Распознавание паспорта по API в 2026: как выбрать сервис для проверки клиента

Распознавание паспорта по API — это извлечение данных из фото, скана или видеокадра паспорта для последующих проверок клиента; обработку персональных данных регулирует 152-ФЗ, а идентификацию субъектов 115-ФЗ — этот закон.

Приложение передаёт изображение сервису распознавания и получает поля паспорта в формате JSON. В KYC-инфраструктуре OCR подготавливает сведения для проверки документа и клиента. Решение об идентификации принимают по результатам предусмотренных сценарием проверок, а не только по распознанному тексту. Распознавание также применяют в корпоративном документообороте и архивной оцифровке; для этих задач проверка клиента может не требоваться.

Кратко:

• OCR извлекает поля паспорта; действительность документа и достоверность сведений устанавливают при последующих проверках.
• Видеозахват помогает выбрать кадр, классификатор систематизирует разнотипные документы, гибридный режим уточняет неоднозначные поля.
• Провайдера оценивают по точности на собственном потоке, времени ответа, составу проверок, допустимому простою API и условиям обработки данных.
• Показатели от 99 % на сканах, от 95 % на мобильных фото и P95 до 3 секунд — примеры ориентиров для ТЗ, а не гарантированные результаты сервиса.
• Способ идентификации по 115-ФЗ выбирает организация; состав полей, коэффициенты уверенности и проверки уточняют по документации API.

Какую роль играет OCR паспорта при проверке клиента?

На начальном этапе сервис распознавания паспорта по API возвращает структурированные поля документа и, если метод это предусматривает, коэффициент уверенности по каждому полю. Клиент снимает разворот паспорта; после извлечения данных сервис передаёт поля в модуль проверки физического лица для дальнейшей обработки. Организации, которые обязаны идентифицировать клиентов по 115-ФЗ, используют OCR для ввода сведений. Идентификация по ст. 3 Федерального закона от 07.08.2001 № 115-ФЗ включает установление сведений о клиенте и подтверждение их достоверности, обязанность провести её до приёма на обслуживание установлена ст. 7 этого закона. Определение распознавания паспортов онлайн описано в глоссарии IDX.

Как распределены задачи распознавания и идентификации

OCR извлекает текст с изображения и подготавливает поля для дальнейшей обработки. На следующих этапах организация проверяет документ и сведения о клиенте: использует валидацию машиночитаемой зоны (MRZ), поиск признаков ретуши и сверку с эталонными источниками. Заказчик может получить распознавание и проверки у одного провайдера или интегрировать несколько сервисов. Решение о том, пройдена ли идентификация, организация принимает по правилам внутреннего контроля.

Какие сервисы участвуют в обработке документа

Автоматическое распознавание определяет тип документа и извлекает содержимое его полей. Для систематизации потока документов разных типов используют отдельный сервис: классификатор типа документа получает цифровую копию и сообщает, какой документ на ней представлен. Гибридный режим применяют к нестандартным формам, а видеозахват позволяет отобрать кадр для распознавания. После подготовки данных организация выполняет антифрод-проверки, сверку с эталонными источниками и проверку по перечням. Весь процесс можно организовать у одного провайдера или интегрировать несколько сервисов.

Что изменилось в регулировании в 2025–2026 годах

С 30 мая 2025 года действуют оборотные штрафы за повторные утечки персональных данных, введённые Федеральным законом от 30.11.2024 № 420-ФЗ. С 1 апреля 2026 года органы ФСБ России вправе безвозмездно получать копии баз данных (частей баз данных) организаций, если в них есть информация, необходимая для выполнения возложенных на эти органы обязанностей. Для этого нужно предписание руководителя ФСБ России, его заместителей или руководителя территориального органа (Федеральный закон от 23.07.2025 № 239-ФЗ). С 1 марта 2026 года действуют новые Правила предоставления гостиничных услуг, утверждённые постановлением Правительства РФ от 27.11.2025 № 1912. Средство размещения, которое использует единую биометрическую систему (ЕБС), может заселить гражданина России после идентификации и (или) аутентификации с её использованием, а гостиница, подключившая мобильное приложение Единого портала госуслуг, с 1 апреля 2026 года может получать сведения о документе гостя в этом приложении. Постановление Правительства РФ от 02.06.2026 № 674 обязало средства размещения принимать при заселении сведения из документов, удостоверяющих личность, представленные в многофункциональном сервисе обмена информацией (в обиходе национальный мессенджер MAX): с 1 сентября 2026 года для объектов с номерным фондом более 50 номеров, с 1 сентября 2028 года для остальных. С 1 апреля 2026 года действует Федеральный закон от 31.07.2025 № 283-ФЗ «О деятельности по предоставлению сервиса рассрочки»: операторы BNPL-сервисов перешли под надзор Банка России. Изменения в области персональных данных собраны в обзоре изменений в области персональных данных.

