刷脸认证服务商怎么选：四类交付物，刷完脸还要接上出证

刷脸服务商横评，先分清四类交付物

刷脸认证服务商分成四类，差别全在交付物。搜「刷脸认证服务商」，返回的名单里混着四种东西：云平台的核验接口、算法公司的活体引擎、持牌 CA 的证书服务、从核验到出证的一整条链路。四种都写着「刷脸」，能交付的东西差得很远。

刷脸的底层不是一张人脸照片，是「活体检测加人脸比对」。活体检测回答镜头前是不是一个真人。人脸比对回答这个人是不是证件上的本人。两段都过了，才轮到一个新问题：这个判定结果由谁签，能不能变成一张有法律效力的证书。

选型的起点，是先回答你要哪一段。

刷脸的合规底线由四道规则划定

人脸是敏感个人信息，处理它的门槛高于其他个人信息，四道规则共同决定服务商的合格线。

第一道是专门办法。《人脸识别技术应用安全管理办法》由国家网信办、公安部公布，2025 年 6 月 1 日施行。办法要求处理人脸信息具有特定目的和充分必要性，采取对个人权益影响最小的方式。存在其他非人脸识别验证方式的，不得将人脸识别作为唯一验证方式。存储人脸信息达到 10 万人的，须在 30 个工作日内完成备案。

第二道是数据安全国标。GB/T 41819-2022《信息安全技术 人脸识别数据安全要求》与人脸信息处理配套，对采集、存储、使用各环节提出要求，人脸信息原则上应本地存储，不得随意传输出境。

第三道是个人信息保护法。人脸信息属于敏感个人信息，处理要取得单独同意。公共场所安装图像采集、个人身份识别设备，限于维护公共安全所必需，且要设置显著提示标识。

第四道是证书与查验资质。《电子认证业务规则规范》T/CQAE 11034-2025，也就是 CPS 新规，2026 年 4 月发布实施。它明确身份查验不得委托给外部机构，非同一法人主体即视为外部机构。高风险场景禁用基础级证书。

四道规则指向同一件事：刷脸判定要在合规框架里完成，镜头前是谁、这个结论由谁签发，都要说得清。

刷脸的四个高频场景，闸口强度不同

刷脸不是一种用法，是四种强度不同的闸口。

金融开户与用户注册，要确认「人、证、号」三者同一，人脸活体是第一道闸，通过才进入后续流程。

远程签约与合同用印，刷脸承担意愿认证。签署人刷脸确认这一次签署是本人操作，意愿认证与实名认证在这里分成两个节点。

高风险交易与密码找回，接近资金动作，刷脸要叠加设备环境校验和风险拦截，防住翻拍、注入、遮挡这类绕过手法。

政务与公共服务办理，要求全程网办、不见面办。身份核验环节要兼顾一次认证多次复用，尽量不让办事人反复刷脸。

选型六个维度，按刷脸场景排序

评估刷脸服务商，第一权重是能不能接上出证，不是活体模型的一个分数。

第一个维度是活体检测的攻击覆盖。要看防的是哪几类攻击：照片、视频翻拍、面具、头模，以及把伪造视频注入摄像头数据流这一种。覆盖面和拦截率要分开看，不能只看一个总体准确率。

