خطوة تحقق بيومترية في اللحظات الدقيقة التي يستهدفها المهاجمون, التحويلات، إعادة تعيين كلمات المرور، تسجيل الدخول من جهاز جديد. حكم في أقل من ثانيتين، حوالي $0.13 لكل حدث. 500 عملية تحقق مجانية كل شهر.
Robinhood Ventures
موثوق به من قبل أكثر من 2,000 مؤسسة حول العالم.
كيف يهاجم المخترقون
تتجاوز هجمات حشو بيانات الاعتماد، وتبديل شرائح SIM، وسرقة ملفات تعريف الارتباط للجلسة كلمات المرور والرموز لمرة واحدة. استبدلها بخطوة تحقق من Didit في لحظة الإجراء, $0.10 لكل مكالمة، حكم في أقل من ثانيتين، 500 مجانية كل شهر.
اختر الفحوصات التي تريدها, الهوية، الحيوية، مطابقة الوجه، العقوبات، العنوان، العمر، الهاتف، البريد الإلكتروني، الأسئلة المخصصة. اسحبها إلى سير عمل في لوحة التحكم، أو انشر نفس سير العمل على API الخاص بنا. قم بالتفرع بناءً على الشروط، وقم بإجراء اختبارات A/B، لا يتطلب أي كود.
ادمج بشكل أصلي باستخدام SDK الخاص بنا للويب، iOS، Android، React Native، أو Flutter. أعد التوجيه إلى صفحة مستضافة. أو ببساطة أرسل لمستخدمك رابطًا, عبر البريد الإلكتروني، الرسائل القصيرة، واتساب، أي مكان. اختر ما يناسب نظامك.
تستضيف Didit الكاميرا، إشارات الإضاءة، التسليم عبر الهاتف المحمول، وإمكانية الوصول. بينما يكون المستخدم في سير العمل، نقوم بتقييم أكثر من 200 إشارة احتيال في الوقت الفعلي والتحقق من كل حقل مقابل مصادر البيانات الموثوقة. النتيجة في أقل من ثانيتين.
تُبقي الـ webhooks الموقّعة في الوقت الفعلي قاعدة بياناتك متزامنة لحظة الموافقة على المستخدم أو رفضه أو إرساله للمراجعة. استعلم من الـ API عند الطلب. أو افتح الـ console لفحص كل جلسة وكل إشارة وإدارة الحالات بطريقتك.
Didit · سياسة التحقق الإضافي
Didit · المصادقة البيومترية
الخطوة 2 / 2
ابقَ ثابتًا لإجراء الفحص
Didit · مطابقة الوجه 1:1
التسجيل
التحقق الإضافي
Didit · التحقق السلبي من الحيوية
Didit · تحليل الجهاز وعنوان IP
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "user-42",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved",
"similarity_score": 0.94 }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_ato_step_up",
"vendor_data": "user-42",
"metadata": { "trigger": "high_value_transfer" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
unblockAction(payload.vendor_data);
} else if (payload.status === "Declined") {
logWarnings(payload.liveness.warnings);
blockAndAlert(payload.vendor_data);
}الحالة: موافق عليه · مرفوض · قيد المراجعة · لم يكتملYou are integrating Didit account-takeover defence into an application that already has the user signed in. Your job: when a sensitive action fires (large transfer, password reset, payout to a new destination, new-device login, geo anomaly), gate it on a Didit biometric step-up. One API call. One signed webhook. Three branches.
WHY THIS SHAPE
- Credential stuffing, SIM-swap, and stolen-session-cookie attacks all walk past passwords and SMS one-time codes. A face check at the moment of the sensitive action does not.
- Didit runs Passive Liveness (the user is alive, present, not a deepfake) plus 1:1 Face Match against the portrait captured at sign-up. A stolen selfie cannot pass — the comparison target is locked to the original enrollment.
- $0.10 per step-up (Biometric Authentication module) + $0.03 IP pre-check (optional) = around $0.13 per event. Sub-two-second verdict on entry-level Android. 500 verifications free every month.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A Workflow Builder workflow that bundles Passive Liveness + Face Match 1:1 (with the user's stored sign-up portrait as the comparison target). Optionally compose Device & IP Analysis ahead of the step-up to pre-gate the check.
