Bewerte das Netzwerk und Gerät bei jedem risikoreichen Warenkorb für $0.03. Führe die biometrische Prüfung nur bei dem kleinen Teil der Fälle durch, bei denen Signale allein nicht ausreichen. 500 Verifizierungen jeden Monat kostenlos.
Robinhood Ventures
Über 2.000 Organisationen weltweit vertrauen uns.
Warum die meisten Checkouts keine Reibung brauchen
90 % der Bestellungen kommen von Stammkunden auf vertrauenswürdigen Geräten, die sollten einfach durchlaufen. Die 10 % mit erhöhtem Risiko bekommen den Screen: 0,03 $ für IP + Gerät bei den einfachen Fällen, 0,10 $ für biometrische Step-ups bei den hochpreisigen. 500 Verifizierungen monatlich kostenlos.
Wähle die gewünschten Checks aus, ID, Liveness, Face Match, Sanktionen, Adresse, Alter, Telefon, E-Mail, benutzerdefinierte Fragen. Ziehe sie im Dashboard in einen Flow oder poste denselben Flow an unsere API. Verzweige nach Bedingungen, führe A/B-Tests durch, kein Code erforderlich.
Bette nativ mit unseren Web-, iOS-, Android-, React Native- oder Flutter-SDKs ein. Leite auf eine gehostete Seite weiter. Oder sende deinem Nutzer einfach einen Link, per E-Mail, SMS, WhatsApp, überall. Wähle, was zu deinem Stack passt.
Didit hostet die Kamera, die Beleuchtungshinweise, die mobile Übergabe und die Barrierefreiheit. Während der Nutzer den Flow durchläuft, bewerten wir über 200 Betrugssignale in Echtzeit und verifizieren jedes Feld anhand autoritativer Datenquellen. Ergebnis in unter zwei Sekunden.
Echtzeit-signierte Webhooks halten deine Datenbank synchron, sobald ein Nutzer genehmigt, abgelehnt oder zur Überprüfung gesendet wird. Frage die API bei Bedarf ab. Oder öffne die Konsole, um jede Session, jedes Signal zu prüfen und Fälle nach deinen Wünschen zu verwalten.
Didit · Risikotrigger-Richtlinie
Didit · Geräte- & IP-Analyse
Didit · Biometrische Authentifizierung
Bestätigen · 1 von 1
Für den Check stillhalten
Didit · Chargeback-Nachweis
Bestellung-A4421 · Beweismittelpaket
Didit · Wiederverwendbares KYC
Erster Durchlauf
Checkout
Didit · Webhook · X-Signature-V2
{
"session_id": "order-A4421",
"vendor_data": "order-A4421",
"status": "Approved",
"ip_analysis": { "score": 11 },
"liveness": { "status": "Approved" }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_buyer_screen",
"vendor_data": "order-A4421",
"metadata": { "cart_total_cents": 78500 }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
shipOrder(payload.vendor_data);
} else if (payload.status === "Declined") {
cancelAndRefund(payload.vendor_data);
}{ Status Genehmigt · Abgelehnt · In Prüfung · Nicht abgeschlossen }You are integrating a Didit buyer-side fraud screen on a marketplace / e-commerce checkout. Goal: catch stolen-card use, account takeover, gift-card stack abuse, geo-mismatch friendly fraud, and bot scalping on high-value carts. Two stages — cheap signals first, biometric step-up only when signals aren't enough.
WHY THIS SHAPE
- Most checkouts don't need any friction. Day-to-day buyers on trusted devices from residential networks should sail through.
- A small percentage are high-value or high-risk — cart over a threshold, gift-card stack, payout to a new card, geo mismatch, new device, velocity anomaly. On those, run a screen.
- Two stages keep the cost and the friction proportional to the risk. Cheap IP + device check ($0.03) is decisive on the obvious cases. Biometric step-up ($0.10) only fires when the cheap signals are inconclusive AND the order is high-value.
- 500 verifications free every month. The screen runs inside the free tier for most teams while they tune the thresholds.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow with Device & IP Analysis and optionally Passive Liveness + Face Match 1:1 against the stored buyer portrait.
- A server-side cart-gate that defaults to BLOCK on the high-risk path and only unblocks on a verified webhook with status: Approved.
STEP 1 — Decide WHEN to screen (your code, not Didit's)
Run your usual checkout signals. Default triggers worth a screen:
- Cart total above your account-level tier (e.g. > $500)
- Gift-card stack of three or more cards in one order
- Shipping country that doesn't match the billing-card country
- First buy from a new device
- Velocity anomaly — N orders within window W from the same buyer
- Payout / refund destination changed mid-flow
Day-to-day reads from trusted-device + residential-network buyers do NOT need a screen.
STEP 2 — Open the screen session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Device & IP Analysis + optional Passive Liveness + Face Match 1:1>",
"vendor_data": "<your order id, max 256 chars>",
"callback": "https://<your-app>/checkout/screen/callback",
"metadata": {
"cart_total_cents": 78500,
"currency": "EUR",
"trigger": "high_value_cart"
}
}
Response: 201 Created with a hosted session URL. Show inline at checkout (web), or open in a Software Development Kit (SDK) webview (mobile). The order stays in HOLD on your side until the signed webhook lands.
