POST /api/v1/collect

Endpoint mà SDK gửi dữ liệu đo về. Bạn thường không tự gọi nó.

POST /api/v1/collect

Ai gọi nó#

SDK trình duyệt, tự động. Nó gửi khoá công khai của site trong body (không phải header), nên preflight CORS chỉ cần content-type.

Phản hồi#

{
  "requestId": "...",
  "visitorId": "...",
  "verdict": "allow",
  "score": 0,
  "reasons": [],
  "siteId": "...",
  "environment": "production",
  "presenceToken": "...",
  "signature": { "kid": "hg_...", "timestamp": 1770000000, "value": "..." }
}

presenceToken là thứ nhịp tim và lần gửi cuối dùng để xác thực. Site và visitor được đọc ra từ MAC của token, không bao giờ đọc từ body.

Chữ ký#

Phản hồi được ký để backend của bạn phân biệt được nó với một phản hồi do chính người truy cập tự viết. Xem Xác minh phản hồi.

Giới hạn#

Origin phải nằm trong danh sách của site, nếu không request bị từ chối và được đếm là origin-refused trên Health.