{
  "requestId": "05be75cc-8f8a-414a-891f-434aa9b4e7a5",
  "resource": "flow",
  "cpf": "00000000191",
  "externalId": "order-12345",
  "status": "APPROVED",
  "mfaResponse": {
    "status": "APPROVED",
    "sessionId": "0192f0a1-7c3e-7d10-9a51-3e1f2c4b5a60",
    "cellphone": "11900000000",
    "validation": {
      "channel": "sms",
      "tokenCreatedAt": "2026-10-19T13:03:00.000Z",
      "sendStatus": "SENT",
      "sentAt": "2026-10-19T13:03:01.120Z"
    },
    "authenticated": { "channel": "sms", "result": true }
  },
  "livenessResponse": {
    "status": "APPROVED",
    "selfieImage": "/9j/4AAQSkZJRg...",
    "processingTime": 1830,
    "sessionId": "lv-session-0001",
    "captureId": "lv-capture-0001",
    "verified": true,
    "faceDb": {
      "scanId": "scan-0001",
      "cpf": "00000000191",
      "status": "APPROVED",
      "valid": true,
      "confidence": "high"
    }
  },
  "fraudResponse": {
    "status": "APPROVED",
    "score": 92,
    "hardStop": false,
    "penalties": [],
    "docType": "RG",
    "docFamily": "DOC_IDENTIDADE",
    "message": "Documento processado com sucesso",
    "processingMode": 2,
    "documentId": "doc-0001",
    "backofficeBatchId": null,
    "faceMatch": { "match": true, "score": 97.4 },
    "ocr": {
      "ocrResult": {
        "fields": [
          { "ruleField": false, "name": "NOME", "value": "MARIA EXEMPLO", "boundingBox": [0, 0, 0, 0], "confidence": 100, "forensicsScore": 0 }
        ],
        "typeRecognized": "RG",
        "typeParentAlias": "DOC_IDENTIDADE",
        "digitalDocument": false
      },
      "processedImage": "/9j/4AAQSkZJRg..."
    }
  }
}

O resultado de um processo chega de duas formas:

API: GET /onboarding/api/v1/steps/result/{requestId} (ver a API). A rota GET /onboarding/api/v1/steps/result/external-id/{externalId} devolve { "data": [ ... ] }, com um item por processo daquele externalId.
Webhook: um POST com JSON na webhookUrl que você enviou ao iniciar o processo (ou na URL padrão das configurações).

Os dois usam o mesmo conteúdo. As diferenças estão na seção “Diferenças entre API e webhook”, abaixo. Cada etapa executada aparece num bloco próprio (livenessResponse, mfaResponse etc.). Uma etapa que não faz parte do processo não aparece.

Os tipos abaixo usam esta notação: string (ISO 8601) é data e hora como texto; ? no fim do nome indica campo que pode não vir.

Campos da raiz

Campo	Tipo	Descrição
status	string	Status consolidado do processo. Valores em Status.
name?	string	Nome do titular, quando conhecido.
createdAt	string (ISO 8601)	Criação do processo. Só na API.
completedAt?	string (ISO 8601)	Fim do processo. Preenchido pela etapa de assinatura.
requestData	object	Dados enviados no início do processo. Só na API. Ver `requestData`.
requestId	string (UUID)	Id do processo. Só no webhook.
resource	string	Recurso do processo: `liveness`, `mfa`, `fraud`, `upload`, `signer` ou `flow`. Só no webhook.
cpf	string	CPF do titular (só dígitos). Só no webhook.
externalId?	string	Seu identificador, quando enviado no início. Só no webhook (na API, fica em `requestData.externalId`).
livenessResponse?	object	Etapa de liveness. Ver `livenessResponse`.
mfaResponse?	object	Etapa de MFA. Ver `mfaResponse`.
fraudResponse?	object	Documentoscopia, OCR e facematch. Ver `fraudResponse`.
uploadResponse?	object	Etapa de upload. Ver `uploadResponse`.
signerResponse?	object	Etapa de assinatura. Ver `signerResponse`.
signer?	object	Estado de execução da assinatura. Ver `signer`.
bureauQueryResponse?	object	Consulta ao pacote de datasets. Ver `bureauQueryResponse`.
doclessResponse?	object	Emissão de documento docless. Só na API. Ver `doclessResponse`.
terminatedBy?	object	Motivo do fim antecipado do fluxo. Só no webhook. Ver `terminatedBy`.
hasRejectedStep?	boolean	`true` quando alguma etapa do fluxo já reprovou e o processo ainda não terminou.
pendingFaceMatchCrop?	string (base64)	Recorte do rosto do documento enquanto o facematch está pendente.

