Tham chiếu · API máy chủ

POST /api/v1/verdict

Kiểm tra phía máy chủ. Đây là endpoint chặn được người ta.

Kiểm tra phía máy chủ. Đây là endpoint duy nhất thực sự có thể từ chối một người.

POST /api/v1/verdict

Vì sao cần nó#

Phán quyết SDK trả về trang là thông tin: nó đến sau khi trang đã được phục vụ, do JavaScript vẽ ra, và một client viết bằng script không bao giờ chạy nó. Endpoint này là nơi backend của bạn hỏi trước khi trả lời.

Xác thực#

Khoá bí mật của site, qua header x-api-key. Không bao giờ dùng khoá công khai.

Nó cố ý không gửi header CORS nào, trình duyệt không được phép tới được nó.

Yêu cầu#

{
  "visitorId": "<cookie fpc_vid>",
  "requestId": "<tuỳ chọn, từ phán quyết SDK>",
  "ip": "<ip của client>",
  "userAgent": "<header user-agent>",
  "headers": { "accept-language": "..." },
  "payment": { "card": "<fingerprint của cổng thanh toán>", "amount": 12.5, "currency": "USD" }
}

Khối payment là tuỳ chọn; gửi nó biến request thành một lần thử thanh toán. Xem Payments.

Phản hồi#

{
  "verdict": "allow",
  "score": 0,
  "reasons": [],
  "source": "visit",
  "visitorId": "...",
  "payment": { "attemptId": "...", "measured": true }
}

source nói ai đã trả lời:

Giá trị	Nghĩa
`visit`	Có lượt truy cập đã lưu của visitor này
`request`	Chưa từng thấy, nên chấm từ user agent, địa chỉ và header bạn chuyển tiếp

Điều này giúp bạn phân biệt "chúng tôi chưa từng thấy người này" với "đã thấy, và họ trông ổn".

Định danh được tin tới đâu#

Lượt truy cập đã lưu quyết định danh tính. Một visitorId bạn khai chỉ được dùng để tìm bản ghi; nếu không tìm thấy, phán quyết chấm từ request chứ không tin lời khai.

Không tra cứu IP ra ngoài#

Danh tiếng địa chỉ đọc từ lượt truy cập đã lưu. Đặt một bên thứ ba vào đường đi của trang thanh toán là đặt thời gian chết của họ vào doanh thu của bạn.