L'autenticació biomètrica ($0.10) més l'anàlisi de dispositius i IP ($0.03) proporcionen dos factors SCA de grau PSD3 en una única sol·licitud. Resistent al phishing. Substitut directe de la contrasenya d'un sol ús per SMS.
Robinhood Ventures
Confiat per més de 2.000 organitzacions a tot el món.
Per què l'SMS OTP s'està retirant
La PSD3 està eliminant gradualment la contrasenya d'un sol ús per SMS com a factor d'autenticació reforçada de client (SCA). L'SCA biomètrica vinculada al dispositiu de Didit bloqueja el SIM-swap, el phishing en temps real i la intercepció SS7, per només 0,13 $ per autenticació, amb un veredicte en menys de dos segons i preparada per a l'enllaç dinàmic. 500 verificacions gratuïtes cada mes.
Tria les comprovacions que vulguis: identificació, prova de vida, coincidència facial, sancions, adreça, edat, telèfon, correu electrònic, preguntes personalitzades. Arrossega-les a un flux al panell de control o publica el mateix flux a la nostra API. Crea ramificacions segons condicions, executa proves A/B, sense necessitat de codi.
Integra de forma nativa amb els nostres SDK per a Web, iOS, Android, React Native o Flutter. Redirigeix a una pàgina allotjada. O simplement envia a l'usuari un enllaç per correu electrònic, SMS, WhatsApp, on vulguis. Tria el que millor s'adapti al teu stack.
Didit allotja la càmera, les indicacions d'il·luminació, el traspàs mòbil i l'accessibilitat. Mentre l'usuari està en el flux, puntuam més de 200 senyals de frau en temps real i verifiquem cada camp amb fonts de dades autoritzades. Resultat en menys de dos segons.
Els webhooks signats en temps real mantenen la teva base de dades sincronitzada en el moment en què un usuari és aprovat, rebutjat o enviat a revisió. Consulta l'API sota demanda. O obre la consola per inspeccionar cada sessió, cada senyal i gestionar els casos a la teva manera.
Didit · Factors SCA
Coneixement
Contrasenya · PIN
Opcional
Possessió
Dispositiu vinculat
Didit ✓
Inherència
Cara · prova de vida
Didit ✓
Didit · Enllaç dinàmic
Didit · Matriu d'atac
Didit · Motor d'exempcions
Didit · Anàlisi de dispositius i IP
Didit · Cost per autenticació
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "purpose": "login" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'estat Aprovat · Rebutjat · En revisió$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "amount": "247.50", "payee_account": "ES91…1332" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'el webhook retorna l'import + el beneficiari per a la verificacióYou are integrating Didit's Strong Customer Authentication into a payment service provider, bank, EMI, or wallet to satisfy PSD3 / the Payment Services Regulation (PSR). Two factors in one prompt:
1. Inherence — Biometric Authentication: Passive Liveness + Face Match 1:1 against the user's previously-enrolled KYC selfie.
2. Possession — Device & IP Analysis: 200+ real-time fraud signals binding the auth to the user's known device.
Pricing (verified live 2026-05-16):
- Biometric Authentication: $0.10 per auth
- Device & IP Analysis: $0.03 per auth
- Total: $0.13 per Strong Customer Authentication
- First 500 verifications free every month, forever
- Re-uses the enrolled selfie from the original KYC — no re-enrolment
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
- A workflow_id from the no-code Workflow Builder configured as a Biometric Authentication workflow (Passive Liveness + Face Match 1:1 + Device & IP Analysis).
- The user has previously completed a Didit KYC (the same enrolled selfie backs every subsequent auth).
STEP 1 — Open an authentication session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (for login auth):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/auth/callback",
"metadata": {
"purpose": "login",
"session_id": "<your front-end session id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor; OMIT only if the workflow is liveness-only>"
}
Body (for payment with dynamic linking):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/payment/callback",
"metadata": {
"purpose": "payment",
"amount": "247.50",
"currency": "EUR",
"payee_account": "ES9121000418450200051332",
"payee_name": "<merchant or recipient>",
"transaction_reference": "<your internal transaction id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor>"
}
Response: 201 Created with the hosted session URL. Push the URL to the user via deep-link / push notification / in-app sheet.
STEP 2 — User completes the biometric auth
The user sees one prompt on their phone (or via the Didit SDK in your native app). Three things happen on the same screen:
1. The amount + payee are displayed (dynamic linking — the user explicitly approves THIS amount to THIS payee for payments).
