Come implementare la verifica dell'identità su AWS: una guida passo passo con Shufti

Per 2026, 30% delle imprese considereranno inaffidabili le soluzioni di verifica dell'identità autonome a causa dei deepfake generati dall'IA. Per i team di ingegneri incaricati di risolvere questo problema, raramente si tratta di scegliere una soluzione, ma piuttosto di implementarla in un ambiente AWS senza creare una proliferazione incontrollata di credenziali, omettere le tracce di controllo o configurare un webhook che scarti gli eventi sotto carico.

Questa guida ti illustra come integrare Verifica dell'identità di Shufti Integrazione di API REST in un'applicazione AWS. Il corso copre la configurazione dell'account, l'archiviazione delle chiavi API in AWS Secrets Manager, la configurazione dei ruoli IAM, la struttura delle richieste di verifica, la configurazione dei gestori di webhook e i test in ambiente sandbox. Uno sviluppatore che conosce il proprio ambiente AWS dovrebbe ottenere il primo risultato verificato in meno di 30 minuti.

Perché i team che sviluppano su AWS scelgono un sistema di verifica dell'identità API-first?

La verifica dell'identità basata sul cloud ora è valida 65.12% del mercato globale IDV e crescerà a un tasso annuo composto del 12.72% fino al 2031. Questa quota riflette la distribuzione in cui risiedono già i carichi di lavoro di ingegneria. Quando la tua applicazione è in esecuzione su EC2 o Lambda, l'aggiunta di una fase di verifica tramite una chiamata REST si integra perfettamente con l'architettura già gestita dal tuo team, inclusi ruoli IAM, log di CloudWatch, segreti di ambiente ed endpoint webhook.

L'alternativa è costruire da zero il proprio stack OCR per documenti, confronto facciale e rilevamento della vitalità, il che richiede mesi e comporta una manutenzione continua del modello. L'API di Shufti restituisce una decisione di successo o fallimento in meno di 15 secondi, con verifica del documento coprendo oltre 10,000 tipi di documenti in più di 230 paesi e verifica del volto Esecuzione di controlli di vitalità attivi su ogni corrispondenza biometrica. AWS gestisce le risorse di calcolo e di rete. Shufti si occupa della logica di conformità.

Di cosa hai bisogno prima della prima chiamata API?

Prima di scrivere qualsiasi codice, è necessario che siano presenti tre elementi.

Innanzitutto, un account Shufti. Visita developers.shuftipro.com Per registrarti e accedere al portale sviluppatori, il portale ti fornirà un ID client e una chiave segreta al momento della registrazione. Non includere questi dati nel tuo codice sorgente.

In secondo luogo, è necessario un account AWS con le autorizzazioni appropriate. Verifica di poter creare ruoli e policy IAM, leggere da Secrets Manager e distribuire istanze EC2 o funzioni Lambda. Se prevedi di ricevere i risultati in modo asincrono tramite webhook, ti ​​servirà anche un endpoint API Gateway o Application Load Balancer.

In terzo luogo, un documento di identità di prova e un dispositivo con fotocamera per le prove in ambiente sandbox. L'ambiente sandbox di Shufti accetta scansioni reali e restituisce risultati sintetici, consentendo di convalidare l'intero flusso di integrazione prima di trasferire i dati in produzione.

Come implementare Shufti su AWS: la procedura passo passo

Passaggio 1. Archivia le tue credenziali API in AWS Secrets Manager.

Crea un nuovo segreto in Secrets Manager di tipo "Altro tipo di segreto". Aggiungi due coppie chiave-valore, una per il tuo ID client e una per la tua chiave segreta. Assegna al segreto un nome specifico per l'ambiente, ad esempio shufti/production o shufti/staging.

Il tuo ruolo Lambda o EC2 recupera questi valori in fase di esecuzione. Questo aspetto è importante non solo per la sicurezza, ma anche perché, se la tua applicazione viene sottoposta a un audit SOC2 o ISO 27001, gli auditor cercano una gestione centralizzata e controllata degli accessi delle credenziali, piuttosto che chiavi API in variabili d'ambiente o file sorgente.

Passaggio 2. Configurare un ruolo IAM con accesso a privilegi minimi.

Crea un ruolo IAM per la tua istanza EC2 o funzione Lambda. Allega una policy che conceda i permessi secretsmanager:GetSecretValue sull'ARN del segreto specifico creato nel passaggio 1, oltre ai permessi logs:CreateLogGroup, logs:CreateLogStream e logs:PutLogEvents per la visibilità su CloudWatch.

