicação, então o aviso de IP duplicado foi ignorado. `additional_data`: `ip_address`.	sempre `information`	Nenhum.	Use para NATs corporativos confiáveis, redes de QA ou pontos de acesso compartilhados conhecidos.
`DEVICE_FINGERPRINT_IN_ALLOWLIST`	A impressão digital do dispositivo da sessão teve correspondências duplicadas determinísticas, mas está na lista de permissões de dispositivos, então o aviso de dispositivo duplicado foi ignorado. `additional_data`: `device_fingerprint`.	sempre `information`	Nenhum.	Use apenas para dispositivos compartilhados confiáveis. As listas de bloqueio continuam tendo prioridade.
`DUPLICATED_IP_ADDRESS`	O mesmo IP foi usado em outra sessão com um `vendor_data` diferente. `additional_data`: `duplicated_session_id`, `duplicated_session_number`, `api_service`. Ignorado quando o IP está na lista de permissões.	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Nenhuma ação).	Comum em NAT corporativo ou compartilhado. Combine com outros sinais (dispositivo duplicado, divergência de país) antes de recusar.
`DUPLICATED_DEVICE_FINGERPRINT`	A mesma identidade determinística de dispositivo foi reutilizada em sessões com `vendor_data` diferentes. `additional_data`: `duplicated_session_id`, `duplicated_session_number`, `api_service`, `match_source` (`persistent_id` ou `legacy_fp`). Ignorado quando a impressão digital está na lista de permissões.	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Nenhuma ação).	Forte evidência de abuso com várias contas. Envie para revisão ou recuse, conforme a sua tolerância a fraude.
`DEVICE_RECOVERED_HIGH_CONFIDENCE`	O modelo de recuperação de dispositivos v2 associou a sessão a um dispositivo já visto com alta confiança, mesmo após a mudança do ID persistente. `additional_data`: `duplicated_session_id`, `duplicated_session_number`, `api_service`, `match_source` (`recovered_high`), `recovery_similarity`, `recovery_match_device_uuid`. Não é suprimido pela lista de permissões de dispositivos.	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Nenhuma ação).	Comece com Revisão, meça sua taxa de falsos positivos e depois torne a ação mais rígida. Sinal forte de tentativas de limpeza do armazenamento ou de uso do modo anônimo.
`DEVICE_LINKED_TO_LIVENESS_ATTACK`	O mesmo dispositivo (identificado pelo seu ID de dispositivo persistente) foi usado em uma sessão anterior de outro usuário cuja captura de prova de vida foi classificada como ataque. Um dispositivo já usado para atacar a verificação de prova de vida é um forte indício de que esta captura vem do mesmo atacante. `additional_data`: `liveness_attack_session_id`, `liveness_attack_session_number`, `liveness_attack_sessions_count`, `match_source` (`persistent_id`).	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Nenhuma ação).	Comece com Revisão e meça sua taxa de falsos positivos antes de passar para Recusar.
`DEVICE_MODEL_INCONSISTENT`	O mesmo dispositivo (identificado pelo seu ID de dispositivo persistente) foi informado como outro modelo de dispositivo em uma sessão anterior. Um dispositivo físico não muda de modelo, então o modelo informado provavelmente foi falsificado, ou o identificador do dispositivo foi copiado para outro dispositivo. Nomes de modelo genéricos nunca são comparados. `additional_data`: `device_model`, `earlier_device_model`, `earlier_session_id`, `earlier_session_number`, `match_source`.	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Nenhuma ação).	Compare os dois modelos informados e revise a sessão anterior antes de agir.
`IP_LOCATION_NOT_ALLOWED`	O geofencing por IP está ativado e o IP da sessão está localizado em um país ou estado/região marcado como não permitido. `additional_data`: `ip_country_code` (ISO-3), `ip_country`, `ip_state`, `restricted_by` (`country` ou `state`).	segue a ação configurada	Configurável: Recusar / Revisão / Nenhuma ação (padrão: Recusar).	Use para aplicar restrições jurisdicionais. Combine com `vpn_detection_action` para que o tráfego mascarado não consiga contornar a restrição geográfica.

