Der Nutzer hält den Pass ans Smartphone. Die staatliche Signatur wird verifiziert, das Chip-Porträt schlägt das Selfie. Bank-Grade in unter fünf Sekunden. $0.15 pro Chip-Lesung.
Robinhood Ventures
Über 2.000 Organisationen weltweit vertrauen uns.
Was eine regulierte Plattform leisten muss
Die Daten auf einem E-Pass-Chip sind kryptografisch vom ausstellenden Land signiert. Die Verifizierung dieser Signaturkette, und der Abgleich des Selfies mit dem hochauflösenden Chip-Porträt, gibt dir Bank-Grade-Sicherheit, dass das Dokument echt ist. Didits NFC-Flow läuft in unter fünf Sekunden, fällt auf OCR zurück, wenn NFC nicht verfügbar ist, und wird mit nativen SDKs für iOS, Android, React Native und Flutter geliefert.
Wähle die gewünschten Prüfungen aus, ID, Liveness, Face Match, Sanktionen, Adresse, Alter, Telefon, E-Mail, benutzerdefinierte Fragen. Ziehe sie im Dashboard in einen Flow oder poste denselben Flow an unsere API. Verzweige nach Bedingungen, führe A/B-Tests durch, kein Code erforderlich.
Bette nativ mit unserem Web-, iOS-, Android-, React Native- oder Flutter-SDK ein. Leite auf eine gehostete Seite um. Oder sende deinem Nutzer einfach einen Link, per E-Mail, SMS, WhatsApp, überall. Wähle, was zu deinem Stack passt.
Didit hostet die Kamera, die Beleuchtungshinweise, die mobile Übergabe und die Barrierefreiheit. Während der Nutzer im Flow ist, bewerten wir über 200 Betrugssignale in Echtzeit und verifizieren jedes Feld anhand autoritativer Datenquellen. Ergebnis in unter zwei Sekunden.
Echtzeit-signierte Webhooks halten deine Datenbank synchron, sobald ein Nutzer genehmigt, abgelehnt oder zur Überprüfung gesendet wird. Frage die API bei Bedarf ab. Oder öffne die Konsole, um jede Session, jedes Signal zu prüfen und Fälle nach deinen Wünschen zu verwalten.
Didit · NFC-Lesen
Schritt 2 / 4
Halte den Reisepass ans Telefon
Didit · ICAO 9303-Kette
Didit · Face Match 1:1
Chip-Porträt · DG2
Hochauflösend · staatlich signiert
Live-Selfie
Score 0.94 · iBeta L1
Didit · Passive Liveness
Didit · AML
Didit · ID-Verifizierung
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_nfc_onboarding",
"vendor_data": "user-42",
"expected_country": "ES"
}'URL im nativen SDK öffnen · NFC-Tap startet.$ curl https://verification.didit.me/v3/session/$SESSION/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Decision payload (excerpted):
{ "nfc_verification": { "passive_authentication": "Approved" },
"face": { "matched_against": "chip_portrait", "similarity_score": 0.94 } }matched_against chip_portrait → eIDAS-konforme Sicherheit.You are integrating Didit's NFC e-passport reading into a regulated onboarding flow (bank, fintech, crypto exchange, eIDAS-grade public service). NFC chip reading lifts onboarding from document-scan-grade to bank-grade in one extra step on the user's phone.
Five obligations on every onboarding:
1. Read the e-passport / e-ID chip via NFC — DG1 (MRZ), DG2 (portrait), DG11 (personal details).
2. Verify the government signature chain — Passive Authentication (PA) against the ICAO Public Key Directory, Chip Authentication (CA), Active Authentication (AA).
3. Match the live selfie to the high-resolution DG2 portrait extracted from the chip.
4. Run Passive Liveness on the selfie — iBeta Level 1 anti-spoof certified, defeats printed photos, screen replays, masks, and deepfakes.
5. Screen the chip-verified identity against sanctions, Politically Exposed Persons (PEP), and adverse-media lists.
Fallback automatically when NFC is unavailable (no chip, NFC blocked by iOS or by user permission, chip damaged): the workflow drops to high-accuracy MRZ + OCR on the visual page using ID Verification.
Pricing (verified live):
- NFC Reading: $0.15 per chip read
- ID Verification (fallback or always-on belt-and-braces): $0.15 per check
- Passive Liveness: $0.10 per check
- Face Match 1:1: $0.05 per match
- AML Screening: $0.20 per check
- Bundle (NFC + Liveness + Face Match + AML): $0.50 per onboarded user when NFC succeeds; $0.50 also when the workflow falls back to ID Verification
- First 500 KYC verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header and your webhook secret.
