Device fingerprint vs IP e comportamento: o que cada sinal entrega

O endereço IP diz de onde a conexão saiu, a identificação de dispositivo diz em qual aparelho ela aconteceu e o comportamento diz como a pessoa agiu. Os três respondem perguntas diferentes, e nenhum decide sozinho.

Quem compara fornecedores costuma ouvir as três famílias apresentadas como alternativas, como se contratar uma dispensasse as outras. Não dispensa. Elas têm estabilidade, custo e limite jurídico diferentes, e o valor aparece na correlação entre elas ao longo do tempo.

A comparação abaixo inclui os pontos fracos de cada uma e vale para marketplace, telecom, plataforma P2P e varejo digital.

O que o endereço IP entrega, e onde ele para

O IP é o sinal mais barato de obter: chega em toda requisição, sem script e sem SDK. Com uma base de geolocalização e classificação, ele responde de que país e região a conexão veio, se o endereço pertence a rede residencial, móvel, corporativa ou de data center, e se aparece em listas de proxy, VPN ou saída de rede anônima.

É aí que ele para. O IP não identifica pessoa nem aparelho. Rede móvel usa endereçamento compartilhado, e milhares de assinantes podem sair pelo mesmo endereço público. Provedor residencial troca o endereço do cliente de tempos em tempos. Um escritório inteiro sai por um IP só. Bloquear por IP, sozinho, é a forma mais rápida de recusar cliente legítimo.

No sentido inverso, burlar é trivial e barato. Rede residencial rotativa, oferecida como serviço, entrega endereços de operadoras reais em rotação, o que anula quase toda regra baseada em reputação de endereço.

Há ainda o lado jurídico. A Lei 12.965/2014, no art. 15, obriga o provedor de aplicações constituído como pessoa jurídica com fins econômicos a guardar registros de acesso por seis meses, sob sigilo. Você já é obrigado a manter o log, e isso não autoriza usá-lo para qualquer finalidade.

O que a identificação de dispositivo entrega, e o que a corrói

A identificação de dispositivo combina atributos do aparelho e do ambiente de execução para reconhecer o mesmo aparelho em sessões diferentes. Em web, isso envolve características de renderização, fontes, resolução, fuso, idioma e configuração de hardware. Em aplicativo, o SDK acessa sinais mais firmes e detecta emulador, aparelho com acesso privilegiado e clonagem.

O que ela entrega e o IP não entrega é relação: quantas contas nasceram no mesmo aparelho, se o aparelho que pede a troca de senha é o mesmo de ontem, se ele já esteve associado a caso confirmado de fraude. É a evidência central de multiconta.

O que a corrói é conhecido e vale dizer em voz alta. Navegador anti detecção existe justamente para randomizar os atributos coletados e produzir um aparelho novo a cada sessão. Reinstalação de aplicativo e limpeza de armazenamento derrubam o identificador persistente. E os navegadores limitam a vida do que o script grava: o WebKit apaga o armazenamento gravável por script após sete dias de uso do Safari sem interação do usuário com o site, regra em vigor desde o Safari 13.1 (WebKit, 2020).

A conclusão prática é que identificador de dispositivo não deve ser tratado como chave primária eterna. Ele é um sinal com confiança variável, e a tentativa de evasão é, ela própria, informação. Aparelho que se apresenta diferente a cada visita não é anônimo: é atípico.

O que o comportamento entrega, e por que ele demora

Comportamento é o conjunto de padrões de uso: horário, ritmo de digitação e de navegação, sequência de telas, valor e destino das operações, tempo entre cadastro e primeira ação relevante.

É a família mais difícil de falsificar, porque exige simular um humano coerente ao longo do tempo, e não apenas mascarar um atributo. Em compensação, é a mais lenta de amadurecer: o modelo precisa de histórico para saber o que é normal. No primeiro acesso de um usuário novo, o comportamento entrega pouco, e é aí que os outros dois sustentam a decisão.

Há um limite jurídico específico. Análise comportamental que produz decisão tomada unicamente com base em tratamento automatizado e que afeta os interesses da pessoa atrai o art. 20 da Lei 13.709/2018, que assegura ao titular o direito de solicitar revisão. Isso torna o registro da decisão e a existência de uma fila de exceção parte do desenho, não um extra.