Quando o dispositivo recuperado ainda não tem sessões relacionadas elegíveis (portanto matches[] permanece vazio), DEVICE_RECOVERED_HIGH_CONFIDENCE é gerado mesmo assim, com um formato alternativo de additional_data: recovery_match_device_uuid, recovery_match_similarity, recovery_match_band, recovery_gate_reason. IP_LOCATION_NOT_ALLOWED é gerado quando o geofencing por IP está ativado (is_ip_geofencing_enabled) e o IP da sessão está localizado em um país ou estado/região marcado como não permitido em ip_geofencing_by_country. additional_data traz ip_country_code (ISO-3), ip_country, ip_state e restricted_by (country ou state). As entradas de estado/região têm prioridade sobre a configuração do país e são comparadas, sem diferenciar maiúsculas de minúsculas, com o nome da região informado pelo provedor de IP (por exemplo, "California"). Países que não constam na configuração são permitidos.

Integridade do dispositivo e do ambiente de execução

Sinais reportados pelos SDKs nativos e pelo cliente web que descrevem o estado do dispositivo em que a verificação foi executada. Eles existem para detectar ataques de injeção: um invasor capaz de fazer root em um dispositivo ou de interceptar o processo do app pode substituir o feed da câmera antes que ele chegue às verificações biométricas. Cada um é configurável por fluxo e tem como padrão Sem ação, de modo que ativar o recurso não altera nenhuma decisão até que você opte por isso.

Risco	Causa	Chave de configuração	Padrão
`DEVICE_APP_TAMPERED`	A atestação da plataforma não conseguiu confirmar que a requisição veio de uma build genuína e não modificada da aplicação em um dispositivo genuíno.	`device_app_tampered_action`	`NO_ACTION`
`DEVICE_RUNTIME_HOOKING_DETECTED`	Um framework de instrumentação ou de hooking em tempo de execução (Frida, Xposed, LSPosed, Substrate) foi detectado no processo da aplicação.	`device_hooking_action`	`NO_ACTION`
`DEVICE_ROOTED_OR_JAILBROKEN`	O dispositivo apresenta indícios de root ou jailbreak, que removem as proteções do sistema operacional que impedem a interceptação da câmera.	`device_rooted_action`	`NO_ACTION`
`DEVICE_EMULATOR_DETECTED`	A sessão foi originada em um emulador ou simulador, e não em um dispositivo físico.	`device_emulator_action`	`NO_ACTION`
`DEVICE_DEBUGGER_ATTACHED`	Um depurador ou rastreador de processos estava anexado à aplicação durante a verificação.	`device_debugger_action`	`NO_ACTION`
`AUTOMATION_FRAMEWORK_DETECTED`	A sessão foi conduzida por um framework de automação de navegador ou por um navegador headless, e não por uma pessoa.	`automation_detected_action`	`NO_ACTION`
`DEVICE_INTEGRITY_SIGNALS_MISSING`	O cliente informou uma versão do SDK que oferece suporte ao envio de sinais de integridade, mas nenhum sinal de integridade chegou, o que pode indicar que os sinais foram removidos no trajeto.	`device_integrity_missing_action`	`NO_ACTION`

Cada verificação é feita em caráter de melhor esforço. Quando uma verificação não pode ser executada, ela reporta não determinado em vez de um resultado sem indícios, de modo que uma verificação com falha nunca gera um falso positivo contra um usuário legítimo. Os sinais são reportados a partir do SDK nativo 4.4.0; sessões de SDKs anteriores legitimamente não enviam nada e nunca geram DEVICE_INTEGRITY_SIGNALS_MISSING.

Sinais de root e de emulador são comuns entre usuários legítimos com dispositivos modificados, mas não fraudulentos. Comece configurando-os como Revisão em vez de Recusa e acompanhe sua própria taxa de recusa antes de torná-los mais rígidos.

