Augmenteu els fluxos sensibles amb una coincidència facial de menys de 2 segons amb el retrat registrat. Resistent al phishing. A prova de canvi de SIM. 0,10 $ per autenticació. 500 verificacions gratuïtes cada mes.
Confiat per més de 2.000 organitzacions a tot el món.
Resistent al phishing · A prova de canvi de SIM
El segon factor és la cara de l'usuari, que coincideix 1:1 amb el retrat que van registrar en el moment de la inscripció. La prova de vida bloqueja l'atac d'impressió / reproducció / màscara / Xarxa generativa antagònica (GAN) en el mateix fotograma. Veredicte de menys de 2 segons en Android de nivell d'entrada. 0,10 $ per autenticació. 500 verificacions gratuïtes cada mes.
Trieu les comprovacions que vulgueu: identificació, prova de vida, coincidència facial, sancions, adreça, edat, telèfon, correu electrònic, preguntes personalitzades. Arrossegueu-les a un flux al tauler de control o publiqueu el mateix flux a la nostra API. Ramifiqueu-vos segons les condicions, executeu proves A/B, no cal codi.
Integreu-vos de forma nativa amb el nostre SDK per a Web, iOS, Android, React Native o Flutter. Redirigiu a una pàgina allotjada. O simplement envieu a l'usuari un enllaç, per correu electrònic, SMS, WhatsApp, a qualsevol lloc. Trieu el que s'adapti a la vostra pila.
Didit allotja la càmera, els senyals d'il·luminació, el traspàs mòbil i l'accessibilitat. Mentre l'usuari està en el flux, puntuam més de 200 senyals de frau en temps real i verifiquem cada camp amb fonts de dades autoritzades. Resultat en menys de dos segons.
Els webhooks signats en temps real mantenen la vostra base de dades sincronitzada en el moment en què un usuari és aprovat, rebutjat o enviat a revisió. Consulteu l'API sota demanda. O obriu la consola per inspeccionar cada sessió, cada senyal i gestionar els casos a la vostra manera.
Didit · Autenticació biomètrica
Confirma la transferència
Mostra la teva cara per autoritzar
Didit · Coincidència facial 1:1
Inscrit
Similitud
0.96
CoincidènciaEn directe
Didit · Matriu d'atac
Didit · Activadors d'escalada
Didit · Webhook · X-Signature-V2
Càrrega útil
{
"session_id": "<uuid>",
"vendor_data": "user-42",
"status": "Approved",
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}Didit · Economia
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_bio_2fa",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 reference selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'LIVENESS + FACE_MATCH contra la portrait_image proporcionada.docs →$ curl -X POST https://verification.didit.me/v3/face-match/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image_a=@live.jpg" \
-F "image_b=@enrolled.jpg"You are integrating Didit's Biometric 2FA into <my_stack>. Replace SMS one-time-password (OTP) on sensitive flows — login from a new device, large-value transfer, settings change, account recovery — with a sub-2-second face match against the user's enrolled portrait. Cheaper than SMS. Phishing-resistant. SIM-swap-proof.
1. Enrol the user's portrait ONCE at sign-up via the standard Know Your Customer (KYC) session.
2. On every sensitive action, open a Biometric Authentication session that runs Passive Liveness + Face Match 1:1 against the stored portrait. Verdict in sub-2-seconds.
Pricing (public):
- Biometric Authentication: $0.10 per authentication (Sessions API)
- Standalone Face Match 1:1: $0.05 per match (server-to-server)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled — either via a full KYC session (recommended; the portrait is stored automatically and never leaves Didit) or via a portrait you supply on each re-auth.
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session must be opened with workflow_type = "biometric_authentication" (or use a workflow that has FACE_MATCH and pass a portrait_image at session creation).
STEP 1 — Enrolment (one-time, at user sign-up)
Run a standard KYC session at sign-up. Didit stores the portrait (the face captured during the liveness step) as the user's enrolled template, bound to vendor_data.
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<your KYC workflow>",
"vendor_data": "<your user id>"
}
No additional code — once the user passes KYC, their enrolled portrait is ready for every future re-auth.
STEP 2 — Re-authentication (on every sensitive action)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/2fa/callback",
"metadata": {
"reason": "<login_new_device | high_value_txn | settings_change | account_recovery>",
"amount": "<optional, for large-value transfers>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user to it. The hosted UI:
- Opens the front camera
- Captures one passive frame
- Runs Liveness + Face Match 1:1 against the user's enrolled portrait
- Returns the verdict in sub-2-seconds
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved", "method": "PASSIVE", "score": 96 },
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Branch your application:
Approved → execute the action (sign in, release the transfer, save settings).
