L'usuari apropa el passaport al telèfon. Se'n verifica la signatura governamental, el retrat del xip supera l'autofoto. Qualitat bancària en menys de cinc segons. 0,15 $ per lectura de xip.
Robinhood Ventures
Confiat per més de 2.000 organitzacions a tot el món.
Què ha d'oferir una plataforma regulada
Les dades d'un xip de passaport electrònic estan signades criptogràficament pel país emissor. Verificar aquesta cadena de signatura,i comparar l'autofoto amb el retrat d'alta resolució del xip, t'ofereix una garantia de qualitat bancària que el document és genuí. El flux NFC de Didit s'executa en menys de cinc segons, torna a l'OCR quan l'NFC no està disponible i s'envia amb SDK natius per a iOS, Android, React Native i Flutter.
Tria les comprovacions que vulguis: identificació, prova de vida, coincidència facial, sancions, adreça, edat, telèfon, correu electrònic, preguntes personalitzades. Arrossega-les a un flux al tauler de control o publica el mateix flux a la nostra API. Crea ramificacions segons condicions, executa proves A/B, sense necessitat de codi.
Integra de forma nativa amb el nostre SDK per a Web, iOS, Android, React Native o Flutter. Redirigeix a una pàgina allotjada. O simplement envia a l'usuari un enllaç,per correu electrònic, SMS, WhatsApp, on vulguis. Tria el que millor s'adapti al teu stack.
Didit allotja la càmera, les indicacions d'il·luminació, el traspàs mòbil i l'accessibilitat. Mentre l'usuari està en el flux, puntuam més de 200 senyals de frau en temps real i verificam cada camp amb fonts de dades autoritzades. Resultat en menys de dos segons.
Els webhooks signats en temps real mantenen la teva base de dades sincronitzada en el moment en què un usuari és aprovat, rebutjat o enviat a revisió. Consulta l'API sota demanda. O obre la consola per inspeccionar cada sessió, cada senyal i gestionar els casos a la teva manera.
Didit · Lectura NFC
Pas 2 / 4
Acosta el passaport al telèfon
Didit · Cadena ICAO 9303
Didit · Reconeixement facial 1:1
Retrat del xip · DG2
Alta resolució · signat pel govern
Selfie en viu
Puntuació 0.94 · iBeta L1
Didit · Prova de vida passiva
Didit · AML
Didit · Verificació d'identitat
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_nfc_onboarding",
"vendor_data": "user-42",
"expected_country": "ES"
}'obre l'URL a l'SDK natiu · l'NFC entra en acció.$ curl https://verification.didit.me/v3/session/$SESSION/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Decision payload (excerpted):
{ "nfc_verification": { "passive_authentication": "Approved" },
"face": { "matched_against": "chip_portrait", "similarity_score": 0.94 } }matched_against chip_portrait → garantia de grau eIDAS.You are integrating Didit's NFC e-passport reading into a regulated onboarding flow (bank, fintech, crypto exchange, eIDAS-grade public service). NFC chip reading lifts onboarding from document-scan-grade to bank-grade in one extra step on the user's phone.
Five obligations on every onboarding:
1. Read the e-passport / e-ID chip via NFC — DG1 (MRZ), DG2 (portrait), DG11 (personal details).
2. Verify the government signature chain — Passive Authentication (PA) against the ICAO Public Key Directory, Chip Authentication (CA), Active Authentication (AA).
3. Match the live selfie to the high-resolution DG2 portrait extracted from the chip.
4. Run Passive Liveness on the selfie — iBeta Level 1 anti-spoof certified, defeats printed photos, screen replays, masks, and deepfakes.
5. Screen the chip-verified identity against sanctions, Politically Exposed Persons (PEP), and adverse-media lists.
Fallback automatically when NFC is unavailable (no chip, NFC blocked by iOS or by user permission, chip damaged): the workflow drops to high-accuracy MRZ + OCR on the visual page using ID Verification.
Pricing (verified live):
- NFC Reading: $0.15 per chip read
- ID Verification (fallback or always-on belt-and-braces): $0.15 per check
- Passive Liveness: $0.10 per check
- Face Match 1:1: $0.05 per match
- AML Screening: $0.20 per check
- Bundle (NFC + Liveness + Face Match + AML): $0.50 per onboarded user when NFC succeeds; $0.50 also when the workflow falls back to ID Verification
- First 500 KYC verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header and your webhook secret.