OCR нужен в сценариях, где организация получает фото или скан документа и извлекает из него сведения. При выборе провайдера заказчику нужно согласовать место обработки, сроки хранения и порядок удаления изображений и распознанных данных. Эти условия проверяют для всех этапов работы с документом и сведениями о клиенте.

Как устроены распознавание паспорта по API и последующие проверки?

Отдельный сервис определения типа документа используют для систематизации потока, в котором встречаются разные документы. В мобильном приложении можно применять видеозахват, а нестандартные формы передавать на гибридную обработку. Эти средства нужны для подготовки документов и получения данных. Сверка с эталонными источниками, антифрод и проверка по перечням относятся к дальнейшей проверке документа и клиента.

Автоматическое распознавание

Модуль автоматического распознавания получает цифровую копию документа. Нейросети определяют его тип, поля и содержимое полей. Заказчик получает распознанные сведения и коэффициенты уверенности, если их предусматривает выбранный API-метод. Полученные сведения затем используют для проверки документа и клиента.

Автоматическое определение типа документа

Сервис автоматического определения типа документа получает цифровую копию и сообщает тип документа. Его используют для систематизации и дальнейшей потоковой обработки документов разных типов. Сервис классифицирует документы, даже если разные документы находятся в одном файле или повёрнуты под разными углами. Тип документа описывает, что представлено на изображении: например, паспорт или водительское удостоверение.

Гибридное распознавание

При низком коэффициенте уверенности или неоднозначном результате распознавания поля передают на дообработку специалисту-верификатору на стороне провайдера. После уточнения данные используют в дальнейших проверках. Доступ специалистов провайдера к изображениям документов предусматривают в поручении на обработку ПДн.

Распознавание по видеопотоку

Модуль видеозахвата отбирает кадр из короткого видео с камеры смартфона. При отборе учитываются блики, наклон и чёткость границ разворота. Если среди кадров есть пригодный для распознавания, клиенту не нужно снимать документ повторно. Снижение числа повторных съёмок и ручных проверок заказчик оценивает на собственном потоке.

Как выбрать состав этапов

МФО, которая принимает в мобильном приложении фото разворота паспорта и страницы с отметкой о регистрации, сначала извлекает данные с помощью OCR. Затем организация выполняет проверку достоверности данных в эталонных источниках и проверку по перечням Росфинмониторинга. Способ идентификации или упрощённой идентификации МФО выбирает из предусмотренных ст. 7 115-ФЗ и закрепляет в правилах внутреннего контроля. Средства подготовки изображений и дообработки полей выбирают с учётом качества снимков и состава документов.

Как работает распознавание паспорта по API: путь от фото до записи в базе

Приложение заказчика передаёт изображение паспорта на распознавание. После извлечения и, при необходимости, уточнения полей выполняются предусмотренные сценарием проверки документа и клиента, при этом обеспечивается обработка ошибок на каждом этапе: при загрузке, распознавании и получении результатов проверок.

1. Клиент снимает разворот паспорта на видео или фото в мобильном приложении или веб-форме. При видеозахвате модуль отбирает кадр с учётом бликов, размытия и наклона документа.
2. SDK сжимает изображение, подписывает запрос и отправляет его на эндпоинт API. Данные передаются по каналу с TLS-шифрованием.
3. Если в потоке встречаются документы разных типов, их классифицируют для систематизации и дальнейшей обработки. Сервис определения типа документа сообщает, какой документ представлен в цифровой копии. Формат входного файла проверяют по требованиям выбранного API-метода.
4. OCR извлекает данные из полей документа: фамилию, имя, отчество, пол, даты рождения и выдачи, код подразделения, орган выдачи, место рождения, серию и номер, адрес регистрации, а также данные из машиночитаемой зоны (MRZ). Состав полей зависит от документа, представленных страниц и выбранного метода. В гибридном режиме поля с низким коэффициентом уверенности передают специалисту-верификатору на уточнение перед дальнейшим использованием.
5. Антифрод-модуль проверяет документ на признаки подделки: анализирует геометрию, шрифты и защитные элементы, ищет следы переклейки фото и цифровой ретуши.
6. Сервис проверки сверяет сведения о паспорте с эталонным источником на момент запроса. В зависимости от метода и источника результат может указывать, что паспорт действителен, данные верифицированы не полностью, данные не найдены или паспорт недействителен. Сверка серии и номера со списком недействительных паспортов показывает только отсутствие паспорта в этом списке и не подтверждает, что паспорт принадлежит клиенту. Проверку сведений о клиенте по перечням выполняют отдельной операцией, если она предусмотрена сценарием.
7. Провайдер возвращает по API JSON с распознанными полями и результатами выполненных проверок. Оценки уверенности передаются, если соответствующий метод их предусматривает. Неоднозначный результат антифрод-проверки передают заказчику вместе с остальными результатами. Организация принимает решение о клиенте по своим правилам.