- Persist the user's sign-up portrait — either base64 on your side, or rely on Didit's stored enrollment via vendor_data lookup.
STEP 1 — Decide WHEN to step up (your code, not Didit's)
Run your usual fraud signals. Common triggers worth a biometric step-up:
- Wire / crypto transfer above the user's daily limit
- Password / email reset on a session less than 24h old
- Payout to a bank account or wallet seen for the first time
- Login from a new device or new country
- Velocity anomaly — N actions of type T within window W
Cheap pre-check (optional, ~100ms, $0.03):
- Score the user's IP via Device & IP Analysis. If the IP is a residential trusted address with a low risk score AND the device fingerprint matches the user's trusted device, skip the step-up. Otherwise run Step 2.
STEP 2 — Create a biometric step-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id bundling Passive Liveness + Face Match 1:1>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/ato/step-up/callback",
"metadata": {
"trigger": "high_value_transfer",
"action_id": "<your internal action reference>"
},
"portrait_image": "<base64 JPEG of the user's stored sign-up portrait, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the step-up matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user there inline (or open it in a webview / Didit mobile SDK). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook on completion
Didit POSTs the decision to your callback. Verify X-Signature-V2 (HMAC SHA-256 of the raw request body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "score": 11 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the original action on status
Approved → unblock the sensitive action. Log session_id + similarity score on the audit trail.
In Review → hold the action, route to a human review queue.
Declined → block the action, log liveness warnings (mask / deepfake / replay / morph), alert the user.
Not Finished → invite the user to retry with a fresh session URL.
Expired → resend the link; the original session has timed out.
Abandoned → the user closed the flow before completing; resend the link.
STEP 5 — (Optional) Pull the full decision payload
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Returns the same payload as the webhook plus the structured signals (liveness warnings, face-match similarity, IP / device flags). Use for analyst review.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook (one endpoint, status field tells you where in the lifecycle).
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API and lives in a different surface.
- 1:1 face match's comparison target is the user's STORED sign-up portrait, not a freshly captured one. A stolen selfie cannot pass.
- iBeta Level 1 Presentation Attack Detection (PAD) certified against the full ISO/IEC 30107-3 catalogue — print, replay, paper / silicone / latex mask, deepfake, morph.
- The Workflow Builder is where you choose the modules in the step-up — change them in the console without redeploying.
- 200+ fraud signals are surfaced on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / شهر. لا يلزم بطاقة ائتمان.
ادفع فقط مقابل ما تستخدمه. أكثر من 25 وحدة. تسعير عام لكل وحدة، بدون رسوم شهرية دنيا.
اتفاقية خدمة رئيسية (MSA) واتفاقية مستوى الخدمة (SLA) مخصصة. للكميات الكبيرة والبرامج المنظمة.
ابدأ مجانًا ← ادفع فقط عند إجراء الفحص ← افتح Enterprise لعقد مخصص، أو SLA، أو إقامة البيانات.
Didit هي بنية تحتية للهوية والاحتيال, المنصة التي تمنينا وجودها عندما كنا نبني منتجات بأنفسنا: مفتوحة، مرنة، وصديقة للمطورين، لذا فهي تعمل كجزء حقيقي من حزمتك بدلاً من صندوق أسود تدمجه حوله.
واجهة API واحدة تغطي التحقق من الأشخاص (KYC، اعرف عميلك)، التحقق من الشركات (KYB، اعرف عملك)، فحص محافظ العملات المشفرة (KYT، اعرف معاملتك)، ومراقبة المعاملات في الوقت الفعلي, على حزمة مصممة لتكون:
البصمة الأساسية: أكثر من 14,000 نوع مستند بـ أكثر من 48 لغة، أكثر من 1,000 مصدر بيانات، و أكثر من 200 إشارة احتيال في كل جلسة. تتعلم بنية Didit التحتية ديناميكيًا من كل جلسة وتتحسن كل يوم.
