Sichern Sie sensible Abläufe mit einem Gesichtsabgleich in unter 2 Sekunden mit dem registrierten Porträt. Phishing-resistent. SIM-Swap-sicher. $0.10 pro Authentifizierung. 500 Verifizierungen jeden Monat kostenlos.
Vertrauen von über 2.000 Organisationen weltweit.
Phishing-resistent · SIM-Swap-sicher
Der zweite Faktor ist das Gesicht des Benutzers, das 1:1 mit dem Porträt abgeglichen wird, das er bei der Registrierung hinterlegt hat. Lebenderkennung blockiert den Druck- / Replay- / Masken- / Generative Adversarial Network (GAN)-Angriff auf denselben Frame. Ergebnis in unter 2 Sekunden auf Einsteiger-Android-Geräten. $0.10 pro Authentifizierung. 500 Verifizierungen jeden Monat kostenlos.
Wählen Sie die gewünschten Prüfungen aus – ID, Lebenderkennung, Gesichtsabgleich, Sanktionen, Adresse, Alter, Telefon, E-Mail, benutzerdefinierte Fragen. Ziehen Sie sie in einem Flow im Dashboard, oder posten Sie denselben Flow an unsere API. Verzweigen Sie nach Bedingungen, führen Sie A/B-Tests durch, kein Code erforderlich.
Nativ einbetten mit unserem Web-, iOS-, Android-, React Native- oder Flutter-SDK. Weiterleiten zu einer gehosteten Seite. Oder senden Sie Ihrem Benutzer einfach einen Link – per E-Mail, SMS, WhatsApp, überall. Wählen Sie, was zu Ihrem Stack passt.
Didit hostet die Kamera, die Beleuchtungshinweise, die mobile Übergabe und die Barrierefreiheit. Während der Benutzer im Flow ist, bewerten wir über 200 Betrugssignale in Echtzeit und verifizieren jedes Feld anhand autoritativer Datenquellen. Ergebnis in unter zwei Sekunden.
Echtzeit-signierte Webhooks halten Ihre Datenbank synchron, sobald ein Benutzer genehmigt, abgelehnt oder zur Überprüfung gesendet wird. Fragen Sie die API bei Bedarf ab. Oder öffnen Sie die Konsole, um jede Sitzung, jedes Signal zu überprüfen und Fälle nach Ihren Wünschen zu verwalten.
Didit · Biometrische Authentifizierung
Überweisung bestätigen
Zeigen Sie Ihr Gesicht zur Autorisierung
Didit · Gesichtsabgleich 1:1
Registriert
Ähnlichkeit
0.96
ÜbereinstimmungLive
Didit · Angriffsmatrix
Didit · Step-up-Trigger
Didit · Webhook · X-Signature-V2
Nutzlast
{
"session_id": "<uuid>",
"vendor_data": "user-42",
"status": "Approved",
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}Didit · Ökonomie
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_bio_2fa",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 reference selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'LIVENESS + FACE_MATCH gegen das bereitgestellte portrait_image aus.Dokumente →$ curl -X POST https://verification.didit.me/v3/face-match/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image_a=@live.jpg" \
-F "image_b=@enrolled.jpg"You are integrating Didit's Biometric 2FA into <my_stack>. Replace SMS one-time-password (OTP) on sensitive flows — login from a new device, large-value transfer, settings change, account recovery — with a sub-2-second face match against the user's enrolled portrait. Cheaper than SMS. Phishing-resistant. SIM-swap-proof.
1. Enrol the user's portrait ONCE at sign-up via the standard Know Your Customer (KYC) session.
2. On every sensitive action, open a Biometric Authentication session that runs Passive Liveness + Face Match 1:1 against the stored portrait. Verdict in sub-2-seconds.
Pricing (public):
- Biometric Authentication: $0.10 per authentication (Sessions API)
- Standalone Face Match 1:1: $0.05 per match (server-to-server)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled — either via a full KYC session (recommended; the portrait is stored automatically and never leaves Didit) or via a portrait you supply on each re-auth.
