Una autenticació biomètrica en els moments exactes que els atacants busquen: transferències, restabliment de contrasenyes, inicis de sessió en nous dispositius. Veredicte en menys de dos segons, al voltant de 0,13 $ per esdeveniment. 500 verificacions gratuïtes cada mes.
Robinhood Ventures
Confiat per més de 2.000 organitzacions a tot el món.
Com ataquen els atacants
Els atacs de 'credential stuffing', 'SIM-swap' i 'session cookie' robades eludeixen les contrasenyes i els codis d'un sol ús. Substitueix-los per una autenticació de Didit en el moment de l'acció: 0,10 $ per trucada, veredicte en menys de dos segons, 500 gratuïtes cada mes.
Tria les comprovacions que vulguis: identificació, prova de vida, coincidència facial, sancions, adreça, edat, telèfon, correu electrònic, preguntes personalitzades. Arrossega-les a un flux al panell de control, o publica el mateix flux a la nostra API. Crea ramificacions segons condicions, realitza proves A/B, sense necessitat de codi.
Integra de forma nativa amb els nostres SDK per a Web, iOS, Android, React Native o Flutter. Redirigeix a una pàgina allotjada. O simplement envia a l'usuari un enllaç, per correu electrònic, SMS, WhatsApp, on vulguis. Tria el que millor s'adapti al teu stack.
Didit allotja la càmera, les indicacions d'il·luminació, el traspàs mòbil i l'accessibilitat. Mentre l'usuari està en el flux, puntuam més de 200 senyals de frau en temps real i verifiquem cada camp amb fonts de dades autoritzades. Resultat en menys de dos segons.
Els webhooks signats en temps real mantenen la teva base de dades sincronitzada al moment que un usuari és aprovat, denegat o enviat a revisió. Consulta l'API sota demanda. O obre la consola per inspeccionar cada sessió, cada senyal i gestionar els casos a la teva manera.
Didit · Política de Step-up
Didit · Autenticació biomètrica
Pas 2 / 2
Mantén-te quiet per a la comprovació
Didit · Reconeixement facial 1:1
Registre
Autenticació reforçada
Didit · Prova de vida passiva
Didit · Anàlisi de dispositius i IP
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "user-42",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved",
"similarity_score": 0.94 }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_ato_step_up",
"vendor_data": "user-42",
"metadata": { "trigger": "high_value_transfer" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
unblockAction(payload.vendor_data);
} altrament si (payload.status === "Declined") {
logWarnings(payload.liveness.warnings);
blockAndAlert(payload.vendor_data);
}estat Aprovat · Rebutjat · En revisió · No finalitzatYou are integrating Didit account-takeover defence into an application that already has the user signed in. Your job: when a sensitive action fires (large transfer, password reset, payout to a new destination, new-device login, geo anomaly), gate it on a Didit biometric step-up. One API call. One signed webhook. Three branches.
WHY THIS SHAPE
- Credential stuffing, SIM-swap, and stolen-session-cookie attacks all walk past passwords and SMS one-time codes. A face check at the moment of the sensitive action does not.
- Didit runs Passive Liveness (the user is alive, present, not a deepfake) plus 1:1 Face Match against the portrait captured at sign-up. A stolen selfie cannot pass — the comparison target is locked to the original enrollment.
- $0.10 per step-up (Biometric Authentication module) + $0.03 IP pre-check (optional) = around $0.13 per event. Sub-two-second verdict on entry-level Android. 500 verifications free every month.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A Workflow Builder workflow that bundles Passive Liveness + Face Match 1:1 (with the user's stored sign-up portrait as the comparison target). Optionally compose Device & IP Analysis ahead of the step-up to pre-gate the check.
- Persist the user's sign-up portrait — either base64 on your side, or rely on Didit's stored enrollment via vendor_data lookup.
STEP 1 — Decide WHEN to step up (your code, not Didit's)
Run your usual fraud signals. Common triggers worth a biometric step-up:
- Wire / crypto transfer above the user's daily limit
- Password / email reset on a session less than 24h old
- Payout to a bank account or wallet seen for the first time
- Login from a new device or new country
- Velocity anomaly — N actions of type T within window W
Cheap pre-check (optional, ~100ms, $0.03):
- Score the user's IP via Device & IP Analysis. If the IP is a residential trusted address with a low risk score AND the device fingerprint matches the user's trusted device, skip the step-up. Otherwise run Step 2.