- A workflow_id from the Workflow Builder bundling NFC Reading + ID Verification (fallback) + Passive Liveness + Face Match 1:1 + AML Screening.
- The Didit hosted flow or the native SDKs (web SDK, iOS, Android, React Native, Flutter) — NFC chip reading requires the native NFC stack, so plain web-only deployments fall back to MRZ + OCR automatically.
STEP 1 — Create the NFC session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your nfc onboarding workflow id>",
"vendor_data": "<your user id, max 256 chars>",
"callback_url": "https://<your-app>/onboarding/kyc/callback",
"expected_country": "ES",
"metadata": {
"channel": "native_ios",
"purpose": "high_assurance_onboarding"
}
}
Response: 201 Created with the hosted session URL. Open it via the native SDK (iOS NFC requires CoreNFC entitlement) or in the hosted webview; the user taps the e-passport against the phone's NFC reader, the chip data is read in 2-4 seconds.
STEP 2 — The chip-read sequence (handled by the SDK / hosted flow)
Inside the hosted flow, in this order:
a. The user presents the data page so the device camera reads the Machine-Readable Zone (MRZ). The MRZ provides the BAC / PACE key needed to handshake with the chip.
b. The user taps the passport to the phone. PACE (preferred) or BAC handshake establishes a secure session with the chip.
c. The chip returns Data Group 1 (MRZ data — name, DOB, expiry, document number), Data Group 2 (the high-resolution portrait), and Data Group 11 (personal details where available).
d. Passive Authentication verifies the Document Signer Certificate against the country's Country Signing CA via the ICAO Public Key Directory. Chip Authentication and Active Authentication run if supported by the issuing country.
e. The user takes a single selfie (Passive Liveness, no challenge prompts).
f. The selfie is matched 1:1 against the DG2 portrait.
STEP 3 — Read the signed webhook on completion
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"nfc_verification": {
"status": "Approved",
"passive_authentication": "Approved",
"chip_authentication": "Approved",
"active_authentication": "Approved",
"data_groups_read": [1, 2, 11]
},
"id_verification": { "status": "Approved", "document_type": "passport", "country_code": "ES" },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94, "matched_against": "chip_portrait" },
"aml": { "status": "Approved", "hits": [] }
}
Session status enum (exact case):
Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Decide
Branch logic:
Approved → onboard the user with bank-grade assurance.
In Review → hold the account, wait for analyst webhook update.
Declined → refuse onboarding, log the decline reason.
Resubmitted → user updated something; re-read the decision.
When face.matched_against === "chip_portrait", you can mark the identity as eIDAS High-grade (Substantial / High depending on your local regulator's reading). When it falls back to "id_document_portrait" (the visual page), it's still bank-grade by document-scan standards but not chip-anchored.
STEP 5 — Fallback paths
iPhones below iPhone 7, or any phone with NFC disabled, or a document without a chip (pre-2014 in some countries) → the workflow surfaces "NFC unavailable" and routes to the ID Verification + MRZ + OCR path. Same hosted URL, same webhook, same statuses. The fallback is configured in the Workflow Builder, not in your code.
Some Android devices won't read every chip due to NFC antenna placement — Didit's iOS / Android SDKs surface a graceful retry hint before failing over to OCR.
STEP 6 — Ongoing monitoring
Enable Ongoing AML at $0.07/user/year to keep the identity fresh. NFC re-reads aren't required for ongoing — the chip data was captured at onboarding and the binding is permanent for the document's validity period.
WEBHOOK EVENT NAMES
- status.updated — session status changed.
- data.updated — session data changed (resubmission, NFC retry, ongoing AML hit).
Verify X-Signature-V2 on every payload. The webhook secret is per-environment — sandbox key is separate from production.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review).
- NFC chip reading requires the native NFC stack — iOS, Android, React Native, Flutter SDKs handle it; pure web falls back to MRZ + OCR.
- The chip portrait (DG2) is far higher-resolution than the visual page — matching the selfie to it is meaningfully more accurate than matching to a phone-camera-captured ID photo.
