Un niveau n'est pas un badge qu'on vous accorde. C'est un ensemble de claims qui étaient tous vrais au même instant.
Chaque compte Xuda porte un niveau de vérification de 0 à 4, calculé plutôt qu'attribué. Un scoreur déterministe transforme des signaux typés en un score, puis parcourt les niveaux à partir de 1, n'en accordant un que lorsque chaque claim requis par ce niveau est détenu ET que le score franchit le seuil propre à ce niveau. Le parcours s'arrête au premier écart, car les niveaux sont cumulatifs : un compte ayant déjà corroboré une carte reste au niveau 1 tant qu'il n'a pas photographié un document d'identité, et aucun bon comportement ailleurs ne le fait avancer. Le niveau 1, Contact, demande un e-mail confirmé, un téléphone ayant répondu à un code SMS, et une ligne qui n'est pas virtuelle. Le niveau 2, Identité, demande à une personne une pièce d'identité avec photo, une capture en direct, une correspondance faciale entre les deux et une photo de profil correspondant au même visage ; il demande à une entreprise cette même chaîne d'identité plus ses propres papiers, un registre public confirmant l'existence de l'entreprise, et le fait que la personne sur le document vérifié en soit un dirigeant actif. Les modèles qui lisent un document ou une page web n'émettent jamais de verdict. Ils transforment une photographie en champs typés, et un fichier de politique décide de la valeur de ces champs, ce qui explique pourquoi la même preuve produit deux fois la même réponse et pourquoi déplacer un seuil est une modification de configuration plutôt qu'un déploiement. Chaque décision enregistrée conserve la version de la politique sous laquelle elle a été calculée, actuellement 1.8.0.
Deux tests, dans cet ordre, et le parcours s'arrête au premier écart.
La plupart des systèmes de vérification répondent par oui ou par non. Celui-ci répond par un niveau, un ensemble de claims et une liste de raisons, et il recalcule les trois entièrement à chaque consultation. C'est ce qui rend la réponse explicable : rien n'est mémorisé comme un verdict, seulement comme une preuve, et le verdict est reconstruit à partir de la preuve, sur le moment.
- Les claims sont additifs et persistants. Une vérification réussie une fois n'est pas relancée à chaque recalcul de votre score, si bien qu'une lecture de document réussie n'a pas besoin de rester réussie. L'exception étroite est une réponse négative avérée : une entreprise depuis dissoute, une carte désormais liée à un compte suspendu. Un service inaccessible ne révoque jamais rien, car une interruption qui retirerait des claims acquis serait pire que l'interruption elle-même.
- Le score n'est pas un second avis sur la même preuve. C'est une grandeur distincte construite à partir de signaux que les claims ne couvrent pas : l'ancienneté du compte, s'il a déjà été utilisé, le type de ligne téléphonique qui a répondu, si la connexion provient d'un centre de données, si un paiement effectué sur ce compte a déjà été signalé comme frauduleux. Un claim dit que quelque chose a été prouvé. Le score dit si quelque chose dans le compte plaide contre.
- Le seuil du niveau 1 est 0, et c'est délibéré, pas une facilité. Chaque nombre positif testé à ce niveau s'est révélé faux à deux reprises : un seuil de 25 a bloqué un utilisateur détenant les trois claims du niveau 1 sur une ligne fixe, et 10 a ensuite bloqué une entreprise toute neuve détenant les trois sur un vrai mobile, car un compte tout juste créé qui n'a pas encore utilisé la plateforme obtient un score de 7. Un compte ayant prouvé un e-mail et un vrai téléphone EST devenu joignable, donc seul un signal défavorable l'en écarte.
- Parce que le parcours s'arrête au premier écart, missing_by_level est publié pour chaque niveau et non uniquement pour le suivant. Quelqu'un bloqué au niveau 1 peut quand même lire exactement ce que demandera le niveau 3. Ce qui n'est jamais publié, c'est le poids d'un signal individuel : vous voyez quoi faire ensuite, pas comment le contourner.
- CollecterL'historique du compte, le téléphone, le domaine, Stripe, le réseau et les sources de corrélation sont lus et transformés en signaux typés. Aucun texte libre n'atteint jamais le scoreur.
- ScorerChaque signal correspond à des points via le fichier de politique : une plage, un booléen ou une recherche. Rien n'est codé en dur dans le module.