Шаги 3, 5 и 6 подключаются по сценарию. Статья 3 115-ФЗ допускает подтверждение достоверности сведений с использованием оригиналов документов и (или) надлежащим образом заверенных копий и (или) государственных и иных информационных систем. Может ли сверка в шаге 6 служить таким подтверждением, зависит от источника и от способа идентификации, который организация закрепила в правилах внутреннего контроля.

Где возникают ошибки: типовая карта рисков

В расчётном примере ниже на серверную обработку (детекцию, OCR, антифрод и сверку) отведено 1,6–2,4 секунды, на обработку с учётом сети 1,9–3,0 секунды. Интервалы рассчитаны по допущениям для каждого этапа.

Какие данные нужны на каждом этапе проверки

Для документооборота и архивной оцифровки задача может завершаться извлечением полей документа. В KYC по 115-ФЗ распознанные сведения используют для последующей проверки клиента. Проверка по перечням Росфинмониторинга обязательна для субъектов 115-ФЗ; сверку с эталонными источниками и антифрод-проверки организуют с учётом выбранного сценария. Для оценки финансовых рисков также используют сведения ФССП и Единого федерального реестра сведений о банкротстве (ЕФРСБ).

• На этапе распознавания получают поля документа: серию, номер, фамилию, имя, отчество, дату рождения, пол, дату выдачи, код подразделения, орган выдачи и место рождения.
• Для KYC организация собирает сведения, которые закон требует установить (подп. 1 п. 1 ст. 7 115-ФЗ): гражданство, адрес места жительства (регистрации) или места пребывания, ИНН при его наличии, а для иностранных граждан и лиц без гражданства также данные миграционной карты и документа, подтверждающего право на пребывание (проживание) в РФ. Для клиента-юрлица отдельно устанавливают бенефициарного владельца (подп. 2 п. 1 ст. 7). Коэффициенты уверенности по полям относятся к этапу распознавания и доступны, если метод их возвращает. На последующих этапах получают результат сверки паспорта с эталонным источником, признаки возможной подделки или ретуши и результат проверки по перечням Росфинмониторинга. Сюда входят Перечень организаций и физических лиц, в отношении которых имеются сведения об их причастности к экстремистской деятельности или терроризму, перечень лиц, причастных к распространению оружия массового уничтожения, решения МВК о замораживании (блокировании) и перечни СБ ООН.
• Сравнение лиц по фото и liveness detection применяют в рамках антифрод-проверки: они показывают, что перед камерой живой человек и его лицо совпадает с фотографией в паспорте.
• В финансовых и антифрод-сценариях дополнительно проверяют статус в ФССП и данные из реестра банкротств ЕФРСБ.

Заказчику нужны отдельно распознанные сведения и результаты дальнейших проверок. Если провайдер выполняет только распознавание документов, проверку документа и клиента необходимо организовать у других поставщиков или в собственной инфраструктуре.

Этапы обработки для разных задач

Таблица описывает организацию процесса; комплектацию конкретного продукта уточняют у провайдера.

Что хранить после проверки

Заказчик определяет, какие изображения и результаты проверок нужно хранить для выполнения закона и целей обработки. Для сохраняемых данных устанавливают сроки хранения, правила доступа и порядок удаления.

Организации, на которые распространяется 115-ФЗ, хранят документы, содержащие сведения о клиенте, и сведения, полученные при идентификации, не менее пяти лет со дня прекращения отношений с клиентом (п. 4 ст. 7 115-ФЗ). Сроки и состав разобраны в статье о хранении клиентского досье по 115-ФЗ. Сверх этого обязательного состава практичнее хранить факт проверки, дату, идентификатор транзакции и итоговый статус. Полные изображения и расширенные результаты проверок, которые закон не требует хранить, сохраняют, только если это нужно бизнес-процессу и закреплено в документах по обработке ПДн.

