Beweise, dass die Person vor der Kamera echt und lebendig ist. iBeta-zertifizierter Anti-Spoof – besiegt Deepfakes, Masken, Replays und Morph-Angriffe in unter 2 Sekunden. Passiv für $0.10, aktiv für $0.15. 500 kostenlos/Monat.
Robinhood Ventures
Über 2.000 Organisationen weltweit vertrauen uns.
iBeta-zertifiziert
Erkennt 3D-Masken, Deepfakes, Replay-Angriffe und gedruckte Fotos. iBeta-zertifiziert, Ergebnis in unter 2 Sekunden, $0.10 pro Prüfung, 500 gratis jeden Monat.
Wähle die gewünschten Prüfungen aus – ID, Lebenderkennung, Gesichtsabgleich, Sanktionen, Adresse, Alter, Telefon, E-Mail, benutzerdefinierte Fragen. Ziehe sie im Dashboard in einen Flow oder poste denselben Flow an unsere API. Verzweige nach Bedingungen, führe A/B-Tests durch, kein Code erforderlich.
Bette nativ mit unserem Web-, iOS-, Android-, React Native- oder Flutter-SDK ein. Leite zu einer gehosteten Seite weiter. Oder sende deinem Nutzer einfach einen Link – per E-Mail, SMS, WhatsApp, überall. Wähle, was zu deinem Stack passt.
Didit hostet die Kamera, die Lichtsignale, die mobile Übergabe und die Barrierefreiheit. Während der Nutzer im Flow ist, bewerten wir über 200 Betrugssignale in Echtzeit und verifizieren jedes Feld anhand autoritativer Datenquellen. Ergebnis in unter zwei Sekunden.
Echtzeit-signierte Webhooks halten deine Datenbank synchron, sobald ein Nutzer genehmigt, abgelehnt oder zur Überprüfung gesendet wird. Frage die API bei Bedarf ab. Oder öffne die Konsole, um jede Session, jedes Signal zu prüfen und Fälle nach deinen Wünschen zu verwalten.
Gleiches JSON · Gleicher Workflow
ISO/IEC 30107-3 · Jährlich neu getestet
Edge-served · p95 über alle Methoden
Passiv p95
3D Flash p95
3D Action p95
3 erzwungen · 2 anpassbar · pro Workflow
POST /v3/passive-liveness/
POST /v3/session/
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_liveness_3d",
"vendor_data": "user-42"
}'FLASHING und ACTIVE_3D.Doku →$ curl -X POST https://verification.didit.me/v3/passive-liveness/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image=@selfie.jpg"# Didit Liveness — integrate in 5 minutes
You are integrating Didit's Liveness (presentation-attack detection) module
into <my_stack>. Follow these steps exactly. Every URL, header, and enum
value below is canonical — do not paraphrase or "improve" them.
## 1. Provision an account
- Sign up: https://business.didit.me (no credit card required).
- Or provision programmatically: POST https://apx.didit.me/auth/v2/programmatic/register/
(returns an API key bound to the workspace + application).
## 2. Two integration paths — pick one
### Path A — Workflow Builder (hosted UI)
Best when you want Didit to handle camera, motion prompts, low-light
fallback, mobile handoff, and accessibility for you.
1. Create a workflow that contains the LIVENESS feature:
POST https://verification.didit.me/v3/workflows/
Authorization header: x-api-key: <your-api-key>
Body: workflow_label, features array with the single entry
{ feature: "LIVENESS" } (UPPERCASE — strict enum)
Optional config: liveness_method ("PASSIVE" | "FLASHING" | "ACTIVE_3D")
and per-warning threshold overrides.
2. Create a verification session for an end user:
POST https://verification.didit.me/v3/session/
Body: workflow_id (from step 1), vendor_data (your own user id).
Response: session_url — redirect the user to it.
3. Listen for webhook callbacks (see "Webhooks" below).
### Path B — Standalone server-to-server API
Best when you already have a selfie image (mobile SDK capture, native
onboarding app, reseller pipeline). Standalone is single-frame
PASSIVE only — for ACTIVE_3D or FLASHING you must use Path A.
POST https://verification.didit.me/v3/passive-liveness/
Content-Type: multipart/form-data
Body fields:
- image (required, file — single selfie)
- vendor_data (optional string, your user id)
Response: JSON report with liveness score, method, and warnings array.
## 3. Webhooks (Path A only — Path B returns synchronously)
- Register a webhook destination once via
POST https://verification.didit.me/v3/webhook/destinations/
Body: url, subscribed_events: ["session.verified", "session.review_started",
"session.declined"]
- Response includes secret_shared_key — store it.