Tabela comparativa das três famílias de sinal

• O que identifica. Endereço IP: Origem da conexão e tipo de rede. Identificação de dispositivo: O aparelho e o ambiente de execução. Comportamento: O padrão de uso da conta.
• Estabilidade. Endereço IP: Baixa: rede móvel compartilha, provedor rotaciona. Identificação de dispositivo: Média: boa em aplicativo, menor em web. Comportamento: Alta depois de maduro, nula no primeiro acesso.
• Facilidade de burlar. Endereço IP: Alta: VPN e rede residencial rotativa. Identificação de dispositivo: Média: navegador anti detecção, emulador, reinstalação. Comportamento: Baixa: exige simular humano coerente no tempo.
• Custo de implantação. Endereço IP: Baixo: chega na requisição, custa a base de classificação. Identificação de dispositivo: Médio: script no front ou SDK, mais integração. Comportamento: Alto: exige histórico, modelagem e revisão contínua.
• Tempo até dar resultado. Endereço IP: Imediato. Identificação de dispositivo: Dias, à medida que a base ganha lastro. Comportamento: Semanas ou meses.
• Limite de LGPD. Endereço IP: Registro obrigatório por seis meses no art. 15 da Lei 12.965/2014, uso preso à finalidade. Identificação de dispositivo: Coleta deve ser proporcional à finalidade, art. 6º, III da Lei 13.709/2018. Comportamento: Decisão automatizada atrai o direito de revisão do art. 20 da Lei 13.709/2018.
• Melhor uso. Endereço IP: Filtro grosso e contexto de rede. Identificação de dispositivo: Relação entre contas e reconhecimento de retorno. Comportamento: Detecção de desvio em conta já conhecida.

O valor está na correlação, não no sinal isolado

Cada linha da tabela mostra uma fraqueza que outra família cobre. IP resolve o primeiro acesso e não resolve relação. Dispositivo resolve relação e sofre com evasão deliberada. Comportamento resiste à evasão e não existe no dia zero.

O desenho que funciona trata os três como evidências que se acumulam sobre a mesma conta ao longo do tempo. Um aparelho novo, em rede de data center, criando a quinta conta da semana, com preenchimento rápido demais, é uma história. O mesmo aparelho novo, em rede móvel, com preenchimento normal, é outra.

Isso também explica por que a verificação não termina no cadastro. Os três sinais continuam disponíveis depois da aprovação, e é no uso da conta que a correlação fica informativa. A leitura combinada é o que uma camada de risco de dispositivo entrega, e a coleta está em device fingerprint no front.

O que fazer agora

1. Levante quais dos três sinais você já coleta hoje e em quais pontos do fluxo, incluindo os que chegam e são descartados sem uso.
2. Escreva a finalidade de cada atributo coletado. Atributo sem finalidade declarada é passivo jurídico e não melhora a decisão.
3. Meça a taxa de evasão da sua coleta de dispositivo: proporção de sessões sem identificador estável, com sinal de emulador ou com atributos inconsistentes.
4. Teste uma regra correlacionada contra as regras isoladas em dados históricos e compare recusas de clientes que depois se mostraram legítimos.

Perguntas frequentes

Device fingerprint substitui a análise de IP? Não. O IP responde origem e tipo de rede, inclusive no primeiro acesso, quando ainda não existe histórico de aparelho. A identificação de dispositivo responde relação entre contas. São camadas complementares com custos e limites diferentes.

Identificação de dispositivo funciona em navegador que restringe rastreamento? Funciona com menos estabilidade. O WebKit apaga o armazenamento gravável por script após sete dias de uso do Safari sem interação do usuário com o site, desde o Safari 13.1 (WebKit, 2020), o que fragiliza identificador persistente puro em web. Em aplicativo o cenário é mais firme, e o comportamento evasivo continua sendo um sinal em si.

Coletar atributo de dispositivo exige consentimento pelo LGPD? Consentimento não é a única base legal possível. Prevenção à fraude costuma ser tratada sob legítimo interesse, com o dever de proporcionalidade do art. 6º, III da Lei 13.709/2018 e de transparência sobre a finalidade. A avaliação depende do caso e precisa passar pelo jurídico e pelo encarregado.

Qual sinal começar a coletar primeiro? O IP, que já está disponível e custa pouco estruturar. Depois a identificação de dispositivo, que abre a leitura de relação entre contas. O comportamento entra por último, porque depende de lastro.

Para avaliar como isso se aplica à sua operação, fale com o time comercial da Shiel ID.