Biometrische Authentifizierung ($0.10) plus Geräte- & IP-Analyse ($0.03) liefern zwei PSD3-konforme SCA-Faktoren in einer einzigen Abfrage. Phishing-resistent. Drop-in-Ersatz für SMS-Einmalpasswörter.
Robinhood Ventures
Über 2.000 Organisationen weltweit vertrauen uns.
Warum SMS-OTP ausgedient hat
Die PSD3 löst SMS-Einmalpasswörter als Faktor für die starke Kundenauthentifizierung ab. Didits gerätegebundene biometrische SCA blockiert SIM-Swaps, Echtzeit-Phishing und SS7-Abfangen, für $0.13 pro Authentifizierung, mit einem Ergebnis in unter zwei Sekunden und bereit für Dynamic Linking. 500 Verifizierungen pro Monat sind kostenlos.
Wähle die gewünschten Prüfungen aus, ID, Liveness, Face Match, Sanktionen, Adresse, Alter, Telefon, E-Mail, benutzerdefinierte Fragen. Ziehe sie im Dashboard in einen Flow oder poste denselben Flow an unsere API. Verzweige nach Bedingungen, führe A/B-Tests durch, kein Code erforderlich.
Bette nativ mit unserem Web-, iOS-, Android-, React Native- oder Flutter-SDK ein. Leite auf eine gehostete Seite weiter. Oder sende deinem Nutzer einfach einen Link, per E-Mail, SMS, WhatsApp, überall. Wähle, was zu deinem Stack passt.
Didit hostet die Kamera, die Lichtsignale, die mobile Übergabe und die Barrierefreiheit. Während der Nutzer den Flow durchläuft, bewerten wir über 200 Betrugssignale in Echtzeit und verifizieren jedes Feld anhand autoritativer Datenquellen. Das Ergebnis liegt in unter zwei Sekunden vor.
Echtzeit-signierte Webhooks halten deine Datenbank synchron, sobald ein Nutzer genehmigt, abgelehnt oder zur Überprüfung gesendet wird. Frage die API bei Bedarf ab. Oder öffne die Konsole, um jede Session, jedes Signal zu prüfen und Fälle nach deinen Vorstellungen zu verwalten.
Didit · SCA-Faktoren
Wissen
Passwort · PIN
Optional
Besitz
Gebundenes Gerät
Didit ✓
Inhärenz
Gesicht · Lebenderkennung
Didit ✓
Didit · Dynamische Verknüpfung
Didit · Angriffsmatrix
Didit · Ausnahmeregel-Engine
Didit · Geräte- & IP-Analyse
Didit · Kosten pro Authentifizierung
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "purpose": "login" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'Status Genehmigt · Abgelehnt · In Prüfung$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "amount": "247.50", "payee_account": "ES91…1332" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'Webhook spiegelt Betrag + Empfänger zur Verifizierung widerYou are integrating Didit's Strong Customer Authentication into a payment service provider, bank, EMI, or wallet to satisfy PSD3 / the Payment Services Regulation (PSR). Two factors in one prompt:
1. Inherence — Biometric Authentication: Passive Liveness + Face Match 1:1 against the user's previously-enrolled KYC selfie.
2. Possession — Device & IP Analysis: 200+ real-time fraud signals binding the auth to the user's known device.
Pricing (verified live 2026-05-16):
- Biometric Authentication: $0.10 per auth
- Device & IP Analysis: $0.03 per auth
- Total: $0.13 per Strong Customer Authentication
- First 500 verifications free every month, forever
- Re-uses the enrolled selfie from the original KYC — no re-enrolment
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
- A workflow_id from the no-code Workflow Builder configured as a Biometric Authentication workflow (Passive Liveness + Face Match 1:1 + Device & IP Analysis).
- The user has previously completed a Didit KYC (the same enrolled selfie backs every subsequent auth).
STEP 1 — Open an authentication session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (for login auth):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/auth/callback",
"metadata": {
"purpose": "login",
"session_id": "<your front-end session id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor; OMIT only if the workflow is liveness-only>"
}
Body (for payment with dynamic linking):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/payment/callback",
"metadata": {
"purpose": "payment",
"amount": "247.50",
"currency": "EUR",
"payee_account": "ES9121000418450200051332",
"payee_name": "<merchant or recipient>",
"transaction_reference": "<your internal transaction id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor>"
}
Response: 201 Created with the hosted session URL. Push the URL to the user via deep-link / push notification / in-app sheet.
STEP 2 — User completes the biometric auth
The user sees one prompt on their phone (or via the Didit SDK in your native app). Three things happen on the same screen:
1. The amount + payee are displayed (dynamic linking — the user explicitly approves THIS amount to THIS payee for payments).
2. Passive Liveness defeats screen replay, printed photo, mask, deepfake.
3. Face Match 1:1 matches the new selfie against the enrolled KYC selfie.
Device & IP Analysis runs server-side on the session. Sub-2-second median verdict.
STEP 3 — Read the signed webhook on the auth verdict
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "vpn_detected": false, "datacenter_ip": false },
"metadata_echo": {
"amount": "247.50",
"payee_account": "ES9121000418450200051332"
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
For payments, verify that metadata_echo.amount and metadata_echo.payee_account match the values you passed in. If they do not, REJECT the payment — it's a dynamic-linking violation.
