Jedes neue Anmelde-Selfie mit der Galerie zuvor genehmigter Selfies abgleichen. Ein Treffer bedeutet, dass dieselbe Person bereits ein Konto besitzt. Die Gesichtssuche ist kostenlos; 500 Verifizierungen sind jeden Monat gratis.
Robinhood Ventures
Über 2.000 Organisationen weltweit vertrauen uns.
Was E-Mail und Telefon nicht erkennen
E-Mail-Aliase und Burner-SIMs kosten Centbeträge. Ein menschliches Gesicht ist der einzige Identifikator, den der Sybil-Farmer nicht wechseln kann. Face Search 1:N gegen deine Galerie früherer Selfies macht es unmöglich, dieselbe Person zu verstecken. Kostenlos pro Suche, 500 Verifizierungen jeden Monat gratis.
Wähle die gewünschten Checks aus, ID, Liveness, Face Match, Sanktionen, Adresse, Alter, Telefon, E-Mail, benutzerdefinierte Fragen. Ziehe sie im Dashboard in einen Flow oder poste denselben Flow an unsere API. Verzweige nach Bedingungen, führe A/B-Tests durch, kein Code erforderlich.
Bette nativ mit unserem Web-, iOS-, Android-, React Native- oder Flutter-SDK ein. Leite auf eine gehostete Seite weiter. Oder sende deinem Nutzer einfach einen Link, per E-Mail, SMS, WhatsApp, überall. Wähle, was zu deinem Stack passt.
Didit hostet die Kamera, die Lichtsignale, die mobile Übergabe und die Barrierefreiheit. Während der Nutzer im Flow ist, bewerten wir über 200 Betrugssignale in Echtzeit und verifizieren jedes Feld anhand autoritativer Datenquellen. Ergebnis in unter zwei Sekunden.
Echtzeit-signierte Webhooks halten deine Datenbank synchron, sobald ein Nutzer genehmigt, abgelehnt oder zur Überprüfung gesendet wird. Frage die API bei Bedarf ab. Oder öffne die Konsole, um jede Session, jedes Signal zu prüfen und Fälle nach deinen Wünschen zu verwalten.
Didit · Sybil-Muster
Didit · Face Search 1:N
Registrierung · 2 / 2
Galerie durchsuchen
Didit · Face Search Ergebnis
Didit · Kontoübergreifende Verknüpfung
Didit · Wiederverwendbares KYC
Erstes KYC
Anker
Didit · Webhook · X-Signature-V2
{
"session_id": "new-abc",
"vendor_data": "signup-A4",
"status": "Declined",
"face_search": {
"matches": [
{ "session_id": "sess-9182",
"similarity": 0.96 }
]
}
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_sybil_gate",
"vendor_data": "signup-A4",
"metadata": { "surface": "airdrop_claim" }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Declined") {
logCluster(payload.face_search.matches);
blockSignup(payload.vendor_data);
} else if (payload.status === "In Prüfung") {
queueForAnalyst(payload);
}Status: Genehmigt · Abgelehnt · In Prüfung · Nicht abgeschlossenYou are integrating Didit Face Search 1:N to catch the same human opening many accounts on your platform — sybil airdrops, referral payout cycles, sign-up bonus stacking, iGaming multi-accounting that bypasses self-exclusion, marketplace fake-review clusters. One API call. One signed webhook. One decision.
WHY THIS SHAPE
- Email, phone, device, IP can all be rotated cheaply. A human face cannot.
- Every new sign-up captures one Passive Liveness selfie. Didit searches that selfie against the gallery of prior approved selfies under your account. A high-similarity match means the same person already has an account.
- Face Search 1:N itself is FREE on every session — no per-search fee. Only the surrounding bundle (ID + Passive Liveness + AML) carries the usual cost. Use the full Know Your Customer (KYC) bundle on sign-up or the Passive Liveness + Face Search subset, depending on what the product needs.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow that contains the Face Search 1:N module. Compose it with Passive Liveness so an attacker cannot upload a still photo of the target.
- Define what a "match" means for your product. Default: similarity ≥ 0.85 = Declined. 0.75–0.85 = In Review. < 0.75 = Approved.
STEP 1 — Open the sign-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Face Search 1:N + Passive Liveness>",
"vendor_data": "<your new-account id, max 256 chars>",
"callback": "https://<your-app>/sybil-gate/callback",
"metadata": {
"surface": "airdrop_claim",
"campaign": "<your campaign id>"
}
}
Response: 201 Created with a hosted session URL. Redirect inline (web) or open in a Software Development Kit (SDK) webview (mobile). The new account stays UNCREATED on your side until the signed webhook lands.
STEP 2 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body) BEFORE reading the JSON.
Payload (excerpted, match case):
{
"session_id": "<uuid>",
"vendor_data": "<your new-account id>",
"status": "Declined",
"face_search": {
"matches": [
{ "session_id": "sess-9182", "similarity": 0.96, "vendor_data": "user-A1" },
{ "session_id": "sess-7733", "similarity": 0.94, "vendor_data": "user-A2" }
]
}
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 3 — Branch the sign-up
Approved → no gallery match. Create the account.
