Substitueix les preguntes de seguretat i els codis d'un sol ús per SMS amb una nova coincidència biomètrica amb la selfie d'inscripció. Veredicte en menys de 2 segons, ~$0.15 per recuperació, certificat iBeta Nivell 1.
Robinhood Ventures
Confiat per més de 2.000 organitzacions a tot el món.
Per què una comprovació facial és millor que un SMS
El SIM-swapping derrota els codis d'un sol ús per SMS. El phishing derrota les preguntes de seguretat. Els agents de suport es col·lapsen sota pressió. Una coincidència facial en viu amb la selfie d'inscripció derrota els tres, per 0,15 $ per recuperació, veredicte en menys de dos segons i 500 gratuïtes cada mes.
Tria les comprovacions que vulguis: identificació, prova de vida, coincidència facial, sancions, adreça, edat, telèfon, correu electrònic, preguntes personalitzades. Arrossega-les a un flux al tauler de control, o publica el mateix flux a la nostra API. Crea ramificacions segons les condicions, executa proves A/B, sense necessitat de codi.
Integra de forma nativa amb els nostres SDK per a Web, iOS, Android, React Native o Flutter. Redirigeix a una pàgina allotjada. O simplement envia un enllaç al teu usuari, per correu electrònic, SMS, WhatsApp, on vulguis. Tria el que s'adapti millor a la teva pila tecnològica.
Didit allotja la càmera, les indicacions d'il·luminació, el traspàs mòbil i l'accessibilitat. Mentre l'usuari està en el flux, puntuam més de 200 senyals de frau en temps real i verifiquem cada camp amb fonts de dades autoritzades. Resultat en menys de dos segons.
Els webhooks signats en temps real mantenen la teva base de dades sincronitzada en el moment en què un usuari és aprovat, rebutjat o enviat a revisió. Consulta l'API sota demanda. O obre la consola per inspeccionar cada sessió, cada senyal i gestionar els casos a la teva manera.
Didit · Reconeixement facial 1:1
Inscripció
Recuperació
Didit · Prova de vida passiva
Didit · Política de Step-up
Didit · Fallbacks
Didit · Registre d'auditoria
Didit · Política de sessió
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_account_recovery",
"vendor_data": "user-7382",
"metadata": { "trigger": "forgot_password" },
// base64 enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
sendPasswordResetEmail(payload.vendor_data);
registerNewDevice(payload.metadata);
} altrament si (payload.status === "Declined") {
security.logRecoveryAttack(payload);
}estat Aprovat · Rebutjat · En Revisió · KYC ExpiratYou are integrating Didit into an account-recovery flow. Replace knowledge-based recovery (security questions, SMS OTP, support-rep verification) with a biometric re-match against the user's enrolment selfie. ONE Didit session, two checks:
- Passive Liveness — make sure the recovery selfie is a real human, not a print / screen / mask / deepfake.
- Face Match 1:1 — match the recovery selfie against the user's enrolment selfie. If similarity is above your threshold, the recovery is approved.
Bundle pricing (verified live, 2026-05-16):
- Passive Liveness: $0.10 per recovery
- Face Match 1:1: $0.05 per recovery
- Total: ~$0.15 per recovery — public price, no minimums
- First 500 verifications free every month, forever
- SMS / WhatsApp One-Time Passcode (OTP) fallback: $0.03 per OTP (when biometric isn't possible)
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header.
- User's enrolment selfie on file — captured during initial KYC via a previous /v3/session/. Stored under your tenant in encrypted form.
- A workflow_id from the Workflow Builder that runs Passive Liveness + Face Match 1:1 against the stored reference.
STEP 1 — Trigger recovery on the right signal
Recovery is gated by your risk policy. Typical triggers:
- User clicks "Forgot password" — always.
- Sign-in from a new device + new IP country at the same time.
- Sign-in after account dormancy (e.g. 180+ days).
- Sensitive action: large withdrawal, payout to a new beneficiary, account-settings change.
Each trigger opens a Didit session.
