Recid / HWID-Guard
API de reputação de dispositivos para estúdios de jogos, launchers e softwares licenciados. Uma chamada no login devolve o veredito e permite banir a máquina — não só a conta ou o IP. Vem com painel, SDKs, gateway sem código e webhooks. Antes se chamava Sigelis; o nome interno é HWID-Guard. A device-reputation API for game studios, launchers and licensed software. One call at login returns a verdict and lets you ban the machine — not just the account or the IP. It ships with a dashboard, SDKs, a no-code gateway and webhooks. It used to be called Sigelis; the internal name is HWID-Guard.
- 100+endpoints documentados (OpenAPI)documented endpoints (OpenAPI)
- 7SDKs
- 28tipos de evento em webhookswebhook event types
- 1.700+1,700+testes automatizadosautomated tests
Decisão por dispositivo
- Veredito em uma chamada no login: liberar, revisar, negar ou banir.
- Ban do dispositivo, temporário ou permanente, sem depender da conta nem do IP.
- Políticas por tipo de sinal — bloquear, revisar ou liberar — por cliente, por app e por superfície.
- Modo monitor: observar antes de ligar o bloqueio.
- Detecta máquina virtual e automação de navegador; sinaliza IP de datacenter e saída Tor.
- Vínculo conta–dispositivo e aprovação de login por QR no aparelho confiável.
- Âncora de hardware (TPM) no Windows, com prova de posse da chave.
Integração
- API REST com contrato OpenAPI publicado.
- SDKs para Python, TypeScript/Node, C++, .NET, Unity, Electron e FiveM.
- Gateway sem código na frente do app, em modo bloqueio ou observação, com fail-open/fail-closed e cache.
- Coletores para Windows, Linux e navegador; agente com atualização automática assinada.
- Webhooks assinados com 28 tipos de evento, reentrega e bloqueio de destinos internos.
- Envio para SIEM em OCSF, ECS e CEF, com presets para Splunk e Datadog.
- CAPTCHA — Turnstile, reCAPTCHA e reCAPTCHA Enterprise — verificado direto no servidor.
Painel e operação
- Painel web com 17 abas e uma visão operacional com KPIs.
- Mostra por que cada dispositivo recebeu o veredito.
- Curadoria: revisar e rotular dispositivos, com histórico de rótulos.
- Apelação do usuário final por portal público, com fila no painel.
- Correlação de rede e de hardware entre dispositivos.
- Exportação em CSV/JSON e onboarding guiado com app demo e chave sandbox.
Contas e segurança
- API keys com escopos, guardadas só como hash, com rotação, expiração e allowlist de IP.
- Login de operadores com CSRF, bloqueio por tentativas e alerta de login de IP novo.
- Papéis — owner, admin, analista e leitura — e convites.
- Trilha de auditoria e log de chamadas.
- Segredos de integrações cifrados em repouso e retenção com purga automática de dados pessoais.
Negócio e produção
- Planos com cotas e cobrança via Stripe.
- Site público com o teste gratuito Check My Machine.
- Docker atrás de nginx com TLS, headers de segurança e limite de requisições por plano.
- Saúde, prontidão e métricas Prometheus.
- Deploy com backup do banco e checagem de saúde que aborta se falhar; backups periódicos e watchdog.
Per-device decisions
- A verdict in one call at login: allow, review, deny or ban.
- Device bans, temporary or permanent, independent of the account and the IP.
- Policies per signal type — block, review or allow — per customer, per app and per surface.
- Monitor mode: observe before switching blocking on.
- Detects virtual machines and browser automation; flags datacenter IPs and Tor exits.
- Account–device binding and login approval by QR code on the trusted device.
- Hardware anchor (TPM) on Windows, with proof of key possession.
Integration
- A REST API with a published OpenAPI contract.
- SDKs for Python, TypeScript/Node, C++, .NET, Unity, Electron and FiveM.
- A no-code gateway in front of the app, in block or observe mode, with fail-open/fail-closed and caching.
- Collectors for Windows, Linux and the browser; an agent with signed auto-updates.
- Signed webhooks with 28 event types, redelivery and blocking of internal destinations.
- Export to SIEM in OCSF, ECS and CEF, with presets for Splunk and Datadog.
- CAPTCHA — Turnstile, reCAPTCHA and reCAPTCHA Enterprise — verified directly on the server.
Dashboard & operations
- A web dashboard with 17 tabs and an operations view with KPIs.
- Shows why each device got its verdict.
- Curation: review and label devices, with label history.
- End-user appeals through a public portal, with a queue in the dashboard.
- Network and hardware correlation across devices.
- CSV/JSON export and guided onboarding with a demo app and a sandbox key.
Accounts & security
- Scoped API keys, stored only as hashes, with rotation, expiry and an IP allowlist.
- Operator login with CSRF protection, lockout after failed attempts and new-IP login alerts.
- Roles — owner, admin, analyst and read-only — and invitations.
- An audit trail and a call log.
- Integration secrets encrypted at rest and retention with automatic purging of personal data.
Business & production
- Plans with quotas and billing via Stripe.
- A public site with the free Check My Machine test.
- Docker behind nginx with TLS, security headers and per-plan rate limits.
- Health and readiness checks and Prometheus metrics.
- Deploys back up the database and abort if the health check fails; periodic backups and a watchdog.
Está em acesso antecipado: hoje o acesso é liberado por contato. It's in early access: access is currently granted on request.
Stack
- Python
- FastAPI
- SQLite
- TypeScript
- C++
- C# / .NET
- Lua
- PowerShell
- Docker
- nginx
- Stripe
- Prometheus