I metadati di verifica sono il registro tecnico creato durante l'esecuzione di un controllo dell'identità. Possono includere timestamp, codici di risultato, etichette del tipo di documento, conteggi dei tentativi, ID dei revisori e campi di stato del flusso di lavoro. A differenza dell'immagine del documento o del numero di identificazione in sé, i metadati descrivono come il controllo ha attraversato il sistema e quale decisione è stata presa.
Sono importanti perché i metadati possono comunque essere sensibili. Gli attaccanti possono usarli per mappare i flussi di lavoro di verifica, identificare account validi, trovare percorsi di approvazione deboli o scoprire quando un record è stato esaminato. In caso di violazione, i metadati possono anche aiutare a correlare le identità tra sistemi anche quando l'archivio principale dei documenti è protetto. I difensori utilizzano gli stessi registri per audit, rilevamento delle frodi e risposta agli incidenti, poiché mostrano accessi insoliti, fallimenti ripetuti o modifiche sospette dello stato. Nelle piattaforme di identità, proteggere i metadati di verifica significa limitare gli accessi, registrare le modifiche e trattarli come parte della catena di fiducia, non solo come rumore di fondo.