Configurações disponíveis

Controles do fluxo por nó (também configuráveis globalmente nas configurações de verificação da aplicação; toda ação tem como padrão Sem ação, salvo indicação em contrário):

Configuração	Controla	Padrão
`vpn_detection_action`	`PRIVATE_NETWORK_DETECTED`	Sem ação
`ip_mismatch_action`	`COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP`	Sem ação
`expected_ip_mismatch_action`	`EXPECTED_IP_ADDRESS_MISMATCH`	Sem ação
`duplicated_ip_action`	`DUPLICATED_IP_ADDRESS`	Sem ação
`duplicated_device_action`	`DUPLICATED_DEVICE_FINGERPRINT`	Sem ação
`recovered_device_action`	`DEVICE_RECOVERED_HIGH_CONFIDENCE`	Sem ação
`device_liveness_attack_history_action`	`DEVICE_LINKED_TO_LIVENESS_ATTACK`	Sem ação
`device_model_inconsistency_action`	`DEVICE_MODEL_INCONSISTENT`	Sem ação
`ip_geofencing_action`	`IP_LOCATION_NOT_ALLOWED`	Recusar

As listas de permissão de IP e de dispositivo suprimem apenas o aviso de IP duplicado com correspondência exata ou o aviso determinístico de dispositivo duplicado para o valor incluído na lista. Elas não suprimem avisos de VPN/proxy, de divergência de país, de divergência de IP esperado, de dispositivo recuperado nem de lista de bloqueio. Os avisos de dispositivo recuperado são úteis para detectar redes de fraude que alternam contas e sessões a partir do mesmo hardware, mas a Didit é conservadora por concepção: o sistema prefere deixar de identificar alguns usuários duplicados a mesclar dispositivos não relacionados quando as evidências não são fortes o suficiente. Implantação recomendada: comece com Revisão, acompanhe o volume por duas semanas e, depois, torne a ação mais rígida se sua taxa de falsos positivos for baixa.

Dispositivo duplicado vs. dispositivo recuperado

Trate os dois avisos de forma diferente, pois eles são acionados por evidências distintas:

Aviso	Gatilho	Significado típico	Primeira ação recomendada
`DUPLICATED_DEVICE_FINGERPRINT`	Correspondência exata da identidade persistente do dispositivo (`persistent_id`) ou do hash de fingerprint legado (`legacy_fp`).	Evidência forte de que o mesmo dispositivo aparece em usuários diferentes.	Revisar ou recusar, dependendo da sua tolerância a fraudes.
`DEVICE_RECOVERED_HIGH_CONFIDENCE`	Recuperação v2 de alta confiança (`recovered_high`) após mudança no armazenamento, na sessão ou na identidade do app.	Sinal forte de tentativas em modo anônimo, redefinição de armazenamento ou reinstalação do app. Separado intencionalmente para que você possa monitorá-lo de forma independente.	Faça uma revisão primeiro e, depois, adote critérios mais rigorosos após medir sua taxa de falsos positivos.

Correspondências entre sessões

Quando o mesmo endereço IP, a mesma identidade exata de dispositivo ou um dispositivo recuperado é detectado em sessões pertencentes a usuários diferentes, a Didit registra essas ocorrências como matches[] em ip_analyses[]. As sessões são agrupadas por vendor_data: sessões com o mesmo vendor_data são tratadas como do mesmo usuário e excluídas das correspondências. Sem vendor_data, cada sessão é tratada como de um usuário único e todas as possíveis duplicatas são exibidas. Recomendamos fortemente sempre informar vendor_data para reduzir o ruído. Cada correspondência inclui:

session_id, session_number, vendor_data e verification_date da sessão correspondente, além do seu status de ciclo de vida e de api_service (null para sessões de workflow); source é sempre session
match_type: ip_address ou device_fingerprint
match_source: ip_address, persistent_id, legacy_fp ou recovered_high
matched_value: o IP compartilhado, o identificador do dispositivo ou (para correspondências recuperadas) o UUID do dispositivo recuperado
confidence (0–1, 1 - P(false positive)) e match_mode (deterministic / probabilistic / co_occurrence)
device_info: device_brand, device_model, browser_family, os_family, platform, device_fingerprint
location_info: ip_address, ip_country, ip_country_code, ip_state, ip_city, is_vpn_or_tor, is_data_center
Campos extras de dispositivo recuperado quando match_source é recovered_high: recovery_similarity, tls_ja4_corroborated, recovery_gate_reason

As correspondências por IP e por dispositivo são limitadas a 5 cada (no máximo 10 entradas). Consulte a página do relatório para ver o esquema completo de correspondências e o modelo de confiança.

