Códigos de aviso de risco de dispositivo e IP

Visão geral

A Análise de dispositivo e IP emite etiquetas de aviso em ip_analyses[].warnings[] sempre que deteta comportamentos suspeitos de dispositivo, rede ou localização. Nove etiquetas têm uma ação configurável (Recusar / Rever / Nenhuma ação) por nó de fluxo; as duas etiquetas de lista de bloqueio forçam sempre Declined, e as duas etiquetas de lista de permissões são sempre informativas. O log_type de cada aviso reflete a ação aplicada: error (Recusar), warning (Rever) ou information (Nenhuma ação). Cada risco é acionado no máximo uma vez por sessão. Todos os riscos abaixo são verificados em relação ao pipeline de decisão em tempo real; os avisos contêm a etiqueta de funcionalidade LOCATION e a estrutura padrão do objeto de aviso. Os avisos de impressão digital do dispositivo estão intencionalmente divididos em sinais exatos e recuperados:

DUPLICATED_DEVICE_FINGERPRINT significa que a mesma identidade determinística de dispositivo (match_source persistent_id ou legacy_fp) foi reutilizada entre sessões com valores de vendor_data diferentes.
DEVICE_RECOVERED_HIGH_CONFIDENCE significa que a recuperação da impressão digital v2 associou a sessão a um dispositivo visto anteriormente após o ID persistente ter mudado (armazenamento eliminado, modo incógnito, reinstalação da aplicação). O aviso só surge quando a correspondência ultrapassa o limiar de similaridade de alta confiança e os controlos rígidos.

Exemplo de aviso da Análise de dispositivo e IP da Didit com alertas de dispositivo, VPN, proxy e discrepância de localização

