المصادقة البيومترية ($0.10) بالإضافة إلى تحليل الجهاز وعنوان IP ($0.03) توفر عاملين من عوامل SCA من فئة PSD3 في مطالبة واحدة. مقاومة للتصيد الاحتيالي. بديل مباشر لكلمة المرور لمرة واحدة عبر الرسائل القصيرة.
Robinhood Ventures
موثوق به من قبل أكثر من 2,000 مؤسسة حول العالم.
لماذا يتلاشى استخدام كلمات المرور لمرة واحدة عبر الرسائل النصية (SMS OTP)
يتجه توجيه PSD3 نحو التخلص التدريجي من كلمات المرور لمرة واحدة عبر الرسائل النصية (SMS OTP) كعامل أساسي للمصادقة القوية للعملاء (SCA). تمنع المصادقة البيومترية المرتبطة بالجهاز من Didit عمليات تبديل شرائح SIM، والتصيد الاحتيالي في الوقت الفعلي، واعتراض SS7, بتكلفة 0.13 دولار لكل مصادقة، وبقرار في أقل من ثانيتين، وجاهزة للربط الديناميكي. 500 عملية تحقق مجانية كل شهر.
اختر التحققات التي تريدها, الهوية، الحيوية، مطابقة الوجه، العقوبات، العنوان، العمر، الهاتف، البريد الإلكتروني، الأسئلة المخصصة. اسحبها إلى سير عمل في لوحة التحكم، أو انشر نفس سير العمل إلى واجهة برمجة التطبيقات (API) الخاصة بنا. قم بالتفرع بناءً على الشروط، وقم بإجراء اختبارات A/B، لا يتطلب أي كود.
ادمج بشكل أصلي باستخدام حزم SDK الخاصة بنا للويب، iOS، Android، React Native، أو Flutter. أعد التوجيه إلى صفحة مستضافة. أو ببساطة أرسل لمستخدمك رابطًا, عبر البريد الإلكتروني، الرسائل النصية، واتساب، أي مكان. اختر ما يناسب نظامك التقني.
تستضيف Didit الكاميرا، إشارات الإضاءة، التسليم عبر الهاتف المحمول، وإمكانية الوصول. بينما يكون المستخدم في سير العمل، نقوم بتقييم أكثر من 200 إشارة احتيال في الوقت الفعلي ونتحقق من كل حقل مقابل مصادر بيانات موثوقة. النتيجة في أقل من ثانيتين.
تحافظ الـ webhooks الموقعة في الوقت الفعلي على مزامنة قاعدة بياناتك فور الموافقة على المستخدم، أو رفضه، أو إرساله للمراجعة. استعلم من الـ API عند الطلب. أو افتح وحدة التحكم لفحص كل جلسة، كل إشارة، وإدارة الحالات بطريقتك.
Didit · عوامل SCA
المعرفة
كلمة المرور · الرقم السري
اختياري
الحيازة
جهاز مقترن
Didit ✓
الملازمة
الوجه · التحقق من الحيوية
Didit ✓
Didit · الربط الديناميكي
Didit · مصفوفة الهجوم
Didit · محرك الإعفاء
Didit · تحليل الجهاز وعنوان IP
Didit · تكلفة كل مصادقة
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "purpose": "login" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'الحالة: موافق عليه · مرفوض · قيد المراجعة$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "amount": "247.50", "payee_account": "ES91…1332" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'الـ webhook يعكس المبلغ والمستفيد للتحققYou are integrating Didit's Strong Customer Authentication into a payment service provider, bank, EMI, or wallet to satisfy PSD3 / the Payment Services Regulation (PSR). Two factors in one prompt:
1. Inherence — Biometric Authentication: Passive Liveness + Face Match 1:1 against the user's previously-enrolled KYC selfie.
2. Possession — Device & IP Analysis: 200+ real-time fraud signals binding the auth to the user's known device.
Pricing (verified live 2026-05-16):
- Biometric Authentication: $0.10 per auth
- Device & IP Analysis: $0.03 per auth
- Total: $0.13 per Strong Customer Authentication
- First 500 verifications free every month, forever
- Re-uses the enrolled selfie from the original KYC — no re-enrolment
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
- A workflow_id from the no-code Workflow Builder configured as a Biometric Authentication workflow (Passive Liveness + Face Match 1:1 + Device & IP Analysis).
