Resumo: o que é inteligência de dispositivo
- Sinais de navegador, dispositivo e rede combinados em um ID de dispositivo estável que sobrevive a limpezas de cookie e janelas privadas.
- As entradas: fingerprint de navegador, fingerprint TLS, cadência comportamental, IP e ASN, histórico anterior. 102+ sinais coletados, 40+ deles hasheados em um identificador persistente.
- Onde ganha valor: prevenção de account-takeover, evidência de chargeback, conformidade VAMP, disputas Visa CE 3.0.
Porque é que as abordagens antigas deixaram de funcionar
As aplicações web foram concebidas para identificar utilizadores, não dispositivos. Os identificadores em que se baseavam eram todos controláveis pelo utilizador, e a fraude evoluiu para explorar isso.
Os cookies de terceiros foram os primeiros a cair. O Safari começou a bloqueá-los em 2020, e os utilizadores preocupados com a privacidade já eliminavam cookies próprios muito antes disso. O modo incógnito cria um conjunto de cookies novo em cada sessão. Qualquer método que dependa de um cookie persistir entre visitas falha no momento em que o utilizador limpa o navegador ou abre uma janela privada.
Os endereços IP pareciam um sinal ao nível do hardware, mas as redes de proxies residenciais minaram esse pressuposto. Um serviço de proxy pode alternar o endereço IP de origem em cada pedido, fazendo com que um dispositivo pareça um visitante diferente de cada vez. As VPNs mudam o IP sempre que o utilizador se liga. E os endereços IP partilhados, usados por redes de escritório e campus universitários, significam que um único endereço pode representar centenas de pessoas.
Os tokens de sessão resolvem um problema diferente. Acompanham o estado autenticado de uma sessão, não a identidade do dispositivo. No momento em que o separador do navegador fecha, a sessão termina. Os tokens de sessão são úteis dentro de uma visita, mas não conseguem associar um utilizador recorrente entre visitas distintas.
Os cookies próprios são mais persistentes do que os de terceiros, mas enfrentam o mesmo problema fundamental. Um utilizador que limpa os cookies, ou um navegador configurado para limpar cookies ao fechar, reinicia qualquer identificador que tenha guardado. Os utilizadores preocupados com a privacidade, que se sobrepõem em grande medida a investigadores de fraude e a fraudadores, fazem isto rotineiramente.
O padrão em todos estes casos é o mesmo. Cada abordagem dependia de dados armazenados no dispositivo do utilizador, o que significava que o utilizador controlava se estes persistiam.
Como funciona a inteligência de dispositivos
A inteligência de dispositivos lê sinais passivos do ambiente de hardware e software do dispositivo, em vez de armazenar um identificador no dispositivo. Esses sinais não podem ser eliminados pelo utilizador porque nunca foram escritos no navegador. São características do próprio dispositivo.
O navegador expõe centenas destes sinais através de APIs de JavaScript padrão. Os mais significativos encontram-se abaixo.
Fingerprint de canvas. Quando o navegador renderiza um elemento de canvas oculto com uma operação de desenho específica, o resultado em píxeis difere subtilmente entre dispositivos consoante a GPU, o controlador gráfico e a implementação de anti-aliasing. Dois dispositivos com especificações idênticas mas versões de controlador diferentes produzem resultados de canvas mensuravelmente diferentes. Este sinal é estável entre reinícios do navegador, modo incógnito e limpeza de cookies, porque reflete o comportamento do hardware, não dados armazenados.
Renderização de tipos de letra. Cada sistema operativo e pilha gráfica renderiza os tipos de letra instalados de forma diferente ao nível do subpíxel. O conjunto específico de tipos de letra instalados e a forma como são renderizados produz um sinal altamente distintivo.
Fingerprint de WebGL. As cargas de trabalho de WebGL expõem o comportamento da placa gráfica em detalhe. O fingerprint de WebGL de um dispositivo reflete o modelo da GPU, a versão do controlador e o pipeline de renderização, que são todos estáveis ao longo do tempo.
Fingerprinting TLS TLS handshake fingerprint. Quando um navegador abre uma ligação TLS, o handshake de negociação expõe os conjuntos de cifras suportados, as extensões e a sua ordenação. Esse padrão é característico da pilha de software que estabelece a ligação. Um cliente de VPN, um serviço de proxy ou um navegador headless produzem, cada um, uma assinatura de handshake TLS distinta. O fingerprinting TLS handshake fingerprint lê isto ao nível da rede para identificar se uma ligação vem através de uma VPN ou proxy.
Padrões de temporização. O tempo que demoram operações específicas do navegador reflete as características e a carga da CPU. Os ambientes de navegador headless, que sustentam ferramentas de ataque automatizadas, produzem assinaturas de temporização que diferem das sessões reais conduzidas por interação humana.
Métricas do ecrã, contexto de áudio e outros sinais do ambiente. A resolução, a densidade de píxeis, o suporte de toque, o hardware de áudio disponível, o fuso horário e as definições de idioma acrescentam cada um o seu sinal. Nenhum atributo isolado é conclusivo. É a combinação de muitos atributos estáveis que produz um identificador fiável.