Как выбрать сервис распознавания паспорта по API?

Сравнивайте провайдеров по каждому этапу процесса: точности извлечения данных, составу последующих проверок, времени ответа и доле ручной дообработки. До испытаний согласуйте набор полей и проверок, нагрузку и требования к хранению персональных данных. В договоре зафиксируйте допустимое время простоя API и ответственность провайдера за нарушение условий.

• Точность распознавания. Зафиксируйте в ТЗ две метрики: точность по полям (доля полей, распознанных без единой ошибки после согласованной нормализации регистра, букв «е» и «ё», пробелов и дефисов) и точность по документу (доля документов, в которых все обязательные поля распознаны верно). Ориентиры для порогов по полям составляют от 99 % на чистых сканах и от 95 % на мобильных фото. Для пилота можно запланировать размеченную выборку из 1000 документов для каждого канала (сканы, мобильные фото, видеопоток) с разбивкой по типам документов и качеству снимков. Объём выборки и метод расчёта доверительных интервалов согласуйте до испытаний; укажите, для какой метрики рассчитывается интервал. Сравнивайте результаты провайдеров по согласованной методике. Отдельно измерьте долю документов, которые проходят без ручной обработки при выбранных порогах уверенности.
• Скорость ответа. Установите требование к перцентилю времени ответа, например P95 не более 3 секунд на запрос при согласованном профиле нагрузки. Измеряйте его сквозным способом, от отправки запроса до получения ответа на стороне вашего бэкенда. Запросы, которые ждут ответа внешнего источника, и документы в гибридном режиме учитывайте отдельной метрикой.
• Профиль провайдера. Проверьте, какие этапы он выполняет: извлечение данных, сверку с эталонными источниками, антифрод, проверку по перечням и MRZ-валидацию. Уточните, можно ли организовать их в рамках одной интеграции.
• Линейка документов. IDX распознаёт документы 254 стран и территорий, а также международных организаций, например ЕС, ООН, APEC и Интерпола, и проверяет их подлинность. Среди поддерживаемых типов есть паспорт РФ, загранпаспорт, водительское удостоверение, СТС, СНИЛС, ИНН, ВНЖ, национальные паспорта и удостоверения личности. База IDX содержит более 16 800 уникальных шаблонов документов, а распознавание текста поддерживает более 138 национальных языков с разными системами письма: латиницей, кириллицей, арабским письмом, иероглифами и другими. Проверка подлинности касается самого документа и не заменяет проверку его действительности в государственных источниках.
• Состав этапов. Уточните, можно ли выбрать средства подготовки и распознавания документов, а также необходимые последующие проверки.
• Интеграция по API. Запросите документацию REST API с описанием авторизации, форматов запросов и примерами кода.
• Доступность API (SLA). Закрепите в договоре целевую доступность, например от 99,9 % за согласованный период, порядок расчёта допустимого простоя и ответственность провайдера за превышение этого времени. Доступность распознавания и доступность проверок по внешним источникам фиксируйте раздельно: время ответа государственных систем провайдер не контролирует. Определения и различия метрик приведены в статье о SLA, SLO и KPI.
• Регуляторный опыт. Работа с персональными данными в российском правовом поле: выполнение требований 152-ФЗ, включая локализацию и правила обработки биометрических данных; наличие лицензий ФСТЭК России на деятельность по технической защите конфиденциальной информации и ФСБ России на деятельность с шифровальными (криптографическими) средствами, если провайдер оказывает соответствующие услуги; сертифицированные средства защиты информации; включение в реестр операторов персональных данных Роскомнадзора (оно отражает собственную обработку ПДн провайдером и обработку по поручению заказчика не характеризует).

Как сравнить предложения провайдеров

Запросите у каждого провайдера одинаковый набор сведений о точности начального распознавания, времени ответа и возможностях последующих проверок. Численные значения в таблице служат ориентирами для ТЗ. Наличие функций подтверждают документацией и испытаниями конкретного сервиса.

Пороговые значения согласуют с учётом канала поступления документов и нагрузки.

Что спросить у провайдера до подписания договора

Запросите у провайдера проекты договора, поручения на обработку персональных данных, сведения о месте обработки и регламент удаления ПДн. Сопоставьте документы с описанием API: какие сведения извлекаются на первом этапе, какие проверки выполняются после этого и какие результаты сохраняются.

Какие требования закона учитывать при распознавании и проверке паспорта?