Quando uma etapa falha por erro técnico, o bloco dela pode vir só com status: "FAILED" e error: string (mensagem do erro).

`requestData`

Dados enviados no início do processo. Só na API.

Campo	Tipo	Descrição
cpf	string	CPF do titular (só dígitos).
externalId?	string	Seu identificador.
name?	string	Nome informado.
email?	string	E-mail informado.
cellphone?	string	Celular informado (só dígitos).
appRedirect?	string	Destino depois da conclusão.
webhookUrl?	string	URL do webhook.
webhookBasicAuth?	string	Credencial Basic Auth do webhook, como enviada.
selfieImage?	string (base64)	Selfie enviada no `POST /steps/fraud`.

`livenessResponse`

Prova de vida por selfie.

Campo	Tipo	Descrição
status	string	`APPROVED`, `REJECTED`, `PROCESSING`, `FAILED` ou `CANCELLED`.
selfieImage?	string (base64)	Selfie capturada.
processingTime?	number	Tempo de processamento, em milissegundos.
sessionId?	string	Id da sessão de liveness.
captureId?	string	Id da captura.
verified?	boolean	Resultado da prova de vida.
name?	string	Nome do titular.
faceDb?	object	Consulta à base facial, quando ligada nas configurações.
error?	string	Mensagem quando `status` é `FAILED`.

`livenessResponse.faceDb`

Campo	Tipo	Descrição
scanId	string	Id da consulta. Vazio quando `status` é `NOT_FOUND`.
cpf	string	CPF consultado.
status	string	`APPROVED`, `REJECTED` ou `NOT_FOUND`.
valid	boolean \| null	Resultado da comparação.
confidence	string \| null	Nível de confiança: `high`, `medium` ou `low`.

Se a consulta falhar, faceDb vem como { "error": true, "message": string, "timestamp": string (ISO 8601) }.

`mfaResponse`

Autenticação por código enviado por SMS, e-mail ou WhatsApp.

Campo	Tipo	Descrição
status	string	`APPROVED`, `STARTED`, `PROCESSING` ou `FAILED`.
sessionId?	string	Id da sessão de MFA.
cellphone?	string	Celular usado.
email?	string	E-mail usado.
name?	string	Nome do titular.
validation?	object	Envio do código.
authenticated?	object	Validação do código.
error?	string	Mensagem quando `status` é `FAILED`.

`mfaResponse.validation`

Campo	Tipo	Descrição
channel	string	`sms`, `email` ou `whatsapp`.
tokenCreatedAt	string (ISO 8601)	Geração do código.
sendStatus	string	`SENT` ou `FAILED`.
sentAt?	string (ISO 8601)	Envio do código, quando `SENT`.
sendError?	string	Motivo da falha, quando `FAILED`.

O código enviado à pessoa não sai na API nem no webhook.

`mfaResponse.authenticated`

Campo	Tipo	Descrição
channel	string	`sms`, `email` ou `whatsapp`.
result	boolean	`true` quando o código foi validado.

`fraudResponse`

Documentoscopia, leitura do documento (OCR) e comparação da selfie com o documento (facematch).