STEP 4 — Branch on verdict
Approved → unlock the action (login, payment, account change).
In Review → hold the action, route to manual review queue.
Declined → block, log the attempt, surface a friendly "try again" to the user.
Resubmitted → the user re-submitted after a soft fail (poor lighting, occlusion); proceed if the latest status is Approved.
STEP 5 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload: liveness verdict (iBeta Level 1 anti-spoof certified), Face Match similarity score, device fingerprint, IP geolocation, VPN / proxy / datacenter flags, 200+ fraud-signal score, dynamic-linking echo, HMAC signature.
Use this for the audit-trail surface a regulator examines on Strong Customer Authentication coverage.
STEP 6 — Step up on risk
When Device & IP Analysis surfaces a high-risk signal (new device + high-value payment, VPN/proxy on a login, geolocation jump), your workflow can step up to:
- A separate hardware-key challenge (FIDO2 / WebAuthn)
- A trusted-beneficiary whitelist confirmation
- A manual-review hold
Encode the step-up policy in the no-code Workflow Builder — no redeploy required.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE on a session.
- Dynamic linking is REQUIRED for payments — pass amount + payee in metadata, verify the echo on the webhook.
- The enrolled selfie that backs every SCA is the one captured during the user's original KYC — no separate enrolment step.
- PSD3 / PSR exemptions (low-value remote < EUR 30, contactless point-of-sale < EUR 50, recurring identical, trusted beneficiary, Transaction Risk Analysis tiers) are configured per workflow in the Business Console.
- Default record retention is 5 years per the EU AML and payments rules.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / Monat. Keine Kreditkarte erforderlich.
Zahle nur, was du nutzt. Über 25 Module. Öffentliche Preise pro Modul, keine monatliche Mindestgebühr.
Individuelle MSA & SLA. Für große Volumina und regulierte Programme.
Kostenlos starten → nur zahlen, wenn eine Prüfung läuft → Enterprise für einen individuellen Vertrag, SLA oder Datenresidenz freischalten.
Didit ist die Infrastruktur für Identität und Betrug, die Plattform, die wir uns gewünscht hätten, als wir selbst Produkte entwickelten: offen, flexibel und entwicklerfreundlich, damit sie als echter Teil deines Stacks funktioniert, anstatt als Blackbox, um die du herum integrieren musst.
Eine API deckt die Verifizierung von Personen (KYC, Know Your Customer), die Verifizierung von Unternehmen (KYB, Know Your Business), das Screening von Krypto-Wallets (KYT, Know Your Transaction) und die Echtzeit-Überwachung von Transaktionen ab, auf einem Stack, der gebaut wurde, um:
Die zugrunde liegende Basis: über 14.000 Dokumententypen in über 48 Sprachen, über 1.000 Datenquellen und über 200 Betrugssignale bei jeder Sitzung. Die Didit-Infrastruktur lernt dynamisch aus jeder Sitzung und wird jeden Tag besser.
Starke Kundenauthentifizierung (SCA) ist eine Regel aus der EU-Zahlungsdienstleistungsverordnung, die besagt: Wenn ein Kunde sich in sein Konto einloggt oder eine Zahlung initiiert, musst du ihn mit mindestens zwei von drei unabhängigen Faktorkategorien verifizieren.
Die drei Kategorien:
Die beiden Faktoren müssen aus verschiedenen Kategorien stammen, ein Passwort plus eine Sicherheitsfrage ist keine SCA, da beides Wissen ist. Ein Passwort plus ein Fingerabdruck ist es, da sie Kategorien überschreiten.
Eine dritte Anforderung, die dynamische Verknüpfung, besagt, dass der zweite Faktor für eine Zahlung eindeutig mit dem Transaktionsbetrag und dem Zahlungsempfänger verknüpft sein muss, damit ein gestohlener Code nicht für eine andere Transaktion wiederverwendet werden kann.
PSD3, kurz für Payment Services Directive 3, ist die Überarbeitung der PSD2-Regelwerke von 2018 durch die EU, die 2026 in Kraft treten soll. Parallel dazu existiert die Payment Services Regulation (PSR), die in den Mitgliedstaaten direkt anwendbar ist, ohne nationale Umsetzung.
Wesentliche Änderungen gegenüber PSD2:
Der Übergang erfolgt schrittweise, die meisten SCA-Änderungen werden voraussichtlich 18 bis 24 Monate nach der endgültigen Verabschiedung in Kraft treten.
Der gesamte Ablauf dauert normalerweise unter 30 Sekunden von Anfang bis Ende, Ausweis nehmen, Dokument fotografieren, Selfie machen, fertig. Das ist der schnellste auf dem Markt. Herkömmliche KYC-Anbieter benötigen für denselben Ablauf in der Regel mehr als 90 Sekunden.
