Domande Frequenti

Domande reali da integrazioni reali. Se la tua non è qui, la pagina dei contatti riceve una risposta vera da qualcuno che conosce il prodotto.

Funziona con Tor?

Sì. Il traffico dai nodi di uscita Tor parte da un livello di rischio moderato — è una rotta di anonimizzazione nota — ma leggiamo comunque il quadro completo della sessione. Se la tua applicazione accoglie esplicitamente gli utenti Tor, come il giornalismo, le ricerche sensibili o i flussi per le vittime di abusi, puoi dire a Noxtica di smettere di contare il segnale Tor nel punteggio mantenendo attivi tutti gli altri segnali. Il segnale rimane comunque visibile nel risultato in entrambi i casi. Sei tu a decidere se deve contare.

Per il ragionamento completo sul perché gli utenti Tor non vengano bloccati automaticamente, consulta Gestione dei browser per la privacy nel documento sulle categorie di minacce.

E i browser orientati alla privacy — Brave, LibreWolf, Tor?

Funzionano tutti. Ogni browser privacy ha una forma distintiva che riconosciamo dai nostri dati di popolazione. Le funzionalità di prevenzione del tracciamento non compromettono la verifica; producono semplicemente un profilo diverso, ma comunque coerente. Trattiamo il livello di protezione come un segnale onesto invece di penalizzare silenziosamente l’utente per averlo scelto.

Questo è il principio 03 (i falsi positivi non sono perdite accettabili) in pratica. Bloccare un utente Brave ti costa un cliente che ha scelto specificamente un browser privacy. Il compromesso non vale, e la calibrazione lo riflette.

Quanto aggiunge alla mia pagina?

Molto poco. Il primo caricamento è piccolo perché le misurazioni pesanti si avviano solo quando la pagina chiede effettivamente un punteggio. Tutto si carica in background e non ritarda mai la tua pagina. I visitatori di ritorno inviano un segnale ancora più piccolo. In pratica, l’utente non si accorge mai della sua presenza.

È necessario un backend?

Sì. Il collector gira nel browser e produce un risultato sigillato; la verifica vera e propria avviene sul tuo server attraverso la nostra API. Poiché il quadro completo viaggia dentro quel risultato sigillato, la verifica è veloce — non c’è una nuova raccolta di dati né ricerche aggiuntive in rete mentre una richiesta è in volo. Il risultato viene controllato in pochi millisecondi.

Il motivo per cui il backend è necessario: un verdetto fatto puramente nel browser è banalmente falsificabile. Il risultato sigillato è la garanzia che nulla è stato manomesso dopo la raccolta, e verificare quella garanzia nel tuo backend fidato è ciò che rende affidabile l’intero sistema.

Siete conformi alle normative sulla privacy?

Operiamo come sub-responsabile del trattamento nel quadro del tuo accordo sul trattamento dei dati, e il nostro è disponibile su richiesta. Trattiamo i dati che gestiamo come dati personali, poiché potrebbero reidentificare un visitatore di ritorno, e applichiamo l’intera serie di controlli che questo implica. L’infrastruttura rimane nell’UE senza trasferimenti al di fuori di essa. La cancellazione definitiva è disponibile su richiesta attraverso il backoffice, e possiamo firmare accordi entro un giorno. La nostra lista di subprocessor si trova su /subprocessors.

Alcuni dettagli specifici che i responsabili della protezione dei dati chiedono:

• Base giuridica: raccomandiamo la base dell’interesse legittimo per la prevenzione delle frodi per la maggior parte delle integrazioni. Sono supportati anche i flussi basati sul consenso.
• Minimizzazione dei dati: ciò che archiviamo è un riepilogo scrambled e unidirezionale, non valori grezzi. Non possiamo ricostruire i segnali originali da esso.
• Diritto alla cancellazione: la cancellazione è applicata a livello di storage, non come flag soft. Una volta cancellati, i dati sono spariti per sempre.
• Richieste di accesso dell’interessato: forniamo un modo per restituire tutto ciò che è associato a un determinato visitatore, circoscritto al tuo account.

Qual è il vostro tasso di falsi positivi?

Dipende da dove imposti la soglia. Con i nostri valori predefiniti conservativi, il nostro benchmark interno su milioni di sessioni reali e verificate misura ben meno della metà di un punto percentuale. Riservando l’azione solo al livello più estremo, il tasso scende quasi a zero. Entrambi i numeri sono aggiornati continuamente e visibili nella dashboard dell’operatore, suddivisi per famiglia di browser e paese così puoi vedere esattamente da dove provengono eventuali errori.

Come lo misuriamo: manteniamo un insieme di riferimento etichettato di sessioni umane reali e sessioni automatizzate note, aggiornato ogni trimestre. Ogni modifica al punteggio viene testata sull’intero insieme prima di essere rilasciata.

