Melhores critérios para avaliar verificação de identidade antes de contratar

Escolher uma plataforma de verificação de identidade exige comparar critérios técnicos, regulatórios e operacionais, não apenas preço ou velocidade de integração.

Os pontos que mais pesam são: precisão comprovada por certificações independentes, cobertura de camadas de segurança, conformidade com a regulação vigente, calibragem de risco por contexto e transparência de resultados em produção. Este guia detalha cada critério e traz uma lista comparativa para equipes de compliance, risco e prevenção à fraude usarem na avaliação de fornecedores.

Por que o critério de escolha mudou

Durante anos, bancos e fintechs escolheram fornecedores de KYC observando sobretudo taxa de aprovação e tempo de integração. Esse cálculo ficou incompleto. A Pesquisa Febraban de Tecnologia Bancária 2026 apontou o critério de segurança como prioridade de investimento para praticamente todo o setor bancário neste ano.

No Febraban Tech 2026, dados apresentados em painel sobre fraude sintética mostraram um salto expressivo no uso de deepfakes em golpes ao longo do último ano, com a inteligência artificial já presente em parte relevante das ocorrências de fraude financeira no país.

Esse cenário muda o que uma plataforma de verificação de identidade precisa provar. Não basta capturar um documento e uma selfie. É preciso demonstrar, com evidência auditável, que o sistema resiste a ataques de apresentação, injeção de câmera, documentos sintéticos e fraude de identidade continuada, sem travar o cliente legítimo no meio do caminho.

O que é uma plataforma de verificação de identidade

Uma plataforma de verificação de identidade é o conjunto de tecnologias que confirma quem é o usuário por trás de uma tela, cruzando biometria, documentos e dados cadastrais em tempo real. Ela cobre desde o onboarding até o monitoramento contínuo da conta, e serve como base técnica para processos de KYC, prevenção à fraude e conformidade regulatória em bancos, fintechs, varejo e outros setores regulados.

Na prática, isso envolve pelo menos quatro camadas: liveness biométrico (prova de que existe uma pessoa real na frente da câmera), documentoscopia (validação da autenticidade do documento apresentado), cruzamento de bases (dados cadastrais, listas restritivas, histórico) e inteligência de dispositivo (sinais de rede, geolocalização e comportamento antes mesmo da captura).

Os critérios que mais pesam na avaliação

1. Precisão comprovada por certificações independentes

Autodeclaração de taxa de acerto não substitui certificação de terceiro. Peça relatórios de laboratórios independentes que testem o sistema contra ataques de apresentação (fotos, vídeos, máscaras) e ataques de injeção (imagem fabricada por software, sem passar pela câmera física). As referências de mercado hoje são iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3, BixeLab IAD e ISO/IEC 30107-3. Um fornecedor que reúne esse conjunto completo demonstra resistência tanto a fraude física quanto a fraude puramente digital.

2. Equilíbrio entre bloqueio de fraude e aprovação do cliente legítimo

Uma taxa de aprovação muito alta pode esconder um sistema permissivo demais. O critério certo combina dois números: percentual de fraude aprovada em produção e percentual de usuários legítimos indevidamente rejeitados. Peça esses números em produção, não em ambiente de testes. No mercado brasileiro, sistemas maduros como a Legitimuz mantém a rejeição de usuários legítimos abaixo de 1,33%, o que indica que segurança e conversão não competem entre si quando a arquitetura é bem calibrada.

3. Cobertura de camadas de segurança

Verifique se a plataforma cobre liveness (com detecção de deepfake, máscara e injeção de câmera), documentoscopia, biometria 1:1 (a selfie confere com o documento apresentado) e biometria 1:N (a face é cruzada contra uma base ampla para detectar contas duplicadas, identidade sintética e usuários banidos que retornam com novo cadastro). Contar com um fornecedor que possui múltiplas camadas de segurança, no caso da Legitimuz, é ideal para empresas que querem orquestrar seu próprio fluxo.

4. Inteligência de dispositivo e contexto

Fraude bem estruturada aparece antes da câmera: VPN, emulador, salto de geolocalização, fingerprint suspeito. Avalie se a plataforma analisa esses sinais de rede, dispositivo e comportamento antes de iniciar o liveness, e quantos sinais por sessão o motor de risco processa. Isso reduz a fricção para o cliente confiável e barra o fraudador antes que ele chegue à etapa biométrica.