Avisos gerados

Risco	Causa	`log_type`	Afeta o estado	Mitigação recomendada
`PRIVATE_NETWORK_DETECTED`	`is_vpn_or_tor` era `true` — a sessão foi aberta através de VPN, proxy ou nó de saída Tor. `additional_data` é `null`.	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: No action).	Decida se a sua tolerância ao risco permite tráfego mascarado. Se o aceitar, deixe em No action.
`COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP`	O país, em formato ISO, do documento de identificação difere do país determinado a partir do endereço IP. `additional_data` inclui ambos os códigos ISO-3: `document_country_code`, `ip_country_code`.	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: No action).	Reveja quando o utilizador viajar legitimamente. Recuse quando associado a sinais de VPN ou de dispositivo duplicado.
`EXPECTED_IP_ADDRESS_MISMATCH`	A sessão foi criada com um endereço IP esperado e o IP em tempo real difere. `additional_data` inclui `expected_ip_address` e `actual_ip_address`.	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: No action).	Utilize quando fixar previamente o IP na criação da sessão. Recuse a sessão ou reforce a autenticação em caso de divergência.
`IP_ADDRESS_IN_BLOCKLIST`	O endereço IP da sessão corresponde a uma entrada na lista de bloqueio de IP da aplicação. `additional_data`: `ip_address`.	sempre `error`	Força `Declined`.	Rejeite a sessão. Audite a origem da lista de bloqueio para despistar falsos positivos se necessário.
`DEVICE_FINGERPRINT_IN_BLOCKLIST`	A impressão digital do dispositivo da sessão corresponde a uma entrada na lista de bloqueio de dispositivos. `additional_data`: `device_fingerprint`.	sempre `error`	Força `Declined`.	Rejeite a sessão.
`IP_ADDRESS_IN_ALLOWLIST`	O IP da sessão teve correspondências duplicadas, mas consta da lista de permissões de IP da aplicação, pelo que o aviso de IP duplicado foi ignorado. `additional_data`: `ip_address`.	sempre `information`	Nenhum.	Utilize para NATs empresariais fidedignos, redes de QA ou pontos de acesso partilhados conhecidos.
`DEVICE_FINGERPRINT_IN_ALLOWLIST`	A impressão digital do dispositivo da sessão teve correspondências determinísticas duplicadas, mas consta da lista de permissões de dispositivos, pelo que o aviso de dispositivo duplicado foi ignorado. `additional_data`: `device_fingerprint`.	sempre `information`	Nenhum.	Utilize apenas para dispositivos partilhados fidedignos. As listas de bloqueio continuam a ter prioridade.
`DUPLICATED_IP_ADDRESS`	O mesmo IP foi utilizado noutra sessão com um `vendor_data` diferente. `additional_data`: `duplicated_session_id`, `duplicated_session_number`, `api_service`. Ignorado quando o IP está na lista de permissões.	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: No action).	Comum em NAT empresarial ou partilhado. Associe a outros sinais (dispositivo duplicado, divergência de país) antes de recusar.
`DUPLICATED_DEVICE_FINGERPRINT`	A mesma identidade determinística de dispositivo foi reutilizada em várias sessões com diferentes `vendor_data`. `additional_data`: `duplicated_session_id`, `duplicated_session_number`, `api_service`, `match_source` (`persistent_id` ou `legacy_fp`). Ignorado quando a impressão digital está na lista de permissões.	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: No action).	Forte indício de abuso de múltiplas contas. Reveja ou recuse consoante a tolerância à fraude.
`DEVICE_RECOVERED_HIGH_CONFIDENCE`	O modelo v2 de recuperação de dispositivo associou a sessão a um dispositivo visto anteriormente com elevada confiança, mesmo após a alteração do ID persistente. `additional_data`: `duplicated_session_id`, `duplicated_session_number`, `api_service`, `match_source` (`recovered_high`), `recovery_similarity`, `recovery_match_device_uuid`. Não é suprimido pela lista de permissões de dispositivos.	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: No action).	Comece com Review, meça a sua taxa de falsos positivos e, em seguida, torne a ação mais rigorosa. Forte indício de tentativas de reposição de armazenamento ou navegação anónima.
`DEVICE_LINKED_TO_LIVENESS_ATTACK`	O mesmo dispositivo (correspondido pelo seu ID de dispositivo persistente) foi utilizado numa sessão anterior de outro utilizador cuja captura de prova de vida foi considerada um ataque. Um dispositivo já utilizado para atacar a verificação de prova de vida é um forte indicador de que esta captura é realizada pelo mesmo atacante. `additional_data`: `liveness_attack_session_id`, `liveness_attack_session_number`, `liveness_attack_sessions_count`, `match_source` (`persistent_id`).	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: No action).	Comece com Review e meça a sua taxa de falsos positivos antes de tornar a ação mais rigorosa para Decline.
`DEVICE_MODEL_INCONSISTENT`	O mesmo dispositivo (correspondido pelo seu ID de dispositivo persistente) foi comunicado como um modelo de dispositivo diferente numa sessão anterior. Um dispositivo físico não muda de modelo, pelo que o modelo comunicado foi provavelmente falsificado ou o identificador de dispositivo foi copiado para outro dispositivo. As cadeias de caracteres de modelos genéricos nunca são comparadas. `additional_data`: `device_model`, `earlier_device_model`, `earlier_session_id`, `earlier_session_number`, `match_source`.	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: No action).	Compare os dois modelos comunicados e reveja a sessão anterior antes de agir.
`IP_LOCATION_NOT_ALLOWED`	A delimitação geográfica por IP está ativada e o IP da sessão está localizado num país ou estado/região marcado como não permitido. `additional_data`: `ip_country_code` (ISO-3), `ip_country`, `ip_state`, `restricted_by` (`country` ou `state`).	reflete a ação configurada	Configurável: Decline / Review / No action (predefinição: Decline).	Utilize para aplicar restrições jurisdicionais. Combine com `vpn_detection_action` para que o tráfego mascarado não consiga contornar o bloqueio geográfico.