STEP 2 — Create a biometric step-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id bundling Passive Liveness + Face Match 1:1>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/ato/step-up/callback",
"metadata": {
"trigger": "high_value_transfer",
"action_id": "<your internal action reference>"
},
"portrait_image": "<base64 JPEG of the user's stored sign-up portrait, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the step-up matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user there inline (or open it in a webview / Didit mobile SDK). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook on completion
Didit POSTs the decision to your callback. Verify X-Signature-V2 (HMAC SHA-256 of the raw request body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "score": 11 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the original action on status
Approved → unblock the sensitive action. Log session_id + similarity score on the audit trail.
In Review → hold the action, route to a human review queue.
Declined → block the action, log liveness warnings (mask / deepfake / replay / morph), alert the user.
Not Finished → invite the user to retry with a fresh session URL.
Expired → resend the link; the original session has timed out.
Abandoned → the user closed the flow before completing; resend the link.
STEP 5 — (Optional) Pull the full decision payload
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Returns the same payload as the webhook plus the structured signals (liveness warnings, face-match similarity, IP / device flags). Use for analyst review.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook (one endpoint, status field tells you where in the lifecycle).
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API and lives in a different surface.
- 1:1 face match's comparison target is the user's STORED sign-up portrait, not a freshly captured one. A stolen selfie cannot pass.
- iBeta Level 1 Presentation Attack Detection (PAD) certified against the full ISO/IEC 30107-3 catalogue — print, replay, paper / silicone / latex mask, deepfake, morph.
- The Workflow Builder is where you choose the modules in the step-up — change them in the console without redeploying.
- 200+ fraud signals are surfaced on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mes. No es requereix targeta de crèdit.
Paga només pel que utilitzes. Més de 25 mòduls. Preus públics per mòdul, sense quota mínima mensual.
MSA i SLA personalitzats. Per a grans volums i programes regulats.
Comença gratis → paga només quan s'executa una comprovació → desbloqueja Enterprise per a un contracte personalitzat, SLA o residència de dades.
Didit és la infraestructura per a la identitat i el frau, la plataforma que ens hauria agradat tenir quan construíem els nostres propis productes: oberta, flexible i amigable per a desenvolupadors, perquè funcioni com una part real del teu stack en lloc d'una caixa negra que has d'integrar.
Una sola API cobreix la verificació de persones (KYC, know your customer), la verificació d'empreses (KYB, know your business), el cribratge de carteres de criptomonedes (KYT, know your transaction), i el monitoratge de transaccions en temps real, en un stack construït per ser:
La base: més de 14.000 tipus de documents en més de 48 idiomes, més de 1.000 fonts de dades, i més de 200 senyals de frau en cada sessió. La infraestructura de Didit aprèn dinàmicament de cada sessió i millora cada dia.
Una presa de control de comptes (ATO) es produeix quan un atacant obté el control d'un compte d'usuari legítim, normalment amb credencials robades, una cookie de sessió segrestada o un SIM-swap que intercepta la contrasenya d'un sol ús (OTP). A partir d'aquí, buiden carteres, mouen fons, canvien dades de pagament o restableixen el correu electrònic i bloquegen l'accés al propietari real.
L'atac supera la contrasenya perquè la contrasenya ja és correcta. Supera el codi de Short Message Service (SMS) perquè l'atacant controla el número de telèfon. La defensa és interrompre el moment de l'acció amb alguna cosa que l'atacant no té: la cara de l'usuari legítim.
Perquè el frau de SIM-swap posa el codi de Short Message Service (SMS) a la butxaca de l'atacant. L'atacant convenç l'operador de portar el número de la víctima a un nou Mòdul d'Identitat de Subscriptor (SIM); a partir d'aleshores, cada codi que envia el banc arriba al telèfon de l'atacant.
Els kits de phishing el 2026 també proxy el codi en temps real: l'usuari l'escriu en una pàgina falsa, el kit el reprodueix al lloc real, la sessió s'obre. L'SMS proporciona un únic secret compartit per canal; la biometria proporciona una prova per acció lligada a la persona davant la càmera.
El flux complet normalment triga menys de 30 segons de principi a fi, agafa l'ID, fotografia el document, fes-te un selfie, i ja està. Això és el més ràpid del mercat. Els proveïdors de KYC tradicionals solen trigar més de 90 segons per al mateix flux.
Al backend, Didit retorna el resultat en menys de dos segons a p99, mesurat des del moment en què l'usuari acaba el selfie fins al moment en què s'activa el teu webhook. La captura mòbil està optimitzada per a telèfons lents i xarxes lentes: compressió progressiva d'imatges, càrrega de kit de desenvolupament de programari (SDK) mandrosa i un traspàs amb un sol toc de l'escriptori al telèfon mitjançant codi QR si l'usuari comença des del web.