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session must be opened with workflow_type = "biometric_authentication" (or use a workflow that has FACE_MATCH and pass a portrait_image at session creation).
STEP 1 — Enrolment (one-time, at user sign-up)
Run a standard KYC session at sign-up. Didit stores the portrait (the face captured during the liveness step) as the user's enrolled template, bound to vendor_data.
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<your KYC workflow>",
"vendor_data": "<your user id>"
}
No additional code — once the user passes KYC, their enrolled portrait is ready for every future re-auth.
STEP 2 — Re-authentication (on every sensitive action)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/2fa/callback",
"metadata": {
"reason": "<login_new_device | high_value_txn | settings_change | account_recovery>",
"amount": "<optional, for large-value transfers>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user to it. The hosted UI:
- Opens the front camera
- Captures one passive frame
- Runs Liveness + Face Match 1:1 against the user's enrolled portrait
- Returns the verdict in sub-2-seconds
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved", "method": "PASSIVE", "score": 96 },
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Branch your application:
Approved → execute the action (sign in, release the transfer, save settings).
Declined → block the action, re-prompt with a higher-friction recovery path (support contact / KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back.
STEP 4 — Alternate path (server-to-server, when you already have the selfie)
If you already captured the selfie locally (native mobile SDK, in-app camera):
POST https://verification.didit.me/v3/face-match/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image_a <the live selfie>
image_b <the enrolled portrait>
Response: similarity_score (0-1), status (Approved | Declined | In Review).
Use the standalone path only when you trust your client-side capture pipeline. For browser flows or any surface where the SDK is not embedded, always prefer the hosted session — Didit's liveness check is harder to defeat than a raw camera grab.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Always verify X-Signature-V2 on every payload.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, ID_VERIFICATION, AML, IP_ANALYSIS, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The biometric template is irreversible (a one-way hash) and stored on Didit's infrastructure. You never receive the raw template. Standard data-subject-deletion rules apply.
PRO TIPS
- Pair Biometric 2FA with Device & IP Analysis (bundled into the 200+ fraud-signal stack). A re-auth that originates from a brand-new device + a brand-new IP should always step up to face.
- For the strongest possible surface, swap method PASSIVE for ACTIVE_3D — a short motion challenge — on transfers above your operational risk threshold.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / Monat. Keine Kreditkarte erforderlich.
Zahlen Sie nur für das, was Sie nutzen. Über 25 Module. Öffentliche Preise pro Modul, keine monatliche Mindestgebühr.
Benutzerdefinierte MSA & SLA. Für große Volumina und regulierte Programme.
Kostenlos starten → nur bezahlen, wenn eine Prüfung durchgeführt wird → Enterprise für einen individuellen Vertrag, SLA oder Datenresidenz freischalten.
Didit ist die Infrastruktur für Identität und Betrug – die Plattform, die wir uns gewünscht hätten, als wir selbst Produkte entwickelten: offen, flexibel und entwicklerfreundlich, sodass sie als echter Bestandteil Ihres Stacks funktioniert, anstatt einer Black Box, um die herum Sie integrieren.
Eine API deckt die Verifizierung von Personen (KYC, Know Your Customer), die Verifizierung von Unternehmen (KYB, Know Your Business), das Screening von Krypto-Wallets (KYT, Know Your Transaction) und die Überwachung von Transaktionen in Echtzeit ab – auf einem Stack, der darauf ausgelegt ist, zu sein:
Die zugrunde liegende Basis: über 14.000 Dokumenttypen in über 48 Sprachen, über 1.000 Datenquellen und über 200 Betrugssignale bei jeder Sitzung. Die Didit-Infrastruktur lernt dynamisch aus jeder Sitzung und wird jeden Tag besser.
