Eine biometrische Step-up-Authentifizierung genau dann, wenn Angreifer zuschlagen, bei Überweisungen, Passwort-Resets, Logins von neuen Geräten. Ergebnis in unter zwei Sekunden, ca. $0.13 pro Event. 500 Verifizierungen monatlich gratis.
Robinhood Ventures
Über 2.000 Organisationen weltweit vertrauen uns.
So greifen Angreifer an
Credential Stuffing, SIM-Swap und gestohlene Session-Cookie-Angriffe umgehen Passwörter und Einmal-Codes. Ersetze sie durch einen Didit Step-up im Moment der Aktion, $0.10 pro Aufruf, Ergebnis in unter zwei Sekunden, 500 gratis jeden Monat.
Wähle die gewünschten Checks, ID, Liveness, Gesichtsabgleich, Sanktionen, Adresse, Alter, Telefon, E-Mail, benutzerdefinierte Fragen. Ziehe sie im Dashboard in einen Flow oder poste denselben Flow an unsere API. Verzweige nach Bedingungen, führe A/B-Tests durch, kein Code erforderlich.
Bette nativ mit unserem Web-, iOS-, Android-, React Native- oder Flutter-SDK ein. Leite zu einer gehosteten Seite weiter. Oder sende deinem Nutzer einfach einen Link, per E-Mail, SMS, WhatsApp, überall. Wähle, was zu deinem Stack passt.
Didit hostet die Kamera, die Beleuchtungshinweise, die mobile Übergabe und die Barrierefreiheit. Während der Nutzer den Flow durchläuft, bewerten wir über 200 Betrugssignale in Echtzeit und verifizieren jedes Feld anhand autoritativer Datenquellen. Ergebnis in unter zwei Sekunden.
Echtzeit-Webhooks mit Signatur halten deine Datenbank synchron, sobald ein Nutzer genehmigt, abgelehnt oder zur Überprüfung weitergeleitet wird. Du kannst die API bei Bedarf abfragen oder in der Konsole jede Session und jedes Signal prüfen und Fälle nach deinen Vorstellungen verwalten.
Didit · Step-up-Richtlinie
Didit · Biometrische Authentifizierung
Schritt 2 / 2
Für die Prüfung stillhalten
Didit · Face Match 1:1
Registrierung
Step-up
Didit · Passive Lebenderkennung
Didit · Geräte- & IP-Analyse
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "user-42",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved",
"similarity_score": 0.94 }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_ato_step_up",
"vendor_data": "user-42",
"metadata": { "trigger": "high_value_transfer" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
unblockAction(payload.vendor_data);
} else if (payload.status === "Declined") {
logWarnings(payload.liveness.warnings);
blockAndAlert(payload.vendor_data);
}Status Genehmigt · Abgelehnt · In Prüfung · Nicht abgeschlossenYou are integrating Didit account-takeover defence into an application that already has the user signed in. Your job: when a sensitive action fires (large transfer, password reset, payout to a new destination, new-device login, geo anomaly), gate it on a Didit biometric step-up. One API call. One signed webhook. Three branches.
WHY THIS SHAPE
- Credential stuffing, SIM-swap, and stolen-session-cookie attacks all walk past passwords and SMS one-time codes. A face check at the moment of the sensitive action does not.
- Didit runs Passive Liveness (the user is alive, present, not a deepfake) plus 1:1 Face Match against the portrait captured at sign-up. A stolen selfie cannot pass — the comparison target is locked to the original enrollment.
- $0.10 per step-up (Biometric Authentication module) + $0.03 IP pre-check (optional) = around $0.13 per event. Sub-two-second verdict on entry-level Android. 500 verifications free every month.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A Workflow Builder workflow that bundles Passive Liveness + Face Match 1:1 (with the user's stored sign-up portrait as the comparison target). Optionally compose Device & IP Analysis ahead of the step-up to pre-gate the check.
- Persist the user's sign-up portrait — either base64 on your side, or rely on Didit's stored enrollment via vendor_data lookup.
STEP 1 — Decide WHEN to step up (your code, not Didit's)
Run your usual fraud signals. Common triggers worth a biometric step-up:
- Wire / crypto transfer above the user's daily limit
- Password / email reset on a session less than 24h old
- Payout to a bank account or wallet seen for the first time
- Login from a new device or new country
- Velocity anomaly — N actions of type T within window W
Cheap pre-check (optional, ~100ms, $0.03):
- Score the user's IP via Device & IP Analysis. If the IP is a residential trusted address with a low risk score AND the device fingerprint matches the user's trusted device, skip the step-up. Otherwise run Step 2.
STEP 2 — Create a biometric step-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id bundling Passive Liveness + Face Match 1:1>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/ato/step-up/callback",
"metadata": {
"trigger": "high_value_transfer",
"action_id": "<your internal action reference>"
},
"portrait_image": "<base64 JPEG of the user's stored sign-up portrait, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the step-up matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user there inline (or open it in a webview / Didit mobile SDK). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook on completion
Didit POSTs the decision to your callback. Verify X-Signature-V2 (HMAC SHA-256 of the raw request body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "score": 11 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the original action on status
Approved → unblock the sensitive action. Log session_id + similarity score on the audit trail.
