Veelgestelde vragen

Echte vragen uit echte integraties. Staat die van jou er niet bij, stuur dan een bericht via de contactpagina — je krijgt een echt antwoord van iemand die het product kent.

Werkt dit met Tor?

Ja. Verkeer via Tor-exitpunten begint op een gemiddeld risiconiveau — het is een bekende anonimiseringsroute — maar we lezen alsnog het volledige beeld van de sessie. Als je applicatie Tor-gebruikers uitdrukkelijk verwelkomt, zoals bij journalistiek, gevoelig zoeken of flows voor misbruikslachtoffers, kun je Noxtica vertellen om het Tor-signaal niet mee te tellen in de score terwijl elk ander signaal actief blijft. Het signaal is in het resultaat altijd zichtbaar. Jij beslist of het meetelt.

Voor de volledige redenering over waarom Tor-gebruikers niet automatisch worden geblokkeerd, zie Omgaan met privacybrowsers in het threat-categories-document.

Hoe zit het met privacygerichte browsers — Brave, LibreWolf, Tor?

Allemaal werken ze. Elke privacybrowser heeft een kenmerkende vorm die we herkennen uit onze populatiegegevens. Trackingpreventiefuncties breken de verificatie niet; ze leveren simpelweg een ander, maar nog steeds consistent profiel op. We behandelen het beveiligingsniveau als een eerlijk signaal in plaats van de gebruiker stilletjes te bestraffen voor zijn keuze.

Dit is principe 03 (vals-positieven zijn geen acceptabel verlies) in de praktijk. Een Brave-gebruiker blokkeren kost je een klant die bewust voor een privacybrowser heeft gekozen. Die afruil is het niet waard, en de kalibratie weerspiegelt dat.

Hoeveel voegt het toe aan mijn pagina?

Heel weinig. De eerste lading is klein omdat de zware metingen alleen worden uitgevoerd wanneer de pagina daadwerkelijk om een score vraagt. Alles laadt op de achtergrond en vertraagt je pagina nooit. Terugkerende bezoekers sturen een nog kleiner signaal. In de praktijk merkt de gebruiker er niets van.

Moeten we een backend draaien?

Ja. De collector draait in de browser en produceert een afgesloten resultaat; de eigenlijke verificatie vindt plaats op je server via onze API. Omdat het volledige beeld in dat afgesloten resultaat is opgenomen, is verificatie snel — er hoeft niets opnieuw te worden verzameld en er zijn geen extra netwerkopzoekingen nodig terwijl een verzoek in behandeling is. Het resultaat wordt in enkele milliseconden gecontroleerd.

De reden dat de backend noodzakelijk is: een oordeel dat puur in de browser wordt gemaakt, is triviaal te vervalsen. Het afgesloten resultaat is de garantie dat er na het verzamelen niet mee is geknoeid, en het verifiëren van die garantie in je eigen vertrouwde backend maakt het hele systeem betrouwbaar.

Zijn jullie compliant met privacyregelgeving?

We treden op als sub-verwerker onder jouw verwerkersovereenkomst, en we hebben ook onze eigen overeenkomst beschikbaar op aanvraag. We behandelen de data die we verwerken als persoonsgegevens, want die kan een terugkerende bezoeker heridentificeren, en passen de volledige set maatregelen toe die dat impliceert. Infrastructuur bevindt zich in de EU zonder overdrachten buiten de EU. Definitieve verwijdering is beschikbaar op aanvraag via het backoffice, en we kunnen overeenkomsten binnen een dag ondertekenen. Onze subverwerkerlijst staat op /subprocessors.

Een paar specifieke punten waar privacyfunctionarissen naar vragen:

• Rechtsgrond: we adviseren een legitiem-belang-grondslag voor fraudepreventie voor de meeste integraties. Toestemmingsflows worden ook ondersteund.
• Dataminimalisatie: wat we opslaan is een versleutelde, eenrichtingssamenvatting, geen ruwe waarden. We kunnen de oorspronkelijke signalen er niet uit reconstrueren.
• Recht op verwijdering: verwijdering wordt afgedwongen op de opslaglaag, niet als een zachte markering. Eenmaal verwijderd zijn de data definitief weg.
• Inzageverzoeken: we bieden een manier om alles terug te geven wat gekoppeld is aan een bepaalde bezoeker, afgebakend tot jouw account.

Wat is jullie vals-positief-percentage?

Dat hangt af van waar je je drempel legt. Met onze conservatieve standaardwaarden meten onze interne benchmarks tegen miljoenen echte, geverifieerde sessies ruim onder een half procent. Reserveer actie voor alleen het meest extreme niveau en het percentage daalt naar bijna nul. Beide cijfers worden bijgehouden en zijn zichtbaar in het operatordashboard, uitgesplitst naar browserfamilie en land, zodat je precies kunt zien waar eventuele miskleunen vandaan komen.

Hoe we dit meten: we onderhouden een gelabelde referentieset van echte menselijke sessies en bekende geautomatiseerde sessies, die elk kwartaal wordt bijgewerkt. Elke wijziging in de scoring wordt getoetst aan de volledige set voordat die live gaat.