STEP 3 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your order id>",
"status": "Approved",
"ip_analysis": { "status": "Approved", "score": 11 },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.93 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the cart action
Approved → ship the order, capture the auth, send the confirmation.
In Review → hold the order. Route to manual review with the per-module signals as the case file.
Declined → cancel the order, refund the auth, log warnings (liveness / face-match / ip flags), throttle the source IP.
Not Finished → invite the buyer to retry the screen with a fresh session URL. Don't ship.
STEP 5 — (Optional) Reusable Know Your Customer (KYC) for returning trusted buyers
Once a buyer has passed identity once on the platform, the credential can replay on future checkouts at no cost via Reusable KYC. Look up the buyer's prior session_id; if the credential is valid and recent, skip the live screen.
That keeps the friction on the unknown traffic only. Free forever.
STEP 6 — Use the decision payload as the chargeback evidence pack
When a dispute lands, pull the full decision payload via:
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Pairs naturally with:
- 3-D Secure 2.x (3DS2) liability shift on EU cards
- Visa Compelling Evidence 3.0 (CE3.0) — biometric + IP + device fingerprint + prior-order history meets the "trusted customer" bar
- Mastercard Identity Check chargeback dispute kit
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT IT BLOCKS
- Stolen-card use on first-time-buy + geo mismatch
- Account takeover on a previously-verified buyer (the step-up is the second-factor)
- Friendly fraud where the cardholder disputes a charge they actually authorised
- Bot scalpers running multi-item carts from datacenter Internet Protocol (IP) addresses
- Gift-card stack drains funded by a stolen card
- Reshipper / mule patterns (ship-to address inconsistent with prior orders)
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE — that's the Transactions API.
- Start with IP-only on the cheap cases. Add the biometric step-up only on high-value carts or when IP alone is inconclusive — keeps cost down and friction proportional.
- 200+ fraud signals are evaluated on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / Monat. Keine Kreditkarte erforderlich.
Zahle nur, was du nutzt. Über 25 Module. Öffentliche Preise pro Modul, keine monatliche Mindestgebühr.
Individuelle MSA & SLA. Für große Volumina und regulierte Programme.
Kostenlos starten → nur zahlen, wenn eine Prüfung läuft → Enterprise für einen individuellen Vertrag, SLA oder Datenresidenz freischalten.
Didit ist die Infrastruktur für Identität und Betrug, die Plattform, die wir uns beim Entwickeln eigener Produkte gewünscht hätten: offen, flexibel und entwicklerfreundlich. So wird sie zu einem echten Teil deines Stacks, statt einer Black Box, um die herum du integrieren musst.
Eine einzige API deckt die Verifizierung von Personen (KYC, Know Your Customer), Unternehmen (KYB, Know Your Business), Krypto-Wallets (KYT, Know Your Transaction) und die Echtzeit-Transaktionsüberwachung ab, auf einem Stack, der dafür gebaut wurde, schnell, zuverlässig und sicher zu sein:
Die Basis darunter: über 14.000 Dokumenttypen in über 48 Sprachen, über 1.000 Datenquellen und über 200 Betrugssignale pro Session. Die Didit-Infrastruktur lernt dynamisch aus jeder Session und wird täglich besser.
Jedes Muster, bei dem die zahlende Person nicht berechtigt ist, mit dem verwendeten Zahlungsmittel zu bezahlen, oder bei dem die Transaktion so strukturiert ist, dass sie später eine Rückbuchung auslöst.
Häufige Formen:
Reibung kostet. Die Conversion sinkt messbar mit jedem zusätzlichen Checkout-Schritt. Die meisten Käufer, bekanntes Gerät, privates Netzwerk, normaler Warenkorbwert, sollten ohne jede Prüfung durchgehen.
Zwei Stufen halten die Reibung proportional zum Risiko:
$0.03), Geräte- & IP-Analyse ist günstig und unauffällig. Entscheidend bei offensichtlichen Fällen (VPN + Rechenzentrums-IP + Headless-Browser = sofortige Blockierung; vertrauenswürdiges Gerät + privater ISP = sofortiger Durchlauf).$0.10), Passive Liveness wird nur bei dem kleinen Teil ausgelöst, bei dem Stufe 1 nicht eindeutig ist UND der Warenkorbwert über dem Schwellenwert liegt, ab dem es sich lohnt.Das Ergebnis: Der durchschnittliche Checkout verursacht keine zusätzliche Reibung, und der Hochrisikobereich erhält eine entscheidende Prüfung.
Der gesamte Prozess dauert normalerweise unter 30 Sekunden von Anfang bis Ende, Ausweis nehmen, Dokument scannen, Selfie machen, fertig. Das ist der schnellste auf dem Markt. Herkömmliche KYC-Anbieter benötigen für denselben Ablauf oft mehr als 90 Sekunden.