يحدث الاستيلاء على الحساب (ATO) عندما يسيطر مهاجم على حساب مستخدم شرعي, عادةً باستخدام بيانات اعتماد مسروقة، أو ملف تعريف ارتباط جلسة مخترق، أو تبديل شريحة SIM يعترض كلمة المرور لمرة واحدة (OTP). ومن هناك يقومون بتفريغ المحافظ، نقل الأموال، تغيير تفاصيل الدفع، أو إعادة تعيين البريد الإلكتروني وحجب المالك الحقيقي.
يتجاوز الهجوم كلمة المرور لأن كلمة المرور صحيحة بالفعل. ويتجاوز رمز خدمة الرسائل القصيرة (SMS) لأن المهاجم يتحكم في رقم الهاتف. الدفاع هو مقاطعة لحظة الفعل بشيء لا يملكه المهاجم, وجه المستخدم الشرعي.
لأن احتيال تبديل شريحة SIM يضع رمز خدمة الرسائل القصيرة (SMS) في جيب المهاجم. يقنع المهاجم شركة الاتصالات بنقل رقم الضحية إلى وحدة تعريف المشترك (SIM) جديدة؛ ومنذ ذلك الحين، يصل كل رمز يرسله البنك إلى هاتف المهاجم.
تقوم مجموعات التصيد الاحتيالي في عام 2026 أيضًا بتمرير الرمز في الوقت الفعلي, يكتبه المستخدم في صفحة مزيفة، وتعيد المجموعة تشغيله إلى الموقع الحقيقي، وتفتح الجلسة. تمنح الرسائل القصيرة سرًا مشتركًا واحدًا لكل قناة؛ بينما توفر القياسات الحيوية إثباتًا لكل إجراء مرتبطًا بالشخص أمام الكاميرا.
يستغرق التدفق الكامل عادةً أقل من 30 ثانية من البداية إلى النهاية, التقاط الهوية، تصوير المستند، التقاط صورة السيلفي، انتهى. هذا هو الأسرع في السوق. عادةً ما يستغرق مزودو KYC التقليديون أكثر من 90 ثانية لنفس التدفق.
في الواجهة الخلفية، تعيد Didit النتيجة في أقل من ثانيتين عند p99، محسوبة من لحظة انتهاء المستخدم من السيلفي إلى لحظة تشغيل الويب هوك الخاص بك. تم ضبط التقاط الهاتف المحمول للهواتف البطيئة والشبكات البطيئة: ضغط تدريجي للصور، تحميل بطيء لمجموعة تطوير البرامج، وتسليم بنقرة واحدة من سطح المكتب إلى الهاتف عبر رمز الاستجابة السريعة إذا بدأ المستخدم على الويب.
التسجيل يلتقط هوية المستخدم لأول مرة, وثيقة هوية حكومية، التعرف الضوئي على الحروف (OCR)، التحقق من الحيوية السلبية (Passive Liveness)، وصورة شخصية تصبح الأساس للتسجيل. إنه تدفق لمرة واحدة وثقيل.
التحقق الإضافي (Step-up) هو النسخة الخفيفة والقابلة للتكرار. تعمل نفس محرك الحيوية على صورة سيلفي جديدة؛ تقارن مطابقة الوجه 1:1 الصورة السيلفي الجديدة بالصورة الشخصية المخزنة للتسجيل. لا وثيقة هوية، لا OCR. أقل من ثانيتين، $0.10 لكل جلسة.
تهبط كل جلسة على إحدى الحالات السبع الواضحة، لذا يعرف الكود الخاص بك دائمًا ما يجب فعله:
Approved, اجتازت جميع الفحوصات. انقل المستخدم إلى الأمام.Declined, فشل فحص واحد أو أكثر. يمكنك السماح للمستخدم بإعادة إرسال الخطوة الفاشلة المحددة (على سبيل المثال، إعادة التقاط صورة السيلفي) دون إعادة تشغيل التدفق بأكمله.In Review, تم وضع علامة للمراجعة الامتثالية. افتح الحالة في وحدة التحكم، واطلع على كل إشارة، وقرر الموافقة أو الرفض.In Progress, المستخدم في منتصف التدفق.Not Started, تم إرسال الرابط، ولم يفتحه المستخدم بعد. أرسل تذكيرًا إذا بقي طويلاً.Abandoned, فتح المستخدم الرابط لكنه لم ينهِ في الوقت المحدد. أعد التفاعل أو انتهت الصلاحية.Expired, انتهت صلاحية رابط الجلسة. أنشئ جلسة جديدة.يتم تشغيل ويب هوك موقع عند كل تغيير في الحالة، لذا تظل قاعدة بياناتك متزامنة دائمًا. الجلسات المهجورة والمرفوضة مجانية.