- The user has previously completed a Didit KYC (the same enrolled selfie backs every subsequent auth).
STEP 1 — Open an authentication session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (for login auth):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/auth/callback",
"metadata": {
"purpose": "login",
"session_id": "<your front-end session id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor; OMIT only if the workflow is liveness-only>"
}
Body (for payment with dynamic linking):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/payment/callback",
"metadata": {
"purpose": "payment",
"amount": "247.50",
"currency": "EUR",
"payee_account": "ES9121000418450200051332",
"payee_name": "<merchant or recipient>",
"transaction_reference": "<your internal transaction id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor>"
}
Response: 201 Created with the hosted session URL. Push the URL to the user via deep-link / push notification / in-app sheet.
STEP 2 — User completes the biometric auth
The user sees one prompt on their phone (or via the Didit SDK in your native app). Three things happen on the same screen:
1. The amount + payee are displayed (dynamic linking — the user explicitly approves THIS amount to THIS payee for payments).
2. Passive Liveness defeats screen replay, printed photo, mask, deepfake.
3. Face Match 1:1 matches the new selfie against the enrolled KYC selfie.
Device & IP Analysis runs server-side on the session. Sub-2-second median verdict.
STEP 3 — Read the signed webhook on the auth verdict
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "vpn_detected": false, "datacenter_ip": false },
"metadata_echo": {
"amount": "247.50",
"payee_account": "ES9121000418450200051332"
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
For payments, verify that metadata_echo.amount and metadata_echo.payee_account match the values you passed in. If they do not, REJECT the payment — it's a dynamic-linking violation.
STEP 4 — Branch on verdict
Approved → unlock the action (login, payment, account change).
In Review → hold the action, route to manual review queue.
Declined → block, log the attempt, surface a friendly "try again" to the user.
Resubmitted → the user re-submitted after a soft fail (poor lighting, occlusion); proceed if the latest status is Approved.
STEP 5 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload: liveness verdict (iBeta Level 1 anti-spoof certified), Face Match similarity score, device fingerprint, IP geolocation, VPN / proxy / datacenter flags, 200+ fraud-signal score, dynamic-linking echo, HMAC signature.
Use this for the audit-trail surface a regulator examines on Strong Customer Authentication coverage.
STEP 6 — Step up on risk
When Device & IP Analysis surfaces a high-risk signal (new device + high-value payment, VPN/proxy on a login, geolocation jump), your workflow can step up to:
- A separate hardware-key challenge (FIDO2 / WebAuthn)
- A trusted-beneficiary whitelist confirmation
- A manual-review hold
Encode the step-up policy in the no-code Workflow Builder — no redeploy required.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE on a session.
- Dynamic linking is REQUIRED for payments — pass amount + payee in metadata, verify the echo on the webhook.
- The enrolled selfie that backs every SCA is the one captured during the user's original KYC — no separate enrolment step.
- PSD3 / PSR exemptions (low-value remote < EUR 30, contactless point-of-sale < EUR 50, recurring identical, trusted beneficiary, Transaction Risk Analysis tiers) are configured per workflow in the Business Console.
- Default record retention is 5 years per the EU AML and payments rules.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / شهر. لا يلزم بطاقة ائتمان.
ادفع فقط مقابل ما تستخدمه. أكثر من 25 وحدة. تسعير عام لكل وحدة، بدون رسوم شهرية دنيا.
اتفاقية خدمة رئيسية (MSA) واتفاقية مستوى الخدمة (SLA) مخصصة. للكميات الكبيرة والبرامج المنظمة.
ابدأ مجانًا ← ادفع فقط عند إجراء الفحص ← افتح Enterprise لعقد مخصص، أو SLA، أو إقامة البيانات.
Didit هو بنية تحتية للهوية والاحتيال, المنصة التي تمنينا وجودها عندما كنا نبني المنتجات بأنفسنا: مفتوحة، مرنة، وصديقة للمطورين، لذا فهي تعمل كجزء حقيقي من نظامك بدلاً من صندوق أسود تدمجه حوله.