Campo	Tipo	Descrição
status	string	`APPROVED`, `REJECTED`, `ANALYSIS`, `PROCESSING`, `FINISHED` (só OCR), `FAILED` ou `CANCELLED`.
score?	number	Score de confiança, de 0 a 100.
hardStop?	boolean	`true` quando uma regra bloqueia a aprovação.
penalties?	array	Regras aplicadas. Ver abaixo.
docType?	string	Tipo do documento, em maiúsculas (ex.: `RG`, `CNH`).
docFamily?	string	Família do documento, em maiúsculas (ex.: `DOC_IDENTIDADE`).
name?	string	Nome do titular.
message?	string	Mensagem do resultado (ex.: `Documento processado com sucesso`).
processingMode?	number	`1` = só OCR, `2` = processo completo.
documentId?	string	Id do documento na documentoscopia.
backofficeBatchId?	string \| null	Id do lote de análise manual.
faceMatch?	object	Comparação da selfie com a foto do documento.
faceDb?	object	Consulta à base facial. Mesmos campos de `livenessResponse.faceDb`.
ocr?	object	Leitura do documento.
error?	string	Mensagem quando `status` é `FAILED`.

`fraudResponse.penalties[]`

Campo	Tipo	Descrição
rulesName	string	Código da regra, em maiúsculas (ex.: `FACE_08`).
rulesPenalty	number	Peso da penalidade.
hardStop	boolean	`true` quando a regra bloqueia a aprovação.
message	string	Descrição da regra.

`fraudResponse.faceMatch`

Campo	Tipo	Descrição
match	boolean	`true` quando a selfie e o documento são da mesma pessoa.
score	number	Similaridade, de 0 a 100.

Se a comparação falhar, faceMatch vem como { "error": true, "message": string, "timestamp": string (ISO 8601) }.

`fraudResponse.ocr`

Campo	Tipo	Descrição
ocrResult	object	Campos lidos. Ver abaixo.
processedImage?	string (base64)	Imagem do documento.

`fraudResponse.ocr.ocrResult`

Campo	Tipo	Descrição
fields	array	Um item por campo lido: `{ ruleField: boolean, name: string, value: string, boundingBox: number[], confidence: number, forensicsScore: number }`.
typeRecognized	string	Tipo do documento reconhecido.
typeParentAlias	string	Família do documento reconhecido.
docName?	string	Nome do modelo do documento.
digitalDocument	boolean	`true` para documento digital.

Os nomes em fields[].name variam conforme o tipo do documento.

`uploadResponse`

Envio de arquivos.

Campo	Tipo	Descrição
status	string	`FINISHED`, `IGNORED` (nenhum arquivo enviado e todos opcionais), `PROCESSING` ou `FAILED`.
id?	string	Id do arquivo (envio de 1 arquivo).
file_path?	string	Caminho do arquivo no storage.
file_name?	string	Nome do arquivo.
file_type?	string	Tipo do arquivo (ex.: `pdf`).
file_category?	string	Categoria do arquivo.
file_size?	number \| string	Tamanho do arquivo.
filePath?, fileName?, fileType?, fileCategory?, fileSize?	—	Os mesmos valores acima, em camelCase.
created_at?, updated_at?	string (ISO 8601)	Datas do arquivo no storage.
files?	array	Envio de vários arquivos: um item por arquivo, cada um com `id`.
error?	string	Motivo da falha (ex.: `Arquivos obrigatórios ausentes: rg`).

`signerResponse`

Assinatura digital de documentos.

Campo	Tipo	Descrição
status	string	`SIGNING`, `FINISHED` (todos assinados), `REJECTED`, `CANCELLED`, `EXPIRED` ou `ABORTED`.
files	object	Mapa `fileId` → documento. Ver abaixo.

