استبدل أسئلة الأمان ورموز SMS لمرة واحدة بمطابقة بيومترية جديدة مع صورة السيلفي المسجلة. حكم في أقل من ثانيتين، حوالي $0.15 لكل عملية استعادة، معتمد من iBeta Level 1.
Robinhood Ventures
موثوق به من قبل أكثر من 2,000 مؤسسة حول العالم.
لماذا يتفوق التحقق من الوجه على الرسائل النصية القصيرة
احتيال تبديل الشريحة (SIM-swap) يهزم رموز SMS لمرة واحدة. التصيد الاحتيالي يهزم أسئلة الأمان. ممثل الدعم يهزم نفسه تحت الضغط. مطابقة الوجه الحي مع صورة السيلفي عند التسجيل تهزم كل هذه التحديات, بتكلفة 0.15 دولار لكل عملية استرداد، وحكم في أقل من ثانيتين، و500 عملية مجانية كل شهر.
اختر الفحوصات التي تريدها, الهوية، التحقق من الحيوية، مطابقة الوجه، العقوبات، العنوان، العمر، الهاتف، البريد الإلكتروني، الأسئلة المخصصة. اسحبها إلى سير عمل في لوحة التحكم، أو انشر نفس سير العمل على API الخاص بنا. قم بالتفرع بناءً على الشروط، وقم بإجراء اختبارات A/B، لا يتطلب أي كود.
ادمج بشكل أصلي باستخدام SDK الخاص بنا للويب، iOS، Android، React Native، أو Flutter. أعد التوجيه إلى صفحة مستضافة. أو ببساطة أرسل لمستخدمك رابطًا, عبر البريد الإلكتروني، SMS، واتساب، أي مكان. اختر ما يناسب مكدسك التقني.
تستضيف Didit الكاميرا، إشارات الإضاءة، تسليم الهاتف المحمول، وإمكانية الوصول. بينما يكون المستخدم في سير العمل، نقوم بتقييم أكثر من 200 إشارة احتيال في الوقت الفعلي والتحقق من كل حقل مقابل مصادر البيانات الموثوقة. النتيجة في أقل من ثانيتين.
تُبقي webhooks الموقعة في الوقت الفعلي قاعدة بياناتك متزامنة لحظة الموافقة على المستخدم، أو رفضه، أو إرساله للمراجعة. استعلم من API عند الطلب. أو افتح وحدة التحكم لفحص كل جلسة، كل إشارة، وإدارة الحالات بطريقتك.
Didit · مطابقة الوجه 1:1
التسجيل
الاسترداد
Didit · التحقق السلبي من الحيوية
Didit · سياسة التحقق المعزز
Didit · حلول بديلة
Didit · سجل التدقيق
Didit · سياسة الجلسة
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_account_recovery",
"vendor_data": "user-7382",
"metadata": { "trigger": "forgot_password" },
// base64 enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
sendPasswordResetEmail(payload.vendor_data);
registerNewDevice(payload.metadata);
} وإلا إذا (payload.status === "Declined") {
security.logRecoveryAttack(payload);
}الحالة: موافق عليه · مرفوض · قيد المراجعة · انتهت صلاحية KYCYou are integrating Didit into an account-recovery flow. Replace knowledge-based recovery (security questions, SMS OTP, support-rep verification) with a biometric re-match against the user's enrolment selfie. ONE Didit session, two checks:
- Passive Liveness — make sure the recovery selfie is a real human, not a print / screen / mask / deepfake.
- Face Match 1:1 — match the recovery selfie against the user's enrolment selfie. If similarity is above your threshold, the recovery is approved.
Bundle pricing (verified live, 2026-05-16):
- Passive Liveness: $0.10 per recovery
- Face Match 1:1: $0.05 per recovery
- Total: ~$0.15 per recovery — public price, no minimums
- First 500 verifications free every month, forever
- SMS / WhatsApp One-Time Passcode (OTP) fallback: $0.03 per OTP (when biometric isn't possible)
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header.
- User's enrolment selfie on file — captured during initial KYC via a previous /v3/session/. Stored under your tenant in encrypted form.
- A workflow_id from the Workflow Builder that runs Passive Liveness + Face Match 1:1 against the stored reference.
STEP 1 — Trigger recovery on the right signal
Recovery is gated by your risk policy. Typical triggers:
- User clicks "Forgot password" — always.
- Sign-in from a new device + new IP country at the same time.
- Sign-in after account dormancy (e.g. 180+ days).
- Sensitive action: large withdrawal, payout to a new beneficiary, account-settings change.
Each trigger opens a Didit session.
STEP 2 — Open the recovery session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Passive Liveness + Face Match against enrolment selfie>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/account/recovery/callback",
"metadata": {
"trigger": "forgot_password",
"device_fingerprint": "<your device fingerprint>",
"ip_country": "ES"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the recovery flow matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user (web or in-app webview) to the URL. Sub-2-second median verdict on completion.