Заказчик определяет цели и основания обработки персональных данных по 152-ФЗ. Если на организацию распространяется 115-ФЗ, она также отвечает за выполнение требований к идентификации клиента. В договоре с API-провайдером фиксируют место обработки данных, обязанности сторон и условия хранения. Локализацию, обработку биометрии и ответственность за нарушения при обработке персональных данных проверяют с учётом применимых норм. Опыт провайдера в сопровождении регуляторных проверок оценивают по подтверждённым случаям работы со схожими заказчиками.

• 115-ФЗ. Организации, которые проводят операции с денежными средствами или иным имуществом, до приёма на обслуживание идентифицируют клиента, представителя клиента и (или) выгодоприобретателя (подп. 1 п. 1 ст. 7), кроме случаев, установленных законом. Идентификация включает установление сведений о клиенте и подтверждение их достоверности с использованием оригиналов документов и (или) надлежащим образом заверенных копий и (или) государственных и иных информационных систем (ст. 3). Упрощённая идентификация физических лиц допускается только в случаях, способами и на условиях из пп. 1.11–1.13 ст. 7; распознавание фото документа среди этих способов не названо. Сведения и документы, полученные при идентификации, хранят не менее пяти лет со дня прекращения отношений с клиентом (п. 4 ст. 7). Распознавание паспорта по API ускоряет ввод сведений на начальном этапе. Затем организация подтверждает их достоверность выбранным способом и фиксирует результаты проверок.
• 152-ФЗ. Определяет основания и правила обработки персональных данных, в том числе когда часть операций выполняется по API. Оператором ПДн, как правило, остаётся заказчик: он определяет цели, состав и правовые основания обработки, утверждает внутренние регламенты и, если не применяется исключение из ч. 2 ст. 22, уведомляет Роскомнадзор. Если данные обрабатываются для исполнения 115-ФЗ, основанием служит обязанность, возложенная законом (п. 2 ч. 1 ст. 6), и согласие субъекта для этого не требуется. Для обработки в иных целях нужно согласие или другое основание из ч. 1 ст. 6. Биометрические персональные данные обрабатывают только с письменного согласия субъекта, кроме случаев из ч. 2 ст. 11. Предоставление биометрии не может быть обязательным, и отказать в обслуживании из-за отказа её предоставить оператор не вправе (ч. 3 ст. 11).
• 572-ФЗ. Федеральный закон от 29.12.2022 № 572-ФЗ регулирует идентификацию и аутентификацию с использованием биометрических персональных данных. В информационных системах организаций финансового рынка, иных организаций и ИП запрещена обработка, включая сбор и хранение, биометрических данных, используемых в целях идентификации, кроме сбора для размещения в ЕБС (п. 1 ч. 1 ст. 15).
• Часть 5 статьи 18 152-ФЗ в редакции 23-ФЗ. Требование локализации, которое ввёл Федеральный закон от 21.07.2014 № 242-ФЗ, Федеральный закон от 28.02.2025 № 23-ФЗ с 1 июля 2025 года сформулировал так: при сборе персональных данных, в том числе посредством сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан России с использованием баз данных, находящихся за пределами РФ, не допускаются. Исключения составляют случаи, указанные в п. 2, 3, 4 и 8 ч. 1 ст. 6 152-ФЗ. Распространяется ли исключение по п. 2 на обработку для целей 115-ФЗ, закон прямо не уточняет, поэтому базы с данными клиентов надёжнее размещать в России.
• 420-ФЗ. Федеральный закон от 30.11.2024 № 420-ФЗ с 30 мая 2025 года ужесточил ответственность по ст. 13.11 КоАП РФ. За утечку персональных данных операторам грозят штрафы, размер которых зависит от масштаба утечки и категории данных: для юрлиц до 15 млн рублей за утечку специальных категорий и до 20 млн рублей за утечку биометрических данных (ч. 16, 17 ст. 13.11). Если утечку допустил оператор, которого уже наказывали за утечку, назначают оборотный штраф: от 1 до 3 % совокупной выручки за календарный год, предшествующий году выявления нарушения, а для кредитных организаций от размера собственных средств (капитала), но не менее 20 млн рублей (ч. 15 ст. 13.11). При повторной утечке специальных категорий или биометрических данных нижняя граница составляет 25 млн рублей (ч. 18 ст. 13.11), верхняя граница в обоих случаях составляет 500 млн рублей. Субъектом ответственности по этим частям является оператор (примечание 3 к ст. 13.11), поэтому при работе провайдера по поручению штраф грозит заказчику.

Порядок получения ключей доступа, настройки правил принятия решений и мониторинга описан в гиде по интеграции распознавания паспорта по API за один день.