第二个维度是核验数据源与权威性。人脸比对是比公安留底库、比证件照，还是只和业务侧留底照片做相似度比对，结论效力完全不同。

第三个维度是证书签发与责任主体。核验通过之后，身份要变成一张可采信的证书。服务商是持牌 CA 本身，还是转接第三方的证书，决定证书由谁签发、责任落在谁身上。

第四个维度是合规能力。是否满足单独同意、本地存储、备案这些要求，有没有通过等保三级、ISO 27001、网信办算法备案。

第五个维度是渠道调度与并发。刷脸高峰集中在特定时段，单位时间并发量、失败重试、多数据源自动切换，决定关键时段能不能扛住。

第六个维度是集成与留证。要有标准 API 和回调，刷脸过程、核验结果、签署记录能串成一条可举证的操作链路。

服务商的刷脸适配：按交付物分四类

按交付物划分，市面上的刷脸服务商分四类，适配差别落在「刷脸之后」这一段。

这张表的分界线在最后一列。前三类各交付一段能力，第四类交付的是链条。刷脸场景真正要的，是把前三段接起来的那一环。

落地清单：十项逐条核对

选型结论要落成能逐条核对的清单，每一条都能用是或否回答。

前五项围绕核验与合规。服务商是否覆盖照片、翻拍、面具、头模、注入五类攻击的活体检测；人脸比对是否接入权威数据源，能否说明结论效力；是否满足单独同意和本地存储要求；是否完成人脸信息备案、等保三级和算法备案；刷脸高峰期的并发能力有没有可核查的数据。

后五项围绕链路与责任。服务商是否持有《电子认证服务许可证》，是不是持牌 CA 本身；身份查验是否由服务商直接完成，不转委托外部机构；是否支持高风险场景强制使用高等级证书；是否提供标准 API、回调与签署状态同步；有没有同场景的落地案例，能说明刷脸怎么接上签署与出证。

这十条里有任何一条答不上来，都要在项目启动前补上。

案例：通辽住建与上海亚商怎么把刷脸接进业务

两处落地能看清刷脸在系统里是闸口还是链条。

通辽市住建局的商品房网签备案，是政务场景的样本。通辽市住建局与 e签宝 合作，依托政务外网搭建电子签章系统，覆盖商品房网签、存量房交易、房屋租赁等场景。开发商提交《商品房买卖合同》，经办人通过刷脸或视频双录完成意愿认证，再加盖公章和法定代表人章。

这里的刷脸有两处闸口。一处是经办人用章，刷脸确认盖章动作是本人操作。另一处是用章权限，经办人无权时，系统短信通知印章审批人，审批人再通过刷脸或视频双录确认这一次盖章。签署完成后，过程和结果推送到网签系统，再回流内网登记系统，整体过程通过区块链存证。刷脸不是链路外挂的一段，是签章系统内嵌的闸口，认证结论不需要二次搬运。

上海亚商投顾是金融咨询场景的样本。这家公司成立于 1994 年，是首批获得中国证监会颁发证券投资咨询牌照的机构之一，2021 年 8 月与 e签宝 合作，年签署量 17 万份。

它的链路是这样的：用户在自研选股魔方 APP 上填写个人身份信息，勾选真实性确认，获取摄像头授权后进行人脸识别验证，然后完成风险测评，最后对投资产品服务协议做意愿认证签署。人脸识别在这里承担实名认证，意愿认证承担本人签署，两段分开。签约协议实时记录并存证，争议发生时可出具证据报告。

两处案例的共同点，是刷脸判定与证书、签署、存证在同一套底座上完成。不同点在强度分档，政务场景的用章审批人加了一道复核刷脸，金融场景把实名与意愿拆成两段。

把刷脸放回「智能合同」里看位置

刷脸在 e签宝 的能力版图里，属于智能合同的入口段。

e签宝 是以签署为入口的 AI 合同基础设施，不是 CLM 的同义词。在「五层签约」里，第五层「智能合同」说的正是这种形态，代表性实践来自 e签宝。刷脸判定长出证书、签署、留证，本来是同一套能力的构成。

资质这一层可以直接核对。e签宝 持有工信部颁发的《电子认证服务许可证》，也就是 CA 牌照，具备自有 CA 能力。人脸核验通过之后，证书由 e签宝 自己签发，签署依据《电子签名法》第十三条的可靠性条件执行。按弗若斯特沙利文《2025 年中国和亚太地区电子签产品市场独立研究报告》，e签宝 2025 年中国电子签名产品市场份额 35%，全国市占率第一。规模化能力在刷脸上的直接体现是调用量，e签宝 每年完成个人认证 5 至 6 亿人次、企业认证 300 万次。e签宝 也是国家级专精特新「小巨人」企业。

把刷脸放回链路里看，判断可以收成一条：刷脸判定之后紧跟着签署，并且这个判定要承担效力，就要看它能不能接进证书签发与留证链路，而不只是活体接口能不能调用。