Quando o dispositivo recuperado ainda não tem sessões associadas elegíveis (pelo que nada é incluído em matches[]), DEVICE_RECOVERED_HIGH_CONFIDENCE continua a ser acionado com um formato alternativo de additional_data: recovery_match_device_uuid, recovery_match_similarity, recovery_match_band, recovery_gate_reason. O IP_LOCATION_NOT_ALLOWED é acionado quando a delimitação geográfica por IP está ativada (is_ip_geofencing_enabled) e o IP da sessão está localizado num país ou estado/região marcado como não permitido em ip_geofencing_by_country. additional_data inclui ip_country_code (ISO-3), ip_country, ip_state e restricted_by (country ou state). As entradas de estado/região sobrepõem-se ao indicador de país e são comparadas de forma insensível a maiúsculas e minúsculas com o nome da região do fornecedor de IP (por exemplo, "California"); os países não listados na configuração são permitidos.

Integridade do dispositivo e do runtime

Sinais reportados pelos SDKs nativos e pelo cliente web que descrevem o estado do dispositivo no qual a verificação foi executada. Existem para detetar ataques de injeção: um atacante capaz de obter acesso root a um dispositivo ou de intercetar o processo da aplicação (hooking) pode substituir o feed da câmara antes de este chegar às verificações biométricas. Cada um destes controlos é configurável por fluxo e tem como predefinição sem ação, pelo que ativar a funcionalidade não altera quaisquer decisões até que opte por fazê-lo.

Risco	Causa	Chave de configuração	Predefinição
`DEVICE_APP_TAMPERED`	A atestação da plataforma não conseguiu verificar se o pedido teve origem numa compilação genuína e não modificada da aplicação num dispositivo genuíno.	`device_app_tampered_action`	`NO_ACTION`
`DEVICE_RUNTIME_HOOKING_DETECTED`	Foi detetada uma framework de instrumentação ou hooking em runtime (Frida, Xposed, LSPosed, Substrate) no processo da aplicação.	`device_hooking_action`	`NO_ACTION`
`DEVICE_ROOTED_OR_JAILBROKEN`	O dispositivo apresenta indicadores de root ou jailbreak, que removem as proteções do sistema operativo que evitam a interceção da câmara.	`device_rooted_action`	`NO_ACTION`
`DEVICE_EMULATOR_DETECTED`	A sessão teve origem num emulador ou simulador em vez de num dispositivo físico.	`device_emulator_action`	`NO_ACTION`
`DEVICE_DEBUGGER_ATTACHED`	Foi associado um depurador ou rastreador de processos à aplicação durante a verificação.	`device_debugger_action`	`NO_ACTION`
`AUTOMATION_FRAMEWORK_DETECTED`	A sessão foi controlada por uma framework de automação de navegadores ou por um navegador sem interface em vez de ser controlada por uma pessoa.	`automation_detected_action`	`NO_ACTION`
`DEVICE_INTEGRITY_SIGNALS_MISSING`	O cliente indicou uma versão do SDK com suporte para relatórios de integridade, mas não foram recebidos sinais de integridade — o que pode indicar que os sinais foram removidos em trânsito.	`device_integrity_missing_action`	`NO_ACTION`

Cada sonda opera em regime de melhor esforço. Quando uma verificação não pode ser executada, reporta não determinado em vez de um resultado limpo, pelo que uma sonda com falha nunca produz um falso positivo contra um utilizador legítimo. Os sinais são reportados a partir do SDK nativo 4.4.0; as sessões de SDKs anteriores legitimamente não enviam nada e nunca acionam DEVICE_INTEGRITY_SIGNALS_MISSING.

Os sinais de root e emulador são comuns entre utilizadores legítimos em dispositivos modificados mas não fraudulentos. Comece por definir estes alertas como Revisão em vez de Recusar e acompanhe a sua taxa de recusa antes de aumentar o rigor.