- RésoudreParcourir les niveaux à partir de 1. Un niveau n'est accordé que lorsque tous ses claims requis sont détenus et que le score franchit son seuil. Arrêt au premier écart.
- ProjeterLe niveau, les claims et le score sont inscrits sur le document du compte, si bien qu'un appelant détenant un compte n'a pas besoin d'un second aller-retour pour connaître son niveau.
niveaux, et un écart à l'un vous y plafonne
ordres possibles pour une capture en direct, tiré au sort après votre demande
seuil de score au niveau 2, en plus de chaque claim
ce que coûte la vérification de votre propre compte, sur n'importe quel plan
Une personne prouve un visage. Une entreprise prouve un visage, puis le relie à un registre.
Le niveau 1 demande à une entreprise exactement ce qu'il demande à une personne, ce qui n'était pas toujours le cas et constitue le plus grand changement de la politique 1.8.0. Être joignable, c'est être joignable, donc une entreprise est contactée par e-mail et par téléphone comme n'importe qui, et il y a une seule étape OTP, une seule porte et un seul jeu de termes, quel que soit le type de compte qui s'inscrit. Cela a une vraie conséquence, et c'est voulu : une entreprise dont le seul numéro est une ligne VOIP ne peut pas obtenir le niveau 1, le même mur que rencontre un compte personnel. Le niveau 2 est là où les deux divergent réellement, et ils divergent en nature plutôt qu'en nombre.
Quatre niveaux, ce que chacun exige, et ce qu'il change réellement aujourd'hui.
Lisez les colonnes verticalement plutôt qu'horizontalement. La colonne des claims est la colonne honnête : un niveau, ce sont ses claims, et le seuil en dessous ne fait qu'écarter un compte portant quelque chose de lourd et négatif, puisqu'un signalement de fraude vaut moins 30 et une suspension moins 40. La dernière ligne est celle que la plupart des pages omettent.
1 · Contact | 2 · Identité | 3 · Financier | 4 · Réseaux | |
|---|---|---|---|---|
| Ce qu'une personne doit détenir | Un e-mail confirmé, un téléphone ayant répondu à un code SMS, et une ligne qui n'est pas virtuelle. | Une pièce d'identité avec photo analysée, une capture en direct, une correspondance faciale entre les deux, et une photo de profil correspondant au même visage. | Un dossier de paiement corroboré et un résultat de filtrage propre, tous deux obtenus sur le moment plutôt qu'en attente. | Une empreinte web et sociale vérifiée, et un graphe de corrélation entre comptes revenu net. |
| Ce qu'une entreprise doit détenir | Identique à une personne. Être joignable, c'est être joignable, et il y a une seule étape OTP pour les deux. | La même chaîne d'identité, plus les papiers de l'entreprise, un registre qui confirme, et vous en tant que dirigeant actif de celle-ci. | Les deux mêmes éléments, plus un numéro fiscal vérifié. | Identique à une personne, vérifié à la fois sur l'empreinte de l'entreprise et sur celle de l'individu. |
| Seuil de score | 0. Seul un signal défavorable vous écarte, jamais un compte discret. | 45. | 45. Abaissé depuis 60 afin qu'un compte qui réussit chaque vérification ne se voie pas dire de revenir dans une semaine. | 75. |
| Ce dont c'est un préalable | Rien en soi. C'est le socle sur lequel repose le reste de l'échelle. | Une photo de profil, toute action de contact, l'achat d'un numéro de téléphone, l'ajout d'une boîte mail, l'utilisation d'une IP dédiée hors de Xuda, l'enregistrement d'un domaine, une commande sur la boutique, et l'exécution de code sur Xucode. | La mise en place d'une campagne. | Un compte vendeur, un siège d'ambassadeur et un siège de mentor. |
| Cela vous bloque-t-il aujourd'hui | Non. | Pas en production. La seule conséquence réelle est l'avatar généré, retenu en dessous du niveau 2 et délibérément non couvert par le déploiement progressif. | En production, non. Le fichier de politique partagé indique 3 comme seuil prévu et le serveur de développement l'applique ; la production déclare le seuil à null, ce que le code interprète comme surveiller et ne jamais refuser. | Identique au niveau 3. |
| Où c'est purement et simplement refusé | Nulle part. Le niveau 1 n'implique aucune biométrie et est disponible partout. | Canada, Chine et Russie. Ce refus est délibérément exempté du déploiement progressif. | Les trois mêmes pays, puisque le niveau 2 est un préalable. | Les trois mêmes pays. |
Le document est l'ancrage, et l'ordre est imposé.