- A workflow_id from the Workflow Builder bundling NFC Reading + ID Verification (fallback) + Passive Liveness + Face Match 1:1 + AML Screening.
- The Didit hosted flow or the native SDKs (web SDK, iOS, Android, React Native, Flutter) — NFC chip reading requires the native NFC stack, so plain web-only deployments fall back to MRZ + OCR automatically.
STEP 1 — Create the NFC session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your nfc onboarding workflow id>",
"vendor_data": "<your user id, max 256 chars>",
"callback_url": "https://<your-app>/onboarding/kyc/callback",
"expected_country": "ES",
"metadata": {
"channel": "native_ios",
"purpose": "high_assurance_onboarding"
}
}
Response: 201 Created with the hosted session URL. Open it via the native SDK (iOS NFC requires CoreNFC entitlement) or in the hosted webview; the user taps the e-passport against the phone's NFC reader, the chip data is read in 2-4 seconds.
STEP 2 — The chip-read sequence (handled by the SDK / hosted flow)
Inside the hosted flow, in this order:
a. The user presents the data page so the device camera reads the Machine-Readable Zone (MRZ). The MRZ provides the BAC / PACE key needed to handshake with the chip.
b. The user taps the passport to the phone. PACE (preferred) or BAC handshake establishes a secure session with the chip.
c. The chip returns Data Group 1 (MRZ data — name, DOB, expiry, document number), Data Group 2 (the high-resolution portrait), and Data Group 11 (personal details where available).
d. Passive Authentication verifies the Document Signer Certificate against the country's Country Signing CA via the ICAO Public Key Directory. Chip Authentication and Active Authentication run if supported by the issuing country.
e. The user takes a single selfie (Passive Liveness, no challenge prompts).
f. The selfie is matched 1:1 against the DG2 portrait.
STEP 3 — Read the signed webhook on completion
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"nfc_verification": {
"status": "Approved",
"passive_authentication": "Approved",
"chip_authentication": "Approved",
"active_authentication": "Approved",
"data_groups_read": [1, 2, 11]
},
"id_verification": { "status": "Approved", "document_type": "passport", "country_code": "ES" },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94, "matched_against": "chip_portrait" },
"aml": { "status": "Approved", "hits": [] }
}
Session status enum (exact case):
Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Decide
Branch logic:
Approved → onboard the user with bank-grade assurance.
In Review → hold the account, wait for analyst webhook update.
Declined → refuse onboarding, log the decline reason.
Resubmitted → user updated something; re-read the decision.
When face.matched_against === "chip_portrait", you can mark the identity as eIDAS High-grade (Substantial / High depending on your local regulator's reading). When it falls back to "id_document_portrait" (the visual page), it's still bank-grade by document-scan standards but not chip-anchored.
STEP 5 — Fallback paths
iPhones below iPhone 7, or any phone with NFC disabled, or a document without a chip (pre-2014 in some countries) → the workflow surfaces "NFC unavailable" and routes to the ID Verification + MRZ + OCR path. Same hosted URL, same webhook, same statuses. The fallback is configured in the Workflow Builder, not in your code.
Some Android devices won't read every chip due to NFC antenna placement — Didit's iOS / Android SDKs surface a graceful retry hint before failing over to OCR.
STEP 6 — Ongoing monitoring
Enable Ongoing AML at $0.07/user/year to keep the identity fresh. NFC re-reads aren't required for ongoing — the chip data was captured at onboarding and the binding is permanent for the document's validity period.
WEBHOOK EVENT NAMES
- status.updated — session status changed.
- data.updated — session data changed (resubmission, NFC retry, ongoing AML hit).
Verify X-Signature-V2 on every payload. The webhook secret is per-environment — sandbox key is separate from production.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review).
- NFC chip reading requires the native NFC stack — iOS, Android, React Native, Flutter SDKs handle it; pure web falls back to MRZ + OCR.
- The chip portrait (DG2) is far higher-resolution than the visual page — matching the selfie to it is meaningfully more accurate than matching to a phone-camera-captured ID photo.
- Document Signer Certificate trust is anchored to the ICAO Public Key Directory; some countries (eg. small island states) do not publish to the PKD and will return a Passive Authentication warning rather than Approved.
- Default record retention is 5 years post-relationship per the EU AML package.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/core-technology/nfc-verification/overview
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / Monat. Keine Kreditkarte erforderlich.
Zahle nur, was du nutzt. Über 25 Module. Öffentliche Preise pro Modul, keine monatliche Mindestgebühr.
Individuelle MSA & SLA. Für große Volumina und regulierte Programme.
Kostenlos starten → nur zahlen, wenn eine Prüfung läuft → Enterprise für einen individuellen Vertrag, SLA oder Datenresidenz freischalten.
