并非所有通行证都具有相同的效力：在客户注册和验证决策中使用保证级别
Charles Archibong, 联合创始人
芯片验证通过、政府数据库验证通过和仅凭文件验证通过是不同强度的证据。预先确定每个层级的证据效力，并根据该层级以及用于匹配人脸的照片进行筛选，允许客户升级验证，而不是直接拒绝其申请。
要点
- chip、gov_db 和文档通过所依据的证据不同，因此应区别对待。
- 在产品发布前，确定每个层级可以执行的操作，并将其作为政策写下来，而不是个案处理。
- 路线应与 facialMatchSource 一起确定保证级别，而不是仅仅依靠通行证。
- 保证措施衡量的是身份证据，而不是风险：筛查和监控仍然适用于每个层级。
将这三次传球视为三种不同强度的证据，并在发布前决定每次传球的适用范围。chip通行证的有效性取决于签发州签署的数据。gov_db能否通过取决于政府自身的记录。document审核通过与否取决于照片中文件的显示效果。这三位都可能是真实客户，也都应该完成注册，但他们的账户限额不应默认相同。
实际操作规则是：根据保证级别以及与人脸匹配的照片进行路由，为每个级别制定明确的政策，并为客户提供升级到更高级别的途径，而不是让他们失败。
每个保证级别分别代表什么含义？
在 Toden 身份验证，每次通过验证都会产生一个assuranceLevel详见“国家和身份证类型”文档 （在新标签页中打开）：
等级 | 身份是如何证明的 | 如有提供 |
|---|---|---|
| 该文件的 NFC 芯片已被读取，并根据签发国的证书进行了被动认证，结果表明该芯片并非复制品。 | 护照（以及部分芯片身份证）可通过移动应用程序读取，适用于受信任证书列表中的国家/地区。 |
| 该ID已与源政府数据库进行匹配。 | 尼日利亚、加纳、肯尼亚、南非和科特迪瓦 |
| 仅凭文件内容即可核实 | 任何其他国家，通过文件采集 |
排序方式反映了证据的来源。 NIST 美国国家安全委员会的身份验证指南SP 800-63A-4 （在新标签页中打开）（2025 年 7 月）采用了类似的层级结构：其最强证据类别要求“通过对证据内容和签发来源进行加密验证”来进行验证，包括“追溯到信任锚点的信任链”。芯片检查正是如此。 NIST 这是一个美国框架，它的类别与这些层级并不一一对应，但逻辑是相同的。
为什么仅凭传球不足以进行路线规划？
因为两次验证结果相同，但证明力却可能大相径庭。
假设有两个申请人使用同一款投资应用程序。一位是肯尼亚客户，其身份已通过政府记录核实，其自拍照与记录照片相符。另一位申请人来自一个没有此类数据库的国家，其身份已通过驾驶执照照片核实，其自拍照与驾照上的照片相符。两人的身份均已通过核实。但只有其中一位申请人的身份信息是通过其无法提供的来源进行核实的。
第二个重要的领域是facialMatchSource，其中说明了这张自拍照片是与哪张照片进行比较的：gov_record，chip或者document与打印照片进行比对的证据较弱，因为伪造者会在伪造品上印上自己的脸； Toden 它从未提高保证水平。一项着眼于……的政策assuranceLevel但忽略了facialMatchSource只看到了问题的一半。
各个层级应该如何对待？
以下是针对一款用于存储和转移资金的应用程序的初始策略示例。此策略仅供参考；您的实际限制取决于您的产品、许可证和风险承受能力。
保证 | 面部匹配 | 默认结果 | 起始限制 |
|---|---|---|---|
| 芯片肖像或政府照片 | 批准 | 完全标准限 |
| 政府档案照片 | 批准 | 完全标准限 |
| 没有可用的比较 | 审查 | 暂不予审核 |
| 文件打印照片 | 批准但降低限额，或审查其是否适用于高风险产品。 | 因缺乏更多证据而暂缓执行 |
任何 | 筛选匹配项、设备或 IP 标志 | 审核，无论级别如何 | 握住 |
桌子背后是三个原则。
层级设定的是上限，而不是下限。
document-级客户并非嫌疑人。他们只是你不太了解的客户，因此额度较低，而非拒绝交易。保证关乎身份，而非风险。
chip通行证仅表明持证人身份与护照上所列一致，并不表明其是否受到制裁、是否属于政治敏感人物或是否可能实施欺诈。各层级均需接受筛查和监控。让顾客攀爬。一位顾客在
document用户如果之后通过移动应用中的芯片护照或第二份身份证明进行验证，就应该能够升级。应该提供升级途径，而不是永久限制等级。
用决策图表示会是什么样子？
在 Toden 工作流是一个决策图，在检查完成后运行，并根据诸如以下字段进行分支：verification.assuranceLevel和verification.facialMatchSource并最终确定为批准、审核或拒绝。标签操作可以标记层级，以便后端设置限制。workflow.run.completedwebhook。以下是上述策略的示例图：
1. Wait for screening
2. If screening.anyMatch -> open case, then REVIEW
3. If verification.status != VERIFIED -> DECLINE
4. If assuranceLevel in [chip, gov_db]
and facialMatchSource in [chip, gov_record] -> tag "tier-full", APPROVE
5. If assuranceLevel == document -> tag "tier-reduced", APPROVE
6. Otherwise -> REVIEW您的后端会读取 webhook 的结果和标签，并应用相应的限制。由于每次运行都绑定到其初始的工作流版本，因此后续更改策略不会覆盖已做出的决定。决策文档 （在新标签页中打开）列出了相关字段和节点类型。
有哪些极端情况？
政府数据库路径上的一个芯片。 Toden 当身份证件与政府数据库进行比对时（例如尼日利亚护照），自拍照会与政府数据库中的照片进行比对，而不是与芯片上的照片进行比对。在这个过程中，芯片上的信息会被泄露。chip仅当主动身份验证证明它不是副本时，该层级才有效；否则，验证仍然通过。gov_db实际上，这并非降级：在上述政策中，两个层级都受到相同的待遇。
无法确认的芯片。如果芯片的签发国家不在受信任证书列表中，或者芯片本身无法读取，则该芯片的验证永远不会失败。它只是不提供芯片安全保障，验证结果取决于其他检查。参见 NFC （在新标签页中打开）详情请参阅 芯片文档。 （在新标签页中打开）
即使审核未通过，仍可获得批准。保证级别与通过的验证挂钩。当审核员批准了审核未通过的申请人时，记录中仍会保留该未通过的审核结果。checkStatus及其reasonCode将这些批准视为您限额政策中的一个独立类别，而不是任何级别的通行证。
启动前检查清单
店铺
assuranceLevel和facialMatchSource除了结果之外，每个客户记录中都包含这些信息。撰写一份一页纸的政策文件，将每种组合与一个结果和一个限制进行映射。
将其实现为决策图，以便一致地应用，并为后端标记层级。
为低级别客户提供升级到更高级别的途径。
对每一层级都保持筛查和监控。
添加市场时请审核政策，因为新客户可以达到的级别取决于所在国家/地区。
客户尽职调查要求因司法管辖区和许可证而异，本文仅提供一般信息，不构成法律建议。其基本理念是：了解每项身份证明的可靠性，并以此决定您对该身份的信任程度。
参考来源