تتم معالجة بيانات الإنتاج وتخزينها في الاتحاد الأوروبي افتراضيًا، على Amazon Web Services. يمكن للعقود المؤسسية طلب مناطق بديلة للولايات القضائية التي تتطلبها جهات التنظيم.
تشفير في كل مكان. AES-256 في حالة السكون عبر كل قاعدة بيانات، ومخزن كائنات، ونسخة احتياطية. Transport Layer Security 1.3 أثناء النقل في كل استدعاء API، وويب هوك، وجلسة Business Console. يتم تشفير البيانات البيومترية بمفتاح رئيسي للعميل منفصل.
الاحتفاظ بالبيانات تحت سيطرتك. الاحتفاظ الافتراضي غير محدود ما لم تقم بتكوين مدة أقصر, بين 30 يومًا و 10 سنوات لكل تطبيق, ويمكنك حذف أي جلسة فردية في أي وقت من لوحة التحكم أو API.
الشهادات: SOC 2 Type 1 (تدقيق Type 2 قيد التقدم)، ISO/IEC 27001:2022، iBeta Level 1 PAD، وتصديق عام من Tesoro / SEPBLAC / CNMV الإسبانية بأن التحقق عن بعد من الهوية بواسطة Didit أكثر أمانًا من التحقق من شخص وجهًا لوجه. التقرير الكامل على /security-compliance.
تأتي Didit متوافقة افتراضيًا مع الجهات التنظيمية الهامة للبنية التحتية للهوية:
مذكرة مفصلة، كل شهادة، كل رسالة تنظيمية: /security-compliance.
ثلاثة مسارات للتكامل, اختر ما يناسب حزمتك:
نفس لوحة التحكم، نفس الفواتير، نفس سعر الدفع مقابل النجاح للثلاثة. دليل خطوة بخطوة على docs.didit.me/integration/integration-prompt.
قم بتكوين تحليل الجهاز وعنوان IP قبل التحقق الإضافي. $0.03 لكل فحص، أقل من 100 مللي ثانية، يعيد درجة مخاطر من 0 إلى 100 بالإضافة إلى علامات الشبكة الافتراضية الخاصة (VPN)، الوكيل، The Onion Router (Tor)، مركز البيانات، البلد، و رقم النظام المستقل (ASN).
إذا بدت الشبكة نظيفة (مزود خدمة إنترنت سكني، بصمة جهاز موثوقة، لا يوجد تغيير في البلد)، فتخطى فحص الوجه. إذا كانت النتيجة عالية أو تم تشغيل أي علامة، فقم بتشغيل التحقق الإضافي. هذا يحافظ على ميزانية القياسات الحيوية على الأحداث التي تحتاجها بالفعل.
بندان:
حوالي $0.13 لكل إجراء حساس يتم فحصه بالكامل. أول 500 عملية تحقق كل شهر مجانية في كل حساب, تجد معظم الفرق أن حجم التحقق الإضافي يقع ضمن هذا المخصص للأسابيع القليلة الأولى.
لا توجد حدود دنيا، ولا التزام سنوي، ولا تسعير لكل مقعد.
تنطبق هذه الوصفة على أي فريق يتعامل مع إجراءات عالية القيمة. الأنماط الشائعة الحالية:
نفس أداة بناء سير العمل، محفزات مختلفة, تكامل واحد، خط تسعير واحد.
واجهة برمجية واحدة لـ KYC و KYB ومراقبة المعاملات وفحص المحافظ. ادمجها في 5 دقائق.