Zwei-Faktor-Authentifizierung unter Verwendung des Gesichts des Benutzers, nicht eines über ein Netzwerk gesendeten Codes. Der erste Faktor ist das, was der Benutzer weiß (Passwort, Passkey, Magic Link). Der zweite Faktor ist das, was der Benutzer ist – ein Live-Selfie, das 1:1 mit einem Porträt abgeglichen wird, das der Benutzer zuvor registriert hat.
Es befindet sich an derselben Stelle wie das SMS-Einmalpasswort (OTP) in Ihrem Anwendungsablauf, jedoch mit einem anderen Kosten-, Sicherheits- und Konversionsprofil.
Vier gut dokumentierte Angriffsarten besiegen es. Das US Federal Bureau of Investigation (FBI) und das UK National Cyber Security Centre (NCSC) haben beide Leitlinien veröffentlicht, die Organisationen davon abhalten, SMS für sensible Abläufe zu verwenden.
Der gesamte Ablauf dauert normalerweise weniger als 30 Sekunden von Anfang bis Ende – Ausweis aufnehmen, Dokument fotografieren, Selfie machen, fertig. Das ist der schnellste auf dem Markt. Herkömmliche KYC-Anbieter benötigen für denselben Ablauf in der Regel mehr als 90 Sekunden.
Im Backend liefert Didit das Ergebnis in unter zwei Sekunden bei p99, gemessen vom Zeitpunkt, an dem der Benutzer das Selfie beendet, bis zu dem Moment, an dem Ihr Webhook ausgelöst wird. Die mobile Erfassung ist für langsame Telefone und langsame Netzwerke optimiert: progressive Bildkomprimierung, verzögertes Laden des Software Development Kits und eine Ein-Tap-Übergabe vom Desktop zum Telefon über QR-Code, wenn der Benutzer im Web beginnt.
Die meisten Teams registrieren sich während der ursprünglichen Know Your Customer (KYC)-Sitzung des Benutzers. Das durch den Liveness-Schritt erfasste Porträt wird an Ihre vendor_data gebunden gespeichert und als Vorlage für jede nachfolgende Re-Authentifizierung verwendet.
Wenn Sie bei der Registrierung kein KYC durchführen, können Sie eine einmalige Registrierungssitzung gegen einen Didit-Workflow ausführen, der nur LIVENESS + FACE_MATCH enthält. Beide Wege kosten einmalig $0.10, und die resultierende Vorlage ist für jede zukünftige Authentifizierung wiederverwendbar.
Jede Sitzung landet in einem von sieben eindeutigen Status, sodass Ihr Code immer weiß, was zu tun ist:
Approved – jede Prüfung bestanden. Führen Sie den Benutzer weiter.Declined – eine oder mehrere Prüfungen fehlgeschlagen. Sie können dem Benutzer erlauben, den spezifischen fehlgeschlagenen Schritt erneut einzureichen (z. B. das Selfie erneut aufzunehmen), ohne den gesamten Ablauf erneut auszuführen.In Review – zur Compliance-Überprüfung markiert. Öffnen Sie den Fall in der Konsole, sehen Sie jedes Signal, entscheiden Sie über Genehmigung oder Ablehnung.In Progress – Benutzer befindet sich mitten im Ablauf.Not Started – Link gesendet, Benutzer hat ihn noch nicht geöffnet. Senden Sie eine Erinnerung, wenn er zu lange liegt.Abandoned – Benutzer hat den Link geöffnet, aber nicht rechtzeitig abgeschlossen. Erneut ansprechen oder ablaufen lassen.Expired – der Sitzungslink ist abgelaufen. Erstellen Sie eine neue Sitzung.Ein signierter Webhook wird bei jeder Statusänderung ausgelöst, sodass Ihre Datenbank immer synchron bleibt. Abgebrochene und abgelehnte Sitzungen sind kostenlos.
Produktionsdaten werden standardmäßig in der Europäischen Union verarbeitet und gespeichert, auf Amazon Web Services. Unternehmenskunden können alternative Regionen für Gerichtsbarkeiten anfordern, deren Regulierungsbehörden dies verlangen.
