Integrar o Connection Fingerprint

​

O percurso completo

​

Chamar a partir do navegador

const res = await fetch("https://fingerprint.api.vusecurity.com/", {
  credentials: "include",   // indispensável: sem isso o cookie fp não viaja
});
const fingerprint = await res.json();

// Encaminhar EXATAMENTE como veio ao backend, com o contexto da sua sessão.
await fetch("/api/risco/avaliar", {
  method: "POST",
  headers: { "Content-Type": "application/json" },
  body: JSON.stringify({ sessaoId, fingerprint }),
});

​

Verificar a assinatura

curl -s https://fingerprint.api.vusecurity.com/publicKey

{ "publicKey": "LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0K..." }

let chave = null;
async function chavePublica() {
  if (chave) return chave;
  const r = await fetch("https://fingerprint.api.vusecurity.com/publicKey");
  const { publicKey } = await r.json();
  chave = Buffer.from(publicKey, "base64").toString("utf8"); // PEM
  return chave;
}

​

Usar os sinais

​

Persistência: dois mecanismos, duas vidas

• cookie vive um ano e desaparece quando o usuário limpa os cookies ou abre uma janela anônima.
• etag se apoia no cache HTTP e costuma sobreviver a essa limpeza.
• etagFirstRequest diz qual dos dois casos você está vendo: true é um etag recém-emitido, false é um que o cliente devolveu — já esteve aqui antes.

​

/update

{ "detail": "Invalid API Key" }

​

Privacidade

​

Antes de ir para produção

1. Todas as suas origens — desenvolvimento, homologação e produção — estão cadastradas na VU.
2. A chamada sai do cliente, nunca do seu backend.
3. credentials: "include" está presente em cada chamada.
4. O corpo bruto da resposta chega intacto ao verificador.
5. A verificação de assinatura está implementada e combinada com a VU.
6. A chave pública fica em cache, com um caminho para renová-la.
7. Cada chave de geoData é lida como opcional; city pode ser null.
8. accuracyRadius é considerado sempre que as coordenadas forem usadas.
9. Nenhuma decisão se apoia em um único sinal.
10. Nenhum tlsFingerprintHash é usado como credencial.
11. Os identificadores têm um prazo de retenção definido e documentado.
12. Existe um caminho alternativo para quando a API não responde: a avaliação de risco degrada, não cai.