In Review → hold the action, route to a human review queue.
Declined → block the action, log liveness warnings (mask / deepfake / replay / morph), alert the user.
Not Finished → invite the user to retry with a fresh session URL.
Expired → resend the link; the original session has timed out.
Abandoned → the user closed the flow before completing; resend the link.
STEP 5 — (Optional) Pull the full decision payload
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Returns the same payload as the webhook plus the structured signals (liveness warnings, face-match similarity, IP / device flags). Use for analyst review.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook (one endpoint, status field tells you where in the lifecycle).
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API and lives in a different surface.
- 1:1 face match's comparison target is the user's STORED sign-up portrait, not a freshly captured one. A stolen selfie cannot pass.
- iBeta Level 1 Presentation Attack Detection (PAD) certified against the full ISO/IEC 30107-3 catalogue — print, replay, paper / silicone / latex mask, deepfake, morph.
- The Workflow Builder is where you choose the modules in the step-up — change them in the console without redeploying.
- 200+ fraud signals are surfaced on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / Monat. Keine Kreditkarte erforderlich.
Zahle nur, was du nutzt. Über 25 Module. Öffentliche Preise pro Modul, keine monatliche Mindestgebühr.
Individuelle MSA & SLA. Für große Volumina und regulierte Programme.
Kostenlos starten → nur zahlen, wenn eine Prüfung läuft → Enterprise für einen individuellen Vertrag, SLA oder Datenresidenz freischalten.
Didit ist die Infrastruktur für Identität und Betrugsprävention, die Plattform, die wir uns beim Entwickeln eigener Produkte gewünscht hätten: offen, flexibel und entwicklerfreundlich, damit sie sich nahtlos in deinen Stack integriert, anstatt eine Blackbox zu sein, um die herum du entwickeln musst.
Eine API deckt die Verifizierung von Personen (KYC, Know Your Customer), Unternehmen (KYB, Know Your Business), die Überprüfung von Krypto-Wallets (KYT, Know Your Transaction) und die Echtzeit-Transaktionsüberwachung ab, auf einem Stack, der dafür gebaut wurde, zu sein:
Die Basis darunter: über 14.000 Dokumenttypen in über 48 Sprachen, über 1.000 Datenquellen und über 200 Betrugssignale pro Session. Die Didit-Infrastruktur lernt dynamisch aus jeder Session und wird jeden Tag besser.
Eine Account-Übernahme (ATO) liegt vor, wenn ein Angreifer die Kontrolle über ein legitimes Benutzerkonto erlangt, meist mit gestohlenen Zugangsdaten, einem gekaperten Session-Cookie oder einem SIM-Swap, der das One-Time Password (OTP) abfängt. Von dort aus leeren sie Wallets, verschieben Gelder, ändern Auszahlungsdetails oder setzen E-Mails zurück und sperren den rechtmäßigen Eigentümer aus.
Der Angriff umgeht das Passwort, weil das Passwort bereits korrekt ist. Er umgeht den Short Message Service (SMS)-Code, weil der Angreifer die Telefonnummer kontrolliert. Die Verteidigung besteht darin, den Moment der Aktion mit etwas zu unterbrechen, das der Angreifer nicht hat, dem Gesicht des legitimen Benutzers.
Weil SIM-Swap-Betrug den Short Message Service (SMS)-Code in die Hände des Angreifers spielt. Der Angreifer überzeugt den Anbieter, die Nummer des Opfers auf ein neues Subscriber Identity Module (SIM) zu portieren; von da an kommt jeder Code, den die Bank sendet, auf dem Telefon des Angreifers an.
Phishing-Kits im Jahr 2026 leiten den Code auch in Echtzeit weiter, der Benutzer tippt ihn auf einer gefälschten Seite ein, das Kit spielt ihn an die echte Seite weiter, die Session öffnet sich. SMS liefert ein einziges geteiltes Geheimnis pro Kanal; Biometrie liefert einen aktionsbezogenen Nachweis, der an die Person vor der Kamera gebunden ist.
Der gesamte Flow dauert normalerweise unter 30 Sekunden von Anfang bis Ende, Ausweis nehmen, Dokument scannen, Selfie machen, fertig. Das ist der schnellste auf dem Markt. Herkömmliche KYC-Anbieter benötigen für denselben Flow in der Regel mehr als 90 Sekunden.
Im Backend liefert Didit das Ergebnis in unter zwei Sekunden bei p99, gemessen vom Abschluss des Selfies durch den Benutzer bis zum Auslösen deines Webhooks. Die mobile Erfassung ist für langsame Telefone und Netzwerke optimiert: progressive Bildkomprimierung, verzögertes Laden des Software Development Kits und eine One-Tap-Übergabe vom Desktop zum Telefon per QR-Code, wenn der Benutzer im Web startet.
