Integrar Connection Fingerprint

​

El recorrido completo

​

Llamar desde el navegador

const res = await fetch("https://fingerprint.api.vusecurity.com/", {
  credentials: "include",   // imprescindible: sin esto la cookie fp no viaja
});
const fingerprint = await res.json();

// Enviar TAL CUAL al backend, junto con el contexto de su sesión.
await fetch("/api/riesgo/evaluar", {
  method: "POST",
  headers: { "Content-Type": "application/json" },
  body: JSON.stringify({ sesionId, fingerprint }),
});

​

Verificar la firma

curl -s https://fingerprint.api.vusecurity.com/publicKey

{ "publicKey": "LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0K..." }

let clave = null;
async function clavePublica() {
  if (clave) return clave;
  const r = await fetch("https://fingerprint.api.vusecurity.com/publicKey");
  const { publicKey } = await r.json();
  clave = Buffer.from(publicKey, "base64").toString("utf8"); // PEM
  return clave;
}

​

Usar las señales

​

Persistencia: dos mecanismos, dos vidas

• cookie vive un año y desaparece cuando el usuario borra sus cookies o abre una ventana privada.
• etag se apoya en la caché HTTP y suele sobrevivir a ese borrado.
• etagFirstRequest le dice cuál de los dos casos está viendo: true es un etag recién emitido, false es uno que el cliente devolvió —ya había estado antes—.

​

/update

{ "detail": "Invalid API Key" }

​

Privacidad

​

Antes de salir a producción

1. Todos sus orígenes —desarrollo, homologación y producción— están dados de alta en VU.
2. La llamada sale del cliente, nunca de su backend.
3. credentials: "include" está presente en cada llamada.
4. El cuerpo crudo de la respuesta llega intacto al verificador.
5. La verificación de firma está implementada y acordada con VU.
6. La clave pública se cachea, con una vía para renovarla.
7. Cada clave de geoData se lee como opcional; city puede ser null.
8. accuracyRadius se considera siempre que se usen las coordenadas.
9. Ninguna decisión se apoya en una única señal.
10. Ningún tlsFingerprintHash se usa como credencial.
11. Los identificadores tienen un plazo de retención definido y documentado.
12. Existe un camino alternativo para cuando la API no responde: la evaluación de riesgo degrada, no se cae.