Política
O cliente pede o tipo e um nível mínimo; a política resolve nível, etapas e fontes,
e a versão aplicada vai no recibo.
A política traduz o que o cliente pede em etapas que uma pessoa cumpre. Uma política global, versionada, que cada cliente endurece no painel; nunca abaixo do que a global exige.
A política é a regra que decide quais passos cada pedido exige; o nível diz quanta certeza o pedido quer, e as etapas são os passos que a pessoa cumpre no celular.
Toda mudança de política gera nova versão, e o recibo carrega a versão aplicada: o auditor sabe que etapas eram exigidas naquele dia. A política nunca lê o conteúdo do contexto do ato; só compara valores que o cliente marcou como comparáveis, e o recibo registra quais chaves foram lidas.
Níveis
Descrição
O cliente pede um nível mínimo; a política resolve o nível efetivo. Nunca abaixo do mínimo pedido, nunca abaixo do default do tipo sem um override explícito e registrado. O recibo carrega o nível atingido, não o pedido.
0.0Nível 0 · sem humano novodisponível
Verificação de um mandato válido ou de posse forte. Nenhuma presença nova: a prova é o mandato, não a pessoa.
Etapas mínimas: verificação de mandato, resultado. É o nível do ato delegado, que resolve na hora.
Ato delegado1.0Nível 1 · posse fortedisponível
Passkey, com consentimento: o step-up curto, quando a política reaproveita uma prova recente. A atestação de dispositivo segue arquitetura-alvo.
Etapas mínimas: transparência do contexto, consentimento geral, passkey, resultado.
2.0Nível 2 · presença viva e mesma pessoadisponível
Uma pessoa viva, agora, e a mesma da referência que o cliente deu. Presença nativa e match, com consentimento por etapa.
Etapas: transparência do contexto, consentimento geral, consentimento biométrico, presença viva com match, resultado. É a política em produção.
Presença recorrente3.0Nível 3 · presença e identidade civilarquitetura-alvo
O nível 2 mais a identidade civil por uma fonte plugada: Serpro Datavalid, em credenciamento; ou conta gov.br ouro mais Serpro.
Etapas: as do nível 2 mais a consulta de identidade. É o nível do onboarding, da concessão e da assinatura.
FontesEtapas
Descrição
Cada etapa tem um id fixo, que o túnel renderiza e o recibo registra com resultado e instante. As cinco da política em produção não mudam; as novas nascem no catálogo e só ganham tela quando o tipo de ato que as usa existir.
1.0Transparência do contextodisponível
A pessoa vê o que está autorizando: o contexto que o cliente mandou, em claro só para ela. No recibo entra o hash e a lista das chaves declaradas.
2.0Consentimento geraldisponível
Texto versionado, aceito com instante; o hash do texto e a versão vão no recibo.
3.0Consentimento biométricodisponível
Separado do geral, antes de qualquer captura. Sem ele, o resultado não é liberado.
4.0Presença viva e matchdisponível
Desafio ativo por um componente certificado de terceiro, e comparação com a referência do cliente, guardada cifrada só enquanto o ato está aberto. Imagem e template são descartados; fica o resultado e o hash da referência.
5.0Resultadodisponível
Positivo, negativo ou inconclusivo. Inconclusivo nunca é terminal: sai por revisão humana, e decidir exige presença provada na hora de quem decide.
A revisão segue um protocolo versionado, servido pelo mesmo servidor que o aplica, com justificativa de vocabulário fechado que não pode contradizer o veredito. O terceiro veredito, "insuficiente", devolve o ato para nova tentativa em vez de concluí-lo.
6.0Identidade civilem credenciamento
Fonte plugada, rotulada no recibo. Serpro Datavalid em credenciamento; a resposta é minimizada, o bruto nunca sai.
7.0Passkeydisponível
Posse do aparelho por WebAuthn, com verificação do usuário nele; nada biométrico chega à Hummand. Cadastrada só depois de uma presença aprovada.
8.0Conta federada e atestaçãoarquitetura-alvo
gov.br por OIDC; atestação de dispositivo. Adapters com mock e contrato real, sem tela ainda.
9.0Escopodisponível
O escopo do mandato, exibido e consentido: ações, limites, validade, revogável. É etapa do mandato a agente e do mandato de pessoa.
10.0Documento anexo e presença do mandatáriodisponível
O documento por hash, enviado na criação; a presença de quem recebe o mandato, como segunda presença, quando o cliente pede. Disponíveis desde a 0.28.0, no mandato de pessoa.
11.0Verificação de mandatodisponível
A verificação de mandato do ato delegado, que resolve na hora.
12.0Assinatura jurídicaarquitetura-alvo
ICP-Brasil, gov.br ou o recibo como assinatura avançada.
A política hoje
Descrição
Uma política global, versionada, que cada cliente endurece no painel, por tipo de ato. Regra de cliente só endurece: nunca abaixo do que a global exige.
1.0Global, endurecida por clientedisponível
O painel e a API leem a política efetiva: por tipo, o nível, as etapas, o prazo, o rótulo e se é executável hoje, com as etapas que faltam quando não é.
O Administrador liga ou desliga tipos, sobe o nível mínimo e encurta o prazo; cada edição é uma versão nova, e o recibo carrega a que valeu.
Ver Docs2.0Overrides por contextodisponível
Condições só sobre chaves declaradas do contexto, de tipos primitivos: acima de um valor, sobe o nível ou exige a foto do cadastro. A regra nunca desce abaixo do nível do tipo.
A Hummand nunca lê o conteúdo do contexto; só compara valores que o cliente marcou como comparáveis.
3.0Reutilização de ato recentedisponível
Uma janela de até 15 minutos: com prova positiva recente da mesma pessoa e uma passkey ativa dela, o ato nasce no nível 1 e pede só a passkey. Vale para o step-up de transação e para o do operador; a presença recorrente nunca reutiliza.
Sem a passkey à mão, a pessoa volta à presença viva no mesmo ato e nunca fica sem saída.
4.0Tentativas no mesmo atodisponível
Tentativas no mesmo ato (até 3) e o desvio ao esgotar, para negativo ou revisão humana.
5.0Escalada de exceçãoarquitetura-alvo
A escalada da prova de exceção por cliente segue arquitetura-alvo, como o tipo.
O que não fazemosVerificar um recibo
Cole o JSON e a chave pública. Sem conta, sem envio: roda no seu navegador.
Abrir verificador