企業向け
不正対策チーム、セキュリティエンジニア、プラットフォームのPM。不正が通った時に支払うチームと、実際の顧客が離れていった時に支払うチーム。
すべてのブラウザには物語がある。私たちは虚構を見抜く。
正規のお客様を誤検知で煩わせることなく不正を検知するブラウザフィンガープリント。較正されたリスクスコア、較正された結果。
3つのオーディエンス。1つのシグナル。
ブラウザフィンガープリンティングが1チームだけの問題であることはほぼありません。同じシグナルが企業、プラットフォーム、そして利用者の結果を形作ります。
-
-
プラットフォーム向け
マーケットプレイス、SNS、多面型プラットフォーム。ユーザー間の信頼はかつてないほど重要で、Sybil耐性は本物の堀になります。
-
人々のために
エンドユーザー。語られることの少ない当事者。Braveを使っているという理由で誤検知され、ブロックされ、CAPTCHAを解かされる人たち。
できること。
6つの機能。それぞれが実ビジネスの成果に根ざしています。
-
リスクスコアリング
-
ボット検出
-
オペレーターコンソール
-
エッジファーストの低遅延
-
構造によるプライバシー
-
オープンな統合
シグナルから決定へ。
4 つのステージ。ブラウザが収集し、トークンがシグナルを運び、スコアはサーバー側でキャリブレートされ、あなたのコードが判断します。
ブラウザ
SDK はクライアント側で 30 以上のブラウザシグナルを収集します — canvas、WebGL、オーディオ、フォント、ハードウェアマーカー。非同期で読み込まれ、DOMContentLoaded を決してブロックしません。
トークン
シグナルは署名付きトークン (ES256) でラップされ、バックエンドに送信されます。トークンはリプレイ不可で、フィンガープリント全体を保持します。
スコア
サーバーが verify() を呼び出します。5 段階のリスク + 信頼度 + フラグトレースを返します。DNS ルックアップなし。エッジで p99 12ms 未満。
決定
あなたのコードがリスク階層を読んで判断します。ブロック、チャレンジ、観察、または許可 — あなたのポリシー、私たちのレシート。
測定対象。
4層のシグナルを、1つのキャリブレーション済みフィンガープリントに合成。各層は異なる問いに答え、合わせて「判定」と「測定」の違いを生みます。
-
ブラウザインテリジェンス
ブラウザは本物ですか？
サインアップ・ログイン・チェックアウトに到達する前に、自動化トラフィック、マスクされたブラウザ、合成ビジターを到着の瞬間に捕捉。実顧客は通過、偽物は止まる。
→ 検出カテゴリー -
ネットワークシグナル
ネットワークは安全ですか？
正規トラフィックを罰せずに、疑わしい発信元と高リスクなインフラを見抜きます。リモートワーカー、VPN利用者、企業ネットワークは引き続き歓迎。卸売りの不正源だけがフラグされます。
→ 検出カテゴリー -
ハードウェア検証
デバイスは本物ですか？
セッションの背後にある実デバイスを検証 — 上で動くソフトウェアだけでなく。実デバイス上の真のユーザーはスムーズに通過。共有・使い捨てインフラ上のボットは即座に浮かび上がります。
→ 検出カテゴリー -
行動フィンガープリント
ユーザーは本物ですか？
ページとの対話のリズムから、実在の人物とスクリプトを見分けます。人間は迷い、訂正し、探索する。自動化は隠せない明らかな精度で動きます。
→ 検出カテゴリー
4つのシグナルレイヤー、それぞれ異なる問いに答えます。合わせて、判定と計測の違いを生みます。
何を検知するか。
6つの脅威カテゴリー。それぞれ自動化・不正・濫用を捕捉するよう調整され、実顧客を誤検知でチャレンジしないように設計されています。
ブラウザリクエストは6つの検知カテゴリに分岐し、重み付けされたシグナルは単一の校正済みリスクスコアに統合されます。
- 自動化とボット ログイン・サインアップ・チェックアウトに届く前に、自動化トラフィックを認識します。
- フィンガープリント改ざん 誠実なプライバシー選択をブロックすることなく、意図的な回避の試みを表面化します。
- インフラ濫用 リモートワーカーに誤発火させずに、卸売り不正のシグナルを特定します。
- プライバシーブラウザの扱い 正規のプライバシーユーザーを歓迎しつつ、その間に潜む実行主体を捉えます。
- ハードウェア認証 デバイスが名乗る通りのものであることを検証します — 上で動くブラウザだけでなく。
- 行動の異常 紙の上では人間に見えても、人間のように振る舞わないセッションを捕捉します。
なぜ私たちは「これはボットだ」と言わないのか。
ほとんどの指紋採取サービスは聞きたいことを伝えます：ボットか人間か。二値。きれい。間違い。私たちは、シグナルが実際に何を言っているかを信頼度とともに伝え — 判断はあなたのコードに委ねます。
// 「これはボットだ」とは言いません。
// risk: medium, confidence: 0.87 と伝えます。
// 判断はあなたが下す。
5階層。母集団データに対して校正 — 二値ではなく、決して沈黙しない。
本番環境で見る。