2. Passive Liveness defeats screen replay, printed photo, mask, deepfake.
3. Face Match 1:1 matches the new selfie against the enrolled KYC selfie.
Device & IP Analysis runs server-side on the session. Sub-2-second median verdict.
STEP 3 — Read the signed webhook on the auth verdict
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "vpn_detected": false, "datacenter_ip": false },
"metadata_echo": {
"amount": "247.50",
"payee_account": "ES9121000418450200051332"
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
For payments, verify that metadata_echo.amount and metadata_echo.payee_account match the values you passed in. If they do not, REJECT the payment — it's a dynamic-linking violation.
STEP 4 — Branch on verdict
Approved → unlock the action (login, payment, account change).
In Review → hold the action, route to manual review queue.
Declined → block, log the attempt, surface a friendly "try again" to the user.
Resubmitted → the user re-submitted after a soft fail (poor lighting, occlusion); proceed if the latest status is Approved.
STEP 5 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload: liveness verdict (iBeta Level 1 anti-spoof certified), Face Match similarity score, device fingerprint, IP geolocation, VPN / proxy / datacenter flags, 200+ fraud-signal score, dynamic-linking echo, HMAC signature.
Use this for the audit-trail surface a regulator examines on Strong Customer Authentication coverage.
STEP 6 — Step up on risk
When Device & IP Analysis surfaces a high-risk signal (new device + high-value payment, VPN/proxy on a login, geolocation jump), your workflow can step up to:
- A separate hardware-key challenge (FIDO2 / WebAuthn)
- A trusted-beneficiary whitelist confirmation
- A manual-review hold
Encode the step-up policy in the no-code Workflow Builder — no redeploy required.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE on a session.
- Dynamic linking is REQUIRED for payments — pass amount + payee in metadata, verify the echo on the webhook.
- The enrolled selfie that backs every SCA is the one captured during the user's original KYC — no separate enrolment step.
- PSD3 / PSR exemptions (low-value remote < EUR 30, contactless point-of-sale < EUR 50, recurring identical, trusted beneficiary, Transaction Risk Analysis tiers) are configured per workflow in the Business Console.
- Default record retention is 5 years per the EU AML and payments rules.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mes. No es requereix targeta de crèdit.
Paga només pel que utilitzes. Més de 25 mòduls. Preus públics per mòdul, sense quota mínima mensual.
MSA i SLA personalitzats. Per a grans volums i programes regulats.
Comença gratis → paga només quan s'executa una comprovació → desbloqueja Enterprise per a un contracte personalitzat, SLA o residència de dades.
Didit és la infraestructura per a la identitat i el frau, la plataforma que ens hauria agradat que existís quan nosaltres mateixos construíem productes: oberta, flexible i amigable per a desenvolupadors, perquè funcioni com una part real del teu stack en lloc d'una caixa negra que integres al voltant.
Una API cobreix la verificació de persones (KYC, know your customer), la verificació d'empreses (KYB, know your business), el cribratge de carteres de criptomonedes (KYT, know your transaction), i el monitoratge de transaccions en temps real, en un stack construït per ser:
La base subjacent: més de 14.000 tipus de documents en més de 48 idiomes, més de 1.000 fonts de dades, i més de 200 senyals de frau en cada sessió. La infraestructura de Didit aprèn dinàmicament de cada sessió i millora cada dia.
L'Autenticació Reforçada de Clients (SCA) és una norma de la regulació de serveis de pagament de la UE que diu: quan un client inicia sessió al seu compte o inicia un pagament, l'has de verificar utilitzant almenys dues de les tres categories de factors independents.
Les tres categories:
Els dos factors han de provenir de categories diferents, una contrasenya més una pregunta de seguretat no és SCA, perquè ambdues són coneixement. Una contrasenya més una empremta digital sí que ho és, perquè creuen categories.
Un tercer requisit, l'enllaç dinàmic, diu que el segon factor per a un pagament ha d'estar lligat de manera única a l'import de la transacció i al beneficiari, així un codi robat no es pot reutilitzar contra una transacció diferent.
PSD3, abreviatura de Payment Services Directive 3, és la reescriptura de la UE del 2026 del reglament que PSD2 va introduir el 2018. Al seu costat hi ha el Reglament de Serveis de Pagament (PSR), que és directament aplicable als estats membres sense transposició nacional.
Canvis clau respecte a PSD2:
La transició és progressiva, s'espera que la majoria dels canvis de SCA entrin en vigor entre 18 i 24 mesos després de l'adopció final.