واجهة API واحدة تغطي التحقق من الأشخاص (KYC، اعرف عميلك)، التحقق من الشركات (KYB، اعرف عملك)، فحص محافظ العملات المشفرة (KYT، اعرف معاملتك)، ومراقبة المعاملات في الوقت الفعلي, على بنية تحتية مصممة لتكون:
البصمة الأساسية: أكثر من 14,000 نوع وثيقة بأكثر من 48 لغة، أكثر من 1,000 مصدر بيانات، و أكثر من 200 إشارة احتيال في كل جلسة. تتعلم بنية Didit التحتية ديناميكيًا من كل جلسة وتتحسن كل يوم.
المصادقة القوية للعملاء (SCA) هي قاعدة من لائحة خدمات الدفع في الاتحاد الأوروبي تنص على أنه: عندما يسجل العميل الدخول إلى حسابه أو يبدأ دفعة، يجب عليك التحقق منه باستخدام عاملين على الأقل من ثلاث فئات مستقلة.
الفئات الثلاث:
يجب أن يأتي العاملان من فئات مختلفة, كلمة مرور بالإضافة إلى سؤال أمان ليست SCA، لأن كلاهما معرفة. كلمة مرور بالإضافة إلى بصمة إصبع هي SCA، لأنهما يعبران الفئات.
متطلب ثالث، الربط الديناميكي، ينص على أن العامل الثاني للدفع يجب أن يكون مرتبطًا بشكل فريد بمبلغ المعاملة والمستفيد, بحيث لا يمكن إعادة استخدام رمز مسروق ضد معاملة مختلفة.
PSD3, اختصار لـ Payment Services Directive 3, هو إعادة صياغة الاتحاد الأوروبي لعام 2026 لدليل القواعد الذي قدمه PSD2 في عام 2018. وإلى جانبه، توجد لائحة خدمات الدفع (PSR) التي تنطبق مباشرة عبر الدول الأعضاء دون الحاجة إلى نقل وطني.
التغييرات الرئيسية عن PSD2:
الانتقال تدريجي, من المتوقع أن تدخل معظم تغييرات SCA حيز التنفيذ بعد 18 إلى 24 شهرًا من الاعتماد النهائي.
يستغرق التدفق الكامل عادةً أقل من 30 ثانية من البداية إلى النهاية, التقاط الهوية، تصوير الوثيقة، تصوير السيلفي، انتهى. هذا هو الأسرع في السوق. عادةً ما يستغرق مزودو KYC التقليديون أكثر من 90 ثانية لنفس التدفق.
في الواجهة الخلفية، يعيد Didit النتيجة في أقل من ثانيتين عند p99، محسوبة من لحظة انتهاء المستخدم من السيلفي حتى لحظة إطلاق الـ webhook الخاص بك. تم ضبط التقاط الهاتف المحمول للهواتف البطيئة والشبكات البطيئة: ضغط تدريجي للصور، تحميل بطيء لـ SDK، وتسليم بنقرة واحدة من سطح المكتب إلى الهاتف عبر رمز QR إذا بدأ المستخدم على الويب.
تتطلب SCA بشكل افتراضي:
معفاة (يحتفظ PSD3 بمعظم استثناءات PSD2 ولكنه يشدد العتبات):
الحصول على حساب الاستثناءات بشكل صحيح هو العمل الأكثر فعالية لتحسين SCA الذي تقوم به معظم الفرق, عند تطبيقه بشكل جيد، فإنه يقلل من احتكاك المصادقة دون زيادة الاحتيال.