Le document passe en premier car c'est la seule des trois images délivrée par quelqu'un d'autre. Faire correspondre une photo de profil à un selfie prouve que les deux concordent, pas que l'une ou l'autre soit vous. La capture en direct refuse même de démarrer tant que le document n'a pas été accepté, ce qui est une vérification peu coûteuse par rapport au sujet enregistré plutôt qu'un recalcul complet : découvrir après coup que le document n'a jamais été validé serait le pire moment possible pour le découvrir.
La lecture de statut, pour un compte bloqué au niveau 1.
C'est la structure à partir de laquelle chaque surface de vérification s'affiche, recalculée à chaque appel plutôt que lue depuis un cache. Notez ce qui y figure et ce qui n'y figure pas. Elle porte le prochain niveau, les claims exacts encore manquants à ce niveau et à chaque autre, des raisons en langage clair pour le score, si une personne l'examine et laquelle des deux moitiés elle examine. Elle ne porte aucun poids de signal, car un utilisateur doit voir quoi faire ensuite, pas quoi optimiser.
Le score, c'est ce que le compte plaide sur lui-même.
Les claims sont des choses que vous avez prouvées. Le score, c'est tout le reste que la plateforme sait déjà, converti en points via le même fichier de politique, et c'est pourquoi deux comptes détenant des claims identiques peuvent se trouver à des niveaux différents. Rien ici n'est un jugement sur vous en tant que personne : ce sont des faits modestes et anodins sur un compte, plusieurs d'entre eux signalés de façon à ne jamais pouvoir que vous aider.
- Le type de ligne téléphonique est le facteur positif le plus lourd au niveau 1, et c'est pourquoi ce niveau existe sous cette forme. Un vrai mobile vaut 14 points, une ligne fixe 9, une ligne VOIP fixe 2, et un numéro VOIP non fixe vaut moins 12, avec une raison indiquée. Un numéro qu'on peut louer pour l'après-midi n'est pas un canal de contact.
- Le temps et l'usage rapportent plus que tout ce qu'on peut acheter. Un compte de plus de 180 jours porte 20 points et un compte créé aujourd'hui en porte 0 ; un compte ayant réellement construit quelque chose en porte jusqu'à 14 de plus. Un abonnement payant vaut 10, soit moins que le simple fait d'avoir utilisé la plateforme pendant six mois.
- Ce sont les éléments négatifs qui pèsent réellement. Une suspension vaut moins 40, un signalement de fraude moins 30, un domaine de messagerie jetable moins 15, une carte prépayée moins 12, une connexion depuis un fournisseur d'hébergement moins 8, une connexion via un VPN moins 6, et un pays de connexion qui ne correspond pas au pays enregistré moins 5.
- Certaines vérifications sont gratuites et d'autres non, et cette répartition est publiée plutôt que dissimulée. L'historique du compte, l'appareil et le réseau, la corroboration du paiement, le contrôle de domaine et le graphe de corrélation ne coûtent rien. Une recherche de ligne téléphonique coûte un centime, un OTP cinq, une lecture de document quatre, une correspondance faciale un, une vérification de vivacité deux, une recherche de registre d'entreprise vingt-cinq, et un examen humain trois dollars.
Neuf canaux, aucun verdict parmi eux, un seul niveau au bout.
Aucune vérification ne peut à elle seule accorder un niveau, et aucune ne décide de rien. Chacune produit des signaux typés dans le même format, et un scoreur déterministe s'exécutant sur un fichier de politique versionné est la seule chose qui émette jamais un chiffre. C'est aussi toute la posture face à l'injection de prompt : les modèles ne voient jamais de décision à prendre, le scoreur ne voit jamais de texte libre, et un texte ressemblant à une instruction trouvé dans un document soumis est lui-même traité comme un signal de fraude et compte contre la soumission.
Sept choses que ceci n'est pas, dont les deux les plus susceptibles d'être supposées.
- Ce n'est pas une authentification de document de niveau gouvernemental et cela ne doit jamais être décrit comme tel. Rien ici n'authentifie un document par rapport aux dispositifs de sécurité de l'émetteur. Ce qui est fait à la place, c'est vérifier que des canaux indépendants concordent, ce qui est une affirmation différente et bien plus difficile à falsifier qu'un artefact unique, mais ce n'est pas la même affirmation.