Im Backend liefert Didit das Ergebnis in unter zwei Sekunden bei p99, gemessen vom Abschluss des Selfies durch den Nutzer bis zum Auslösen deines Webhooks. Die mobile Erfassung ist für langsame Telefone und Netzwerke optimiert: progressive Bildkomprimierung, Lazy-Loading des Software Development Kit und eine One-Tap-Übergabe vom Desktop zum Telefon per QR-Code, falls der Nutzer am Web beginnt.
Nur wenn Stufe 1 nicht eindeutig ist UND der Bestellwert hoch genug ist, um die Reibung zu rechtfertigen. Beispiele:
Der Step-up ist Passive Liveness für $0.10, optional mit einem Face Match 1:1 gegen das gespeicherte Käuferprofil für zusätzliche $0.05. Das Ergebnis liegt bei Einsteiger-Android-Geräten in unter zwei Sekunden vor.
Jede Session landet in einem von sieben klaren Status, sodass dein Code immer weiß, was zu tun ist:
Approved, alle Prüfungen bestanden. Den Nutzer weiterleiten.Declined, eine oder mehrere Prüfungen fehlgeschlagen. Du kannst dem Nutzer erlauben, den spezifischen fehlgeschlagenen Schritt (z.B. das Selfie erneut aufnehmen) erneut einzureichen, ohne den gesamten Ablauf neu zu starten.In Review, zur Compliance-Prüfung markiert. Den Fall in der Konsole öffnen, alle Signale einsehen, Genehmigung oder Ablehnung entscheiden.In Progress, Nutzer befindet sich mitten im Ablauf.Not Started, Link gesendet, Nutzer hat ihn noch nicht geöffnet. Eine Erinnerung senden, wenn er zu lange ungenutzt bleibt.Abandoned, Nutzer hat den Link geöffnet, aber nicht rechtzeitig abgeschlossen. Erneut ansprechen oder ablaufen lassen.Expired, der Session-Link ist abgelaufen. Eine neue Session erstellen.Ein signierter Webhook wird bei jeder Statusänderung ausgelöst, sodass deine Datenbank immer synchron bleibt. Abgebrochene und abgelehnte Sessions sind kostenlos.
Produktionsdaten werden standardmäßig in der Europäischen Union verarbeitet und gespeichert, auf Amazon Web Services. Für Jurisdiktionen, deren Regulierungsbehörden dies erfordern, können Enterprise-Verträge alternative Regionen anfordern.
Verschlüsselung überall. AES-256 im Ruhezustand über jede Datenbank, jeden Objektspeicher und jedes Backup. Transport Layer Security 1.3 während der Übertragung bei jedem API-Aufruf, Webhook und jeder Business Console-Session. Biometrische Daten werden unter einem separaten Customer Master Key verschlüsselt.
Die Aufbewahrung liegt in deiner Hand. Die Standardaufbewahrungsfrist ist unbegrenzt, es sei denn, du konfigurierst eine kürzere, zwischen 30 Tagen und 10 Jahren pro Anwendung, und du kannst jede einzelne Session jederzeit über das Dashboard oder die API löschen.
Zertifizierungen: SOC 2 Typ 1 (Typ 2 Audit läuft), ISO/IEC 27001:2022, iBeta Level 1 PAD und eine öffentliche Bestätigung von Spaniens Tesoro / SEPBLAC / CNMV, dass Didits Remote-Identitätsprüfung sicherer ist als die persönliche Verifizierung. Vollständiger Bericht unter /security-compliance.
Didit ist standardmäßig konform mit den für die Identitätsinfrastruktur relevanten Regulierungsbehörden:
Ausführliches Memo, jedes Zertifikat, jeder Regulierungsbrief: /security-compliance.
Drei Integrationspfade, wähle den, der zu deinem Stack passt:
Dasselbe Dashboard, dieselbe Abrechnung, derselbe Pay-per-Success-Preis für alle drei. Schritt-für-Schritt-Anleitung unter docs.didit.me/integration/integration-prompt.
Ja. Derselbe POST /v3/session/ treibt beides an. Im Web renderst du die zurückgegebene session_url inline beim Checkout. Auf Mobilgeräten öffnest du sie im Didit Software Development Kit (SDK) Webview, fünf SDKs sind verfügbar: Web, iOS, Android, React Native, Flutter, alle kostenlos.
Das Ergebnis kommt über denselben signierten Webhook, unabhängig von der Oberfläche. Eine Integration, jede Plattform.
Im schlimmsten Fall zwei Posten:
Durchschnittlicher geschützter Checkout, der beide Stufen benötigt: ~ $0.13. Die meisten Checkouts durchlaufen nur Stufe 1 für $0.03. Wiederkehrende, vertrauenswürdige Käufer über Reusable KYC sind für immer kostenlos.
Die ersten 500 Verifizierungen pro Monat sind auf jedem Konto kostenlos.
Überall dort, wo der Warenkorb groß genug ist, dass ein Kauf mit gestohlener Karte schmerzt:
Ein Workflow, jede Warenkorbform.
Eine API für KYC, KYB, Transaktionsüberwachung und Wallet-Screening. In 5 Minuten integriert.