Declined → block the action, re-prompt with a higher-friction recovery path (support contact / KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back.
STEP 4 — Alternate path (server-to-server, when you already have the selfie)
If you already captured the selfie locally (native mobile SDK, in-app camera):
POST https://verification.didit.me/v3/face-match/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image_a <the live selfie>
image_b <the enrolled portrait>
Response: similarity_score (0-1), status (Approved | Declined | In Review).
Use the standalone path only when you trust your client-side capture pipeline. For browser flows or any surface where the SDK is not embedded, always prefer the hosted session — Didit's liveness check is harder to defeat than a raw camera grab.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Always verify X-Signature-V2 on every payload.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, ID_VERIFICATION, AML, IP_ANALYSIS, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The biometric template is irreversible (a one-way hash) and stored on Didit's infrastructure. You never receive the raw template. Standard data-subject-deletion rules apply.
PRO TIPS
- Pair Biometric 2FA with Device & IP Analysis (bundled into the 200+ fraud-signal stack). A re-auth that originates from a brand-new device + a brand-new IP should always step up to face.
- For the strongest possible surface, swap method PASSIVE for ACTIVE_3D — a short motion challenge — on transfers above your operational risk threshold.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mes. No es requereix targeta de crèdit.
Paga només pel que utilitzes. Més de 25 mòduls. Preus públics per mòdul, sense quota mínima mensual.
MSA i SLA personalitzats. Per a grans volums i programes regulats.
Comença gratis → paga només quan s'executa una comprovació → desbloqueja Enterprise per a un contracte personalitzat, SLA o residència de dades.
Didit és infraestructura per a la identitat i el frau — la plataforma que ens hauria agradat que existís quan nosaltres mateixos construíem productes: oberta, flexible i amigable per als desenvolupadors, de manera que funciona com una part real de la vostra pila en lloc d'una caixa negra al voltant de la qual us integreu.
Una API cobreix la verificació de persones (KYC, coneix el teu client), la verificació d'empreses (KYB, coneix el teu negoci), el cribratge de carteres de criptomonedes (KYT, coneix la teva transacció) i la supervisió de transaccions en temps real — en una pila construïda per ser:
La petjada subjacent: més de 14.000 tipus de documents en més de 48 idiomes, més de 1.000 fonts de dades i més de 200 senyals de frau en cada sessió. La infraestructura de Didit aprèn dinàmicament de cada sessió i millora cada dia.
Autenticació de segon factor utilitzant la cara de l'usuari, no un codi enviat per una xarxa. El primer factor és el que l'usuari sap (contrasenya, clau d'accés, enllaç màgic). El segon factor és el que l'usuari és — un selfie en viu comparat 1:1 amb un retrat que l'usuari va registrar anteriorment.
Es troba al mateix lloc que la contrasenya d'un sol ús (OTP) per SMS en el vostre flux d'aplicació, però amb un cost, seguretat i perfil de conversió diferents.
Quatre classes d'atacs ben documentades la derroten. L'Oficina Federal d'Investigació dels EUA (FBI) i el Centre Nacional de Ciberseguretat del Regne Unit (NCSC) han publicat guies que aconsellen a les organitzacions allunyar-se dels SMS per a fluxos sensibles.
El flux complet normalment triga menys de 30 segons de principi a fi — agafar la identificació, fer una foto del document, fer una foto del selfie, fet. Això és el més ràpid del mercat. Els proveïdors de KYC antics solen trigar més de 90 segons per al mateix flux.
Al backend, Didit retorna el resultat en menys de dos segons a p99, mesurat des del moment en què l'usuari acaba el selfie fins al moment en què s'activa el vostre webhook. La captura mòbil està optimitzada per a telèfons lents i xarxes lentes: compressió progressiva d'imatges, càrrega lenta del kit de desenvolupament de programari i un traspàs amb un sol toc de l'escriptori al telèfon mitjançant codi QR si l'usuari comença al web.
La majoria dels equips s'inscriuen durant la sessió original de Know Your Customer (KYC) de l'usuari. El retrat capturat pel pas de liveness s'emmagatzema vinculat a les vostres vendor_data i s'utilitza com a plantilla per a cada reautenticació posterior.
Si no executeu KYC en el moment de la inscripció, podeu executar una sessió d'inscripció única contra un flux de treball de Didit que només contingui LIVENESS + FACE_MATCH. Qualsevol dels dos camins costa $0.10 una vegada, i la plantilla resultant és reutilitzable per a cada autenticació futura.