STEP 2 — Open the recovery session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Passive Liveness + Face Match against enrolment selfie>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/account/recovery/callback",
"metadata": {
"trigger": "forgot_password",
"device_fingerprint": "<your device fingerprint>",
"ip_country": "ES"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the recovery flow matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user (web or in-app webview) to the URL. Sub-2-second median verdict on completion.
STEP 3 — Read the signed webhook on the verdict
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 }
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Branch on the verdict
Approved → unlock recovery: send the password-reset email, register the new device, complete the sensitive action.
In Review → soft-fail the recovery, route to support for human review.
Declined → block the recovery; log the hit. Could be a printed-photo or screen-replay attack — surface to security.
Resubmitted → user retried after a soft rejection — re-read.
Kyc Expired → reference selfie has aged out (per your retention policy) — fall back to documented recovery flow.
STEP 5 — Fallback for users who can't take a selfie
Camera missing, low light, hardware refused permission. Two graceful fallbacks:
- SMS / WhatsApp / Telegram One-Time Passcode (OTP) via Didit Phone Verification, $0.03 per OTP.
- Email magic link via your existing transactional email provider, $0.03 per email.
- Authenticator app — Time-based One-Time Password (TOTP) or FIDO2 hardware key, free.
Configure the fallback chain in the Workflow Builder. Selfie always tried first.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Do not lowercase or snake_case them.
- The recovery similarity threshold is configurable per app — start at 0.85, tune up for high-assurance apps (banks, brokerages) and down for low-friction consumer apps.
- Liveness is a Presentation Attack Detection (PAD) Level 1 model — defeats prints, screens, masks, deepfakes on consumer cameras. Active liveness (head-tilt prompts) is available for higher-friction higher-assurance flows at $0.15.
- The user's enrolment selfie must have been captured by Didit (any prior /v3/session/ with face capture). Bring-your-own enrolment image is roadmap.
- Default audit retention is 5 years configurable in the Business Console.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mes. No es requereix targeta de crèdit.
Paga només pel que utilitzes. Més de 25 mòduls. Preus públics per mòdul, sense quota mínima mensual.
MSA i SLA personalitzats. Per a grans volums i programes regulats.
Comença gratis → paga només quan s'executa una comprovació → desbloqueja Enterprise per a un contracte personalitzat, SLA o residència de dades.
Didit és la infraestructura per a la identitat i el frau, la plataforma que ens hauria agradat que existís quan construíem productes nosaltres mateixos: oberta, flexible i amigable per a desenvolupadors, perquè funcioni com una part real del teu stack en lloc d'una caixa negra al voltant de la qual has d'integrar.
Una API cobreix la verificació de persones (KYC, know your customer), la verificació d'empreses (KYB, know your business), el cribratge de carteres de criptomonedes (KYT, know your transaction), i la monitorització de transaccions en temps real, en un stack construït per ser:
La petjada subjacent: més de 14.000 tipus de documents en més de 48 idiomes, més de 1.000 fonts de dades, i més de 200 senyals de frau en cada sessió. La infraestructura de Didit aprèn dinàmicament de cada sessió i millora cada dia.
Perquè el flux de recuperació és el lloc més fàcil per eludir l'autenticació. L'usuari ha oblidat la contrasenya; per definició, no la pots demanar. La majoria d'aplicacions recorren a:
Una coincidència facial en viu amb el selfie d'inscripció derrota els quatre.
Tres problemes estructurals que no desapareixeran:
L'Institut Nacional d'Estàndards i Tecnologia dels EUA (NIST) ha recomanat explícitament no utilitzar SMS per a la recuperació d'alta seguretat des de 2017 (SP 800-63B).
El flux complet normalment triga menys de 30 segons de principi a fi, agafa l'ID, fes una foto del document, fes-te un selfie, fet. Això és el més ràpid del mercat. Els proveïdors de KYC antics solen trigar més de 90 segons per al mateix flux.
Al backend, Didit retorna el resultat en menys de dos segons al p99, mesurat des del moment en què l'usuari acaba el selfie fins al moment en què s'activa el teu webhook. La captura mòbil està optimitzada per a telèfons lents i xarxes lentes: compressió progressiva d'imatges, càrrega lenta del kit de desenvolupament de programari i un traspàs amb un sol toc de l'escriptori al telèfon mitjançant codi QR si l'usuari comença al web.