- Document Signer Certificate trust is anchored to the ICAO Public Key Directory; some countries (eg. small island states) do not publish to the PKD and will return a Passive Authentication warning rather than Approved.
- Default record retention is 5 years post-relationship per the EU AML package.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/core-technology/nfc-verification/overview
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mes. No es requereix targeta de crèdit.
Paga només pel que utilitzes. Més de 25 mòduls. Preus públics per mòdul, sense quota mínima mensual.
MSA i SLA personalitzats. Per a grans volums i programes regulats.
Comença gratis → paga només quan s'executa una comprovació → desbloqueja Enterprise per a un contracte personalitzat, SLA o residència de dades.
Didit és la infraestructura per a la identitat i el frau, la plataforma que ens hauria agradat tenir quan construíem productes nosaltres mateixos: oberta, flexible i amigable per a desenvolupadors, perquè funcioni com una part real de la teva pila en lloc d'una caixa negra que integres al voltant.
Una API cobreix la verificació de persones (KYC, know your customer), la verificació d'empreses (KYB, know your business), el cribratge de carteres de criptomonedes (KYT, know your transaction), i el monitoratge de transaccions en temps real, en una pila construïda per ser:
La base subjacent: més de 14.000 tipus de documents en més de 48 idiomes, més de 1.000 fonts de dades, i més de 200 senyals de frau en cada sessió. La infraestructura de Didit aprèn dinàmicament de cada sessió i millora cada dia.
Els passaports moderns (i cada vegada més les targetes d'identitat nacionals modernes a la UE) porten un petit xip sense contacte, el mateix tipus de xip que toques per pagar amb una targeta. El xip conté:
Això últim és la màgia. El xip està criptogràficament lligat al país emissor, la qual cosa significa que un atacant no pot falsificar ni manipular el que retorna, hauria de falsificar una signatura governamental. Didit llegeix el xip mitjançant NFC al telèfon de l'usuari en 2-4 segons per $0.15 per lectura.
Tres raons, per ordre d'importància:
Per a la majoria de fluxos d'onboarding, l'escaneig de documents és suficient. Per a banca, fintech, serveis públics de grau eIDAS, i qualsevol flux on un sol fals positiu costi diners reals, la lectura de xip NFC és el control estàndard.
El flux complet normalment triga menys de 30 segons de principi a fi, agafar la identificació, fer la foto del document, fer el selfie, fet. Això és el més ràpid del mercat. Els proveïdors de KYC antics solen trigar més de 90 segons per al mateix flux.
Al backend, Didit retorna el resultat en menys de dos segons a p99, mesurat des del moment en què l'usuari acaba el selfie fins al moment en què s'activa el teu webhook. La captura mòbil està optimitzada per a telèfons lents i xarxes lentes: compressió progressiva d'imatges, càrrega lenta del kit de desenvolupament de programari i un traspàs amb un sol toc de l'escriptori al telèfon mitjançant codi QR si l'usuari comença des del web.
ICAO Doc 9303 és l'especificació internacional per a documents de viatge llegibles per màquina (MRTDs), tots els passaports moderns del món es construeixen segons aquesta especificació. Tres aspectes són importants per a la verificació NFC:
Didit executa els tres i exposa cada veredicte per separat a la càrrega útil de decisió. La conformitat amb ICAO Doc 9303 significa que la ruta de lectura del xip és la mateixa que utilitzen els agents de fronteres a les portes electròniques dels aeroports.
Cada sessió acaba en un dels set estats clars, així el teu codi sempre sap què fer:
Approved, totes les comprovacions superades. Fes avançar l'usuari.Declined, una o més comprovacions han fallat. Pots permetre a l'usuari tornar a enviar el pas fallit específic (per exemple, tornar a fer el selfie) sense tornar a executar tot el flux.In Review, marcat per a revisió de compliment. Obre el cas a la consola, consulta tots els senyals, decideix aprovar o rebutjar.In Progress, l'usuari està a mig flux.Not Started, enllaç enviat, l'usuari encara no l'ha obert. Envia un recordatori si passa massa temps.Abandoned, l'usuari va obrir l'enllaç però no va acabar a temps. Torna a contactar o caduca.Expired, l'enllaç de la sessió ha caducat. Crea una nova sessió.Un webhook signat s'activa amb cada canvi d'estat, així la teva base de dades sempre està sincronitzada. Les sessions abandonades i rebutjades són gratuïtes.