`signerResponse.files.{fileId}`

Campo	Tipo	Descrição
envelopeUuid?	string	Id do envelope de assinatura.
fileUuid?	string	Id do arquivo no envelope.
state?	string	`Aguardando assinatura`, `Assinado`, `Cancelado`, `Recusado` ou `Vencido`.
createdAt?	string (ISO 8601)	Criação do documento.
stateUpdatedAt?	string (ISO 8601)	Última mudança de `state`.
signers?	array	Signatários: `{ signerUuid: string, sessionToken: string, signUrl: string }`.

`signer`

Estado de execução da etapa de assinatura.

Campo	Tipo	Descrição
activeDocument?	number	Índice do documento em assinatura (`-1` = início).
templateDataValues?	object	Valores usados no modelo de cada documento: `{ [id]: { externalId?: string, values?: object } }`.
runtimeDocuments?	array	Documentos coletados por URL: `{ id: string, externalId?: string, url: string }`.

`bureauQueryResponse`

Consulta ao pacote de datasets no fim do fluxo, quando ligada nas configurações.

Campo	Tipo	Descrição
status	string	`PROCESSING`, `COMPLETED` ou `FAILED`.
packageId	string	Id do pacote consultado.
datasets?	array	Um item por dataset: `{ dataset: string \| { name: string, description?: string }, data?: object }`. O conteúdo de `data` depende do dataset.
failedDatasets?	array	Datasets com falha: `{ dataset: string, reason: string }`.
datasetPackage?	object	`{ id: string, name: string }`.
error?	string	Motivo da falha.
requestedAt?	string (ISO 8601)	Início da consulta.
completedAt?	string (ISO 8601)	Fim da consulta.

`doclessResponse`

Emissão de documento sem foto do documento (docless). Só na API.

Campo	Tipo	Descrição
optIn?	object	Aceite da pessoa: `{ accepted: boolean, when: string (ISO 8601) }`.
check?	object	Busca de documentos: `{ searchId: string, expiresAt: string, documents: [{ id, type, imageDate }] }`.
document?	object	Documento emitido: `{ issuanceId, documentId, type, url, expiresAt }` (todos string).
issuances?	array	Emissões: `{ issuanceId, issuedAt, expiresAt, url, document: { id, type, imageDate }, transaction: { searchId, scanId, protectionTxId }, organization: { name, cnpj }, purpose }`.

`terminatedBy`

Vem no webhook quando o fluxo termina antes da última etapa. As etapas que não rodaram vêm com status: "CANCELLED".

Campo	Tipo	Descrição
step	string	Etapa que encerrou o fluxo (ex.: `liveness`).
cause	string	`LIVENESS_REJECTED`, `ID_CHECK_REJECTED` ou `ID_CHECK_FAILED`.
at	string (ISO 8601)	Momento do encerramento.

Webhook

Como chega

Método POST, corpo JSON, na webhookUrl do processo.
Se você enviou webhookBasicAuth no início, a chamada leva essa credencial como Basic Auth.
Não há campo de tipo de evento. Use resource e status para saber o que aconteceu.

Quando é enviado

Situação	`status` da raiz
Etapa avulsa (`liveness`, `mfa`, `upload`) concluída	`APPROVED`, `REJECTED`, `FINISHED`, `IGNORED` ou `FAILED`
`fraud` avulso que vai para análise manual	`ANALYSIS` (1º envio)
`fraud` avulso concluído	`APPROVED`, `REJECTED` ou `FINISHED` (2º envio, se houve análise manual)
Assinatura avulsa: todos os documentos terminaram	`FINISHED`, `REJECTED`, `CANCELLED` ou `EXPIRED`
Fluxo (`flow`): todas as etapas terminaram	Status consolidado (ver “Regras de consolidação do fluxo”)
Fluxo com consulta de datasets: depois da consulta	Status consolidado
Fluxo encerrado antes do fim	`REJECTED` ou `FAILED`, com `terminatedBy`
Erro técnico em qualquer etapa	`FAILED`

O webhook não é enviado nas etapas intermediárias do fluxo nem quando o processo expira (ABORTED). Para esses casos, consulte a API.