- Le niveau 2 ne bloque personne en production aujourd'hui. Huit portes produit désignent le niveau 2, et le seuil d'application en production est déclaré à null, ce que le code interprète comme surveiller et ne jamais refuser. Le serveur de développement applique le seuil indiqué par la politique partagée, qui est 3. La seule conséquence réelle au niveau 2, partout, est l'avatar généré : il est retenu en dessous du niveau 2 et délibérément non couvert par le déploiement progressif, car le retenir EST l'application de la règle.
- La détection de vivacité arrête une photo imprimée, une capture d'écran, un selfie enregistré et la même image soumise deux fois. Une vidéo du sujet remontée dans l'ordre demandé, et un deepfake en direct piloté par les mêmes consignes, passent tous deux encore. C'est indiqué sur cette page plutôt que laissé à découvrir.
- La vérification au-delà du niveau 1 est refusée au Canada, en Chine et en Russie, et ce refus est délibérément exempté du déploiement progressif. Calibrer un score n'est pas une autorisation de traiter des données biométriques là où Xuda n'est pas habilité à opérer. Le Canada est bloqué dans son ensemble car le Québec exige un dépôt 60 jours avant la mise en service d'un système biométrique, et la couche réseau ne nous fournit qu'un pays, pas une province.
- Vendre la vérification à vos propres utilisateurs est un produit distinct avec ses propres limites. Le bac à sable se termine de bout en bout dès aujourd'hui, illimité et jamais comptabilisé, et un lien de session en direct est créé et valide avant que la capture en direct pour des utilisateurs externes ne s'ouvre. Le tableau de bord comme l'API l'indiquent d'emblée plutôt que de laisser la personne qui atteint le lien le découvrir à la fin.
- Un registre professionnel qui répond n'équivaut pas à un registre qui existe partout. Le Royaume-Uni est une intégration directe et New York répond pour elle-même ; tout le reste dépend d'un agrégateur, et là où aucun registre ne publie les dirigeants, org_authority n'est simplement pas accordé plutôt qu'accordé sur une preuve que personne ne détient.
- Le niveau sur votre compte est une projection, pas le registre source. Le niveau, les claims et le score sont inscrits sur le document du compte afin qu'un appelant détenant déjà ce document n'ait pas besoin d'un second aller-retour. Les preuves et la piste d'audit résident dans la base de vérification, et la projection est reconstruite à partir d'elles, jamais l'inverse.
Les questions auxquelles le badge ne répond pas
Sept réponses lues dans verify_policy.json 1.8.0 et cpi/verify_module plutôt que sur une page marketing.
Trois surfaces, trois publics, et ce sont délibérément des écrans différents.
La vérification a été répartie sur des surfaces distinctes après que quelqu'un suivant un lien de niveau 2 a atterri sur l'écran de vente de vérification à d'autres personnes. Votre propre niveau réside sous votre profil car c'est l'identité qu'il conditionne. Le service que vous vendez est un produit distinct avec sa propre ligne d'abonnement.
Les neuf canaux, ce qui est conservé et ce qui est abandonné, l'échelle des paliers pour exécuter la vérification sur vos propres utilisateurs, et la comparaison avec un fournisseur KYC hébergé.
Lire le détailUn compte vendeur exige le niveau 4, en plus de la vérification Stripe Connect qui existait déjà.
Explorer la MarketplaceVotre propre vérification ne figure pas dans la grille tarifaire car elle n'est pas facturée. Les paliers du Trust Center, pour vérifier d'autres personnes, forment une ligne distincte sur l'abonnement unique consolidé.
Voir les tarifsOuvrez l'échelle et lisez votre propre écart.
La page de vérification sous votre profil affiche le niveau que vous détenez, les claims exacts encore manquants pour le suivant, et les raisons en langage clair derrière votre score. Un seul appel de statut suffit pour le savoir, cela ne coûte rien sur aucun plan, et rien sur votre compte n'est retenu pendant que le déploiement progressif se termine. Si vous souhaitez plutôt exécuter les mêmes vérifications sur vos propres utilisateurs, c'est le Trust Center, et le bac à sable se termine de bout en bout dès aujourd'hui, sans carte.