5. Conformidade regulatória ativa, não apenas retórica

A régua regulatória subiu em 2026. A Resolução BCB 538/2025 combinada com a Resolução CMN 5.274/2025 passou a exigir autenticação multifator, trilhas de auditoria, testes de invasão anuais e gestão de risco de terceiros a partir de 1º de março de 2026.

A Resolução Conjunta BCB nº 6 criou um registro de indicadores de fraude compartilhado entre instituições. Some a isso as exigências da ECA Digital sobre verificação de idade vinculada para plataformas com acesso provável de menores. Pergunte ao fornecedor como cada um desses pontos é endereçado tecnicamente, com exemplos concretos, não apenas com uma cláusula contratual genérica.

6. Transparência de resultados e auditabilidade

Cada verificação deve gerar registro auditável, com histórico de decisão explicável. Compliance e auditoria interna precisam conseguir reconstruir por que um usuário foi aprovado ou rejeitado, sem depender de suporte do fornecedor para isso. Contar com uma tecnologia sem “caixa preta” como a Legitimuz faz toda a diferença.

7. Calibragem de risco por contexto da operação

Nem toda interação exige o mesmo nível de exigência. Reautenticação de rotina pede menos fricção que abertura de conta nova ou transferência de alto valor. Avalie se a plataforma permite configurar níveis de exigência por tipo de operação, valor da transação ou perfil de risco do usuário, em vez de aplicar a mesma régua para todo mundo.

8. Escalabilidade e estabilidade sob volume real

Peça números de volume processado em produção, não em ambiente de homologação. Um sistema que funciona bem com mil verificações por dia pode se comportar de forma diferente processando milhões por mês. Pergunte sobre tempo médio de resposta sob pico de tráfego e sobre histórico de disponibilidade.

9. Suporte técnico e SLA real

Falha de verificação em produção trava onboarding e gera atrito comercial imediato. Avalie tempo de resposta contratual para incidentes, existência de time técnico dedicado à conta e histórico de atendimento de outros clientes do mesmo porte.

10. Custo total de propriedade

Compare não só o preço por verificação, mas o custo indireto de fraude não capturada, de clientes legítimos rejeitados e de retrabalho manual. Uma plataforma mais barata por verificação pode custar mais caro quando esses três fatores entram na conta.

Checklist comparativo por critério

Critério	O que pedir ao fornecedor	Sinal de alerta
Certificações independentes	Relatórios iBeta, BixeLab PAD/IAD, ISO/IEC 30107-3 atualizados	Só apresenta laudo próprio ou certificação genérica sem terceiro independente
Fraude aprovada x rejeição legítima	Números de produção, não de teste	Só divulga taxa de aprovação, sem mencionar fraude aprovada
Camadas de segurança	Liveness, documentoscopia, 1:1 e 1:N em um só fluxo	Cobre só documento ou só selfie, sem cruzamento biométrico amplo
Inteligência de dispositivo	Quantidade de sinais analisados por sessão	Não analisa contexto antes da captura biométrica
Conformidade regulatória	Como atende BCB 538/2025, CMN 5.274/2025 e ECA Digital na prática	Resposta genérica sobre “estar em conformidade com a LGPD”
Auditabilidade	Exemplo de trilha de decisão explicável	Decisão de aprovação ou rejeição sem justificativa rastreável
Calibragem por risco	Configuração de fricção por tipo de operação	Fricção única para toda e qualquer transação
Escalabilidade	Volume real processado por mês em produção	Só apresenta números de ambiente de testes
Suporte e SLA	Tempo contratual de resposta a incidente	Sem SLA formal ou time dedicado
Custo total	Preço por verificação mais custo de fraude não capturada	Comparação feita só pelo preço unitário

Erros comuns na avaliação de fornecedores

Um erro recorrente é comparar apenas o preço por verificação, ignorando o custo da fraude que passa despercebida. Outro é aceitar a métrica de aprovação isolada, sem perguntar quanto dessa aprovação é fraude que passou pela rede. Também é comum tratar conformidade regulatória como item de contrato, e não como capacidade técnica auditável, o que costuma aparecer só depois de um incidente ou de uma fiscalização.

Por que escolher a Legitimuz para ser seu novo fornecedor de verificação de identidade?

Aplicando os critérios deste guia, a Legitimuz cobre cada um dos pontos que uma equipe de compliance e fraude deve exigir de um fornecedor.