Definições configuráveis

Controlos de fluxo por nó (também configuráveis globalmente nas definições de verificação da aplicação; todas as ações têm como predefinição Sem ação, salvo indicação em contrário):

Definição	Determina	Predefinição
`vpn_detection_action`	`PRIVATE_NETWORK_DETECTED`	Sem ação
`ip_mismatch_action`	`COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP`	Sem ação
`expected_ip_mismatch_action`	`EXPECTED_IP_ADDRESS_MISMATCH`	Sem ação
`duplicated_ip_action`	`DUPLICATED_IP_ADDRESS`	Sem ação
`duplicated_device_action`	`DUPLICATED_DEVICE_FINGERPRINT`	Sem ação
`recovered_device_action`	`DEVICE_RECOVERED_HIGH_CONFIDENCE`	Sem ação
`device_liveness_attack_history_action`	`DEVICE_LINKED_TO_LIVENESS_ATTACK`	Sem ação
`device_model_inconsistency_action`	`DEVICE_MODEL_INCONSISTENT`	Sem ação
`ip_geofencing_action`	`IP_LOCATION_NOT_ALLOWED`	Recusar

As listas de permissões de IP e dispositivos suprimem apenas o aviso exato de IP duplicado ou de dispositivo duplicado determinístico para o valor autorizado. Não suprimem avisos de VPN/proxy, discrepância de país, discrepância de IP esperado, dispositivo recuperado ou de listas de bloqueio. Os avisos de dispositivo recuperado são úteis para detetar redes de fraude que alternam contas e sessões no mesmo hardware, mas a Didit é conservadora por conceção — o sistema prefere não detetar alguns utilizadores duplicados a associar dispositivos não relacionados quando as evidências não são suficientemente fortes. Implementação recomendada: comece com Revisão, acompanhe o volume durante duas semanas e, em seguida, aumente o rigor da ação se a sua taxa de falsos positivos for baixa.

Dispositivo duplicado vs. dispositivo recuperado

Trate os dois avisos de forma diferente — são acionados com base em evidências distintas:

Aviso	Acionador	Significado típico	Primeira ação recomendada
`DUPLICATED_DEVICE_FINGERPRINT`	Correspondência exata da identidade persistente do dispositivo (`persistent_id`) ou da hash da impressão digital legada (`legacy_fp`).	Evidência forte de que o mesmo dispositivo surge em diferentes utilizadores.	Revisão ou Recusa, consoante a sua tolerância à fraude.
`DEVICE_RECOVERED_HIGH_CONFIDENCE`	Recuperação v2 de elevada confiança (`recovered_high`) após alteração do armazenamento, da sessão ou da identidade da aplicação.	Sinal forte de tentativas de navegação anónima, reposição de armazenamento ou reinstalação da aplicação. Intencionalmente separado para que possa monitorizá-lo de forma independente.	Comece por Revisão e aumente o rigor após medir a sua taxa de falsos positivos.

Correspondências entre sessões

Quando o mesmo endereço IP, a identidade exata do dispositivo ou um dispositivo recuperado é detetado em sessões pertencentes a utilizadores diferentes, o Didit regista-os como matches[] em ip_analyses[]. As sessões são agrupadas por vendor_data: as sessões com o mesmo vendor_data são tratadas como o mesmo utilizador e excluídas das correspondências. Sem vendor_data, cada sessão é tratada como um utilizador único e todos os potenciais duplicados são apresentados — recomendamos vivamente fornecer sempre vendor_data para reduzir o ruído. Cada correspondência inclui:

session_id, session_number, vendor_data e verification_date da sessão correspondente, além do seu status do ciclo de vida e api_service (null para sessões de fluxo); source é sempre session
match_type — ip_address ou device_fingerprint
match_source — ip_address, persistent_id, legacy_fp ou recovered_high
matched_value — o IP partilhado, o identificador do dispositivo ou (para correspondências recuperadas) o UUID do dispositivo recuperado
confidence (0–1, 1 - P(false positive)) e match_mode (deterministic / probabilistic / co_occurrence)
device_info — device_brand, device_model, browser_family, os_family, platform, device_fingerprint
location_info — ip_address, ip_country, ip_country_code, ip_state, ip_city, is_vpn_or_tor, is_data_center
Dados adicionais do dispositivo recuperado quando match_source é recovered_high: recovery_similarity, tls_ja4_corroborated, recovery_gate_reason

As correspondências de IP e de dispositivo estão limitadas a 5 cada (no máximo 10 entradas). Consulte a página do relatório para o esquema completo de correspondência e o modelo de confiança.

