--- title: "Configurações de biometria - Rest PKI Core" description: "Todos os campos da seção Configurações de biometria do painel do Rest PKI Core: provedores de captura e de verificação, verificação externa de identidade, níveis mínimos de correspondência, whitelist de URLs de retorno e formatos de identificador." canonical: "https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions/configs/biometric-settings" locale: "pt-BR" product: "Rest PKI Core" last_updated: "2026-11-05" --- # Configurações de biometria - Rest PKI Core A seção **Configurações de biometria** do painel guarda os padrões das sessões de biometria da sua assinatura (subscription): quais provedores capturam e verificam a face, quando a face é conferida com uma fonte externa, quão parecidas duas faces precisam ser para corresponder e quais URLs de retorno e identificadores são aceitos. Cada campo começa em **Usar padrão do sistema**, que segue a configuração da instância (nas suas próprias instâncias, a seção `Bio` do `appsettings`; veja [Padrões da instância](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions/configs/biometric-settings#instance-defaults)). Escolha um valor para sobrescrevê-lo só na sua assinatura. Quando existe um parâmetro de sessão para a mesma coisa, o valor enviado na criação da sessão vale mais que os dois. ## Abrindo as configurações 1. Autentique-se no painel de controle da sua instância. 2. No menu lateral, clique em **Configurações**. 3. Localize a seção **Configurações de biometria**. Ela mostra o valor em vigor de cada campo. 4. Clique em **Editar**, altere os campos e clique em **Salvar**. **Descartar** sai sem salvar. **Redefinir configurações** volta todos os campos da seção para **Usar padrão do sistema**. A captura de geolocalização tem uma seção própria: veja [Configuração de geolocalização](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions/configs/geolocation). ## Provedores e plataforma | Campo | Valores | Padrão do sistema | O que faz | |---|---|---|---| | **Padrão de provedor de captura facial** | **FaceTec Liveness3d**, **FortFace Liveness** | **FaceTec Liveness3d** | O provedor que captura a face e faz a prova de vida. Só aparecem os provedores disponíveis na instância. O parâmetro `FaceCaptureProvider` da sessão vale mais que ele ([veja os detalhes](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions#parâmetros-das-sessões-com-captura-facial)). | | **Provedor de verificação de identidade facial** | **Datavalid**, **FortFace** | Nenhum | O serviço externo usado pela [verificação externa de identidade](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions/configs/biometric-settings#verificação-externa-de-identidade). O Datavalid é o serviço do Serpro, que compara a face com a foto dos registros do governo. | | **Preferência de plataforma** | **Sem preferência**, **Sugerir dispositivo móvel**, **Exigir dispositivo móvel** | **Sem preferência** | Se o usuário recebe a sugestão, ou a obrigação, de continuar no celular por um QR code. O parâmetro `PlatformPreference` da sessão vale mais que ele ([veja os detalhes](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions#parâmetros-gerais)). | ## Verificação externa de identidade A verificação externa de identidade compara a face capturada com um registro externo da pessoa, pelo **Provedor de verificação de identidade facial**, além das verificações do próprio Rest PKI Core. Dois campos a ligam: | Campo | Padrão do sistema | O que faz | |---|---|---| | **Padrão de verificação de identidade facial externa** | Desabilitado | Padrão das sessões de [cadastro biométrico](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions/enrollment). Habilitado, o cadastro confere a face com o provedor antes de cadastrar o subject, e falha com `FaceIdentityVerificationFailed` se o provedor não responder com uma boa correspondência. O parâmetro `VerifyFaceIdentityExternally` da sessão vale mais que ele. | | **Sessões de autenticação: Verificar a identidade facial externamente caso não haja correspondência** | Desabilitado | Quando uma [autenticação facial](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions/authentication) não corresponde à face cadastrada do subject, a face é conferida com o provedor em vez de a sessão falhar na hora. A sessão é bem-sucedida se o provedor responder com uma boa correspondência, e falha com `FaceIdentityVerificationFailed` caso