STEP 3 — Read the signed webhook on the verdict
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 }
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Branch on the verdict
Approved → unlock recovery: send the password-reset email, register the new device, complete the sensitive action.
In Review → soft-fail the recovery, route to support for human review.
Declined → block the recovery; log the hit. Could be a printed-photo or screen-replay attack — surface to security.
Resubmitted → user retried after a soft rejection — re-read.
Kyc Expired → reference selfie has aged out (per your retention policy) — fall back to documented recovery flow.
STEP 5 — Fallback for users who can't take a selfie
Camera missing, low light, hardware refused permission. Two graceful fallbacks:
- SMS / WhatsApp / Telegram One-Time Passcode (OTP) via Didit Phone Verification, $0.03 per OTP.
- Email magic link via your existing transactional email provider, $0.03 per email.
- Authenticator app — Time-based One-Time Password (TOTP) or FIDO2 hardware key, free.
Configure the fallback chain in the Workflow Builder. Selfie always tried first.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Do not lowercase or snake_case them.
- The recovery similarity threshold is configurable per app — start at 0.85, tune up for high-assurance apps (banks, brokerages) and down for low-friction consumer apps.
- Liveness is a Presentation Attack Detection (PAD) Level 1 model — defeats prints, screens, masks, deepfakes on consumer cameras. Active liveness (head-tilt prompts) is available for higher-friction higher-assurance flows at $0.15.
- The user's enrolment selfie must have been captured by Didit (any prior /v3/session/ with face capture). Bring-your-own enrolment image is roadmap.
- Default audit retention is 5 years configurable in the Business Console.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / شهر. لا يلزم بطاقة ائتمان.
ادفع فقط مقابل ما تستخدمه. أكثر من 25 وحدة. تسعير عام لكل وحدة، بدون رسوم شهرية دنيا.
اتفاقية خدمة رئيسية (MSA) واتفاقية مستوى الخدمة (SLA) مخصصة. للكميات الكبيرة والبرامج المنظمة.
ابدأ مجانًا ← ادفع فقط عند إجراء الفحص ← افتح Enterprise لعقد مخصص، أو SLA، أو إقامة البيانات.
Didit هو بنية تحتية للهوية والاحتيال, المنصة التي تمنينا وجودها عندما كنا نبني المنتجات بأنفسنا: مفتوحة، مرنة، وصديقة للمطورين، لذا تعمل كجزء حقيقي من بيئتك التقنية بدلاً من صندوق أسود تدمجه حوله.
يغطي API واحد التحقق من الأشخاص (KYC، اعرف عميلك)، التحقق من الشركات (KYB، اعرف عملك)، فحص محافظ العملات المشفرة (KYT، اعرف معاملتك)، ومراقبة المعاملات في الوقت الفعلي, على بنية مصممة لتكون:
البصمة الأساسية: أكثر من 14,000 نوع مستند بأكثر من 48 لغة، أكثر من 1,000 مصدر بيانات، وأكثر من 200 إشارة احتيال في كل جلسة. تتعلم بنية Didit التحتية ديناميكيًا من كل جلسة وتتحسن كل يوم.
لأن سير عمل الاستعادة هو أسهل مكان لتجاوز المصادقة. المستخدم نسي كلمة المرور, بطبيعة الحال لا يمكنك طلبها. تعود معظم التطبيقات إلى:
مطابقة الوجه الحي مع صورة السيلفي عند التسجيل تهزم كل هذه الأساليب الأربعة.
ثلاث مشاكل هيكلية لن تختفي:
أوصى المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST) صراحةً بعدم استخدام الرسائل القصيرة للاستعادة عالية الضمان منذ عام 2017 (SP 800-63B).
تستغرق العملية الكاملة عادةً أقل من 30 ثانية من البداية إلى النهاية, التقاط الهوية، تصوير المستند، التقاط صورة سيلفي، انتهى. هذا هو الأسرع في السوق. عادةً ما يستغرق مزودو KYC التقليديون أكثر من 90 ثانية لنفس العملية.
في الواجهة الخلفية، يعيد Didit النتيجة في أقل من ثانيتين عند p99، مقاسة من لحظة انتهاء المستخدم من صورة السيلفي إلى لحظة إطلاق الـ webhook الخاص بك. تم ضبط التقاط الصور عبر الهاتف المحمول للهواتف البطيئة والشبكات البطيئة: ضغط تدريجي للصور، تحميل بطيء لحزمة تطوير البرامج (SDK)، وتسليم بنقرة واحدة من سطح المكتب إلى الهاتف عبر رمز QR إذا بدأ المستخدم على الويب.
سيناريوهان:
/v3/session/ مع التحقق من الهوية + مطابقة الوجه + الكشف عن الحياة، وخزّن صورة السيلفي المتحقق منها في سجل المستخدم. التكلفة: 0.33 دولار (حزمة KYC الكاملة).إحضار صورة التسجيل الخاصة بك, مجموعة صور السيلفي الموجودة لديك, قيد التطوير.
