Práticas de integração de uma API de verificação: webhooks, sandbox, OTP e o que olhar antes de ir para produção.
Dado público não é API. O desenho mínimo de um ingestor honesto de listas oficiais: pacote com data, latin1 contra UTF-8, membro certo do ZIP, canário de integridade e guarda de encolhimento.
Ler o artigoOs quatro desfechos que uma integração de verificação colapsa em um booleano, o estrago de cada colapso e três decisões que caem da separação: cache por classe, base vencida e contrato de resposta auditável.
Ler o artigoA conta honesta do build interno de verificação: modelos e a régua pública do NIST, dados de calibração sob a LGPD, operação contínua e custo de oportunidade, contra o preço por verificação de um fornecedor.
Ler o artigoNem toda falha de verificação é fraude, parte é foto ruim. Como desenhar a recaptura que recupera conversão sem virar porta de abuso, com as métricas no lugar certo.
Ler o artigoPor que toda API que cobra, credita ou decide precisa de idempotência: o que a RFC 9110 define, como a chave de idempotência funciona e os detalhes que separam proteção real de decorativa.
Ler o artigoPlano de corte para trocar de fornecedor de verificação sem parar o cadastro: inventário, retenção legal, rodagem paralela com homologação em sandbox e offboarding sem dado órfão.
Ler o artigoComo receber selfie e documento sem transformar o backend em depósito de mídia sensível: upload direto ao storage, política POST com limite de bytes e validação do que chega.
Ler o artigoComparação honesta entre widget embutido e API pura para integrar verificação de identidade: esforço real, segurança de credenciais, CSP e quem absorve a manutenção ao longo dos anos.
Ler o artigoCódigo de uso único confirma posse de um canal, não identidade. O que o NIST SP 800-63B diz sobre OTP por SMS, onde o SIM swap entra, e como usar OTP no lugar certo do fluxo.
Ler o artigoTestar verificação de identidade com CPF e rosto de gente de verdade é risco jurídico e técnico. O que um sandbox precisa ter, por que determinismo importa e o que a LGPD diz sobre dado de teste.
Ler o artigoA decisão de uma verificação chega por webhook, e webhook mal integrado vira fraude ou perda de evento. Assinatura HMAC (RFC 2104), idempotência, retentativas e os erros clássicos.
Ler o artigo