Biometria e antifraude

A ForSign aplica três camadas de verificação biométrica antes (e durante) a assinatura. Você pode combiná-las livremente: ligar só a selfie, exigir prova de vida com challenge, comparar o rosto contra o CPF na Serpro, ou validar somente a regularidade do CPF. O conjunto inteiro é o que chamamos de antifraude.

As cinco políticas de antifraude

O recurso aplicado a cada assinante é definido por um valor único:

Como ativar

O antifraude é um recurso por plano — sua empresa precisa ter contratado a biometria. Para habilitar ou ajustar a configuração, fale com o suporte/comercial da ForSign.

A configuração base fica nas configurações da empresa, no painel: define a verificação exigida por padrão, os limiares de aprovação, o número de tentativas e se assinantes que excedem as tentativas ficam bloqueados. Essa configuração é o padrão de toda a empresa — se o painel estiver exigindo Liveness, por exemplo, todas as operações criadas passam a exigir Liveness.

Override por operação

Para uma operação específica, você sobrescreve a política padrão enviando antifraudFeatures em cada members[] no POST /api/v1/operation (detalhado em Configuração no payload, logo abaixo). O override vale só para aquela operação e só funciona se a empresa permitir override por assinante.

Configuração no payload

Por assinante em members[]

POST /api/v1/operation
{
  "members": [
    {
      "name": "Claudio Nogueira",
      "email": "[email protected]",
      "cpf": "12345678901",
      "antifraudFeatures": ["Liveness", "CpfSerpro"]
    },
    {
      "name": "Maria Observer",
      "email": "[email protected]",
      "antifraudFeatures": ["Disabled"]
    }
  ]
}

Eventos via webhook

Apenas um tipo de webhook é disparado pelo fluxo biométrico — SelfieCaptured (action 8). O bloqueio gera notificação por email ao criador, não webhook.

SelfieCaptured (Action: 8)

Disparado quando a selfie é aceita pelo servidor. O payload inclui Data.Member.AntifraudResults, com um item por validação realizada:

{
  "Action": 8,
  "ActionDescription": "SelfieCaptured",
  "Success": true,
  "CreatedAt": "2026-05-23T10:42:00Z",
  "CompanyId": 67,
  "OperationId": 5538,
  "OperationMemberId": 35845,
  "Data": {
    "Id": 5538,
    "OperationCompanyId": 5538,
    "Name": "Contrato",
    "Member": {
      "Id": 35845,
      "Name": "Claudio Nogueira",
      "Email": "[email protected]",
      "AntifraudResults": [
        {
          "ValidationType": "Liveness",
          "Approved": true,
          "Score": 1.0,
          "NumberOfAttempts": 1,
          "Timestamp": "2026-05-23T10:41:55Z"
        },
        {
          "ValidationType": "FacialCpfSerpro",
          "Approved": true,
          "Score": 0.9123,
          "NumberOfAttempts": 1,
          "Timestamp": "2026-05-23T10:41:58Z"
        },
        {
          "ValidationType": "CpfSerpro",
          "Approved": true,
          "Score": null,
          "NumberOfAttempts": 1,
          "Timestamp": "2026-05-23T10:41:58Z"
        }
      ]
    }
  }
}

Resultados e bloqueio

Cada assinante tem um AntifraudStatus consolidado:

Retry e bloqueio

• Cada falha de validação incrementa o contador de tentativas.
• Falhas do provedor (5xx, timeout, network) não contam — o watchdog ressuscita o membro automaticamente.
• Falha do assinante (CPF inválido, foto distinta, vivacidade fake) conta.
• Ao atingir o limite de tentativas:
  • Com bloqueio ativo → membro fica Blocked e dispara notificação por email ao criador da operação.
  • Com bloqueio desativado → membro fica SkippedMaxAttempts e segue para a assinatura sem aprovação biométrica.

Desbloquear ou dispensar um assinante

Se um assinante ficou Blocked ou você precisa dispensar a verificação biométrica dele, isso é feito no painel, na tela de gestão da operação — não há endpoint público para isso. O desbloqueio reabre as tentativas (o status volta para Pending); o bypass libera a assinatura sem verificação (status Bypassed). Os dois ficam registrados na trilha de auditoria.

Integração Serpro

A validação Face Match (FacialCpfSerpro) e a validação de CPF (CpfSerpro) usam o Serpro Datavalid — serviço público de validação cadastral do governo federal. Por padrão, a ForSign já cuida dessa integração — você não precisa de nenhuma chave. Empresas que queiram usar a própria credencial Serpro (BYOK) podem configurá-la nas configurações da conta; é opcional.

Próximo passo