- Every webhook delivery carries an X-Signature-V2 header you MUST verify
before trusting the payload. HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature.Algorithm:
1. sortKeys(payload) recursively
2. shortenFloats (truncate trailing zeros after the decimal point)
3. JSON.stringify the result
4. HMAC-SHA256 with the secret_shared_key
5. Hex-encode, compare to the X-Signature-V2 header.
## 4. Reading the report (both paths return the same shape)
The liveness object includes:
- status: "Approved" | "Declined" | "In Review" | "Not Finished"
- method: "PASSIVE" | "FLASHING" | "ACTIVE_3D"
- score: number 0-100 (normalized liveness score)
- reference_image: signed URL to the captured selfie (expires in 1 hour)
- video_url: signed URL to the capture video, present only for FLASHING
and ACTIVE_3D (expires in 1 hour)
- age_estimation: { age, age_range } when enabled in the workflow
- warnings: Array<{ risk, log_type, short_description, long_description }>
Auto-decline risks (always enforced by Didit, not configurable):
- NO_FACE_DETECTED
- LIVENESS_FACE_ATTACK
- FACE_IN_BLOCKLIST
Configurable risks (action per workflow — Decline, Review, or Approve):
- LOW_LIVENESS_SCORE
- POSSIBLE_DUPLICATED_FACE
- DUPLICATED_FACE
- MULTIPLE_FACES_DETECTED
- LOW_FACE_QUALITY
- LOW_FACE_LUMINANCE
- HIGH_FACE_LUMINANCE
## 5. Hard rules — do not change
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, ID_VERIFICATION, FACE_MATCH, AML, IP_ANALYSIS.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Always verify webhook signatures before trusting payload data.
- Status casing matches exactly: "Approved", "Declined", "In Review",
"Not Finished" (title-cased, space-separated).
## 6. Pricing reference (public)
- PASSIVE method: $0.10 per check (standalone or bundled)
- FLASHING / ACTIVE_3D methods: $0.15 per check
- Bundled in a full KYC workflow: $0.33 per session (includes Liveness)
- 500 free checks every month, forever, on every account.
## 7. Verify your integration
- Sandbox starts on signup at https://business.didit.me — no separate flag.
- Test images: deterministic synthetic faces returned in sandbox (Approved
by default; trigger Declined by sending the canonical "spoof" test image).
- Switch to live: flip the application's environment toggle in console.
When in doubt: https://docs.didit.me/core-technology/liveness/overview
$0 / Monat. Keine Kreditkarte erforderlich.
Zahle nur, was du nutzt. Über 25 Module. Öffentliche Preise pro Modul, keine monatliche Mindestgebühr.
Individuelle MSA & SLA. Für große Volumina und regulierte Programme.
Kostenlos starten → nur zahlen, wenn eine Prüfung läuft → Enterprise für einen individuellen Vertrag, SLA oder Datenresidenz freischalten.
Didit ist die Infrastruktur für Identität und Betrug – die Plattform, die wir uns beim Entwickeln eigener Produkte gewünscht hätten: offen, flexibel und entwicklerfreundlich, sodass sie als echter Teil deines Stacks funktioniert, anstatt einer Blackbox, um die du herum integrieren musst.
Eine API deckt die Verifizierung von Personen (KYC, Know Your Customer), die Verifizierung von Unternehmen (KYB, Know Your Business), das Screening von Krypto-Wallets (KYT, Know Your Transaction) und die Echtzeit-Überwachung von Transaktionen ab – auf einem Stack, der darauf ausgelegt ist, zu sein:
Die zugrunde liegende Basis: über 14.000 Dokumententypen in über 48 Sprachen, über 1.000 Datenquellen und über 200 Betrugssignale bei jeder Sitzung. Die Didit-Infrastruktur lernt dynamisch aus jeder Sitzung und wird täglich besser.
user_image bei einem multipart POST /v3/passive-liveness/. Akzeptierte Formate: JPG, JPEG, PNG, bis zu 5 MB. Beide Pfade geben dieselbe liveness JSON-Struktur zurück.liveness-Objekt auf Root-Ebene mit status (Approved, Declined, In Review oder Not Finished), einem score von 0–100, der verwendeten method (PASSIVE, FLASHING oder ACTIVE_3D), einem age_estimation Float (optional, wenn gebündelt), einer signierten reference_image URL, einer signierten video_url für aktive Methoden, einem matches-Array, das alle Gesichtssuchtreffer anzeigt (jeweils mit session_id, similarity_percentage, is_blocklisted), und einem warnings-Array. Jede Warnung enthält risk, log_type (information, warning oder error), short_description und long_description. Dieselbe Struktur, egal ob du den Workflow Builder oder die Standalone API aufgerufen hast. Die vollständige Referenz findest du unter docs.didit.me/core-technology/liveness/report-liveness.Der gesamte Prozess dauert normalerweise weniger als 30 Sekunden von Anfang bis Ende – Ausweis nehmen, Dokument scannen, Selfie machen, fertig. Das ist die schnellste Lösung auf dem Markt. Herkömmliche KYC-Anbieter benötigen für denselben Ablauf in der Regel mehr als 90 Sekunden.