Didit ist die Infrastruktur für Identität und Betrug, die Plattform, die wir uns gewünscht hätten, als wir selbst Produkte entwickelten: offen, flexibel und entwicklerfreundlich, damit sie als echter Teil deines Stacks funktioniert, anstatt einer Blackbox, um die du herum integrieren musst.
Eine API deckt die Verifizierung von Personen (KYC, Know Your Customer), die Verifizierung von Unternehmen (KYB, Know Your Business), das Screening von Krypto-Wallets (KYT, Know Your Transaction) und die Überwachung von Transaktionen in Echtzeit ab, auf einem Stack, der gebaut wurde, um:
Die Basis darunter: über 14.000 Dokumententypen in über 48 Sprachen, über 1.000 Datenquellen und über 200 Betrugssignale bei jeder Session. Die Didit-Infrastruktur lernt dynamisch aus jeder Session und wird jeden Tag besser.
Moderne Reisepässe (und zunehmend auch moderne nationale ID-Karten in der EU) enthalten einen winzigen kontaktlosen Chip, dieselbe Art von Chip, die du zum Bezahlen mit einer Karte antippst. Der Chip enthält:
Das Letzte ist das Besondere. Der Chip ist kryptografisch an das ausstellende Land gebunden, was bedeutet, dass ein Angreifer das, was er zurückgibt, nicht fälschen oder manipulieren kann, er müsste eine Regierungssignatur fälschen. Didit liest den Chip über NFC auf dem Telefon des Benutzers in 2-4 Sekunden für $0.15 pro Lesung.
Drei Gründe, in der Reihenfolge ihrer Bedeutung:
Für die meisten Onboarding-Flows ist ein Dokumentenscan ausreichend. Für Banken, Fintech, eIDAS-konforme öffentliche Dienste und jeden Flow, bei dem ein einziger Fehlalarm echtes Geld kostet, ist die NFC-Chip-Lesung die Standardkontrolle.
Der gesamte Ablauf dauert normalerweise unter 30 Sekunden von Anfang bis Ende, Ausweis nehmen, Dokument scannen, Selfie machen, fertig. Das ist der schnellste auf dem Markt. Herkömmliche KYC-Anbieter benötigen für denselben Ablauf in der Regel mehr als 90 Sekunden.
Im Backend liefert Didit das Ergebnis in unter zwei Sekunden bei p99, gemessen vom Moment, in dem der Nutzer das Selfie beendet, bis zum Auslösen deines Webhooks. Die mobile Erfassung ist für langsame Telefone und Netzwerke optimiert: progressive Bildkomprimierung, verzögertes Laden des Software Development Kits und eine One-Tap-Übergabe vom Desktop zum Telefon per QR-Code, falls der Nutzer am Web beginnt.
ICAO Doc 9303 ist die internationale Spezifikation für maschinenlesbare Reisedokumente (MRTDs), jeder moderne Reisepass weltweit wird nach dieser Spezifikation erstellt. Drei Punkte sind für die NFC-Verifizierung wichtig:
Didit führt alle drei aus und gibt jedes Ergebnis separat in der Entscheidungs-Payload aus. ICAO Doc 9303-konform bedeutet, dass der Chip-Lesepfad derselbe ist, den Grenzbeamte an E-Gates am Flughafen verwenden.
Jede Session landet in einem von sieben klaren Status, sodass dein Code immer weiß, was zu tun ist:
Approved, alle Prüfungen bestanden. Der Nutzer kann fortfahren.Declined, eine oder mehrere Prüfungen fehlgeschlagen. Du kannst dem Nutzer erlauben, den spezifischen fehlgeschlagenen Schritt (z.B. das Selfie erneut aufnehmen) erneut einzureichen, ohne den gesamten Flow erneut auszuführen.In Review, zur Compliance-Prüfung markiert. Öffne den Fall in der Konsole, sieh dir alle Signale an, entscheide über Genehmigung oder Ablehnung.In Progress, der Nutzer befindet sich mitten im Flow.Not Started, Link gesendet, Nutzer hat ihn noch nicht geöffnet. Sende eine Erinnerung, wenn er zu lange unbeachtet bleibt.Abandoned, Nutzer hat den Link geöffnet, aber nicht rechtzeitig abgeschlossen. Erneut ansprechen oder ablaufen lassen.Expired, der Session-Link ist abgelaufen. Erstelle eine neue Session.Ein signierter Webhook wird bei jeder Statusänderung ausgelöst, sodass deine Datenbank immer synchron bleibt. Abgebrochene und abgelehnte Sessions sind kostenlos.