تصل كل جلسة إلى إحدى سبع حالات واضحة، بحيث يعرف الكود الخاص بك دائمًا ما يجب فعله:
Approved, اجتازت جميع الفحوصات. انقل المستخدم إلى الأمام.Declined, فشل واحد أو أكثر من الفحوصات. يمكنك السماح للمستخدم بإعادة إرسال الخطوة الفاشلة المحددة (على سبيل المثال، إعادة التقاط صورة السيلفي) دون إعادة تشغيل العملية بأكملها.In Review, تم وضع علامة للمراجعة الامتثالية. افتح الحالة في لوحة التحكم، واطلع على جميع الإشارات، وقرر الموافقة أو الرفض.In Progress, المستخدم في منتصف العملية.Not Started, تم إرسال الرابط، ولم يفتحه المستخدم بعد. أرسل تذكيرًا إذا طال انتظاره.Abandoned, فتح المستخدم الرابط لكنه لم ينهِ في الوقت المحدد. أعد التفاعل أو انتهت صلاحيته.Expired, انتهت صلاحية رابط الجلسة. أنشئ جلسة جديدة.يتم إطلاق webhook موقّع عند كل تغيير في الحالة، بحيث تظل قاعدة بياناتك متزامنة دائمًا. الجلسات المهجورة والمرفوضة مجانية.
تُعالَج بيانات الإنتاج وتُخزّن في الاتحاد الأوروبي بشكل افتراضي، على Amazon Web Services. يمكن للعقود المؤسسية طلب مناطق بديلة للولايات القضائية التي تتطلبها جهات التنظيم.
تشفير شامل. تشفير AES-256 للبيانات الثابتة عبر كل قاعدة بيانات، ومخزن كائنات، ونسخة احتياطية. أمان طبقة النقل 1.3 للبيانات المتنقلة في كل استدعاء API، وwebhook، وجلسة Business Console. تُشفّر البيانات البيومترية بمفتاح رئيسي منفصل للعميل.
التحكم في الاحتفاظ بالبيانات يعود إليك. الاحتفاظ الافتراضي هو غير محدود ما لم تُعدِّل المدة لتكون أقصر, بين 30 يومًا و10 سنوات لكل تطبيق, ويمكنك حذف أي جلسة فردية في أي وقت من لوحة التحكم أو الـ API.
الشهادات: SOC 2 Type 1 (تدقيق Type 2 قيد التقدم)، ISO/IEC 27001:2022، iBeta Level 1 PAD، وشهادة عامة من Tesoro / SEPBLAC / CNMV الإسبانية بأن التحقق من الهوية عن بُعد من Didit أكثر أمانًا من التحقق الشخصي. التقرير الكامل متاح على /security-compliance.
Didit متوافق بشكل افتراضي مع الجهات التنظيمية المهمة للبنية التحتية للهوية:
مذكرة مفصلة، كل شهادة، كل خطاب تنظيمي: /security-compliance.
ثلاثة مسارات للدمج, اختر ما يناسب بيئتك التقنية:
نفس لوحة التحكم، نفس الفواتير، نفس سعر الدفع مقابل النجاح للثلاثة. دليل خطوة بخطوة على docs.didit.me/integration/integration-prompt.
تتغلب خاصية التحقق من الحيوية السلبية (Passive Liveness) على التزييف العميق (deepfakes) الشائعة اليوم. يبحث نموذج اكتشاف هجمات العرض (PAD) عن:
نموذج PAD من Didit معتمد من iBeta المستوى الأول. تضيف خاصية التحقق من الحيوية النشطة (Active Liveness) (0.15 دولار) مطالبات إمالة الرأس لضمان أعلى ضد التزييف العميق الاحترافي في الوقت الفعلي النادر.
الدفاع ضد التزييف العميق هو سباق تسلح, تعيد Didit تدريب نموذج PAD بشكل ربع سنوي لمواجهة أحدث هجمات التزييف.
نعم, هذا هو المصادقة البيومترية، وهو نمط إعادة مصادقة متكرر. 0.10 دولار لكل مصادقة:
نفس عقد /v3/session/، ولكن بتدفق عمل مختلف workflow_id. شائع في بورصات العملات المشفرة، وتطبيقات البنوك، والمنتجات الاستهلاكية عالية الضمان. راجع /products/biometric-authentication لنمط المصادقة المتكررة.
تسجل كل محاولة استرداد ما يلي:
vendor_data (معرف المستخدم الخاص بك) و session_id الخاص بـ Didit.trigger الذي مررته في metadata (نسيت كلمة المرور / جهاز جديد / خمول / إجراء حساس).يمكن البحث عنها من Business Console، وتصديرها لكل مستخدم، مع إمكانية ضبط الاحتفاظ لمدة 5 سنوات. تحكم ضوابط SOC 2 Type 1 + ISO 27001 التخزين.
واجهة برمجية واحدة لـ KYC و KYB ومراقبة المعاملات وفحص المحافظ. ادمجها في 5 دقائق.