Die Registrierung erfasst die Identität des Benutzers zum ersten Mal, amtliches Ausweisdokument, Optical Character Recognition (OCR), Passive Liveness und ein Porträt, das zur Referenz für die Registrierung wird. Es ist ein einmaliger, aufwendiger Prozess.
Step-up ist die leichte, wiederholbare Version. Dieselbe Liveness-Engine läuft auf einem neuen Selfie; Face Match 1:1 vergleicht das neue Selfie mit dem gespeicherten Registrierungsporträt. Kein Ausweisdokument, kein OCR. Unter zwei Sekunden, $0.10 pro Session.
Jede Session landet in einem von sieben klaren Status, sodass dein Code immer weiß, was zu tun ist:
Approved, alle Prüfungen bestanden. Den Benutzer weiterleiten.Declined, eine oder mehrere Prüfungen fehlgeschlagen. Du kannst dem Benutzer erlauben, den spezifischen fehlgeschlagenen Schritt erneut einzureichen (z. B. das Selfie erneut aufzunehmen), ohne den gesamten Flow erneut auszuführen.In Review, zur Compliance-Überprüfung markiert. Den Fall in der Konsole öffnen, alle Signale einsehen, Genehmigung oder Ablehnung entscheiden.In Progress, Benutzer befindet sich mitten im Flow.Not Started, Link gesendet, Benutzer hat ihn noch nicht geöffnet. Eine Erinnerung senden, wenn er zu lange unbeachtet bleibt.Abandoned, Benutzer hat den Link geöffnet, aber nicht rechtzeitig abgeschlossen. Erneut ansprechen oder ablaufen lassen.Expired, der Session-Link ist abgelaufen. Eine neue Session erstellen.Ein signierter Webhook wird bei jeder Statusänderung ausgelöst, sodass deine Datenbank immer synchron bleibt. Abgebrochene und abgelehnte Sessions sind kostenlos.
Produktionsdaten werden standardmäßig in der Europäischen Union verarbeitet und gespeichert, auf Amazon Web Services. Unternehmenskunden können alternative Regionen für Jurisdiktionen anfragen, deren Regulierungsbehörden dies erfordern.
Verschlüsselung überall. AES-256 im Ruhezustand über jede Datenbank, jeden Objektspeicher und jedes Backup. Transport Layer Security 1.3 während der Übertragung bei jedem API-Aufruf, Webhook und jeder Business Console-Session. Biometrische Daten werden unter einem separaten Customer Master Key verschlüsselt.
Die Aufbewahrung liegt in deiner Hand. Die Standardaufbewahrungsfrist ist unbegrenzt, es sei denn, du konfigurierst eine kürzere, zwischen 30 Tagen und 10 Jahren pro Anwendung, und du kannst jede einzelne Session jederzeit über das Dashboard oder die API löschen.
Zertifizierungen: SOC 2 Typ 1 (Typ 2 Audit läuft), ISO/IEC 27001:2022, iBeta Level 1 PAD und eine öffentliche Bestätigung von Spaniens Tesoro / SEPBLAC / CNMV, dass Didits Remote-Identitätsprüfung sicherer ist als die persönliche Verifizierung. Vollständiger Bericht unter /security-compliance.
Didit ist standardmäßig konform für die Regulierungsbehörden, die für die Identitätsinfrastruktur relevant sind:
Ausführliches Memo, jedes Zertifikat, jedes Schreiben der Regulierungsbehörde: /security-compliance.
Drei Integrationspfade, wähle den, der zu deinem Stack passt:
Dasselbe Dashboard, dieselbe Abrechnung, derselbe Pay-per-Success-Preis für alle drei. Schritt-für-Schritt-Anleitung unter docs.didit.me/integration/integration-prompt.
Führe eine Geräte- & IP-Analyse vor dem Step-up durch. $0.03 pro Check, unter 100 ms, liefert einen Risikowert von 0–100 plus Virtual Private Network (VPN), Proxy, The Onion Router (Tor), Rechenzentrum, Land und Autonomous System Number (ASN) Flags.
Wenn das Netzwerk sauber aussieht (privater Internet Service Provider (ISP), vertrauenswürdiger Geräte-Fingerabdruck, kein Länderwechsel), überspringe den Face Check. Wenn der Score hoch ist oder ein Flag ausgelöst wird, führe den Step-up aus. Das hält das biometrische Budget für die Events, die es wirklich brauchen.
Zwei Posten:
Etwa $0.13 pro vollständig überprüfter sensibler Aktion. Die ersten 500 Verifizierungen pro Monat sind auf jedem Konto kostenlos, die meisten Teams stellen fest, dass ihr Step-up-Volumen in den ersten Wochen innerhalb dieses Kontingents liegt.
Keine Mindestmengen, keine jährliche Verpflichtung, keine Pro-Sitz-Preise.
Das Rezept gilt für jedes Team, das hochwertige Aktionen abwickelt. Häufige Live-Muster:
Derselbe Workflow Builder, unterschiedliche Trigger, eine Integration, eine Preislinie.
Eine API für KYC, KYB, Transaktionsüberwachung und Wallet-Screening. In 5 Minuten integriert.