El flux complet normalment triga menys de 30 segons de principi a fi, agafa el DNI, fes una foto del document, fes-te una selfie, fet. Això és el més ràpid del mercat. Els proveïdors de KYC antics solen trigar més de 90 segons per al mateix flux.
Al back-end, Didit retorna el resultat en menys de dos segons al p99, mesurat des del moment en què l'usuari acaba la selfie fins al moment en què s'activa el teu webhook. La captura mòbil està optimitzada per a telèfons lents i xarxes lentes: compressió progressiva d'imatges, càrrega lenta del kit de desenvolupament de programari i un traspàs amb un sol toc de l'escriptori al telèfon mitjançant codi QR si l'usuari comença al web.
Necessiten SCA per defecte:
Exemptes (PSD3 manté la majoria de les exempcions de PSD2, però endureix els llindars):
Fer bé el càlcul de les exempcions és la feina d'optimització de SCA amb més palanquejament que fan la majoria dels equips, ben aplicada redueix la fricció d'autenticació sense augmentar el frau.
Cada sessió té un dels set estats clars, així el teu codi sempre sap què fer:
Approved, totes les comprovacions superades. Fes avançar l'usuari.Declined, una o més comprovacions han fallat. Pots permetre a l'usuari tornar a enviar el pas fallit específic (per exemple, tornar a fer-se la selfie) sense haver de repetir tot el flux.In Review, marcat per a revisió de compliment. Obre el cas a la consola, consulta tots els senyals, decideix aprovar o rebutjar.In Progress, l'usuari està a mig flux.Not Started, enllaç enviat, l'usuari encara no l'ha obert. Envia un recordatori si passa massa temps.Abandoned, l'usuari va obrir l'enllaç però no va acabar a temps. Torna a contactar o fes que caduqui.Expired, l'enllaç de la sessió ha caducat. Crea una nova sessió.Un webhook signat s'activa amb cada canvi d'estat, així la teva base de dades sempre està sincronitzada. Les sessions abandonades i rebutjades són gratuïtes.
Per defecte, les dades de producció es processen i emmagatzemen a la Unió Europea, a Amazon Web Services. Els contractes empresarials poden sol·licitar regions alternatives per a jurisdiccions on els reguladors ho requereixin.
Xifratge a tot arreu. AES-256 en repòs a totes les bases de dades, emmagatzematge d'objectes i còpies de seguretat. Transport Layer Security 1.3 en trànsit a cada trucada API, webhook i sessió de la Consola de Negocis. Les dades biomètriques es xifren amb una Customer Master Key separada.
La retenció la controles tu. La retenció per defecte és indefinida (il·limitada), tret que configuris un període més curt,entre 30 dies i 10 anys per aplicació, i pots eliminar qualsevol sessió individual en qualsevol moment des del tauler de control o l'API.
Certificacions: SOC 2 Type 1 (auditoria Type 2 en curs), ISO/IEC 27001:2022, iBeta Level 1 PAD, i una certificació pública del Tesoro / SEPBLAC / CNMV d'Espanya que la verificació d'identitat remota de Didit és més segura que verificar algú en persona. Informe complet a /security-compliance.
Didit compleix per defecte amb els reguladors importants per a la infraestructura d'identitat:
Memo detallat, cada certificat, cada carta reguladora: /security-compliance.
Tres rutes d'integració, tria la que millor s'adapti al teu stack:
Mateix tauler de control, mateixa facturació, mateix preu de pagament per èxit per als tres. Guia pas a pas a docs.didit.me/integration/integration-prompt.
La mateixa API POST /v3/session/ a totes les superfícies, la captura orientada a l'usuari difereix:
La mateixa plantilla biomètrica que l'usuari va registrar en el moment del KYC recolza cada autenticació, sense tornar a registrar-se, sense un flux separat.
Sí, el mateix paquet d'autenticació satisfà la majoria de les normes globals equivalents:
Una API, un paquet d'autenticació, totes les jurisdiccions. El càlcul de les exempcions canvia; el contracte tècnic no.
Cada autenticació produeix un registre d'evidència signat exportable des de la Consola de Negocis:
Pending a Approved o Declined, amb notes del revisor si s'ha escalat.Tots els registres s'emmagatzemen a la Unió Europea (centres de dades de la UE), conservats indefinidament mentre la teva subscripció estigui activa. La retenció de registres per defecte és de 5 anys segons les normes de la UE sobre AML i pagaments, extensible segons les directrius del teu supervisor.
Una API per a KYC, KYB, monitorització de transaccions i anàlisi de carteres. Integra-la en 5 minuts.