La tasa de aprobación biométrica expresa la proporción de aprobaciones en el recorte analizado. Para interpretar la cifra, se debe informar la unidad de conteo, como sesión o usuario, el período y las capas evaluadas. El resultado depende del umbral del motor biométrico, de la calidad de la imagen de referencia del registro y del conjunto de controles de seguridad activos. Sin estas definiciones, la comparación entre productos puede ser engañosa.
Este post describe las capas que determinan la tasa de aprobación, explica cómo el umbral biométrico afecta directamente la conversión y presenta las preguntas que los responsables de producto y fraude deben hacer antes de comparar cifras entre proveedores.
¿Qué mide la tasa de aprobación biométrica?
La aprobación biométrica confirma que el sistema reconoció al usuario como la persona registrada, dentro de las condiciones de seguridad configuradas. El resultado opuesto —el rechazo— puede ocurrir por razones completamente distintas: el frame de la prueba de vida se consideró inválido, el score de similitud no alcanzó el umbral configurado o el canal de captura se identificó como comprometido.
Las tres generan el mismo resultado para el usuario: la transacción no se completa. Cuando se consolidan en los informes de los proveedores, vuelven engañosas las comparaciones. Un sistema con un 4% de rechazo que incluye ataques bloqueados informa una cifra diferente de un sistema con un 4% de rechazo compuesto únicamente por usuarios legítimos con capturas válidas.
La tasa de aprobación como métrica de negocio solo tiene sentido si se acompaña de la definición de lo que se está contando.
¿Qué capas del sistema afectan la aprobación del usuario?
La aprobación depende de diferentes capas de análisis y de las configuraciones adoptadas en la integración. Para entender un rechazo, es importante identificar qué control se activó y distinguir los bloqueos de seguridad de las dificultades que enfrentan los usuarios legítimos.
Prueba de vida: evalúa señales de vivacidad en la captura. Condiciones como la iluminación y el posicionamiento también pueden afectar el proceso de captura y análisis. Los ataques de presentación bloqueados correctamente deben distinguirse de los rechazos de intentos legítimos.
Match biométrico: compara la imagen capturada con la referencia y devuelve un score de similitud. La decisión depende del umbral configurado; una captura adecuada no garantiza que el score alcance ese límite.
Anti-inyección: verifica señales de compromiso del entorno y del canal de captura. Estos controles también pueden rechazar intentos legítimos. El BPCER medido en laboratorio no debe confundirse con la tasa operativa de rechazo por sesión.
Controles adicionales de captura y contenido: configuraciones como la detección de oclusión, la exigencia de un patrón de captura para pasaportes y la detección de contenido inapropiado (NSFW) también pueden influir en el resultado. El impacto depende de los controles habilitados y de los criterios adoptados en la integración.
Por eso, una tasa agregada de rechazo no basta para diagnosticar la experiencia. Es necesario separar los motivos de rechazo y considerar las configuraciones activas, manteniendo explícitos el período y la unidad de análisis.
¿Cómo define el umbral del match biométrico la tasa de aprobación?
El motor biométrico no aprueba ni rechaza por sí solo: asigna un score de similitud entre la imagen capturada y la referencia del registro. El operador define el umbral. Por encima del threshold, se aprueba; por debajo, se rechaza.
La tabla actual de Fortface presenta niveles de correspondencia del 0 al 16. La tabla siguiente muestra las tasas de falsa aceptación (FAR) y falso rechazo (FRR) para cada nivel de correspondencia de Fortface.
Match level — FAR y FRR por nivel de correspondencia
| Nivel de Correspondencia | Tasa de Falsa Aceptación (FAR) | Tasa de Falso Rechazo (FRR) |
|---|---|---|
| 16 | 1/125.000.000 | 0,0027 (0,27%) |
| 15 | 1/62.500.000 | 0,0026 (0,26%) |
| 14 | 1/41.700.000 | 0,0026 (0,26%) |
| 13 | 1/31.300.000 | 0,0019 (0,19%) |
| 12 | 1/25.000.000 | 0,0019 (0,19%) |
R
La recomendación actual es utilizar el nivel de correspondencia 13, con una tasa de falsa aceptación (FAR) de 1 en 31,3 millones y una tasa de falso rechazo (FRR) del 0,19%.
