Uma verificação facial vai afastar os usuários honestos?

Não, se você pedir só onde importa, como o primeiro saque ou usuários acima de uma pontuação de risco, e explicar por quê. Leva uns vinte segundos, uma vez.

Uma foto ou um vídeo podem passar?

Uma foto impressa ou um vídeo reproduzido falham na ordem aleatória do giro e na verificação de mesma pessoa, e programas de câmera virtual nunca passam. Uma injeção de vídeo sofisticada é mais difícil de barrar num navegador, então mantenha também as verificações de dispositivo.

Eu recebo as fotos dos meus usuários?

Não. As fotos nunca são guardadas. Você recebe se a verificação passou e quais contas suas compartilham o rosto; os outros sites nunca são nomeados.

Devo pedir no cadastro?

Normalmente não. Pedir no cadastro faz você perder usuários que nunca iam trapacear. Peça antes de o dinheiro se mover: o saque num site de recompensas, o clique na oferta numa rede.

Verificação facial para sites de recompensas e offerwalls: um rosto, uma conta

As verificações de dispositivo encontram a maioria das multicontas, mas uma fazenda que reseta celulares, aluga celulares na nuvem ou compra aparelhos limpos ainda pode parecer muita gente. Um rosto é mais difícil de multiplicar. Este guia explica quando vale a pena pedir uma selfie em vídeo num site de recompensas ou numa rede de offerwall, o que a verificação prova, onde ela para e como fazer isso sem afastar os usuários honestos.

Resposta curta

Peça uma selfie em vídeo curta só quando o dinheiro está para sair: antes de um saque num site de recompensas, ou quando o usuário clica numa oferta numa rede de offerwall. Confira que uma pessoa real vira a cabeça numa ordem aleatória e compare o rosto com as suas outras contas. Trate uma coincidência como motivo para revisar, nunca como um banimento automático.

Onde pedir: Antes de um saque num site de recompensas; no clique na oferta numa rede de offerwall, enquanto o usuário está no mural.
O que prova: Um único rosto em cada imagem, a mesma pessoa o tempo todo e um giro de cabeça na ordem pedida.
O que encontra: O mesmo rosto por trás de outras contas do seu site, ou de outros sites, que nunca são nomeados.
O que guarda: Uma impressão facial criptografada por 12 meses. As fotos nunca são guardadas.

Por que um rosto, se já existem verificações de dispositivo

A maioria das multicontas é pega pelo dispositivo: o mesmo celular, o mesmo perfil de navegador, o mesmo endereço de pagamento. As fazendas sabem disso. Elas resetam celulares, alugam celulares na nuvem por hora, trocam de proxy residencial e compram aparelhos baratos de segunda mão, para que cada conta pareça uma pessoa diferente num aparelho diferente.

Um rosto não se reseta. Uma pessoa com vinte contas tem um único rosto, e pedi-lo na hora em que o dinheiro se move transforma vinte contas aparentemente limpas numa pessoa de novo. Para o usuário honesto custa vinte segundos, uma vez.

Quando pedir

Pedir para todo mundo no cadastro faz você perder usuários que nunca iam trapacear. Peça onde está o dinheiro:

Site	Pedir em	Por quê
Site de recompensas, GPT, faucet ou PTC	O primeiro saque, ou todo saque acima de um valor	O último momento em que o dinheiro ainda é seu
Rede de offerwall	O clique na oferta	O usuário está no mural; uma conversão chega de servidor para servidor, sem ninguém para enviar
Qualquer um	Só usuários acima de uma pontuação de risco	Usuários honestos com bom histórico nunca são solicitados

Numa rede, restrinja por publisher, oferta e país: os publishers cujo tráfego já tem estornos, as ofertas mais bem pagas, os países onde as fazendas atuam. Num site de recompensas, comece pelos primeiros saques e amplie se as coincidências mostrarem uma rede.