contrário. As sessões de autenticação não têm parâmetro para sobrescrevê-lo: só este campo decide. | **Sessões de autenticação: Verificar a identidade facial externamente caso não haja correspondência** não pode ser habilitado enquanto a validação manual estiver habilitada para a sua assinatura: as duas decidem o que acontece quando não há correspondência, então o salvamento é recusado. ### Permissão para usá-la (v5.1.0) Desde a v5.1.0, a verificação externa de identidade precisa de duas coisas, ambas desligadas por padrão: - na instância, `Bio:EnableExternalIdentityVerifications` com `true` (nas suas próprias instâncias, no `appsettings`); - na sua assinatura, a permissão geral **Realizar verificações externas de identidade**, que um administrador do sistema concede no **Sys Admin**. Nas suas próprias instâncias, `Bio:DefaultCanPerformExternalIdentityVerifications` com `true` a concede a toda assinatura que não tenha um valor próprio. Enquanto faltar uma delas: - a seção mostra um aviso dizendo qual falta; - o salvamento é recusado quando ligaria um dos dois campos acima ou mudaria o **Provedor de verificação de identidade facial**. Desligá-los, e salvar os outros campos, sempre funciona; - uma sessão que pede uma verificação externa é recusada na criação, com o código de erro `ExternalIdentityVerificationsNotEnabled`. > **Aviso** > > Uma sessão de autenticação pede uma verificação externa sempre que **Sessões de autenticação: Verificar a identidade facial > externamente caso não haja correspondência** está em vigor, mesmo por **Usar padrão do sistema**. Se a sua assinatura não pode > realizar verificações externas de identidade e esse campo está habilitado (ou o padrão do sistema está), **toda autenticação facial > falha** com `ExternalIdentityVerificationsNotEnabled`. Coloque o campo em **Desabilitado** explicitamente, e não em **Usar padrão do > sistema**. O mesmo vale para os cadastros e **Padrão de verificação de identidade facial externa**, a menos que todo cadastro envie > `VerifyFaceIdentityExternally` com `false`. ## Correspondência | Campo | Padrão do sistema | O que faz | |---|---|---| | **Habilitar autenticação facial com baixa qualidade** | Desabilitado | Permite que a autenticação facial aceite imagens de qualidade mais baixa. Enquanto estiver habilitado, um nível mínimo de **Autenticação facial** acima de **5** é tratado como **5**, o que diminui a segurança da sua aplicação. Salvar com ele habilitado pede confirmação. | | **Sessões de cadastro: identificar e negar duplicatas** | Desabilitado | Só aparece quando as identificações faciais (1:N) estão habilitadas para a sua assinatura. Habilitado, o cadastro procura entre os subjects já cadastrados e falha com `DuplicatesFound` se a face já estiver lá com outro identificador. | ### Níveis mínimos de correspondência Cada controle deslizante define quão parecidas duas faces precisam ser para a comparação passar. Um nível mais alto é mais rigoroso: passam menos impostores, e mais usuários legítimos são recusados. O botão de atualizar ao lado de cada controle volta ao padrão do sistema. | Controle | Compara | Padrão do sistema | Faixa | |---|---|---|---| | **Verificação de imagem de cadastro - Nível mínimo de correspondência própria (2D/2D)** | A imagem do cadastro com ela mesma, para conferir se é nítida o bastante para ser usada depois. Abaixo do nível, o cadastro falha com `FaceNotFoundWithSufficientQuality` | 6 | 1 a 6 | | **Autenticação facial - Nível de correspondência mínimo (3D/2D)** | A face capturada com a cadastrada, quando só uma delas é 3D (por exemplo, uma captura com prova de vida 3D e um subject cadastrado a partir de uma imagem) | 9 | 1 a 9 | | **Autenticação facial - Nível de correspondência mínimo (2D/2D)** | A face capturada com a cadastrada, quando nenhuma é 3D | 5 | 1 a 6 | | **Correspondência de documento com face (FaceTec) - Nível de correspondência mínimo (2D/2D)** | Uma face 2D com a foto do documento de identificação | 6 | 1 a 6 | | **Correspondência de documento com face (FaceTec) - Nível de correspondência mínimo (3D/2D)** | Uma face capturada com prova de vida 3D com a foto do documento de identificação | 7 | 1 a 7 | | **Correspondência de documento com face (FortFace) - Nível de correspondência mínimo** | A face com a foto do documento de identificação, quando o FortFace captura o documento | 10 | 1 a 16 | Os controles de documento valem