Compruebe la visita, no solo la dirección.

La protección de registros añade señales sobre la propia visita a la comprobación de la dirección. Está pensada para registros cuya dirección parece correcta, pero cuya solicitud no coincide con la visita de la que debería proceder: un formulario enviado sin cargar la página, un token reutilizado de una sesión anterior o un envío hecho un instante después de servir la página.

Las señales no identifican a la persona ni demuestran un abuso. Cada hallazgo es una evidencia para sus propias reglas, y la acción recomendada nunca va más allá de la confirmación por correo.

Añada el token a su página de registro

En su cuenta, abra Protección de registros y cree una clave de página para el origen de su página de registro, por ejemplo https://example.com. La clave de página no es secreta: cualquiera que cargue la página puede leerla, y solo funciona desde los orígenes indicados en ella.

El fragmento de su cuenta añade un campo oculto y un pequeño script. Cuando se muestra el formulario, el script pide un token de visita al nodo de tokens y lo escribe en el campo, y el formulario envía ese campo con el resto de los datos. Si el script está bloqueado o el nodo no responde, el campo queda vacío y la comprobación pide confirmar el correo en lugar de rechazar el registro. La documentación describe el script, su versión y las líneas de Content-Security-Policy que necesita su página.

Envíe el token desde su servidor

En el registro, su servidor envía el token con la dirección y los datos de conexión del visitante a POST /v1/signup-checks. Usa la misma credencial de API que la verificación del correo, y la credencial permanece en su servidor.

curl -sS https://api.emvero.tech/v1/signup-checks \
  -H "Authorization: Bearer emv_your_credential" \
  -H "Content-Type: application/json" \
  -d '{"email":"ada@example.com","token":"<valor del campo fp_token>","ip":"203.0.113.7","user_agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) ..."}'

Los Client Hints, cuando su servidor los recibe, van en un objeto client_hints. La respuesta contiene una sola action para el registro, los signal_codes que la elevaron, el resultado completo de la verificación del correo y las señales. Estos campos seleccionados ilustran un resultado posible; no son una medición:

{
  "id": "0b8e6f2a-4d1c-4f7e-9a3b-2c5d6e7f8a90",
  "action": "allow_with_email_confirmation",
  "signal_codes": ["fp_fast_submission"],
  "email": { "status": "deliverable", "action": "allow", "reason_codes": [] },
  "signals": {
    "status": "evaluated",
    "findings": [
      { "code": "fp_fast_submission", "class": "binding", "default_raises": true },
      { "code": "fp_network_vpn", "class": "identity", "default_raises": false }
    ]
  }
}

Aquí la dirección es entregable y la verificación del correo, por sí sola, la aceptaría. Pero el formulario se envió muy poco después de que la página recibiera su token, y ese hallazgo eleva la decisión. Por eso action es allow_with_email_confirmation y signal_codes indica el motivo. Además, el visitante usaba una VPN: ese hallazgo aparece en la respuesta, pero por sí solo no eleva la decisión.

Si ya comprueba la dirección por otra vía, POST /v1/signup-signals acepta la misma solicitud sin email y responde como si la verificación del correo hubiera devuelto allow.

Cómo cambian la decisión las señales

Las señales pueden elevar allow a allow_with_email_confirmation. Nunca elevan una decisión a reject ni suavizan la decisión de la verificación del correo.

Si la verificación del correo sigue en pending, las señales ya son definitivas y action es allow_with_email_confirmation. Consulte GET /v1/signup-checks/{id} cuando pase email.retry_after_ms: la consulta es gratuita y la acción se recalcula con el resultado final del correo y los códigos de señales guardados.

Qué observan las señales

• El token. Un token ausente, caducado, alterado, emitido para las páginas de otra cuenta o presentado por segunda vez eleva la decisión.
• La visita frente a la solicitud. La decisión se eleva si la dirección IP o el navegador del envío no coinciden con aquellos para los que se emitió el token, y también si el envío llega muy poco después del primer token.
• La red y lo que declara el navegador. Las VPN, Tor, los proxies públicos, los relés privados, las redes de alojamiento y una zona horaria o plataforma que no coincide con la conexión se notifican para sus propias reglas. Por sí solos no elevan la decisión.

Cada hallazgo incluye default_raises, que indica si eleva la decisión. Los hallazgos que no la elevan también se conservan en el resultado, para que su aplicación les aplique sus propias reglas. La documentación enumera todos los códigos.

El servicio de señales también elabora una lista de direcciones y redes que han actuado recientemente como intermediarios en sus páginas. GET /v1/relay-list la devuelve gratis, con un límite de solicitudes por minuto, para que pueda comprobar solicitudes que nunca cargaron su página, como la llamada de una aplicación móvil a su API.

Cuánto cuesta una comprobación

Una comprobación combinada cobra además la verificación del correo igual que POST /v1/verifications. Emitir tokens, consultar una comprobación pendiente y obtener la lista de intermediarios es gratis. Todo se descuenta del saldo compartido de la cuenta; si no alcanza para una comprobación, esta responde 402 antes de empezar cualquier trabajo.

Qué ocurre con los datos de los visitantes

Su servidor envía el token, la dirección IP, el User-Agent y los Client Hints del visitante. Emvero los pasa al servicio de señales para evaluar la comprobación y no los conserva en sus registros de actividad ni en su almacenamiento; el resultado guardado no contiene ninguna dirección IP ni parte de ella. El servicio de señales recibe un código de cliente de su cuenta, nunca la dirección de correo ni el identificador de la cuenta. Los resultados se conservan 30 días, igual que las verificaciones del correo.

Durante el piloto, cada participante firma un acuerdo escrito independiente que regula cómo trata el servicio de señales los datos de los visitantes.

Gestión desde su cuenta

Cuando la protección de registros está activada, su cuenta muestra su estado, sus claves de página con sus orígenes, el fragmento de cada clave y las conexiones registradas con sus claves cada día. Puede revocar una clave en cualquier momento. Para desactivar la protección de registros y eliminar sus datos, escríbanos.