Fluxo de recaptura: transformar rejeição técnica em segunda chance

Uma fração das verificações de identidade não termina em aprovado nem em fraude: termina em foto tremida, reflexo sobre o documento, rosto cortado pelo enquadramento, prova de vida inconclusiva porque a sala estava escura. Tratar esses casos como reprovação joga fora clientes legítimos; tratá-los como aprovação joga fora o controle. A resposta certa tem nome e desenho próprios: recaptura.

Este artigo mostra por que rejeição técnica é uma categoria própria de resultado, como desenhar o fluxo que a resolve e como impedir que a segunda chance vire ferramenta de ataque.

Rejeição técnica é categoria própria, com métrica própria

A literatura de avaliação biométrica separa essas coisas há muito tempo. A norma ISO/IEC 19795-1, que define as métricas de desempenho de sistemas biométricos, distingue a falha de aquisição, quando o sistema não consegue capturar uma amostra com qualidade suficiente, dos erros de comparação, aceitar quem deveria rejeitar e rejeitar quem deveria aceitar. Falha de aquisição não diz nada sobre a pessoa; diz sobre a amostra.

O mesmo raciocínio vale para a prova de vida. A ISO/IEC 30107-3, que padroniza a avaliação de detecção de ataques de apresentação, mede tanto os ataques que passam quanto os usuários genuínos classificados como ataque, porque os dois erros existem em qualquer sistema real. Um usuário vivo reprovado pela luz ruim é um erro do segundo tipo, e o fluxo precisa oferecer a ele um caminho que não seja a porta da rua.

O desenho que funciona

1. Recaptura por módulo, não do zero: se a selfie falhou e o documento passou, peça a selfie. Obrigar o usuário a refazer o fluxo inteiro multiplica o atrito e o abandono, e o princípio tem até norma de acessibilidade: o critério 3.3.7, Redundant Entry, das WCAG 2.2, do W3C, pede que informação já fornecida num processo não seja exigida de novo.
2. Motivo acionável: "erro na verificação" não orienta ninguém. "Aproxime o documento e evite reflexo" resolve. O motivo técnico devolvido pela análise precisa chegar à interface traduzido em uma instrução física que uma pessoa qualquer consegue executar no primeiro toque.
3. Validação antes do envio: o melhor pedido de recaptura é o que não acontece. Checagens no próprio aparelho, documento enquadrado, rosto presente, luz suficiente, cortam a rodada inteira de ida e volta ao servidor e devolvem o feedback em tempo real, durante a captura.
4. Limite de tentativas com destino definido: a orientação do NIST na publicação SP 800-63B para autenticação biométrica inclui limitar tentativas consecutivas malsucedidas, e o espírito vale no onboarding. Esgotado o limite, o caso segue para um trilho alternativo definido de antemão, revisão humana ou outro meio de verificação, nunca para um loop infinito de câmera.

A segunda chance não pode ser porta de abuso

Tentativas ilimitadas transformam a recaptura num laboratório: o atacante itera contra a prova de vida até encontrar o que passa. As mitigações têm que estar no desenho, não no improviso. Limite de tentativas por sessão. Persistência de sinais entre as tentativas, porque a terceira tentativa da mesma sessão não é um usuário novo, é a mesma história acumulando evidência. E, acima de tudo, a separação entre motivos que dão direito a nova chance e motivos que encerram: foto tremida ganha recaptura; documento de outra pessoa, rosto divergente da foto do documento ou indício de mídia manipulada não são problemas de qualidade e não voltam para o mesmo funil. Essa fronteira precisa estar escrita na política de decisão.

Na UNIFOKAL, por exemplo, o widget pede reenvio apenas do módulo reprovado por motivo técnico, com limite de releituras por sessão, e motivos substantivos encerram o fluxo para revisão em vez de reabrir a câmera.

As métricas que contam a verdade

• Taxa de recaptura por módulo e por motivo: um pico concentrado num motivo específico aponta defeito de interface ou limiar mal calibrado, não uma safra de usuários desastrados.
• Conversão pós-recaptura: quantos dos que receberam a segunda chance concluem com sucesso. É o número que justifica o investimento no fluxo.
• Tentativas até sucesso e tempo até decisão: recaptura que salva o caso ao custo de dez minutos de fricção só mudou o abandono de lugar.
• Fração de casos que esgotam o limite: é o tamanho real da fila que o seu trilho manual precisa absorver.

Sem essas quatro séries abertas por módulo, a recaptura vira um número agregado que esconde tanto o defeito de UX quanto o ataque em curso.

O fim da linha, com dignidade

Depois do limite de tentativas sobra a decisão substantiva, e ela tem consequência jurídica: a Lei 13.709/2018, a LGPD, dá ao titular, no artigo 20, o direito de solicitar a revisão de decisões tomadas unicamente de forma automatizada. Um bom fluxo de recaptura reduz esse passivo, porque resolve as rejeições técnicas antes de virarem contestação, mas não o elimina: a negativa final precisa de canal de revisão com gente, tema do artigo sobre direitos do titular em KYC.

E quem está decidindo se constrói esse fluxo em casa ou embute o componente pronto do fornecedor encontra o comparativo completo em widget ou API pura: a recaptura é justamente uma das peças mais caras de refazer bem.

Fontes citadas

• ISO/IEC 19795-1, Biometric performance testing and reporting, que define as métricas de desempenho e a falha de aquisição de sistemas biométricos
• ISO/IEC 30107-3, Biometric presentation attack detection, sobre a avaliação de detecção de ataques de apresentação e seus dois tipos de erro
• NIST, Special Publication 800-63B, Digital Identity Guidelines, sobre limites de tentativas em autenticação biométrica: pages.nist.gov
• W3C, WCAG 2.2, critério de sucesso 3.3.7, Redundant Entry: w3.org
• Lei 13.709/2018, LGPD, artigo 20, disponível no portal do Planalto: planalto.gov.br