Exemplos

VPN + divergência de país (configurado para Revisão)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "PRIVATE_NETWORK_DETECTED",
      "additional_data": null,
      "log_type": "warning",
      "short_description": "Private network (VPN/Tor) detected",
      "long_description": "The system detected that the user tried to use a private network (VPN/TOR) to complete the verification process.",
      "node_id": "ip-1"
    },
    {
      "feature": "LOCATION",
      "risk": "COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP",
      "additional_data": { "document_country_code": "ESP", "ip_country_code": "NLD" },
      "log_type": "warning",
      "short_description": "Document country does not match IP country",
      "long_description": "The country from the document does not match the country from the IP address, suggesting a potential mismatch between the document and the user's location.",
      "node_id": "ip-1"
    }
  ]
}

Correspondência na lista de bloqueio (força a recusa)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "IP_ADDRESS_IN_BLOCKLIST",
      "additional_data": { "ip_address": "45.61.20.5" },
      "log_type": "error",
      "short_description": "IP address in blocklist",
      "long_description": "The IP address used for this session was found in the application's IP blocklist, indicating a known suspicious or forbidden origin.",
      "node_id": "ip-1"
    }
  ]
}

Dispositivo recuperado com alta confiança (configurado para Revisão)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "DEVICE_RECOVERED_HIGH_CONFIDENCE",
      "additional_data": {
        "duplicated_session_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
        "duplicated_session_number": 5101,
        "api_service": null,
        "match_source": "recovered_high",
        "recovery_similarity": 0.9874,
        "recovery_match_device_uuid": "f47ac10b-58cc-4372-a567-0e02b2c3d479"
      },
      "log_type": "warning",
      "short_description": "Device matches a previously seen device with high confidence",
      "long_description": "A previously seen device matched this session with high confidence through v2 fuzzy fingerprint recovery after passing strict hard gates, indicating the same physical device under a fresh persistent_id.",
      "node_id": "ip-1"
    }
  ]
}

Relacionados

Relatório de Análise de dispositivo e IP: formato completo da resposta e semântica dos status
Visão geral da Análise de dispositivo e IP: o que cada bloco mede
Modelos de dados: análise de IP: esquema canônico
Webhooks: status.updated inclui os avisos da análise de IP

Autenticação

Verificação

Monitoramento

Plataforma

Códigos de aviso de fingerprint de dispositivo e IP

Visão geral

Avisos gerados

Integridade do dispositivo e do ambiente de execução

Configurações disponíveis

Dispositivo duplicado vs. dispositivo recuperado

Correspondências entre sessões

Exemplos

VPN + divergência de país (configurado para Revisão)

Correspondência na lista de bloqueio (força a recusa)

Dispositivo recuperado com alta confiança (configurado para Revisão)

Relacionados

Tipos de aviso

​Visão geral

​Avisos gerados

​Integridade do dispositivo e do ambiente de execução

​Configurações disponíveis

​Dispositivo duplicado vs. dispositivo recuperado

​Correspondências entre sessões

​Exemplos

​VPN + divergência de país (configurado para Revisão)

​Correspondência na lista de bloqueio (força a recusa)

​Dispositivo recuperado com alta confiança (configurado para Revisão)

​Relacionados

​Tipos de aviso

Visão geral

Avisos gerados

Integridade do dispositivo e do ambiente de execução

Configurações disponíveis

Dispositivo duplicado vs. dispositivo recuperado

Correspondências entre sessões

Exemplos

VPN + divergência de país (configurado para Revisão)

Correspondência na lista de bloqueio (força a recusa)

Dispositivo recuperado com alta confiança (configurado para Revisão)

Relacionados

Tipos de aviso