Prüfen Sie den Besuch, nicht nur die Adresse.

Der Registrierungsschutz ergänzt die Prüfung der Adresse um Signale über den Besuch selbst. Er ist für Registrierungen gedacht, deren Adresse unauffällig ist, deren Anfrage aber nicht zu dem Besuch passt, aus dem sie stammen sollte: ein Formular, das ohne Laden der Seite abgeschickt wurde, ein Token aus einer früheren Sitzung oder eine Absendung im Augenblick nach dem Ausliefern der Seite.

Signale stellen nicht fest, wer die Person ist, und beweisen keinen Missbrauch. Jeder Befund ist ein Beleg für Ihre eigenen Regeln, und die empfohlene Aktion geht nie über eine E-Mail-Bestätigung hinaus.

Das Token auf der Registrierungsseite einbinden

Öffnen Sie in Ihrem Konto Registrierungsschutz und erstellen Sie einen Seitenschlüssel für den Origin Ihrer Registrierungsseite, etwa https://example.com. Ein Seitenschlüssel ist kein Geheimnis: Jeder, der die Seite lädt, kann ihn lesen, und er funktioniert nur von den Origins aus, die bei ihm eingetragen sind.

Das Snippet aus Ihrem Konto fügt ein verborgenes Feld und ein kleines Skript ein. Sobald das Formular angezeigt wird, fordert das Skript beim Token-Knoten ein Besuchstoken an und schreibt es in das Feld; Ihr Formular sendet das Feld mit allen anderen Angaben. Ist das Skript blockiert oder antwortet der Knoten nicht, bleibt das Feld leer, und die Prüfung verlangt eine E-Mail-Bestätigung, statt die Registrierung abzulehnen. Die Dokumentation beschreibt das Skript, seine Version und die Content-Security-Policy-Zeilen für Ihre Seite.

Das Token vom Server senden

Bei der Registrierung sendet Ihr Server das Token mit der Adresse und den Verbindungsdaten der besuchenden Person an POST /v1/signup-checks. Dafür dient derselbe API-Schlüssel wie für die E-Mail-Prüfung, und er bleibt auf Ihrem Server.

curl -sS https://api.emvero.tech/v1/signup-checks \
  -H "Authorization: Bearer emv_your_credential" \
  -H "Content-Type: application/json" \
  -d '{"email":"ada@example.com","token":"<Wert des Felds fp_token>","ip":"203.0.113.7","user_agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) ..."}'

Client Hints gehören, wenn Ihr Server sie erhält, in ein Objekt client_hints. Die Antwort enthält eine action für die Registrierung, die signal_codes, die sie angehoben haben, das vollständige Ergebnis der E-Mail-Prüfung und die Signale. Die folgenden Felder sind ein Ausschnitt aus einem möglichen Ergebnis, keine Messung:

{
  "id": "0b8e6f2a-4d1c-4f7e-9a3b-2c5d6e7f8a90",
  "action": "allow_with_email_confirmation",
  "signal_codes": ["fp_fast_submission"],
  "email": { "status": "deliverable", "action": "allow", "reason_codes": [] },
  "signals": {
    "status": "evaluated",
    "findings": [
      { "code": "fp_fast_submission", "class": "binding", "default_raises": true },
      { "code": "fp_network_vpn", "class": "identity", "default_raises": false }
    ]
  }
}

Die Adresse ist hier zustellbar, und die E-Mail-Prüfung allein würde sie zulassen. Das Formular wurde jedoch sehr kurz nach der Ausgabe des Tokens abgeschickt, und dieser Befund hebt die Entscheidung an. Deshalb ist action gleich allow_with_email_confirmation, und signal_codes nennt den Grund. Die Person war außerdem über ein VPN verbunden: Dieser Befund erscheint in der Antwort, hebt die Entscheidung allein aber nicht an.

Prüfen Sie die Adresse bereits an anderer Stelle, nimmt POST /v1/signup-signals dieselbe Anfrage ohne email an und antwortet so, als hätte die E-Mail-Prüfung allow ergeben.