Se vuoi eseguire il benchmark sul tuo traffico, la dashboard dell’operatore esporta le tue sessioni con i loro livelli di rischio, le motivazioni dietro ogni punteggio e la tua etichetta di esito così puoi calcolare il tuo tasso.

Cosa succede se il vostro servizio non è disponibile?

Il collector continua a funzionare. I risultati vengono messi in coda localmente e inviati quando la connessione riprende. Se la verifica non è raggiungibile oltre il tuo timeout, Noxtica restituisce un risultato sicuro e neutro con un indicatore “non disponibile” chiaro, così il tuo codice può ricadere su una policy più morbida — challenge invece di blocco, ad esempio. Pubblichiamo un obiettivo di disponibilità del 99,95% e una pagina di stato pubblica su status.noxtica.com. L’uptime recente è stato superiore a questo.

L’indicatore “non disponibile” è il segnale per il tuo fallback. Un form di registrazione potrebbe applicare un soft-challenge, un form di pagamento potrebbe bloccare, e un’API in sola lettura potrebbe semplicemente consentire — il default giusto dipende dalla tua tolleranza al rischio per quella superficie.

Posso eseguirlo on-premise?

Sì. Il collector e il verifier vengono distribuiti come immagini firmate e autosufficienti per i clienti Enterprise. Stesso formato di profilo, stessi segnali, stessi livelli di rischio, nessuna dipendenza dal cloud. Scarichi gli aggiornamenti secondo la tua cadenza, e le installazioni air-gapped sono supportate con un bundle di aggiornamento offline. Parlaci.

L’on-premise viene tipicamente richiesto dai settori regolamentati — banking, sanità, pubblica amministrazione — dove le regole sulla residenza dei dati escludono un verifier hosted. Il compromesso è operativo: tu mantieni il verifier, scarichi gli aggiornamenti ed esegui i benchmark di calibrazione. Noi forniamo il software e il manuale operativo; il tuo team lo gestisce.

Come gestite i widget incorporati e gli iframe?

Il collector rileva quando gira all’interno di un frame incorporato e adatta cosa misura — alcuni segnali funzionano ancora, ma con meno dettaglio. Esponiamo il contesto incorporato come segnale onesto, mai come rischio automatico. Ciò che conta è quando il frame incorporato e la pagina principale si contraddicono a vicenda, perché è un indizio noto di automazione. Sei tu a decidere cosa significano gli iframe per la tua app.

L’uso incorporato legittimo è comune — widget di checkout, strumenti di terze parti, anteprime di contenuto — e trattare gli iframe come rischio automatico bloccherebbe clienti reali. La contraddizione è il segnale che conta: un frame incorporato genuino eredita uno stato coerente dal suo genitore, mentre uno guidato dall’automazione spesso no.

Cosa invia il collector in rete?

Quando la pagina viene valutata: un risultato sigillato, pochi kilobyte, inviato al tuo endpoint. Quando il tuo server lo verifica: solo quel risultato. Nessuna telemetria aggiuntiva, nessun beacon di analytics, nessun font caricato da altrove, nessuna chiamata a terze parti in nessun punto del percorso. Il risultato sigillato è l’unico payload — e puoi aprirlo localmente per vedere esattamente cosa c’è dentro.

Puoi verificarlo tutto nel pannello di rete del browser durante l’integrazione. L’unica richiesta che il collector fa è al tuo endpoint same-origin. Nulla va a Noxtica dal browser durante la raccolta; la verifica avviene in seguito, server-to-server, dal tuo backend.

Posso personalizzare le soglie di rischio?

Sì. I valori predefiniti sono conservativi apposta (consulta il principio 03). Puoi modificare dove si attiva ogni livello, per chiave, nella console dell’operatore. La personalizzazione è a livello di soglia piuttosto che nei meccanismi interni del modello — non vogliamo che i singoli clienti rimodellino il modello in modi che si allontanano dal benchmark di calibrazione.

Se hai bisogno di una personalizzazione più profonda, è una conversazione Enterprise. La supportiamo per le installazioni on-premise, dove il benchmark può essere rieseguito sul tuo traffico.

Qual è la differenza tra Noxtica e un CAPTCHA?

Un CAPTCHA chiede all’utente di dimostrare di essere umano. Noxtica chiede al browser di descrivere cosa è, poi valuta quella descrizione rispetto alla popolazione più ampia. I due sono complementari, non sostitutivi.

Molte integrazioni usano Noxtica per decidere se mostrare un CAPTCHA. Una sessione sospetta riceve la challenge; una pulita no. Questa combinazione rimuove il CAPTCHA dalla grande maggioranza degli utenti reali, che non lo vedono mai.

Letture Correlate

• Getting started — la guida all’integrazione passo passo.
• Browser runtime — cosa fa il collector al momento della raccolta.
• Backend integration — come funziona la verifica sul tuo server.
• Threat categories — cosa rileviamo e perché.