Les dades de producció es processen i s'emmagatzemen a la Unió Europea per defecte, a Amazon Web Services. Els contractes empresarials poden sol·licitar regions alternatives per a jurisdiccions els reguladors de les quals ho requereixin.
Xifratge a tot arreu. AES-256 en repòs a totes les bases de dades, emmagatzematge d'objectes i còpies de seguretat. Transport Layer Security 1.3 en trànsit a cada trucada d'API, webhook i sessió de la Consola de Negocis. Les dades biomètriques es xifren amb una Clau Mestra de Client separada.
La retenció és teva per controlar. La retenció predeterminada és indefinida (il·limitada) a menys que configuris una retenció més curta, entre 30 dies i 10 anys per aplicació, i pots eliminar qualsevol sessió individual en qualsevol moment des del tauler de control o l'API.
Certificacions: SOC 2 Tipus 1 (auditoria Tipus 2 en curs), ISO/IEC 27001:2022, iBeta Nivell 1 PAD, i una certificació pública del Tresor / SEPBLAC / CNMV d'Espanya que la verificació d'identitat remota de Didit és més segura que verificar algú en persona. Informe complet a /security-compliance.
Didit compleix per defecte amb els reguladors importants per a la infraestructura d'identitat:
Memo detallat, cada certificat, cada carta del regulador: /security-compliance.
Tres rutes d'integració, tria la que millor s'adapti a la teva pila:
Mateix tauler de control, mateixa facturació, mateix preu de pagament per èxit per als tres. Guia pas a pas a docs.didit.me/integration/integration-prompt.
Tres modes de fallada comuns, tots gestionats pel flux de treball:
La ruta de fallback és la mateixa /v3/session/, el mateix webhook, els mateixos estats. La càrrega útil de decisió t'indica quina ruta ha tingut èxit perquè puguis actuar en conseqüència, face.matched_against === "chip_portrait" per a la ruta NFC, "id_document_portrait" per al fallback d'OCR. Els fluxos de treball de nivell bancari poden rebutjar el fallback d'OCR i requerir un nou intent en un dispositiu diferent.
Sota eIDAS 2, el marc d'identificació electrònica de la UE, un passaport electrònic verificat amb xip i coincidència biomètrica pot suportar una assegurança Substancial o Alta, depenent dels controls que envolten el flux de treball.
El paper de Didit és proporcionar l'evidència subjacent de la vinculació d'identitat:
Si el flux complet arriba a Substancial o Alt depèn de la cartera consumidora, el marc de confiança i la interpretació del regulador al teu país. Didit és l'única plataforma KYC amb una certificació formal del govern de la UE, el Tresor d'Espanya, el Banc d'Espanya i el SEPBLAC van certificar conjuntament el servei com més segur que la verificació en persona. Aquest informe és el punt de partida més citat per a una discussió sobre eIDAS Alt.
La majoria de proveïdors NFC tenen preus entre $1.50 i $5.00 per lectura de xip, sovint amb mínims de milers d'euros al mes i recàrrecs per país per a subscripcions de certificats de signatura de xip. L'arquetip Onfido / Jumio / Veriff.
El preu publicat de Didit és de $0.15 per lectura de xip NFC + $0.50 per al paquet complet (NFC + Liveness + Face Match + AML). Sense mínims, sense recàrrecs per país. Les primeres 500 verificacions gratuïtes cada mes absorbeixen la majoria de pilots completament.
Això és aproximadament 10-30 vegades més barat que la pila existent amb la mateixa sortida regulatòria. Amb 10.000 usuaris al mes, l'estalvi respecte a un incumbent de $2.00 per xip és d'uns $18.500. Amb volums de bancs europeus (més de 100.000 KYC al mes), l'estalvi es multiplica fins a sis xifres anuals. Preus complets a /pricing.
Una API per a KYC, KYB, monitorització de transaccions i anàlisi de carteres. Integra-la en 5 minuts.