Im Backend liefert Didit das Ergebnis in unter zwei Sekunden bei p99, gemessen vom Abschluss des Selfies durch den Nutzer bis zum Auslösen deines Webhooks. Die mobile Erfassung ist für langsame Telefone und Netzwerke optimiert: progressive Bildkomprimierung, verzögertes Laden des Software Development Kits und eine One-Tap-Übergabe vom Desktop zum Telefon per QR-Code, falls der Nutzer im Web beginnt.
Drei Methoden, ein Modul, iBeta Level 1 Presentation Attack Detection (PAD) zertifiziert für den gesamten Angriffskatalog:
Sieben konfigurierbare Warnungen (niedriger Score, schlechtes Licht, helles Licht, mögliche Duplikate, doppeltes Gesicht, mehrere Gesichter, schlechte Gesichtsqualität) werden pro Anwendung auf Ablehnung / Überprüfung / Genehmigung abgebildet. Drei automatische Ablehnungs-Trigger (kein Gesicht, Angriff erkannt, gesperrtes Gesicht) werden immer durchgesetzt.
Jede Sitzung landet in einem von sieben klaren Status, damit dein Code immer weiß, was zu tun ist:
Approved – alle Prüfungen bestanden. Der Nutzer kann fortfahren.Declined – eine oder mehrere Prüfungen fehlgeschlagen. Du kannst dem Nutzer erlauben, den spezifischen fehlgeschlagenen Schritt (z.B. das Selfie erneut aufzunehmen) erneut einzureichen, ohne den gesamten Ablauf neu zu starten.In Review – zur Compliance-Prüfung markiert. Öffne den Fall in der Konsole, sieh dir alle Signale an, entscheide über Genehmigung oder Ablehnung.In Progress – der Nutzer befindet sich mitten im Prozess.Not Started – Link gesendet, Nutzer hat ihn noch nicht geöffnet. Sende eine Erinnerung, wenn es zu lange dauert.Abandoned – Nutzer hat den Link geöffnet, aber nicht rechtzeitig abgeschlossen. Erneut ansprechen oder ablaufen lassen.Expired – der Sitzungslink ist abgelaufen. Erstelle eine neue Sitzung.Ein signierter Webhook wird bei jeder Statusänderung ausgelöst, sodass deine Datenbank immer synchron bleibt. Abgebrochene und abgelehnte Sitzungen sind kostenlos.
Produktionsdaten werden standardmäßig in der Europäischen Union auf Amazon Web Services verarbeitet und gespeichert. Für Enterprise-Verträge können alternative Regionen angefragt werden, wenn Aufsichtsbehörden dies erfordern.
Durchgängige Verschlüsselung. AES-256 im Ruhezustand für jede Datenbank, jeden Objektspeicher und jedes Backup. Transport Layer Security 1.3 während der Übertragung bei jedem API-Aufruf, Webhook und jeder Business Console-Sitzung. Biometrische Daten werden mit einem separaten Customer Master Key verschlüsselt.
Die Datenaufbewahrung liegt in deiner Hand. Die Standardaufbewahrungsfrist ist unbegrenzt, sofern du keine kürzere konfigurierst – zwischen 30 Tagen und 10 Jahren pro Anwendung. Du kannst jede einzelne Sitzung jederzeit über das Dashboard oder die API löschen.
Zertifizierungen: SOC 2 Typ 1 (Typ 2 Audit läuft), ISO/IEC 27001:2022, iBeta Level 1 PAD und eine öffentliche Bestätigung des spanischen Tesoro / SEPBLAC / CNMV, dass Didits Fernidentitätsprüfung sicherer ist als eine persönliche Verifizierung. Vollständiger Bericht unter /security-compliance.
Didit ist standardmäßig konform mit den für die Identitätsinfrastruktur relevanten Regulierungsbehörden:
Ausführliches Memo, jedes Zertifikat, jedes Schreiben der Aufsichtsbehörde: /security-compliance.
Drei Integrationswege – wähle den, der am besten zu deinem Stack passt:
Das gleiche Dashboard, die gleiche Abrechnung, der gleiche Pay-per-Success-Preis für alle drei Optionen. Eine Schritt-für-Schritt-Anleitung findest du unter docs.didit.me/integration/integration-prompt.
Eine API für KYC, KYB, Transaktionsüberwachung und Wallet-Screening. In 5 Minuten integriert.