Documentação

Coloque o agente na sua página de cadastro, chame um endpoint do seu servidor e aja conforme a decisão.

Início rápido

1. Coloque o agente na página de cadastro

Ele coleta sinais do dispositivo e coloca um token de visitante de vida curta num campo oculto chamado attrelix_visitor em todo formulário da página. Também expõe window.attrelix.token() para single-page apps.

<script src="https://attrelix.com/v1.js?v=0bbe74b52d" data-key="pk_live_…" async></script>

// single-page apps: wait for the token before you submit
const visitor = await window.attrelix.token();

2. Cheque o cadastro pelo seu servidor

Envie o e-mail, o IP do cliente e o token de visitante com a sua chave secreta. Opcionais: external_id (o id do seu usuário), user_agent e card_fingerprint (por exemplo o card.fingerprint do Stripe).

curl https://attrelix.com/v1/check \
  -H "Authorization: Bearer $ATTRELIX_SECRET" \
  -H "Content-Type: application/json" \
  -d '{"email":"jdoe+7@gmail.com","ip":"203.0.113.9","visitor":"vt1.…"}'

# Python
r = requests.post("https://attrelix.com/v1/check", timeout=3,
    headers={"Authorization": f"Bearer {SECRET}"},
    json={"email": email, "ip": ip, "visitor": form["attrelix_visitor"]})
decision = r.json().get("decision", "allow") if r.ok else "allow"

3. Aja conforme a decisão

allow: libere os créditos grátis. review: peça algo que custe dinheiro a uma fazenda — um cartão, um telefone — ou libere menos créditos. block: recuse a conta ou os créditos. Se a chamada falhar, permita: nunca trave usuários reais por nossa causa.

Chaves e tokens

• Chave pública (pk_live_…): pública por definição. Fica na sua página e só coleta sinais, nas origens que você liberar no painel.
• Chave secreta (sk_live_…): só no servidor. Roda checagens e lê resultados. Guardamos apenas o hash dela: copie quando criar.
• Token de visitante: assinado por nós, vale 15 minutos e uma única checagem, preso ao seu projeto. Um token usado duas vezes, ou vindo de outra rede que não a do cadastro, aumenta o score.

POST /v1/check

Corpo da requisição (JSON). Envie pelo menos um entre email, ip e visitor.

Resposta

decision é allow, review ou block. score vai de 0 a 100: a soma dos pontos dos motivos, com teto. Cada motivo tem um código estável que você pode registrar ou mostrar.

{
  "id": "chk_3fJ8kQ2mN7pX1aZb",
  "decision": "block",
  "score": 100,
  "reasons": [
    { "code": "linked_accounts_10", "points": 45, "detail": "14" },
    { "code": "alias_of_existing", "points": 30, "detail": "3 variants of jdoe@gmail.com" },
    { "code": "datacenter_ip", "points": 25, "detail": "aws" }
  ],
  "email":   { "normalized": "jdoe@gmail.com", "disposable": false, "relay": false, "mx": "yes", … },
  "network": { "ip": "3.88.0.1", "type": "datacenter", "provider": "aws", "signups_24h": 2 },
  "device":  { "id": "dev_9c1e…", "token": "valid", "browser": "Firefox 144", "flags": ["canvas_noise"] },
  "linked":  { "accounts": 14, "by_device": 12, "by_card": 0, "cluster": "cl_7q2f…" },
  "latency_ms": 38
}

Erros

Erros vêm em JSON: {"error": code, "message": text}.

Pontuação

Os pontos se somam, com teto de 100. Padrão: revisar a partir de 50, bloquear a partir de 80 — ambos ajustáveis. Uma caixa descartável sozinha já vai para revisão; nenhum sinal isolado de dispositivo ou rede chega lá.

Fontes de dados

Domínios descartáveis: o projeto disposable-email-domains (CC0) e disposable/disposable-email-domains (MIT), atualizados todo dia. Faixas de datacenter: as listas publicadas por AWS, Google Cloud, Oracle Cloud, DigitalOcean e Linode. Tor: a lista de saídas do Tor Project, atualizada a cada hora.

Agora: 98,644 domínios descartáveis e 21,665 faixas.