Estes sinais são combinados através de um algoritmo de hashing para produzir um ID de dispositivo. O mesmo dispositivo produz o mesmo ID quer o utilizador esteja em modo incógnito, ligado através de uma VPN ou tenha limpado todos os cookies do navegador, porque nenhuma dessas ações altera a configuração de hardware ou software subjacente que o fingerprint lê.
O que torna uma implementação fiável
Nem todas as implementações de inteligência de dispositivos são igualmente precisas. Vale a pena avaliar três critérios práticos.
Amplitude de sinais. Uma implementação que lê 10 ou 20 sinais produz um ID menos estável do que uma que lê 100 ou mais. Quantos mais sinais no hash, melhor a implementação tolera pequenas alterações, como uma atualização do navegador que modifica um atributo de renderização, sem produzir uma leitura falsa de dispositivo novo.
Precisão entre incógnito. Uma implementação fraca falha em incógnito porque depende em parte de identificadores armazenados, como valores de localStorage ou IndexedDB, que o modo incógnito reinicia. Uma implementação forte lê apenas sinais ambientais passivos e, por isso, produz o mesmo ID em incógnito e numa sessão normal.
Estabilidade com VPN. Um ID de dispositivo não deve mudar quando um utilizador ativa uma VPN, porque uma VPN apenas muda o endereço IP. Nenhum dos sinais do navegador descritos acima reflete o IP. Se o ID de dispositivo de uma implementação muda quando o utilizador se liga a uma VPN, é porque está a incorporar dados de IP ou da camada de rede no hash do fingerprint, o que prejudica a sua utilidade precisamente nos cenários em que as VPNs são relevantes.
Onde se aplica a inteligência de dispositivos
Prevenção de apropriação de contas. A fraude por apropriação de contas atingiu 13,5 mil milhões de dólares em perdas em 2025, afetando 6 milhões de pessoas nos EUA, de acordo com a Javelin Strategy & Research. O ataque mais comum começa com credenciais roubadas numa violação anterior. A inteligência de dispositivos identifica quando uma conta conhecida tenta iniciar sessão a partir de um dispositivo que nunca esteve associado a essa conta, e aciona um desafio ou bloqueio antes de conceder o acesso. Veja como isto acontece na prevenção de apropriação de contas.
Fraude de contas novas. Quando um único dispositivo cria dezenas de contas em rápida sucessão, o atacante costuma reiniciar o endereço de e-mail e o IP entre cada tentativa. O próprio dispositivo mantém-se constante. A inteligência de dispositivos expõe este padrão de imediato, o que está no cerne da prevenção de fraude no registo.
Partilha de contas. Para negócios por subscrição, a inteligência de dispositivos mapeia que IDs de dispositivo se autenticam numa dada conta ao longo do tempo. Uma conta que inicia sessão a partir de 12 IDs de dispositivo distintos num mês é fácil de assinalar para a aplicação de regras contra a partilha de contas.
Prova de chargeback. Um ID de dispositivo estável registado no checkout passa a fazer parte do dossiê de provas quando uma transação é contestada. A presença do dispositivo na sessão é um facto documentado e não uma inferência reconstruída, o que reforça a prova de chargeback.
Como a cside deteta dispositivos
A cside lê mais de 100 sinais do navegador por sessão para gerar um identificador de dispositivo que se mantém estável entre o modo incógnito, as ligações por VPN e a limpeza de cookies. Para além do próprio ID de dispositivo, cada resposta da API devolve sinais adicionais a partir da mesma etiqueta de script: assinala sessões de agentes de IA e automatizadas, identificando agentes e frameworks nomeados como o OpenAI Operator, o Claude for Chrome, o Playwright, o Puppeteer e o Selenium; devolve um sinal de VPN/proxy derivado do fingerprinting TLS TLS handshake fingerprint; e assinala sessões em incógnito.
Os detalhes completos de como a cside implementa a inteligência de dispositivos, incluindo os passos de integração e exemplos de respostas da API, estão na página de fingerprinting de dispositivos.
Considerações sobre privacidade e RGPD
A inteligência de dispositivos é por vezes confundida com o rastreio invasivo, mas as duas coisas são significativamente diferentes. Vale a pena compreender claramente alguns pontos.
A inteligência de dispositivos não requer cookies e não armazena quaisquer dados no dispositivo do utilizador. Os sinais que lê são características ambientais passivas, não dados escritos no navegador.
O resultado é um identificador pseudonimizado, não um identificador que identifique diretamente. Um ID de fingerprint de dispositivo não revela um nome, endereço de e-mail ou localização física. Identifica uma configuração de dispositivo, que só pode ser associada a uma pessoa se dados de conta separados fornecerem essa ligação.
O fingerprinting para prevenção de fraude é habitualmente tratado com base no interesse legítimo como fundamento jurídico ao abrigo do RGPD, porque o tratamento é necessário para proteger os utilizadores e o negócio de atividade fraudulenta. Os requisitos legais variam consoante a jurisdição e o caso de uso, e qualquer organização que implemente inteligência de dispositivos deve obter aconselhamento jurídico específico.
Os operadores têm de divulgar a utilização de fingerprinting de dispositivos na sua política de privacidade, descrevendo as categorias de dados tratados e a finalidade.
Leitura adicional