para as sessões que capturam um documento de identificação (o parâmetro `CaptureIdentificationDocument` do cadastro e as sessões de [captura de documento](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions/id-capture)). ## Whitelist de URLs de retorno As authorities (esquema e host, mais a porta quando não é a padrão) para onde o `ReturnUrl` de uma sessão pode apontar, como `https://contoso.com`. Ao adicionar uma entrada, o caminho é removido. - **Vazia** (padrão): qualquer URL de retorno é aceita, e a seção mostra "Whitelist desabilitada - todas as URLs de retorno serão aceitas". - **Com entradas**: uma sessão cujo `ReturnUrl` aponta para outra authority é recusada na criação, com o código de erro `BioSessionReturnUrlAuthorityNotWhitelisted`. A lista aceita até 50 entradas (`Bio:MaxBioSessionReturnUrlWhitelistedAuthorities` nas suas próprias instâncias). As sessões que usam `TrustedOrigin` em vez de `ReturnUrl` não são afetadas ([veja a diferença](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions#fluxos-de-frontend)). ## Formatos de identificador permitidos Quais formatos de `SubjectIdentifier` um cadastro aceita: **CPF (11 dígitos, sem pontuação)**, **CNPJ (14 dígitos, sem pontuação)** e **E-mail (endereço válido)**. | Na tela | Cadastros aceitos | |---|---| | **Usar padrões do sistema** ligado | O que a instância permitir (`Bio:AllowedSubjectIdentifierFormats`). A seção mostra esse padrão | | **Usar padrões do sistema** desligado, nada marcado | Qualquer identificador, mesmo que a instância os restrinja | | **Usar padrões do sistema** desligado, alguns formatos marcados | Só esses formatos | Um cadastro com outro formato é recusado no início, com o código de erro `InvalidSubjectIdentifier`. A configuração não afeta as autenticações nem os subjects já cadastrados. Veja [Configuração para os formatos de identificador](https://docs.lacunasoftware.com/articles/rest-pki/core/integration/bio-sessions/configs/subject-identifier-formats). ## Padrões da instância Nas suas próprias instâncias (on-premises), **Usar padrão do sistema** significa estas chaves da seção `Bio` do `appsettings`: | Campo | Chave | Padrão | |---|---|---| | **Padrão de provedor de captura facial** | `Bio:DefaultFaceCaptureProvider` | `FaceTecLiveness3d` | | **Provedor de verificação de identidade facial** | `Bio:DefaultFaceIdentityVerificationProvider` | Nenhum | | **Preferência de plataforma** | `Bio:DefaultPlatformPreference` | `NoPreference` | | **Padrão de verificação de identidade facial externa** | `Bio:DefaultVerifyFaceIdentityExternally` | `false` | | **Sessões de autenticação: Verificar a identidade facial externamente caso não haja correspondência** | `Bio:AuthenticationVerifyFaceIdentityExternallyOnNoMatch` | `false` | | **Habilitar autenticação facial com baixa qualidade** | `Bio:UseLowQualityFaceAuthentication` | `false` | | **Sessões de cadastro: identificar e negar duplicatas** | `Bio:Identification:DefaultEnrollmentIdentifyDuplicates` | `false` | | **Verificação de imagem de cadastro** | `Bio:Enrollment2dValidationFaceTecMinMatchLevel` | `6` | | **Autenticação facial (3D/2D)** | `Bio:AuthenticationFaceTecMatch3d2dMinMatchLevel` | `9` | | **Autenticação facial (2D/2D)** | `Bio:AuthenticationFaceTecMatch2d2dMinMatchLevel` | `5` | | **Correspondência de documento com face (FaceTec) (2D/2D)** | `Bio:DocumentFaceMatch2d2dMinMatchLevel` | `6` | | **Correspondência de documento com face (FaceTec) (3D/2D)** | `Bio:DocumentFaceMatch3d2dMinMatchLevel` | `7` | | **Correspondência de documento com face (FortFace)** | `Bio:FortFaceDocumentFaceMatchMinMatchLevel` | `10` | | **Formatos de identificador permitidos** | `Bio:AllowedSubjectIdentifierFormats`, separados por vírgula: `CPF`, `CNPJ`, `EMAIL` | Vazio (qualquer formato) | | Permissão para usar a verificação externa de identidade | `Bio:EnableExternalIdentityVerifications`, `Bio:DefaultCanPerformExternalIdentityVerifications` | `false`, `false` | Duas configurações relacionadas existem só na instância: `Bio:AuthenticationUpdateSubjectFaceOnExternalFaceIdentityGoodMatch` (padrão `false`) troca a face cadastrada do subject pela nova depois de uma boa correspondência externa numa autenticação facial, e `Bio:DatavalidGoodMatchMinLevel` e `Bio:DatavalidUncertainMatchMinLevel` (padrões `0.93` e `0.85`) definem a similaridade que o Datavalid precisa informar para uma correspondência boa ou incerta.