In Review → soft match (similarity in your grey-zone band). Queue for human review.
Declined → hard match (similarity above your hard threshold). Block, log the matched session_id list as the audit trail.
STEP 4 — Cross-account link signals (optional but cheap)
Compose Device & IP Analysis ($0.03 / call) in the same workflow. The decision payload surfaces device fingerprint, IP, Autonomous System Number (ASN), country, and city. Combine with your own payment-instrument hash and you can cluster sybils even before the face search confirms.
STEP 5 — Reusable KYC for legitimate cross-product re-entry
If the user is supposed to reuse one identity across multiple products you own, Reusable KYC lets them replay a previously verified credential at no cost. That is different from sybil abuse — reuse is intentional and you control the issuance.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT IT BLOCKS
- Sybil airdrop / token claims (one person · many wallets)
- Self-referral payout cycles (sign-up bonus farms)
- iGaming multi-accounting that bypasses self-exclusion
- Marketplace fake-review clusters from a single human
- DAO and community-vote stuffing
- Welcome-bonus stacking on neobank / brokerage sign-ups
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE for session verdicts — that's the Transactions API.
- Face Search 1:N WITHOUT Passive Liveness lets an attacker upload a still photo of the target. Always compose them together.
- Thresholds are tunable per workflow. Start at 0.85 hard / 0.75 soft and adjust based on your false-positive tolerance.
- The gallery is scoped to your account — no cross-customer leakage by design.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/face-search/overview
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / Monat. Keine Kreditkarte erforderlich.
Zahle nur, was du nutzt. Über 25 Module. Öffentliche Preise pro Modul, keine monatliche Mindestgebühr.
Individuelle MSA & SLA. Für große Volumina und regulierte Programme.
Kostenlos starten → nur zahlen, wenn eine Prüfung läuft → Enterprise für einen individuellen Vertrag, SLA oder Datenresidenz freischalten.
Didit ist die Infrastruktur für Identität und Betrug, die Plattform, die wir uns beim Entwickeln eigener Produkte gewünscht hätten: offen, flexibel und entwicklerfreundlich, damit sie wirklich Teil deines Stacks wird und nicht eine Blackbox, um die herum du integrieren musst.
Eine API deckt die Verifizierung von Personen (KYC, Know Your Customer), Unternehmen (KYB, Know Your Business), die Überprüfung von Krypto-Wallets (KYT, Know Your Transaction) und die Echtzeit-Transaktionsüberwachung ab, auf einem Stack, der dafür gebaut wurde, schnell (p99 unter 2 Sekunden pro Session), zuverlässig (im Einsatz bei über 1.500 Unternehmen in über 220 Ländern) und sicher zu sein (SOC 2 Typ 1, ISO 27001, GDPR-nativ und von der spanischen Finanzaufsichtsbehörde offiziell als sicherer als persönliche Verifizierung attestiert).
Die Basis: über 14.000 Dokumenttypen in über 48 Sprachen, über 1.000 Datenquellen und über 200 Betrugssignale pro Session. Die Didit-Infrastruktur lernt dynamisch aus jeder Session und wird täglich besser.
Ein Sybil-Angriff liegt vor, wenn ein Mensch viele Konten erstellt, um sich als viele Menschen auszugeben. Der Name stammt von einer Fallstudie aus dem Jahr 1973 über eine Patientin mit dissoziativer Identitätsstörung. Im Produktkontext äußert sich das so, dass eine Person zehnmal einen Airdrop beansprucht, zehn Anmeldeboni stapelt oder eine Bestenliste mit zehn „verschiedenen“ Siegen füllt.
Der Angriff funktioniert, weil jeder andere Identifikator, E-Mail, Telefon, Gerät, Internet Protocol (IP)-Adresse, für Centbeträge gewechselt werden kann. Der einzige Identifikator, der nicht billig gewechselt werden kann, ist das Gesicht des Angreifers selbst.
Ein Sybil-Farmer im Jahr 2026 kann kaufen:
Die gesamte Operation rechnet sich, wenn ein einziger Sybil-Airdrop oder Bonus mehr wert ist als die Ausrüstung. Face Search 1:N nimmt das Gesicht, das Einzige, was der Farmer nicht billig duplizieren kann, und macht es zum einzigartigen Schlüssel.
Der gesamte Ablauf dauert normalerweise unter 30 Sekunden von Anfang bis Ende, Ausweis nehmen, Dokument scannen, Selfie machen, fertig. Das ist der schnellste Wert am Markt. Herkömmliche KYC-Anbieter benötigen für denselben Ablauf meist mehr als 90 Sekunden.