Exemplos

VPN + discrepância de país (configurado para Revisão)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "PRIVATE_NETWORK_DETECTED",
      "additional_data": null,
      "log_type": "warning",
      "short_description": "Private network (VPN/Tor) detected",
      "long_description": "The system detected that the user tried to use a private network (VPN/TOR) to complete the verification process.",
      "node_id": "ip-1"
    },
    {
      "feature": "LOCATION",
      "risk": "COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP",
      "additional_data": { "document_country_code": "ESP", "ip_country_code": "NLD" },
      "log_type": "warning",
      "short_description": "Document country does not match IP country",
      "long_description": "The country from the document does not match the country from the IP address, suggesting a potential mismatch between the document and the user's location.",
      "node_id": "ip-1"
    }
  ]
}

Ocorrência na lista de bloqueio (força a recusa)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "IP_ADDRESS_IN_BLOCKLIST",
      "additional_data": { "ip_address": "45.61.20.5" },
      "log_type": "error",
      "short_description": "IP address in blocklist",
      "long_description": "The IP address used for this session was found in the application's IP blocklist, indicating a known suspicious or forbidden origin.",
      "node_id": "ip-1"
    }
  ]
}

Dispositivo recuperado com alta confiança (configurado para Revisão)

{
  "warnings": [
    {
      "feature": "LOCATION",
      "risk": "DEVICE_RECOVERED_HIGH_CONFIDENCE",
      "additional_data": {
        "duplicated_session_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
        "duplicated_session_number": 5101,
        "api_service": null,
        "match_source": "recovered_high",
        "recovery_similarity": 0.9874,
        "recovery_match_device_uuid": "f47ac10b-58cc-4372-a567-0e02b2c3d479"
      },
      "log_type": "warning",
      "short_description": "Device matches a previously seen device with high confidence",
      "long_description": "A previously seen device matched this session with high confidence through v2 fuzzy fingerprint recovery after passing strict hard gates, indicating the same physical device under a fresh persistent_id.",
      "node_id": "ip-1"
    }
  ]
}

Relacionado

Relatório de análise de dispositivo e IP — formato completo da resposta e semântica do estado
Visão geral da análise de dispositivo e IP — o que cada bloco mede
Modelos de dados — Análise de IP — esquema canónico
Webhooks — o evento status.updated inclui avisos da análise de IP

Autenticação

Verificação

Monitorização

Plataforma

Códigos de aviso de risco de dispositivo e IP

Visão geral

Avisos gerados

Integridade do dispositivo e do runtime

Definições configuráveis

Dispositivo duplicado vs. dispositivo recuperado

Correspondências entre sessões

Exemplos

VPN + discrepância de país (configurado para Revisão)

Ocorrência na lista de bloqueio (força a recusa)

Dispositivo recuperado com alta confiança (configurado para Revisão)

Relacionado

Tipos de aviso

​Visão geral

​Avisos gerados

​Integridade do dispositivo e do runtime

​Definições configuráveis

​Dispositivo duplicado vs. dispositivo recuperado

​Correspondências entre sessões

​Exemplos

​VPN + discrepância de país (configurado para Revisão)

​Ocorrência na lista de bloqueio (força a recusa)

​Dispositivo recuperado com alta confiança (configurado para Revisão)

​Relacionado

​Tipos de aviso

Visão geral

Avisos gerados

Integridade do dispositivo e do runtime

Definições configuráveis

Dispositivo duplicado vs. dispositivo recuperado

Correspondências entre sessões

Exemplos

VPN + discrepância de país (configurado para Revisão)

Ocorrência na lista de bloqueio (força a recusa)

Dispositivo recuperado com alta confiança (configurado para Revisão)

Relacionado

Tipos de aviso