Changelog

As mudanças da API, do dashboard e da documentação da Legitimuz, da mais recente para a mais antiga. Uma entrada com o aviso Incompatível pode quebrar uma integração em produção.

​

1 de outubro de 2026

Leitura de verificações e imagens pela API

O seu servidor agora lê verificações e baixa a selfie e o documento do titular, sem passar pelo dashboard. A criação de verificação não muda.

Novo na API

Listar verificações por titular

GET /public/validations-persons devolve a verificação mais recente de cada titular, com os dados cadastrais e o resultado de cada etapa.

curl -G https://api-core.legitimuz.com/public/validations-persons \
  -H "X-API-Key: $LEGITIMUZ_API_KEY" \
  --data-urlencode "status=approved,review" \
  --data-urlencode "per_page=25"

Resposta 200 (trecho)

{
  "data": [
    {
      "public_id": "019f0000-0000-7000-8000-000000000001",
      "document": "***.000.000-**",
      "status": "approved",
      "steps": {
        "ocr": { "state": "approved", "notices": [] },
        "liveness": { "state": "approved", "score": 98, "notices": [] },
        "facematch": { "state": "approved", "similarity": 91, "notices": [] }
      }
    }
  ],
  "pagination": { "page": 1, "per_page": 25, "total": 1 }
}

A lista cobre só as verificações da integração da chave. Filtre por status, flow, journey, from e to. Cada item traz também os scores (identity_score e risk_score), a data do desfecho (decided_at), se o titular é PEP e por quê (pep_origin) e as listas restritivas da sua conta em que o documento aparece. Sem a permissão Ver dados cadastrais desmascarados, o documento, os nomes e o nascimento vêm mascarados, como ***.000.000-**. Veja a referência.

Consultar uma verificação

GET /public/validations-persons/{public_id} devolve uma verificação, com os mesmos campos de cada item da listagem. Use o public_id que chega na criação e nos webhooks. Verificação de outra integração, de outra conta ou do outro ambiente responde 404.

curl https://api-core.legitimuz.com/public/validations-persons/019f0000-0000-7000-8000-000000000001 \
  -H "X-API-Key: $LEGITIMUZ_API_KEY"

Veja a referência.

Baixar imagens da verificação

GET /public/validations-persons/{public_id}/files devolve URLs assinadas da selfie e do documento, frente e verso. Cada URL abre um único arquivo e vale por 300 segundos.

curl https://api-core.legitimuz.com/public/validations-persons/019f0000-0000-7000-8000-000000000001/files \
  -H "X-API-Key: $LEGITIMUZ_API_KEY"

Resposta 200 (trecho)

{
  "selfie": {
    "url": "<URL_ASSINADA_DA_SELFIE>",
    "expires_in": 300,
    "file": { "public_id": "019f0000-0000-7000-8000-0000000000b1", "type": "image/jpeg" }
  },
  "document_back": null
}

• selfie é null quando a prova de vida não foi aprovada.
• A verificação vai no caminho, pelo public_id. A rota não aceita query string.
• Os arquivos são dado biométrico. Não registre a URL nem a resposta em log.

Veja a referência.

Novo no dashboard

Permissões de leitura na chave de API

Permissão	O que libera
Ver verificações	Listar verificações
Ver mídia da verificação	Baixar a selfie e o documento, junto de Ver verificações
Ver dados cadastrais desmascarados	Receber CPF, nome, nome da mãe e nascimento sem máscara

As três nascem desmarcadas. A chave de leitura lê só as verificações da própria integração, no ambiente dela: sandbox lê sandbox, e produção lê produção. Veja chaves de API.

O que fazer

• Libere o IP do seu servidor. As rotas de leitura só atendem IPs liberados. Até a liberação, toda chamada é barrada com 403 antes de chegar à API. Fale com o suporte e informe o IP fixo ou a faixa CIDR.
• Revise as chaves que já têm Ver verificações. Elas passam a ler pelas rotas novas assim que o IP for liberado. Use uma chave separada para leitura.

Outras melhorias

• As rotas de leitura recusam parâmetro desconhecido com 400 E_VALIDATION_FAILURE, e a resposta tem Cache-Control: no-store.
• O 404 cobre a verificação inexistente, de outra integração, de outra conta ou do outro ambiente. Veja erros.

​

23 de setembro de 2026

Host da API corrigido na documentação

Os exemplos indicavam api.legitimuz.com. O host correto é api-core.legitimuz.com. A API não mudou.

Correções

Host da API nos exemplos

- curl -X POST https://api.legitimuz.com/public/verifications \
+ curl -X POST https://api-core.legitimuz.com/public/verifications \

Corrigido em 16 páginas: visão geral da API, criar verificação, credencial, primeira verificação, as POCs, os guias de Nuxt e Remix e o prompt de Integração com IA.

O que fazer

Se a sua integração chama api.legitimuz.com, troque o host. Para achar a referência no seu código:

grep -rnF "//api.legitimuz.com" .

​

21 de setembro de 2026

Arquivo do Web SDK por CDN corrigido

Os exemplos com <script> apontavam para v1/websdk.js. O arquivo correto é v1/websdk.iife.js. O Web SDK não mudou.

Correções

Arquivo do Web SDK por CDN

- <script src="https://sdk.legitimuz.com/v1/websdk.js"></script>
+ <script src="https://sdk.legitimuz.com/v1/websdk.iife.js"></script>

Corrigido em 10 páginas: os guias de React, Next.js, Nuxt, Vue, Svelte, Angular, Remix, TanStack Start e JavaScript puro, e o prompt de Integração com IA.

O que fazer

Se a sua página carrega o Web SDK por CDN, confira o src do <script>. Para achar a referência no seu código:

grep -rnF "v1/websdk.js" .

​

17 de setembro de 2026

Criação de verificação sem origem

POST /public/verifications deixou de aceitar integration_origin_public_id. Uma chamada que ainda envia o campo responde 400 E_VALIDATION_FAILURE.

Esta atualização é incompatível. Se o seu backend ainda envia integration_origin_public_id, a criação de verificação falha até você remover o campo.

Mudanças na API

O campo saiu do corpo da criação

  {
    "schema_version": "1.0",
    "ref_id": "pedido-4471",
-   "integration_origin_public_id": "<ORIGIN_PUBLIC_ID>",
    "document": { "type": "cpf", "number": "<CPF_DO_TITULAR>" }
  }

A origem em que o fluxo abre deixou de ser escolhida pela chamada. Quem autoriza a abertura é a lista de domínios verificados da integração. Veja domínios.

O 422 saiu da criação

422 E_ORIGIN_NOT_VERIFIED deixou de ser possível na criação, porque não há mais origem a verificar. O código segue no catálogo de erros.

O que fazer

Remova integration_origin_public_id do corpo da criação. O resto da chamada não muda. Para achar o campo no seu código:

grep -rn "integration_origin_public_id" .