Produktionsdaten werden standardmäßig in der Europäischen Union verarbeitet und gespeichert, auf Amazon Web Services. Unternehmenskunden können alternative Regionen für Jurisdiktionen anfordern, deren Regulierungsbehörden dies verlangen.
Verschlüsselung überall. AES-256 im Ruhezustand über jede Datenbank, jeden Objektspeicher und jedes Backup. Transport Layer Security 1.3 während der Übertragung bei jedem API-Aufruf, Webhook und jeder Business Console-Sitzung. Biometrische Daten werden unter einem separaten Customer Master Key verschlüsselt.
Die Aufbewahrung liegt in deiner Hand. Die Standardaufbewahrung ist unbegrenzt (unendlich), es sei denn, du konfigurierst eine kürzere, zwischen 30 Tagen und 10 Jahren pro Anwendung, und du kannst jede einzelne Session jederzeit über das Dashboard oder die API löschen.
Zertifizierungen: SOC 2 Typ 1 (Typ 2 Audit läuft), ISO/IEC 27001:2022, iBeta Level 1 PAD und eine öffentliche Bestätigung des spanischen Tesoro / SEPBLAC / CNMV, dass Didits Fernidentitätsprüfung sicherer ist als die persönliche Verifizierung. Vollständiger Bericht unter /security-compliance.
Didit ist standardmäßig konform für die Regulierungsbehörden, die für die Identitätsinfrastruktur relevant sind:
Detailliertes Memo, jedes Zertifikat, jeder Regulierungsbrief: /security-compliance.
Drei Integrationswege, wähle den, der zu deinem Stack passt:
Dasselbe Dashboard, dieselbe Abrechnung, derselbe Pay-per-Success-Preis für alle drei. Schritt-für-Schritt-Anleitung unter docs.didit.me/integration/integration-prompt.
Drei häufige Fehlerursachen, die alle vom Workflow behandelt werden:
Der Fallback-Pfad ist derselbe /v3/session/, derselbe Webhook, dieselben Status. Die Entscheidungs-Payload teilt dir mit, welcher Pfad erfolgreich war, damit du darauf reagieren kannst, face.matched_against === "chip_portrait" für den NFC-Pfad, "id_document_portrait" für den OCR-Fallback. Banktaugliche Workflows können den OCR-Fallback ablehnen und einen neuen Versuch auf einem anderen Gerät erfordern.
Unter eIDAS 2, dem EU-Rahmen für elektronische Identifizierung, kann ein Chip-verifizierter E-Pass mit biometrischem Abgleich eine erhebliche oder hohe Vertrauensstufe unterstützen, abhängig von den umgebenden Kontrollen des Workflows.
Didits Rolle ist es, die zugrunde liegenden Identitätsbindungsnachweise zu liefern:
Ob der vollständige Flow die Stufe „Erheblich“ oder „Hoch“ erreicht, hängt von der nutzenden Wallet, dem Vertrauensrahmen und der Auslegung der Regulierungsbehörde in deinem Land ab. Didit ist die einzige KYC-Plattform mit einer formellen EU-Regierungsbestätigung, das spanische Finanzministerium, die Banco de España und SEPBLAC haben den Dienst gemeinsam als sicherer als die persönliche Verifizierung attestiert. Dieser Bericht ist der meistzitierte Ausgangspunkt für eine Diskussion über eIDAS Hoch.
Die meisten NFC-Anbieter verlangen zwischen $1.50 und $5.00 pro Chip-Lesung, oft mit Mindestumsätzen von Tausenden von Euro pro Monat und länderspezifischen Aufschlägen für Chip-Signaturzertifikats-Abonnements. Das ist der Onfido / Jumio / Veriff-Archetyp.
Didits veröffentlichter Preis beträgt $0.15 pro NFC-Chip-Lesung + $0.50 für das vollständige Paket (NFC + Liveness + Face Match + AML). Keine Untergrenze, kein Minimum, kein länderspezifischer Aufschlag. Die ersten 500 Verifizierungen sind jeden Monat kostenlos und decken die meisten Pilotprojekte vollständig ab.
Das ist ungefähr 10-30x günstiger als der etablierte Stack bei gleicher regulatorischer Leistung. Bei 10.000 Nutzern pro Monat beträgt die Ersparnis gegenüber einem etablierten Anbieter mit $2.00 pro Chip etwa $18.500. Bei europäischen Bankvolumen (100.000+ KYCs / Monat) summiert sich die Ersparnis auf einen mittleren sechsstelligen Betrag pro Jahr. Vollständige Preisgestaltung unter /pricing.
Eine API für KYC, KYB, Transaktionsüberwachung und Wallet-Screening. In 5 Minuten integriert.