La configuración es dinámica: las transacciones de alto valor pueden operar con un match level más alto, aceptando un mayor rechazo como costo de la seguridad adicional.
Cuando un proveedor informa la tasa de aprobación sin especificar el match level, la cifra no es comparable con nada.
¿Por qué el rechazo de la prueba de vida y el rechazo del match biométrico son métricas distintas?
Causas distintas, mismo resultado para el usuario.
El rechazo de la prueba de vida significa que los controles de PAD (Presentation Attack Detection, o detección de ataques de presentación) o de captura no aceptaron el frame. El usuario puede ser rechazado porque la iluminación estaba fuera del estándar, porque el sistema identificó un posible ataque de presentación o porque realmente estaba intentando atacar. Sin separación, ambos grupos aparecen en el mismo conteo.
El rechazo del match significa que el score de similitud quedó por debajo del threshold. La captura fue válida; el sistema reconoció a una persona real, pero no identificó suficiente similitud con la imagen de referencia. La calidad del registro y el envejecimiento facial son causas frecuentes en esta capa.
La separación es importante para el diagnóstico. Los rechazos de la prueba de vida y de anti-inyección deben identificarse por separado en los informes. Un rechazo de seguridad no debe clasificarse automáticamente como un falso rechazo de un usuario legítimo ni como fraude confirmado. El análisis debe distinguir la capa que rechazó la sesión y la causa identificada antes de orientar cambios en la captura, la prueba de vida o el control de anti-inyección.
¿Cómo comparar tasas de aprobación entre proveedores sin comparar cosas diferentes?
Una cifra sin contexto no es comparable. Antes de confrontar tasas de aprobación entre proveedores, se deben alinear la unidad de conteo y el período: el resultado por sesión no equivale al resultado por usuario en la primera sesión del día o hasta la segunda. También deben considerarse las cuatro variables siguientes.
¿Qué match level está configurado? Un sistema con match level 4 aprueba a más usuarios que uno con match level 8 y acepta proporcionalmente más riesgo de falsa aceptación. Comparar la aprobación sin alinear el threshold es comparar umbrales, no desempeño.
¿Qué incluye la tasa de rechazo informada? Los rechazos por un ataque detectado, por calidad de captura insuficiente y por un score inferior al threshold tienen causas distintas. Una cifra que consolida los tres tipos no permite diagnosticar dónde se pierde la conversión.
¿En qué condiciones se capturaron las imágenes de referencia? Las imágenes heredadas o importadas de otros sistemas reducen el score de similitud en el match. Un benchmark con imágenes capturadas por el SDK del propio proveedor produce una mejor tasa de aprobación y puede no reflejar la realidad operativa del cliente que migra desde otro sistema.
¿Cuál es el perfil de la población evaluada? El rango de edad, las condiciones de iluminación predominantes y la diversidad de la base afectan directamente las métricas. Un benchmark realizado con un perfil específico puede no aplicarse a la base del cliente.
Con estas variables alineadas, la comparación refleja el desempeño del producto. Sin ellas, refleja las decisiones metodológicas del proveedor.
¿Qué muestran las pruebas de laboratorio sobre Fortface?
En el ensayo de detección de ataques de inyección (IAD) realizado por el laboratorio Antisec, el módulo de anti-inyección de Fortface presentó un BPCER del 2%. Este indicador representa la proporción de intentos legítimos rechazados en las condiciones del ensayo.
El resultado se refiere al módulo y al escenario evaluados en laboratorio. No representa la tasa de rechazo en producción ni la aprobación de la jornada completa.
Para comparar soluciones, considere el alcance de cada ensayo, la metodología y los informes que respaldan los resultados.
¿Quiere conocer los indicadores de Fortface en producción y entender cómo evaluarlos en el contexto de su operación? Hable con nuestro equipo.
Para profundizar
Para entender cómo los ataques de inyección afectan el canal de captura y por qué esta capa tiene una métrica separada de la aprobación biométrica, el post Ataques de inyección en biometría facial: los tres vectores y cómo detectarlos aborda los vectores y la metodología de evaluación CEN/TS 18099:2024.
Para conocer el impacto de elegir un segundo proveedor en las métricas de aprobación y cómo dividir el tráfico por segmento de riesgo, el post Qué preguntar antes de sumar un segundo proveedor de biometría aborda los criterios operativos de evaluación.