Diferenças entre API e webhook

Campo	API	Webhook
`requestId`, `resource`, `cpf`, `externalId` na raiz	Não	Sim
`requestData`	Sim	Não
`createdAt`	Sim	Não
`doclessResponse`	Sim	Não
`terminatedBy`	Não	Sim

Exemplo

O exemplo ao lado mostra o webhook de um fluxo com MFA, liveness e documentoscopia (dados fictícios; imagens cortadas).

{
  "requestId": "05be75cc-8f8a-414a-891f-434aa9b4e7a5",
  "resource": "flow",
  "cpf": "00000000191",
  "externalId": "order-12345",
  "status": "APPROVED",
  "mfaResponse": {
    "status": "APPROVED",
    "sessionId": "0192f0a1-7c3e-7d10-9a51-3e1f2c4b5a60",
    "cellphone": "11900000000",
    "validation": {
      "channel": "sms",
      "tokenCreatedAt": "2026-10-19T13:03:00.000Z",
      "sendStatus": "SENT",
      "sentAt": "2026-10-19T13:03:01.120Z"
    },
    "authenticated": { "channel": "sms", "result": true }
  },
  "livenessResponse": {
    "status": "APPROVED",
    "selfieImage": "/9j/4AAQSkZJRg...",
    "processingTime": 1830,
    "sessionId": "lv-session-0001",
    "captureId": "lv-capture-0001",
    "verified": true,
    "faceDb": {
      "scanId": "scan-0001",
      "cpf": "00000000191",
      "status": "APPROVED",
      "valid": true,
      "confidence": "high"
    }
  },
  "fraudResponse": {
    "status": "APPROVED",
    "score": 92,
    "hardStop": false,
    "penalties": [],
    "docType": "RG",
    "docFamily": "DOC_IDENTIDADE",
    "message": "Documento processado com sucesso",
    "processingMode": 2,
    "documentId": "doc-0001",
    "backofficeBatchId": null,
    "faceMatch": { "match": true, "score": 97.4 },
    "ocr": {
      "ocrResult": {
        "fields": [
          { "ruleField": false, "name": "NOME", "value": "MARIA EXEMPLO", "boundingBox": [0, 0, 0, 0], "confidence": 100, "forensicsScore": 0 }
        ],
        "typeRecognized": "RG",
        "typeParentAlias": "DOC_IDENTIDADE",
        "digitalDocument": false
      },
      "processedImage": "/9j/4AAQSkZJRg..."
    }
  }
}

Na API, o mesmo processo vem sem requestId, resource, cpf e externalId na raiz, e com createdAt e requestData.

Status

Status	Descrição
STARTED	O processo foi criado e espera ação da pessoa na jornada. Algumas etapas podem já ter terminado.
PROCESSING	O processo está sendo processado pelos serviços da plataforma.
ANALYSIS	O processo está em análise manual (ex.: documentoscopia no backoffice).
SIGNING	O processo espera a assinatura dos documentos.
APPROVED	Todas as etapas foram aprovadas.
REJECTED	Pelo menos uma etapa reprovou.
FINISHED	A etapa terminou e não tem aprovação ou reprovação (ex.: upload concluído, todos os documentos assinados, documentoscopia só OCR).
IGNORED	Etapa opcional que a pessoa não fez. Aparece no status das etapas.
FAILED	Um erro técnico impediu o fim normal do processo.
ABORTED	O processo foi encerrado por inatividade, depois do prazo de expiração.
CANCELLED	O processo foi encerrado antes do fim (ex.: assinatura cancelada, ou etapa que não rodou porque o fluxo terminou antes).
EXPIRED	O prazo de uma etapa venceu (ex.: envelope de assinatura vencido).

