# Cadastro com verificação de identidade no mesmo fluxo Guia · UNIFOKAL · 24 de outubro de 2026 · 6 min de leitura · Produto e integração Conta numa ferramenta e verificação em outra deixam uma janela de conta ativa sem pessoa verificada. A ordem da NIST SP 800-63A-4 e o que muda num fluxo só. A maioria dos produtos digitais cria a conta com e-mail e senha numa ferramenta e verifica a identidade depois, em outra, e a ligação entre as duas fica a cargo de um identificador que alguém precisa guardar e conferir. A resposta curta: a NIST SP 800-63A-4 descreve a ordem certa, primeiro a prova de identidade, depois a conta, e só então a credencial ligada a ela, e fazer isso num fluxo só elimina a janela em que existe conta ativa sem pessoa verificada por trás. **Em resumo** - Na NIST SP 800-63A-4, a pessoa só entra na conta depois da prova de identidade concluída, e a credencial é ligada a essa conta. - A NIST SP 800-63B-4 trata a ligação da credencial no cadastro como parte do próprio cadastro. - Conta criada antes da verificação abre uma janela: a conta existe, loga e acumula histórico sem ninguém verificado. - Num fluxo só, a verificação roda uma vez, no cadastro, e o login seguinte não repete documento nem selfie. - O registro da conta guarda qual verificação a sustenta, o que facilita a auditoria e a recuperação. ## A ordem que a norma descreve A NIST separa dois assuntos em duas publicações: a SP 800-63A-4 trata da prova de identidade e do cadastro, e a SP 800-63B-4 trata da autenticação. O ponto em que as duas se encontram é o cadastro, e a norma dá a ordem. > Upon the successful completion of identity proofing, the applicant is enrolled into a subscriber account and any authenticators can then be bound to the account, including subscriber-provided authenticators. > > NIST SP 800-63A-4, visão geral da prova de identidade São três passos em sequência: provar quem é a pessoa, abrir a conta dela, ligar a credencial (senha, aplicativo autenticador, número de telefone) a essa conta. A SP 800-63B-4 fecha o desenho do outro lado, ao dizer que "Binding at the time of enrollment is considered to be part of the enrollment process". A credencial criada no cadastro não é um evento separado da verificação: é o fim dela. A mesma SP 800-63A-4 admite conta sem prova de identidade, a conta pseudônima, desde que o sistema registre esse estado na conta. É uma escolha legítima para muitos produtos. O problema começa quando a conta pseudônima vira, sem registro, a conta que movimenta dinheiro ou dá acesso a dado sensível. ## Onde a costura entre duas ferramentas abre **o que acontece em cada desenho de cadastro (leitura da casa)** | Momento | Conta numa ferramenta, verificação em outra | Cadastro e verificação no mesmo fluxo | |---|---|---| | Conta ativa antes da verificação | Sim, enquanto a verificação não termina | Não | | Ligação entre a pessoa verificada e a conta | Um identificador copiado entre sistemas | Registrada na própria conta | | Verificação abandonada no meio | Conta ativa e não verificada | Conta não nasce | | Login depois do cadastro | Ferramenta de login, sem saber da verificação | Login normal, a conta já sabe quem é | A primeira linha é a que mais custa. Entre "conta criada" e "verificação aprovada" a conta existe e funciona, e o fraudador que nunca pretendeu passar na verificação usa exatamente essa janela: recebe bônus de indicação, testa cartão, cria histórico para parecer cliente antigo. O padrão aparece no artigo sobre [identidade sintética](https://unifokal.com/blog/fraude-de-identidade-sintetica), em que a conta vale pelo tempo que fica de pé, não pela verificação que nunca terminou. A segunda linha é a que mais pesa na auditoria. Quando a pergunta é "quem era a pessoa por trás desta conta no dia do cadastro", a resposta precisa sair de um registro, não de uma reconciliação entre dois sistemas com identificadores diferentes. > **Atenção** > > Juntar cadastro e verificação não significa verificar a identidade em todo login. A prova de identidade acontece uma vez, no cadastro; o login seguinte é autenticação, com senha, código ou segundo fator. Repetir documento e selfie a cada entrada só desloca o abandono para o login. ## O que muda depois do cadastro O fluxo único resolve o nascimento da conta, e três momentos seguintes se beneficiam dele. 1. **Recuperação de conta.** Quando a pessoa perde a senha e o segundo fator, a conta sabe qual verificação a sustentou. A recuperação pode pedir uma nova prova de quem é a pessoa e comparar com a do cadastro, em vez de confiar só no e-mail. O risco desse momento está em [recuperação de conta](https://unifokal.com/blog/recuperacao-de-conta-o-fluxo-que-o-fraudador-prefere). 2. **Operação sensível.** Uma transferência alta ou a troca do dado de contato pode exigir uma confirmação biométrica contra a referência do cadastro, como discute o artigo de [reautenticação biométrica](https://unifokal.com/blog/reautenticacao-biometrica-pos-onboarding). 3. **Segunda credencial.** A SP 800-63B-4 recomenda, na ligação pós-cadastro, que o usuário mantenha "at least two separate means of authentication" para reduzir a recuperação de conta. Com a pessoa já verificada, ligar o aplicativo autenticador depois é um passo curto. ## Como integrar Do lado de quem integra, o fluxo único reduz o número de peças. O seu servidor cria a sessão com a chave secreta, o navegador abre um componente só, e o resultado chega ao seu servidor como uma troca de código no back-end, não pela resposta do navegador. O mesmo princípio de manter a chave fora do front-end está em [widget ou API pura](https://unifokal.com/blog/widget-ou-api-de-kyc). ## Perguntas frequentes ### Preciso verificar a identidade antes de criar a conta? Depende do produto. A NIST SP 800-63A-4 admite conta sem prova de identidade, desde que esse estado fique registrado. Quando a conta dá acesso a dinheiro ou a dado sensível, a ordem da norma é verificar primeiro e abrir a conta depois. ### O usuário precisa mandar documento a cada login? Não. A prova de identidade acontece no cadastro. O login seguinte é autenticação, com senha, código ou segundo fator, e uma confirmação biométrica só entra em operação sensível, se o seu produto pedir. ### O que acontece se a pessoa abandona a verificação no meio do cadastro? No fluxo único, a conta não nasce: não fica uma conta ativa e não verificada esperando. Quando a pessoa volta, recomeça o cadastro. ### Como provo depois quem era a pessoa por trás de uma conta? Pelo registro da conta, que guarda qual verificação a sustentou no cadastro. A NIST SP 800-63A-4 inclui no registro da conta o nível de prova alcançado e as credenciais ligadas a ela. ## Fontes citadas - NIST SP 800-63A-4, Digital Identity Guidelines: Identity Proofing and Enrollment, visão geral da prova de identidade, cadastro e registro da conta, em [pages.nist.gov](https://pages.nist.gov/800-63-4/sp800-63a.html) - NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, ligação de credencial no cadastro e depois dele, em [pages.nist.gov](https://pages.nist.gov/800-63-4/sp800-63b.html)