Verschlüsselung überall. AES-256 im Ruhezustand über jede Datenbank, jeden Objektspeicher und jedes Backup. Transport Layer Security 1.3 während der Übertragung bei jedem API-Aufruf, Webhook und jeder Business Console-Sitzung. Biometrische Daten werden unter einem separaten Customer Master Key verschlüsselt.
Die Aufbewahrung liegt in Ihrer Kontrolle. Die Standardaufbewahrung ist unbegrenzt (unbegrenzt), es sei denn, Sie konfigurieren eine kürzere – zwischen 30 Tagen und 10 Jahren pro Anwendung – und Sie können jede einzelne Sitzung jederzeit über das Dashboard oder die API löschen.
Zertifizierungen: SOC 2 Typ 1 (Typ 2 Audit läuft), ISO/IEC 27001:2022, iBeta Level 1 PAD und eine öffentliche Bestätigung von Spaniens Tesoro / SEPBLAC / CNMV, dass Didits Fernidentitätsprüfung sicherer ist als die persönliche Verifizierung. Vollständiger Bericht unter /security-compliance.
Didit ist standardmäßig konform für die Regulierungsbehörden, die für die Identitätsinfrastruktur relevant sind:
Detailliertes Memo, jedes Zertifikat, jeder Regulierungsbrief: /security-compliance.
Drei Integrationspfade – wählen Sie den, der zu Ihrem Stack passt:
Dasselbe Dashboard, dieselbe Abrechnung, derselbe Pay-per-Success-Preis für alle drei. Schritt-für-Schritt-Anleitung unter docs.didit.me/integration/integration-prompt.
Es ist ein Drop-in für Ihren bestehenden One-Time-Passwort-Callback-Vertrag.
POST /v3/session/ mit workflow_type: "biometric_authentication" und denselben vendor_data, die Sie bei der Registrierung verwendet haben.session_url um.X-Signature-V2-Header im Webhook, bevor Sie dem Body vertrauen.status – Approved (Aktion ausführen), Declined (blockieren), In Review (Warteschlange), Not Finished (erneut auffordern).Die meisten Teams tauschen SMS gegen Gesicht in einem Wochenende aus. Die vollständige, vom Agenten einfügbare Eingabeaufforderung finden Sie oben; der Model Context Protocol (MCP)-Server spricht beide Oberflächen.
Face Match 1:1 ist robust gegenüber moderaten Erscheinungsänderungen – Gesichtsbehaarung, Brille, Haarfarbe, Beleuchtung. Der pro Authentifizierung zurückgegebene Ähnlichkeitswert spiegelt wider, wie sicher das Modell ist.
Für Benutzer, die außerhalb des automatischen Genehmigungsschwellenwerts liegen (typischer Fall: drastische Gewichtsänderung, Operation, Alterung über viele Jahre), gibt das Ergebnis In Review zurück und wird an Ihre Operations-Warteschlange weitergeleitet. Der Standard-Wiederherstellungspfad ist eine erneute Registrierungssitzung – ein KYC-Anruf aktualisiert das Porträt, und die nächste Authentifizierung verwendet die neue Vorlage.
Ja, für die Kategorie Inhärenz. Die Regulatory Technical Standards der Europäischen Bankenaufsichtsbehörde zur starken Kundenauthentifizierung erkennen biometrische Attribute (etwas, das Sie sind) als gültigen zweiten Faktor an, wenn sie mit einer der beiden anderen Kategorien (Wissen oder Besitz) kombiniert werden.
Für einen vollständigen PSD2-Strong-Customer-Authentication-Flow kombinieren Sie die biometrische 2FA mit dem Passwort des Benutzers (Wissen) oder einer gerätegebundenen Sitzung (Besitz). Das signierte Didit-Urteil ist der Prüfnachweis des Inhärenzfaktors.
Eine API für KYC, KYB, Transaktionsüberwachung und Wallet-Screening. In 5 Minuten integriert.