Certificações independentes que sustentam a escolha

O LegitFace reúne iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3 e BixeLab IAD, além de ISO/IEC 30107-3. Esse conjunto comprova resistência tanto a ataques de apresentação quanto a ataques de injeção, com metodologia auditada por laboratório de terceiro, não por autodeclaração.

Equilíbrio comprovado entre segurança e conversão

Em produção, a Legitimuz mantém 0% de fraude aprovada com menos de 1,33% de rejeição de usuários legítimos. Esse número mostra que reduzir fraude e manter conversão alta não são objetivos concorrentes quando a arquitetura é bem calibrada.

Camadas completas em uma única stack

Liveness, documentoscopia, biometria 1:1 e 1:N e inteligência de dispositivo operam integrados, sem exigir a soma de vários fornecedores para cobrir as camadas descritas neste guia.

Escala comprovada em operação real

A Legitimuz protege mais de 150 empresas clientes e processa cerca de 40 milhões de autenticações por mês, com uma base de mais de 150 milhões de faces vinculadas a CPFs únicos, o que sustenta a capacidade de identificar contas duplicadas e identidade sintética em escala.

Perguntas frequentes

O que diferencia uma boa plataforma de verificação de identidade de uma plataforma básica?

A diferença está nas camadas combinadas: liveness contra deepfake e injeção de câmera, documentoscopia, biometria 1:1 e 1:N, e inteligência de dispositivo atuando antes da captura. Plataformas básicas cobrem só documento e selfie, deixando brecha para fraude de identidade sintética e contas duplicadas.

Certificação de laboratório independente é obrigatória para escolher um fornecedor?

Não é uma exigência legal, mas é o único jeito de comparar fornecedores com evidência objetiva. iBeta PAD, BixeLab PAD/IAD e ISO/IEC 30107-3 medem resistência a ataques de apresentação e de injeção com metodologia auditável por terceiro, algo que autodeclaração não oferece.

Qual a diferença entre PAD e IAD nas certificações de liveness?

PAD (Presentation Attack Detection) mede a resistência do sistema a fotos, vídeos e máscaras apresentadas à câmera física. IAD (Injection Attack Detection) mede a resistência a imagens fabricadas por software e inseridas diretamente no aplicativo, sem passar pela câmera. Um fornecedor completo precisa das duas.

Uma taxa de aprovação alta é sempre um bom sinal?

Não isoladamente. Uma taxa de aprovação alta pode significar que o sistema é permissivo e está deixando fraude passar. O critério correto combina fraude aprovada com rejeição de usuário legítimo, ambos medidos em produção.

Como a resolução do Banco Central de 2026 afeta a escolha da plataforma?

A Resolução BCB 538/2025 e a Resolução CMN 5.274/2025 passaram a exigir autenticação multifator, trilhas de auditoria, testes de invasão anuais e gestão de risco de terceiros a partir de março de 2026. A plataforma de verificação de identidade precisa suportar essas exigências de forma nativa, não como adaptação posterior.

O que é biometria 1:N e por que ela importa para prevenção à fraude?

Biometria 1:N cruza a face do usuário contra uma base ampla de rostos já cadastrados, em vez de comparar só contra o documento apresentado (1:1). Isso permite identificar identidade sintética, contas duplicadas e usuários banidos que tentam retornar com um cadastro novo.

Quanto tempo leva para migrar de fornecedor de verificação de identidade?

Varia conforme a complexidade da integração e o volume de dados históricos a migrar. O ponto de atenção real é manter a taxa de aprovação de clientes legítimos estável durante a transição. Peça ao novo fornecedor um plano de migração com métricas de acompanhamento desde a primeira semana.

Leia também

• Verificação de vivacidade biométrica (liveness): guia para bancos digitais e fintechs
• Como o crime de câmera virtual é feito e como se proteger?

Fale com um especialista

A Legitimuz reúne liveness certificado (iBeta PAD 1 e 2, BixeLab PAD 1, 2 e 3, BixeLab IAD e ISO/IEC 30107-3), documentoscopia, biometria 1:1 e 1:N e inteligência de dispositivo em uma única stack, com 0% de fraude aprovada e menos de 1,33% de rejeição de usuários legítimos em produção. Fale com um especialista da Legitimuz e avalie sua operação com esse checklist.