O que a verificação prova

Um único rosto real. Cada imagem deve mostrar exatamente um rosto. Uma segunda pessoa ou uma foto ao lado da câmera não passam.
Um giro de cabeça em ordem aleatória. O usuário olha de frente e depois vira para a esquerda e a direita numa ordem escolhida para aquela sessão. Um vídeo gravado para outra sessão não encaixa.
A mesma pessoa o tempo todo. Cada imagem é comparada com as de frente, então um rosto trocado no meio do caminho não passa.
Uma câmera real. Programas de câmera virtual (OBS, ManyCam e parecidos), que colocam uma gravação no navegador, nunca passam.
O mesmo rosto em outro lugar. Com as imagens de frente é calculada uma impressão facial, comparada com as das suas outras contas e, se você quiser, com as de outros sites, cujos nomes você nunca vê.

O que ela não pega e como usá-la com justiça

Pessoas parecidas. Gêmeos e parentes próximos podem gerar impressões parecidas. Uma coincidência é motivo para olhar as contas, não um veredito.
Injeção avançada. Um atacante determinado pode colocar um vídeo manipulado no navegador. A ordem aleatória do giro e as verificações de dispositivo aumentam o custo, mas uma verificação feita no navegador não é uma prova de vida certificada.
Gente sem câmera. Alguns usuários não têm câmera ou se recusam. Ofereça outro caminho, como uma revisão manual mais lenta, em vez de um beco sem saída.

Privacidade: o que os usuários aceitam e o que é guardado

Uma impressão facial é um dado biométrico na maioria das leis de privacidade, mesmo sendo só números. Trate-a assim:

Pergunte antes. Uma tela de consentimento antes de abrir a câmera, dizendo o que é comparado, com quem e por quanto tempo.
Guarde a impressão, nunca a foto. As imagens são usadas durante a verificação e descartadas; só uma impressão facial criptografada é guardada.
Apague no prazo. Doze meses é um limite razoável para prevenção de fraude; apague antes quando a conta for encerrada.
Respeite as regras locais. Alguns estados dos EUA têm leis biométricas rígidas. Até o seu advogado ler o seu texto de consentimento, não ofereça a verificação lá.

Como implantar sem perder usuários honestos

As primeiras semanas decidem se uma verificação facial ajuda ou atrapalha. Faça por etapas e deixe os números dizerem quando endurecer:

Só registrar. Peça nos primeiros saques (ou nos cliques em ofertas numa rede) sem mudar a decisão. Veja quantos usuários passam na primeira tentativa, quanto tempo levam e quantos desistem.
Leia as coincidências. Abra as contas que compartilham o rosto. Se a maioria também compartilha dispositivos, endereços de pagamento ou uma rajada de cadastros, a verificação está encontrando redes que os seus outros sinais já suspeitavam, e você pode confiar mais nela.
Segurar e depois bloquear. Coloque primeiro em revisão os casos de "falhou três tentativas" e "mesmo rosto em outras contas". Bloqueie só quando as revisões continuarem confirmando.
Explique. Diga aos usuários numa frase por que pede e o que guarda. As perguntas ao suporte caem, e quem se recusa a mostrar o rosto no saque raramente é alguém que você quer pagar.

Meça também as rejeições falsas por dispositivo: celulares antigos com câmeras fracas e pouca luz falham mais. Dê a esses usuários um segundo caminho, como uma revisão manual, para que uma câmera ruim nunca custe o saldo de um usuário honesto.

Face ID na CashoutGuard

A CashoutGuard faz a verificação nos próprios servidores, sem terceiros. Você liga no painel (página Face ID) e escolhe os eventos, a frequência, para quem e o que o resultado muda: nada, revisão ou bloqueio.

Quando um evento cumpre as suas regras, a resposta de /v1/evaluate traz face_check com o link para onde mandar o usuário (documentação).
O webhook face.completed avisa o seu servidor quando uma verificação termina, com as contas do seu site que compartilham o rosto (webhooks).
A página de cada conta mostra a verificação e as contas com o mesmo rosto, junto aos vínculos de dispositivo e aos sinais de celulares na nuvem.

É um piloto, desligado por padrão. Comece só registrando os resultados, olhe as coincidências por uma semana e depois decida o que elas devem mudar.

2026-11-05