Als je de benchmark op je eigen verkeer wilt uitvoeren, exporteert het operatordashboard je sessies met hun risiconiveaus, de redenen achter elke score, en je eigen uitkomstlabel zodat je je eigen percentage kunt berekenen.

Wat gebeurt er als jullie dienst uitvalt?

De collector blijft werken. Resultaten worden lokaal in de wachtrij geplaatst en verstuurd zodra de verbinding herstelt. Als verificatie na je time-out niet bereikbaar is, geeft Noxtica een veilig, neutraal resultaat terug met een duidelijke “niet beschikbaar”-markering, zodat je code kan terugvallen op een zachter beleid — uitdagen in plaats van blokkeren, bijvoorbeeld. We publiceren een beschikbaarheidsdoelstelling van 99,95% en een openbare statuspagina op status.noxtica.com. Recente uptime ligt hoger.

De “niet beschikbaar”-markering is het signaal voor je fallback. Een aanmeldformulier kan zacht uitdagen, een betalingsformulier kan blokkeren, en een alleen-lezen API kan gewoon toestaan — de juiste standaard hangt af van je risicotolerantie voor dat oppervlak.

Kan ik dit on-premise draaien?

Ja. De collector en verifier worden als ondertekende, zelfstandige images geleverd voor Enterprise-klanten. Hetzelfde profielformaat, dezelfde signalen, dezelfde risiconiveaus, geen cloudafhankelijkheid. Je haalt updates op je eigen schema op, en air-gapped installaties worden ondersteund met een offline updatepakket. Neem contact met ons op.

On-premise wordt doorgaans aangevraagd door gereguleerde sectoren — bankwezen, gezondheidszorg, overheid — waar dataresidentieregels een gehoste verifier uitsluiten. De afruil is operationeel: jij onderhoudt de verifier, haalt de updates op en voert de kalibratiebenchmarks uit. Wij leveren de software en de handleiding; jouw team beheert het.

Hoe gaan jullie om met ingesloten widgets en frames?

De collector detecteert wanneer hij binnen een ingesloten frame draait en past aan wat hij meet — sommige signalen werken nog steeds, maar met minder detail. We tonen de ingebedde context als een eerlijk signaal, nooit als automatisch risico. Wat wel uitmaakt, is wanneer het ingesloten frame en de hoofdpagina elkaar tegenspreken, want dat is een bekend automatiseringsteken. Jij beslist wat ingesloten frames betekenen voor jouw app.

Legitiem ingesloten gebruik is gangbaar — afrekenwidgets, externe tools, inhoudsvoorbeelden — en frames als automatisch risico behandelen zou echte klanten blokkeren. De tegenstrijdigheid is het signaal dat telt: een echt ingesloten frame erft een consistente staat van zijn bovenliggende pagina, terwijl een door automatisering aangestuurde versie dat vaak niet doet.

Wat stuurt de collector over het netwerk?

Wanneer de pagina wordt gescoord: één afgesloten resultaat, een paar kilobytes, gestuurd naar jouw eigen endpoint. Wanneer je server het verifieert: alleen dat resultaat. Geen extra telemetrie, geen analyticsbeacons, geen lettertypen van elders, geen externe aanroepen waar dan ook in het pad. Het afgesloten resultaat is de enige payload — en je kunt het lokaal openen om precies te zien wat er in zit.

Je kunt dit allemaal bevestigen in het netwerktabblad van je browser tijdens de integratie. Het enige verzoek dat de collector doet, is naar jouw eigen same-origin-endpoint. Er gaat niets naar Noxtica vanuit de browser tijdens het verzamelen; verificatie vindt later plaats, server-naar-server, vanuit je backend.

Kan ik de risicodrempels aanpassen?

Ja. De standaardwaarden zijn bewust conservatief (zie principe 03). Je kunt instellen waar elk niveau activeert, per sleutel, in de operatorconsole. De afstemming zit op drempelniveau, niet in de interne werking van het model — we willen niet dat individuele klanten het model bijstellen op manieren die wegdrijven van de kalibratiebenchmark.

Als je diepere afstemming nodig hebt, is dat een Enterprise-gesprek. We ondersteunen het voor on-premise-installaties, waarbij de benchmark opnieuw kan worden uitgevoerd op jouw eigen verkeer.

Wat is het verschil tussen Noxtica en een CAPTCHA?

Een CAPTCHA vraagt de gebruiker te bewijzen dat hij een mens is. Noxtica vraagt de browser te beschrijven wat hij is en weegt die beschrijving af tegen de bredere populatie. De twee vullen elkaar aan, ze zijn geen vervangers voor elkaar.

Veel integraties gebruiken Noxtica om te beslissen of er überhaupt een CAPTCHA wordt getoond. Een verdachte sessie krijgt de uitdaging; een schone niet. Die combinatie zorgt ervoor dat de CAPTCHA voor de overgrote meerderheid van echte gebruikers niet zichtbaar is.

Verder lezen

• Aan de slag — de integratiewalkthrough.
• Browser-runtime — wat de collector doet op het moment van verzamelen.
• Backend-integratie — hoe verificatie werkt op je server.
• Dreigingscategorieën — wat we onderscheppen en waarom.