Im Backend liefert Didit das Ergebnis in unter zwei Sekunden bei p99, gemessen vom Abschluss des Selfies durch den Nutzer bis zum Auslösen deines Webhooks. Die mobile Erfassung ist für langsame Telefone und Netzwerke optimiert: progressive Bildkomprimierung, Lazy-Loading des Software Development Kits und eine One-Tap-Übergabe vom Desktop zum Telefon per QR-Code, falls der Nutzer am Web startet.
Andere Frage, andere Mathematik.
Der 1:1-Check kostet 0,05 $ pro Match. Face Search 1:N ist kostenlos pro Suche, nur das umgebende Bundle (ID Verification, Passive Liveness) ist kostenpflichtig.
Jede Session landet in einem von sieben klaren Status, sodass dein Code immer weiß, was zu tun ist:
Approved, alle Prüfungen bestanden. Den Nutzer weiterleiten.Declined, eine oder mehrere Prüfungen fehlgeschlagen. Du kannst dem Nutzer erlauben, den spezifischen fehlgeschlagenen Schritt (z.B. das Selfie neu aufnehmen) erneut einzureichen, ohne den gesamten Flow neu zu starten.In Review, zur Compliance-Überprüfung markiert. Den Fall in der Konsole öffnen, alle Signale einsehen, Genehmigung oder Ablehnung entscheiden.In Progress, Nutzer befindet sich mitten im Flow.Not Started, Link gesendet, Nutzer hat ihn noch nicht geöffnet. Eine Erinnerung senden, wenn er zu lange ungenutzt bleibt.Abandoned, Nutzer hat den Link geöffnet, aber nicht rechtzeitig abgeschlossen. Erneut ansprechen oder ablaufen lassen.Expired, der Session-Link ist abgelaufen. Eine neue Session erstellen.Ein signierter Webhook wird bei jeder Statusänderung ausgelöst, sodass deine Datenbank immer synchron bleibt. Abgebrochene und abgelehnte Sessions sind kostenlos.
Produktionsdaten werden standardmäßig in der Europäischen Union verarbeitet und gespeichert, auf Amazon Web Services. Für Enterprise-Verträge können alternative Regionen angefragt werden, wenn die Aufsichtsbehörden dies erfordern.
Verschlüsselung überall. AES-256 im Ruhezustand über jede Datenbank, jeden Objektspeicher und jedes Backup. Transport Layer Security 1.3 während der Übertragung bei jedem API-Aufruf, Webhook und jeder Business Console-Session. Biometrische Daten werden unter einem separaten Customer Master Key verschlüsselt.
Die Aufbewahrung liegt in deiner Hand. Die Standardaufbewahrungsfrist ist unbefristet (unbegrenzt), es sei denn, du konfigurierst eine kürzere, zwischen 30 Tagen und 10 Jahren pro Anwendung, und du kannst jede einzelne Session jederzeit über das Dashboard oder die API löschen.
Zertifizierungen: SOC 2 Typ 1 (Typ 2 Audit läuft), ISO/IEC 27001:2022, iBeta Level 1 PAD und eine öffentliche Bestätigung von Spaniens Tesoro / SEPBLAC / CNMV, dass Didits Fernidentitätsprüfung sicherer ist als die persönliche Verifizierung. Vollständiger Bericht unter /security-compliance.
Didit ist standardmäßig konform für die Regulierungsbehörden, die für Identitätsinfrastrukturen relevant sind:
Detailliertes Memo, jedes Zertifikat, jeder Regulierungsbrief: /security-compliance.
Drei Integrationspfade, wähle den, der zu deinem Stack passt:
Dasselbe Dashboard, dieselbe Abrechnung, derselbe Pay-per-Success-Preis für alle drei. Schritt-für-Schritt-Anleitung unter docs.didit.me/integration/integration-prompt.
Face Search 1:N liefert einen Ähnlichkeits-Score zwischen 0 und 1 pro Match. Du legst zwei Schwellenwerte pro Workflow fest:
Declined. Automatische Blockierung der Anmeldung.In Review. Zur Analyse in die Warteschlange stellen.Approved. Kein Duplikat gefunden.Starte mit den Standardwerten. Wenn du zu viele Fehlalarme siehst (echte Zwillinge, sehr starke Familienähnlichkeit), erhöhe den harten Schwellenwert. Wenn Duplikate durchrutschen, senke ihn. Passe ihn im Workflow Builder an, kein erneutes Deployment nötig.
Zwei Posten pro neuer Anmeldung:
Rund 0,10 $ pro geschützter Anmeldung. Füge Device & IP Analysis für 0,03 $ hinzu, wenn du Geräte- + IP-Link-Signale für Clustering möchtest. Die ersten 500 Verifizierungen jeden Monat sind auf jedem Konto kostenlos.
Keine Mindestmengen, keine jährliche Verpflichtung, keine Pro-Seat-Preise.
Überall dort, wo die Vervielfachung von Konten einen wirtschaftlichen Wert hat:
Eine Integration, jede Oberfläche.
Eine API für KYC, KYB, Transaktionsüberwachung und Wallet-Screening. In 5 Minuten integriert.