Regras de consolidação do fluxo

No fim de um fluxo (flow), o status da raiz segue esta ordem:

Alguma etapa em ANALYSIS → ANALYSIS.
Alguma etapa em FAILED → FAILED.
Alguma etapa em REJECTED (agora ou antes) → REJECTED.
Alguma etapa em CANCELLED, EXPIRED ou ABORTED → esse status, nessa ordem.
Todas as etapas em APPROVED ou IGNORED → APPROVED. Upload, assinatura e documentoscopia só OCR com FINISHED contam como APPROVED.

Enquanto o fluxo não termina, o status da raiz é STARTED (alguma etapa espera a pessoa) ou PROCESSING (as etapas seguem em processamento).

Novos campos podem aparecer nos blocos. Ignore os campos que você não usa.

⌘I

{
  "requestId": "05be75cc-8f8a-414a-891f-434aa9b4e7a5",
  "resource": "flow",
  "cpf": "00000000191",
  "externalId": "order-12345",
  "status": "APPROVED",
  "mfaResponse": {
    "status": "APPROVED",
    "sessionId": "0192f0a1-7c3e-7d10-9a51-3e1f2c4b5a60",
    "cellphone": "11900000000",
    "validation": {
      "channel": "sms",
      "tokenCreatedAt": "2026-10-19T13:03:00.000Z",
      "sendStatus": "SENT",
      "sentAt": "2026-10-19T13:03:01.120Z"
    },
    "authenticated": { "channel": "sms", "result": true }
  },
  "livenessResponse": {
    "status": "APPROVED",
    "selfieImage": "/9j/4AAQSkZJRg...",
    "processingTime": 1830,
    "sessionId": "lv-session-0001",
    "captureId": "lv-capture-0001",
    "verified": true,
    "faceDb": {
      "scanId": "scan-0001",
      "cpf": "00000000191",
      "status": "APPROVED",
      "valid": true,
      "confidence": "high"
    }
  },
  "fraudResponse": {
    "status": "APPROVED",
    "score": 92,
    "hardStop": false,
    "penalties": [],
    "docType": "RG",
    "docFamily": "DOC_IDENTIDADE",
    "message": "Documento processado com sucesso",
    "processingMode": 2,
    "documentId": "doc-0001",
    "backofficeBatchId": null,
    "faceMatch": { "match": true, "score": 97.4 },
    "ocr": {
      "ocrResult": {
        "fields": [
          { "ruleField": false, "name": "NOME", "value": "MARIA EXEMPLO", "boundingBox": [0, 0, 0, 0], "confidence": 100, "forensicsScore": 0 }
        ],
        "typeRecognized": "RG",
        "typeParentAlias": "DOC_IDENTIDADE",
        "digitalDocument": false
      },
      "processedImage": "/9j/4AAQSkZJRg..."
    }
  }
}

​Campos da raiz

​requestData

​livenessResponse

​livenessResponse.faceDb

​mfaResponse

​mfaResponse.validation

​mfaResponse.authenticated

​fraudResponse

​fraudResponse.penalties[]

​fraudResponse.faceMatch

​fraudResponse.ocr

​fraudResponse.ocr.ocrResult

​uploadResponse

​signerResponse

​signerResponse.files.{fileId}

​signer

​bureauQueryResponse

​doclessResponse

​terminatedBy

​Webhook

​Como chega

​Quando é enviado

​Diferenças entre API e webhook

​Exemplo

​Status

​Regras de consolidação do fluxo

Campos da raiz

`requestData`

`livenessResponse`

`livenessResponse.faceDb`

`mfaResponse`

`mfaResponse.validation`

`mfaResponse.authenticated`

`fraudResponse`

`fraudResponse.penalties[]`

`fraudResponse.faceMatch`

`fraudResponse.ocr`

`fraudResponse.ocr.ocrResult`

`uploadResponse`

`signerResponse`

`signerResponse.files.{fileId}`

`signer`

`bureauQueryResponse`

`doclessResponse`

`terminatedBy`

Webhook

Como chega

Quando é enviado

Diferenças entre API e webhook

Exemplo

Status

Regras de consolidação do fluxo