Dos escenaris:
La possibilitat d'aportar la teva pròpia imatge d'inscripció,el teu corpus de selfies existent, està en el full de ruta.
Cada sessió aterra en un dels set estats clars, de manera que el teu codi sempre sap què fer:
Approved, totes les comprovacions superades. Fes avançar l'usuari.Declined, una o més comprovacions han fallat. Pots permetre a l'usuari tornar a enviar el pas fallit específic (per exemple, tornar a fer-se el selfie) sense tornar a executar tot el flux.In Review, marcat per a revisió de compliment. Obre el cas a la consola, consulta tots els senyals, decideix aprovar o denegar.In Progress, l'usuari està a mig flux.Not Started, enllaç enviat, l'usuari encara no l'ha obert. Envia un recordatori si s'allarga massa.Abandoned, l'usuari va obrir l'enllaç però no va acabar a temps. Torna a contactar o fes que caduqui.Expired, l'enllaç de la sessió ha caducat. Crea una nova sessió.Un webhook signat s'activa en cada canvi d'estat, de manera que la teva base de dades sempre es manté sincronitzada. Les sessions abandonades i denegades són gratuïtes.
Per defecte, les dades de producció es processen i s'emmagatzemen a la Unió Europea, a Amazon Web Services. Els contractes empresarials poden sol·licitar regions alternatives per a jurisdiccions que ho requereixin els seus reguladors.
Xifratge a tot arreu. AES-256 en repòs a totes les bases de dades, emmagatzematge d'objectes i còpies de seguretat. Transport Layer Security 1.3 en trànsit a cada trucada d'API, webhook i sessió de la Business Console. Les dades biomètriques es xifren amb una Customer Master Key separada.
Tu controles la retenció. La retenció per defecte és indefinida (il·limitada), tret que la configuris més curta,entre 30 dies i 10 anys per aplicació, i pots eliminar qualsevol sessió individual en qualsevol moment des del tauler de control o l'API.
Certificacions: SOC 2 Tipus 1 (auditoria Tipus 2 en curs), ISO/IEC 27001:2022, iBeta Nivell 1 PAD, i una certificació pública del Tesoro / SEPBLAC / CNMV d'Espanya que la verificació d'identitat remota de Didit és més segura que verificar algú en persona. Informe complet a /security-compliance.
Didit compleix per defecte amb els reguladors importants per a la infraestructura d'identitat:
Memo detallat, tots els certificats, totes les cartes reguladores: /security-compliance.
Tres rutes d'integració, tria la que millor s'adapti al teu stack:
Mateix tauler de control, mateixa facturació, mateix preu de pagament per èxit per als tres. Guia pas a pas a docs.didit.me/integration/integration-prompt.
La Detecció de Vida Passiva (PAD) derrota els deepfakes de consum avui dia. El model PAD busca:
El model PAD de Didit té la certificació iBeta Nivell 1. La Detecció de Vida Activa (0,15 $) afegeix indicacions d'inclinació del cap per a una major seguretat contra els deepfakes en temps real de qualitat professional, que són rars.
La defensa contra els deepfakes és una cursa armamentística: Didit reentrena el model PAD trimestralment contra els darrers corpus d'atac.
Sí, això és l'Autenticació Biomètrica, un patró de reautenticació recurrent. 0,10 $ per autenticació:
El mateix contracte /v3/session/, però amb un workflow_id diferent. Comú per a intercanvis de criptomonedes, aplicacions bancàries i productes de consum d'alta seguretat. Consulta /products/biometric-authentication per al patró d'autenticació recurrent.
Cada intent de recuperació registra:
vendor_data (el teu identificador d'usuari) i la session_id de Didit.trigger que vas passar a metadata (forgot_password / new_device / dormancy / sensitive_action).Es pot cercar des de la Consola de Negocis, exportable per usuari, amb retenció configurable de 5 anys. Els controls SOC 2 Tipus 1 + ISO 27001 regeixen l'emmagatzematge.
Una API per a KYC, KYB, monitorització de transaccions i anàlisi de carteres. Integra-la en 5 minuts.