El registre captura la identitat de l'usuari per primera vegada, document d'identitat governamental, Reconeixement Òptic de Caràcters (OCR), Liveness Passiu, i un retrat que es converteix en la línia de base d'inscripció. És un flux únic i pesat.
La verificació en dos passos és la versió lleugera i repetible. El mateix motor de liveness s'executa en un nou selfie; Face Match 1:1 compara el nou selfie amb el retrat de registre emmagatzemat. Sense document d'identitat, sense OCR. Menys de dos segons, 0,10 $ per sessió.
Cada sessió aterra en un dels set estats clars, de manera que el teu codi sempre sap què fer:
Approved, totes les comprovacions superades. Fes avançar l'usuari.Declined, una o més comprovacions han fallat. Pots permetre a l'usuari tornar a enviar el pas fallit específic (per exemple, tornar a fer-se el selfie) sense tornar a executar tot el flux.In Review, marcat per a revisió de compliment. Obre el cas a la consola, consulta tots els senyals, decideix aprovar o rebutjar.In Progress, l'usuari està a mig flux.Not Started, enllaç enviat, l'usuari encara no l'ha obert. Envia un recordatori si s'allarga massa.Abandoned, l'usuari va obrir l'enllaç però no va acabar a temps. Torna a contactar o caduca.Expired, l'enllaç de la sessió ha caducat. Crea una nova sessió.Un webhook signat s'activa amb cada canvi d'estat, de manera que la teva base de dades sempre es manté sincronitzada. Les sessions abandonades i rebutjades són gratuïtes.
Les dades de producció es processen i s'emmagatzemen a la Unió Europea per defecte, a Amazon Web Services. Els contractes empresarials poden sol·licitar regions alternatives per a jurisdiccions els reguladors de les quals ho requereixin.
Xifratge a tot arreu. AES-256 en repòs a totes les bases de dades, emmagatzematge d'objectes i còpies de seguretat. Transport Layer Security 1.3 en trànsit a cada trucada d'API, webhook i sessió de la Consola de Negocis. Les dades biomètriques es xifren sota una Clau Mestra de Client separada.
La retenció és teva per controlar. La retenció per defecte és indefinida (il·limitada) tret que configuris una retenció més curta, entre 30 dies i 10 anys per aplicació, i pots eliminar qualsevol sessió individual en qualsevol moment des del tauler de control o l'API.
Certificacions: SOC 2 Tipus 1 (auditoria Tipus 2 en curs), ISO/IEC 27001:2022, iBeta Nivell 1 PAD, i una certificació pública del Tesoro / SEPBLAC / CNMV d'Espanya que la verificació d'identitat remota de Didit és més segura que verificar algú en persona. Informe complet a /security-compliance.
Didit compleix per defecte amb els reguladors importants per a la infraestructura d'identitat:
Memo detallat, cada certificat, cada carta del regulador: /security-compliance.
Tres rutes d'integració, tria la que millor s'adapti al teu stack:
Mateix tauler de control, mateixa facturació, mateix preu de pagament per èxit per als tres. Guia pas a pas a docs.didit.me/integration/integration-prompt.
Composa l'Anàlisi de Dispositius i IP abans de la verificació en dos passos. 0,03 $ per comprovació, menys de 100 ms, retorna una puntuació de risc de 0 a 100 més banderes de Xarxa Privada Virtual (VPN), proxy, The Onion Router (Tor), centre de dades, país i Número de Sistema Autònom (ASN).
Si la xarxa sembla neta (Proveïdor de Serveis d'Internet (ISP) residencial, empremta digital de dispositiu de confiança, sense canvi de país), omet la comprovació facial. Si la puntuació és alta o s'activa alguna bandera, executa la verificació en dos passos. Això manté el pressupost biomètric en els esdeveniments que realment ho necessiten.
Dos conceptes:
Al voltant de 0,13 $ per acció sensible totalment cribrada. Les primeres 500 verificacions cada mes són gratuïtes en cada compte, la majoria dels equips troben que el seu volum de verificacions en dos passos es manté dins d'aquesta assignació durant les primeres setmanes.
Sense mínims, sense compromís anual, sense preus per seient.
La recepta s'aplica a qualsevol equip que gestioni accions d'alt valor. Patrons comuns en viu:
Mateix Workflow Builder, diferents activadors, una integració, una línia de preus.
Una API per a KYC, KYB, monitorització de transaccions i anàlisi de carteres. Integra-la en 5 minuts.