Wie Signale die Entscheidung verändern

Signale können allow auf allow_with_email_confirmation anheben. Sie heben eine Entscheidung nie auf reject an und schwächen die Entscheidung der E-Mail-Prüfung nie ab.

Ist die E-Mail-Prüfung noch pending, stehen die Signale bereits fest, und action ist allow_with_email_confirmation. Fragen Sie nach email.retry_after_ms erneut GET /v1/signup-checks/{id} ab: Die Abfrage ist kostenlos, und die Aktion wird aus dem fertigen Ergebnis der E-Mail-Prüfung und den gespeicherten Signalcodes neu bestimmt.

Worauf die Signale achten

• Das Token. Fehlt das Token, ist es abgelaufen, verändert, für die Seiten eines anderen Kontos ausgegeben oder wird es zum zweiten Mal vorgelegt, hebt das die Entscheidung an.
• Der Besuch und die Anfrage. Weichen IP-Adresse oder Browser beim Absenden von denen ab, für die das Token ausgegeben wurde, hebt das die Entscheidung an, ebenso eine Absendung sehr kurz nach dem ersten Token.
• Das Netz und die Angaben des Browsers. VPNs, Tor, öffentliche Proxys, Private Relays, Hosting-Netze sowie eine Zeitzone oder Plattform, die nicht zur Verbindung passt, werden für Ihre eigenen Regeln gemeldet. Allein heben sie die Entscheidung nicht an.

Jeder Befund trägt default_raises, das angibt, ob er die Entscheidung anhebt. Auch Befunde, die sie nicht anheben, bleiben im Ergebnis, damit Ihre Anwendung eigene Regeln darauf anwenden kann. Die Dokumentation führt alle Codes auf.

Der Signaldienst erstellt außerdem eine Liste von Adressen und Netzen, die auf Ihren Seiten kürzlich als Vermittler aufgetreten sind. GET /v1/relay-list liefert sie kostenlos, mit einem Limit pro Minute. Damit können Sie Anfragen prüfen, die Ihre Seite nie geladen haben, etwa den Aufruf Ihrer API durch eine mobile App.

Was eine Prüfung kostet

Eine kombinierte Prüfung berechnet zusätzlich die E-Mail-Prüfung genau wie POST /v1/verifications. Die Ausgabe von Tokens, die Abfrage einer ausstehenden Prüfung und die Relay-Liste sind kostenlos. Alles wird vom gemeinsamen Guthaben des Kontos abgebucht; reicht es für eine Prüfung nicht aus, antwortet sie mit 402, bevor die Arbeit beginnt.

Was mit den Daten der Besuchenden geschieht

Ihr Server sendet das Token, die IP-Adresse, den User-Agent und die Client Hints. Emvero gibt sie zur Auswertung an den Signaldienst weiter und speichert sie weder in Logs noch in der Datenbank; das gespeicherte Ergebnis enthält keine IP-Adresse und keinen Teil davon. Der Signaldienst erhält einen Client-Code für Ihr Konto, nie aber die E-Mail-Adresse oder die Kennung des Kontos. Ergebnisse werden 30 Tage aufbewahrt, wie die Ergebnisse der E-Mail-Prüfung.

Während des Pilots unterzeichnet jede teilnehmende Organisation eine gesonderte schriftliche Vereinbarung, die regelt, wie der Signaldienst die Daten der Besuchenden verarbeitet.

Verwaltung in Ihrem Konto

Sobald der Registrierungsschutz aktiviert ist, zeigt Ihr Konto seinen Status, Ihre Seitenschlüssel mit ihren Origins, das Snippet für jeden Schlüssel und die mit Ihren Schlüsseln erfassten Verbindungen pro Tag. Einen Schlüssel können Sie jederzeit widerrufen. Um den Registrierungsschutz abzuschalten und seine Daten zu löschen, schreiben Sie uns.