Im Backend liefert Didit das Ergebnis in unter zwei Sekunden bei p99, gemessen vom Moment, in dem der Nutzer das Selfie beendet, bis zum Auslösen deines Webhooks. Die mobile Erfassung ist für langsame Telefone und langsame Netzwerke optimiert: progressive Bildkomprimierung, verzögertes Laden des Software Development Kits und eine One-Tap-Übergabe vom Desktop zum Telefon per QR-Code, wenn der Nutzer am Web beginnt.
SCA erforderlich standardmäßig bei:
Ausgenommen (PSD3 behält die meisten PSD2-Ausnahmen bei, verschärft aber die Schwellenwerte):
Die korrekte Berechnung der Ausnahmen ist die effektivste SCA-Optimierungsarbeit, die die meisten Teams leisten, gut angewendet reduziert sie die Authentifizierungsreibung, ohne den Betrug zu erhöhen.
Jede Sitzung landet in einem von sieben klaren Status, damit dein Code immer weiß, was zu tun ist:
Approved, alle Prüfungen bestanden. Leite den Nutzer weiter.Declined, eine oder mehrere Prüfungen fehlgeschlagen. Du kannst dem Nutzer erlauben, den spezifischen fehlgeschlagenen Schritt (z. B. das Selfie erneut aufzunehmen) erneut einzureichen, ohne den gesamten Ablauf neu zu starten.In Review, zur Compliance-Prüfung markiert. Öffne den Fall in der Konsole, sieh dir alle Signale an, entscheide über Genehmigung oder Ablehnung.In Progress, Nutzer befindet sich mitten im Ablauf.Not Started, Link gesendet, Nutzer hat ihn noch nicht geöffnet. Sende eine Erinnerung, wenn es zu lange dauert.Abandoned, Nutzer hat den Link geöffnet, aber nicht rechtzeitig abgeschlossen. Erneut ansprechen oder ablaufen lassen.Expired, der Sitzungslink ist abgelaufen. Erstelle eine neue Sitzung.Ein signierter Webhook wird bei jeder Statusänderung ausgelöst, sodass deine Datenbank immer synchron bleibt. Abgebrochene und abgelehnte Sitzungen sind kostenlos.
Produktionsdaten werden standardmäßig in der Europäischen Union verarbeitet und gespeichert, auf Amazon Web Services. Unternehmenskunden können alternative Regionen anfragen, wenn die Regulierungsbehörden ihrer Jurisdiktion dies erfordern.
Verschlüsselung überall. AES-256 im Ruhezustand über jede Datenbank, jeden Objektspeicher und jedes Backup. Transport Layer Security 1.3 während der Übertragung bei jedem API-Aufruf, Webhook und jeder Business Console-Sitzung. Biometrische Daten werden unter einem separaten Customer Master Key verschlüsselt.
Die Aufbewahrung liegt in deiner Hand. Die Standardaufbewahrungsfrist ist unbegrenzt, es sei denn, du konfigurierst eine kürzere, zwischen 30 Tagen und 10 Jahren pro Anwendung, und du kannst jede einzelne Sitzung jederzeit über das Dashboard oder die API löschen.
Zertifizierungen: SOC 2 Typ 1 (Typ 2 Audit läuft), ISO/IEC 27001:2022, iBeta Level 1 PAD und eine öffentliche Bestätigung des spanischen Tesoro / SEPBLAC / CNMV, dass Didits Fernidentitätsprüfung sicherer ist als die persönliche Verifizierung. Vollständiger Bericht unter /security-compliance.
Didit ist standardmäßig konform für die Regulierungsbehörden, die für die Identitätsinfrastruktur relevant sind:
Detailliertes Memo, jedes Zertifikat, jeder Regulierungsbrief: /security-compliance.
Drei Integrationspfade, wähle den, der am besten zu deinem Stack passt:
Das gleiche Dashboard, die gleiche Abrechnung, der gleiche Pay-per-Success-Preis für alle drei Optionen. Eine Schritt-für-Schritt-Anleitung findest du unter docs.didit.me/integration/integration-prompt.
Die gleiche POST /v3/session/ API auf jeder Oberfläche, die nutzerseitige Erfassung unterscheidet sich:
Dieselbe biometrische Vorlage, die der Nutzer zum KYC-Zeitpunkt registriert hat, unterstützt jede Authentifizierung, keine erneute Registrierung, kein separater Flow.
Ja, das gleiche Auth-Bundle erfüllt die meisten gleichwertigen globalen Regeln:
Eine API, ein Auth-Bundle, jede Jurisdiktion. Die Ausnahmeregelungen ändern sich; der technische Vertrag nicht.
Jede Authentifizierung erzeugt einen signierten Nachweisdatensatz, der über die Business Console exportiert werden kann:
Pending zu Approved oder Declined, mit Prüfernotizen bei Eskalation.Alle Datensätze werden in der Europäischen Union (EU-Rechenzentren) gespeichert und unbegrenzt aufbewahrt, solange dein Abonnement aktiv ist. Die Standard-Datenaufbewahrung beträgt 5 Jahre gemäß den EU-AML- und Zahlungsregeln, erweiterbar gemäß den Anweisungen deiner Aufsichtsbehörde.
Eine API für KYC, KYB, Transaktionsüberwachung und Wallet-Screening. In 5 Minuten integriert.