Cada sessió arriba a un dels set estats clars, de manera que el vostre codi sempre sap què fer:
Approved — totes les comprovacions superades. Feu avançar l'usuari.Declined — una o més comprovacions han fallat. Podeu permetre a l'usuari tornar a enviar el pas fallit específic (per exemple, tornar a fer el selfie) sense tornar a executar tot el flux.In Review — marcat per a revisió de compliment. Obriu el cas a la consola, vegeu tots els senyals, decidiu aprovar o rebutjar.In Progress — l'usuari està a mig flux.Not Started — enllaç enviat, l'usuari encara no l'ha obert. Envieu un recordatori si s'atura massa temps.Abandoned — l'usuari va obrir l'enllaç però no va acabar a temps. Torneu a interactuar o caduqueu.Expired — l'enllaç de la sessió ha caducat. Creeu una nova sessió.Un webhook signat s'activa en cada canvi d'estat, de manera que la vostra base de dades sempre es manté sincronitzada. Les sessions abandonades i rebutjades són gratuïtes.
Les dades de producció es processen i s'emmagatzemen a la Unió Europea per defecte, a Amazon Web Services. Els contractes empresarials poden sol·licitar regions alternatives per a jurisdiccions els reguladors de les quals ho requereixin.
Xifratge a tot arreu. AES-256 en repòs a totes les bases de dades, emmagatzematge d'objectes i còpies de seguretat. Transport Layer Security 1.3 en trànsit a cada trucada API, webhook i sessió de la Consola de Negocis. Les dades biomètriques es xifren sota una Clau Mestra de Client separada.
La retenció és vostra per controlar. La retenció per defecte és indefinida (il·limitada) a menys que configureu una retenció més curta — entre 30 dies i 10 anys per aplicació — i podeu eliminar qualsevol sessió individual en qualsevol moment des del tauler de control o l'API.
Certificacions: SOC 2 Tipus 1 (auditoria de Tipus 2 en curs), ISO/IEC 27001:2022, iBeta Nivell 1 PAD, i una certificació pública del Tesoro / SEPBLAC / CNMV d'Espanya que la verificació d'identitat remota de Didit és més segura que verificar algú en persona. Informe complet a /security-compliance.
Didit compleix la normativa per defecte per als reguladors que importen a la infraestructura d'identitat:
Memo detallat, cada certificat, cada carta del regulador: /security-compliance.
Tres rutes d'integració — trieu la que millor s'adapti a la vostra pila:
Mateix tauler de control, mateixa facturació, mateix preu de pagament per èxit per als tres. Guia pas a pas a docs.didit.me/integration/integration-prompt.
És un reemplaçament directe per al vostre contracte de callback de contrasenya d'un sol ús existent.
POST /v3/session/ amb workflow_type: "biometric_authentication" i les mateixes vendor_data que vau utilitzar en la inscripció.session_url retornada.X-Signature-V2 al webhook abans de confiar en el cos.status — Approved (executeu l'acció), Declined (bloquegeu), In Review (encoleu), Not Finished (torneu a sol·licitar).La majoria dels equips canvien els SMS per la cara en un cap de setmana. La indicació completa que es pot enganxar a l'agent es troba a dalt; el servidor del Model Context Protocol (MCP) parla amb ambdues superfícies.
Face Match 1:1 és robust a canvis moderats d'aparença — pèl facial, ulleres, color de cabell, il·luminació. La puntuació de similitud retornada per autenticació reflecteix la confiança del model.
Per als usuaris que s'allunyen del llindar d'aprovació automàtica (cas típic: canvi de pes dràstic, cirurgia, envelliment durant molts anys), el veredicte retorna In Review i s'encamina a la vostra cua d'operacions. El camí de recuperació estàndard és una sessió de reinscripció — una trucada KYC actualitza el retrat, i la següent autenticació utilitza la nova plantilla.
Sí, per a la categoria d'inherència. Els Estàndards Tècnics Reguladors de l'Autoritat Bancària Europea sobre Autenticació Reforçada de Clients reconeixen els atributs biomètrics (quelcom que ets) com un segon factor vàlid quan es combinen amb una de les altres dues categories (coneixement o possessió).
Per a un flux complet d'autenticació reforçada de clients PSD2, combineu l'autenticació biomètrica de 2 factors amb la contrasenya de l'usuari (coneixement) o una sessió vinculada al dispositiu (possessió). El veredicte signat de Didit és l'evidència del paquet d'auditoria del factor d'inherència.
Una API per a KYC, KYB, monitorització de transaccions i anàlisi de carteres. Integra-ho en 5 minuts.