シグナルが判断になる場所。オペレーターコンソール — 検索、比較、監査、決定。
成功とはこういうもの。
実際の統合からの実数値。偽陰性に寄せ、顧客リテンションに寄せた設計。
- 47%
- チャージバックの中央値削減 (90日)
- 0.4%
- デフォルト設定での誤検知率
- ~5ms
- エッジでのverify遅延の中央値
-
マーケットプレイス
Sybilネットワークをレビュー爆撃の前に検出 — IPではなくシグナルで。
-
金融サービス
ブロックではなく新規デバイスへのチャレンジ。実顧客は何も感じません。
-
ID重視のプラットフォーム
マジックリンクのクリックを指紋一致で検証。フィッシングキットはここで止まります。
誠実なシグナル。検証可能な主張。
検査に耐える 6 つの特性。ベンダーの魔法はありません — それぞれが製品サーフェスに対して監査可能です。
-
EU データ・レジデンシー
-
GDPR 対応
-
オープンな SDK ソース
-
PII を一切収集しません
-
p99 verify <12ms
-
魔法ではなくキャリブレーション済み
私たちの信念。
SDK、API、オペレーターコンソールのいたるところに現れる運用上の制約。
-
判定よりキャリブレーション
ポリシーはあなたのものです。私たちは証拠を渡します。
-
ソースこそドキュメント
すべての閾値は文書化され、調整可能です。ブラックボックスはありません。
-
誤検知は許容される損失ではない
ブロックされた顧客は二度と戻りません。私たちはそれを避けるよう傾斜します。
-
構造によるプライバシー
PIIなし。サードパーティ呼び出しなし。集めていないものは売れません。
エンジニアからのよくある質問。
実際の統合から出てきた実際の質問。あなたの質問がここになければ、ドキュメントが答えている可能性が高いです。
Torでも動きますか?
Tor出口はIPシグナル (datacenter_asn + 既知の出口リスト) からデフォルトで `medium` リスクを受けますが、フィンガープリント自体は計算されます。アプリがTorを明示的に許可している場合 — ジャーナリズム、機微な検索、虐待サバイバー向けのフロー — verify呼び出しで `tor_policy: 'allow'` を設定すると、他のシグナルはすべてアクティブなままIPベースのスコアリングを抑制できます。フラグはいずれにせよレスポンスに残ります。スコアに数えるかどうかをあなたが決めます。
プライバシー重視ブラウザ — Brave、LibreWolf、Tor — はどうですか?
すべて動きます。それぞれに特徴的なフィンガープリントがあります — Braveのファーブリング、LibreWolfやTor Browserのプロファイルは、私たちの母集団データで知られています。トラッキング防止機能は検証を壊すことはなく、単に異なる (それでも一貫した) フィンガープリントを生むだけです。保護レベルは、ユーザーを黙って罰するのではなく、正直なシグナルとしてフラグします。
誤検知率はどのくらい?
発火させるしきい値に依存します。デフォルト (risk ≥ high → challenge) で、420万件の実ユーザーセッションのグラウンドトゥルースに対する社内ベンチマークでは ~0.4% の誤検知です。risk = critical のみだと FP率は ~0.07% に下がります。両方の数値は継続的に更新され、オペレーターダッシュボードでブラウザファミリーと国別に分解されて見えるので、見逃しの出所がわかります。
バックエンドは必要ですか?
はい — SDKはブラウザで収集し、署名付きトークンを発行します。検証は私たちのREST APIを介してサーバーサイドで行われます。トークンはフィンガープリント全体を埋め込み、暗号学的に検証されます (ES256, `kid: nox-2026-01`)。そのため `verify()` はリクエスト中にDNSルックアップを行いません。p99 verify遅延が5ms未満なのは、署名チェック+キャッシュルックアップであり、再収集ではないからです。
GDPR / CCPA への対応は?
私たちはあなたのDPAの下でのサブプロセッサーで、独自のDPAは要請に応じて提供します。フィンガープリントは再訪ビジターを再識別し得るため「個人データ」として処理し、第28条のフルコントロールが適用されます。第三国移転はなく、インフラはEU常駐 (CloudflareのEU限定ルーティング)。バックオフィスからの要請でハードデリート可能。DPAは24時間で署名できます。サブプロセッサーリストは `/subprocessors` にあります。
さらに5つの質問がドキュメントに — オンプレ、iframe、ネットワーク挙動、閾値調整、Noxtica vs CAPTCHA。 → すべての質問をドキュメントで確認
今日からユーザーを守りはじめましょう。
不正が起きる前に止める。実際の顧客の流れを止めない。あなたのトラフィックに合わせた較正と、本当に電話に出るチームを手に入れましょう。
得られるもの
価格ページではなく、パートナー。
自信を持ってリリースするために必要なすべて、不要なものは何ひとつなし。