Non assegnare i permessi AmazonSecretsManagerReadWriteAccess o AdministratorAccess al tuo ruolo applicativo. Il principio del minimo privilegio è un requisito di controllo standard negli audit ISO 27001 e SOC2, non solo una raccomandazione.

Passaggio 3. Invia la tua prima richiesta di verifica

L'API di Shufti utilizza l'autenticazione Bearer Token. La tua applicazione recupera l'ID client e la chiave segreta da Secrets Manager, li codifica in base64 e li scambia con un token di accesso di breve durata tramite POST /access-token. L'endpoint completo del token e lo schema della richiesta sono documentati all'indirizzo Riferimento API di Shufti.

Con un token valido, costruisci il payload della tua richiesta di verifica. Specifica i servizi di cui hai bisogno, come il documento per Documento di identità controlli, riconoscimento facciale per corrispondenza biometrica o entrambi. Invia il payload a https://api.shuftipro.com/ con l'autorizzazione: Bearer Intestazione. I controlli semplici restituiscono un risultato sincrono. I controlli complessi o multiservizio restituiscono un event_id per la consegna tramite webhook.

Passaggio 4. Configura l'endpoint del webhook

Imposta il campo callback_url nel payload di verifica sull'endpoint del tuo API Gateway o ALB. Shufti chiamerà questo URL con il risultato della verifica al termine dell'elaborazione.

Il gestore del webhook deve convalidare la firma della richiesta in entrata, analizzare l'oggetto risultato e agire sul campo stato. Uno stato "approvato" consente all'utente di proseguire con il flusso di onboarding. Uno stato "rifiutato" indirizza il candidato alla coda di revisione manuale o alla logica di rifiuto. Quando il risultato è "in fase di revisione", la verifica richiede un'ispezione umana prima che venga registrata una decisione finale.

Registra ogni evento di callback su CloudWatch con event_id, status e timestamp. In questo modo, il tuo team di conformità avrà a disposizione una registrazione verificabile senza che il sistema memorizzi localmente i dati biometrici grezzi.

Passaggio 5. Eseguire test in ambiente sandbox prima di passare alla produzione.

L'ambiente sandbox di Shufti rispecchia il comportamento di produzione. Testa ogni servizio di verifica che intendi utilizzare, comprese le approvazioni del percorso ideale, i documenti rifiutati e la gestione dei timeout. Utilizza il API KYC Consultare la documentazione per sviluppatori per creare i payload per ogni scenario.

Una volta che il flusso sandbox viene eseguito correttamente attraverso il gestore webhook, aggiorna i valori di Secrets Manager con le credenziali di produzione, imposta callback_url sull'endpoint di produzione e distribuisci.

Considerazioni relative alla residenza dei dati e alla conformità normativa.

Per le applicazioni che trattano i dati personali dei residenti nell'UE, Articolo 28 del GDPR richiede un accordo sul trattamento dei dati con qualsiasi elaboratore di terze parti che gestisce tali dati. Shufti è ISO 27001:2013, SOC2, PCI DSS e GDPR È in possesso della certificazione e può fornire un accordo di protezione dei dati (DPA) firmato su richiesta.

Se la tua conformità richiede che i dati biometrici non escano mai dal tuo perimetro cloud, Shufti offre un'opzione di implementazione on-premise che viene eseguita all'interno della tua VPC AWS senza uscita esterna per immagini di documenti o scansioni facciali. La superficie dell'API REST è identica, quindi i passaggi sopra descritti si applicano con una sola modifica. L'endpoint POST punta al tuo bilanciatore di carico interno anziché a api.shuftipro.com. AWS ha anche pubblicato un Guida all'architettura di riferimento per la verifica dell'identità su AWS che copre ulteriori modelli di infrastruttura per questo caso d'uso.

Prima di inviare in produzione, leggi il perché Implementazioni di software KYC Falliscono quando si scontrano con le condizioni del mondo reale. I punti di fallimento sono prevedibili e la maggior parte può essere individuata nella fase di test.

Considerazioni finali

La verifica dell'identità su AWS è un problema risolto a livello di API, ma la mancanza di tracce di controllo, la proliferazione delle credenziali e le implementazioni fragili dei webhook sono i punti in cui la maggior parte dei team di ingegneri perde cicli di sprint. L'API REST di Shufti si adatta ai modelli di infrastruttura che il tuo team già gestisce su AWS, restituendo una decisione di identità conforme in meno di 15 secondi, con funzionalità integrate. rilevamento deepfake, verifiche dei documenti e confronto biometrico in oltre 230 paesi.