تصل كل جلسة إلى إحدى الحالات السبع الواضحة، بحيث يعرف الكود الخاص بك دائمًا ما يجب فعله:
Approved, اجتاز جميع الفحوصات. انقل المستخدم إلى الخطوة التالية.Declined, فشل فحص واحد أو أكثر. يمكنك السماح للمستخدم بإعادة إرسال الخطوة الفاشلة المحددة (على سبيل المثال، إعادة التقاط صورة السيلفي) دون إعادة تشغيل التدفق بأكمله.In Review, تم وضع علامة للمراجعة من قبل الامتثال. افتح الحالة في لوحة التحكم، واطلع على كل الإشارات، ثم قرر الموافقة أو الرفض.In Progress, المستخدم في منتصف التدفق.Not Started, تم إرسال الرابط، ولم يفتحه المستخدم بعد. أرسل تذكيرًا إذا طال انتظاره.Abandoned, فتح المستخدم الرابط لكنه لم ينهِ في الوقت المحدد. أعد التفاعل أو قم بإنهاء الصلاحية.Expired, انتهت صلاحية رابط الجلسة. أنشئ جلسة جديدة.يتم إطلاق webhook موقّع عند كل تغيير في الحالة، بحيث تظل قاعدة بياناتك متزامنة دائمًا. الجلسات المهجورة والمرفوضة مجانية.
تتم معالجة بيانات الإنتاج وتخزينها في الاتحاد الأوروبي بشكل افتراضي، على Amazon Web Services. يمكن للعقود المؤسسية طلب مناطق بديلة للولايات القضائية التي تتطلبها جهات التنظيم.
تشفير في كل مكان. AES-256 في حالة السكون عبر كل قاعدة بيانات، ومخزن كائنات، ونسخة احتياطية. Transport Layer Security 1.3 أثناء النقل في كل استدعاء API، و webhook، وجلسة Business Console. يتم تشفير البيانات البيومترية بمفتاح عميل رئيسي منفصل.
الاحتفاظ تحت سيطرتك. الاحتفاظ الافتراضي هو غير محدود (بلا حدود) ما لم تقم بتكوين مدة أقصر, تتراوح بين 30 يومًا و 10 سنوات لكل تطبيق, ويمكنك حذف أي جلسة فردية في أي وقت من لوحة التحكم أو API.
الشهادات: SOC 2 Type 1 (تدقيق Type 2 قيد التقدم)، ISO/IEC 27001:2022، iBeta Level 1 PAD، وإفادة عامة من Tesoro / SEPBLAC / CNMV الإسبانية بأن التحقق من الهوية عن بُعد من Didit أكثر أمانًا من التحقق من شخصيًا. التقرير الكامل على /security-compliance.
Didit متوافق بشكل افتراضي مع الجهات التنظيمية المهمة للبنية التحتية للهوية:
مذكرة مفصلة، كل شهادة، كل رسالة من الجهات التنظيمية: /security-compliance.
ثلاثة مسارات للتكامل, اختر ما يناسب نظامك:
نفس لوحة التحكم، نفس الفواتير، نفس سعر الدفع مقابل النجاح للثلاثة. دليل خطوة بخطوة على docs.didit.me/integration/integration-prompt.
نفس واجهة برمجة التطبيقات POST /v3/session/ على كل سطح, يختلف التقاط البيانات من جانب المستخدم:
نفس قالب القياسات الحيوية الذي سجله المستخدم وقت KYC يدعم كل مصادقة, لا إعادة تسجيل، لا تدفق منفصل.
نعم, نفس حزمة المصادقة تلبي معظم القواعد العالمية المماثلة:
واجهة برمجة تطبيقات واحدة، حزمة مصادقة واحدة، في كل ولاية قضائية. تتغير حسابات الإعفاء؛ العقد الفني لا يتغير.
تنتج كل عملية مصادقة سجل أدلة موقّع يمكن تصديره من لوحة تحكم الأعمال:
Pending إلى Approved أو Declined، مع ملاحظات المراجع إذا تم تصعيدها.جميع السجلات مخزنة في الاتحاد الأوروبي (مراكز بيانات الاتحاد الأوروبي)، ويتم الاحتفاظ بها إلى أجل غير مسمى طالما أن اشتراكك نشط. الاحتفاظ الافتراضي بالسجلات هو 5 سنوات وفقًا لقواعد مكافحة غسل الأموال والمدفوعات في الاتحاد الأوروبي، وقابل للتمديد وفقًا لتوجيهات المشرف الخاص بك.
واجهة برمجية واحدة لـ KYC و KYB ومراقبة المعاملات وفحص المحافظ. ادمجها في 5 دقائق.