Un paso de autenticación biométrica justo en los momentos que los atacantes eligen: transferencias, restablecimiento de contraseñas, inicios de sesión en nuevos dispositivos. Veredicto en menos de dos segundos, alrededor de $0.13 por evento. 500 verificaciones gratis cada mes.
Robinhood Ventures
Con la confianza de más de 2.000 organizaciones en todo el mundo.
Cómo atacan los atacantes
Los ataques de relleno de credenciales, intercambio de SIM y cookies de sesión robadas eluden contraseñas y códigos de un solo uso. Sustitúyelos por un paso de autenticación de Didit en el momento de la acción: $0.10 por llamada, veredicto en menos de dos segundos, 500 gratis cada mes.
Elige las verificaciones que quieras: ID, prueba de vida, coincidencia facial, sanciones, dirección, edad, teléfono, correo electrónico, preguntas personalizadas. Arrástralas a un flujo en el panel de control, o publica el mismo flujo en nuestra API. Crea ramificaciones según condiciones, ejecuta pruebas A/B, sin necesidad de código.
Integra de forma nativa con nuestro SDK para Web, iOS, Android, React Native o Flutter. Redirige a una página alojada. O simplemente envía a tu usuario un enlace, por correo electrónico, SMS, WhatsApp, donde quieras. Elige lo que mejor se adapte a tu stack.
Didit aloja la cámara, las indicaciones de iluminación, la transferencia móvil y la accesibilidad. Mientras el usuario está en el flujo, puntuamos más de 200 señales de fraude en tiempo real y verificamos cada campo con fuentes de datos autorizadas. Resultado en menos de dos segundos.
Los webhooks firmados en tiempo real mantienen tu base de datos sincronizada al instante, ya sea que un usuario sea aprobado, rechazado o enviado a revisión. Consulta la API bajo demanda. O abre la consola para inspeccionar cada sesión, cada señal y gestionar los casos a tu manera.
Didit · Política de autenticación por pasos
Didit · Autenticación biométrica
Paso 2 / 2
Mantente quieto para la verificación
Didit · Face Match 1:1
Registro
Autenticación reforzada
Didit · Prueba de vida pasiva
Didit · Análisis de dispositivo e IP
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "user-42",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved",
"similarity_score": 0.94 }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_ato_step_up",
"vendor_data": "user-42",
"metadata": { "trigger": "high_value_transfer" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
unblockAction(payload.vendor_data);
} else if (payload.status === "Declined") {
logWarnings(payload.liveness.warnings);
blockAndAlert(payload.vendor_data);
}estado Aprobado · Rechazado · En revisión · No finalizadoYou are integrating Didit account-takeover defence into an application that already has the user signed in. Your job: when a sensitive action fires (large transfer, password reset, payout to a new destination, new-device login, geo anomaly), gate it on a Didit biometric step-up. One API call. One signed webhook. Three branches.
WHY THIS SHAPE
- Credential stuffing, SIM-swap, and stolen-session-cookie attacks all walk past passwords and SMS one-time codes. A face check at the moment of the sensitive action does not.
- Didit runs Passive Liveness (the user is alive, present, not a deepfake) plus 1:1 Face Match against the portrait captured at sign-up. A stolen selfie cannot pass — the comparison target is locked to the original enrollment.
- $0.10 per step-up (Biometric Authentication module) + $0.03 IP pre-check (optional) = around $0.13 per event. Sub-two-second verdict on entry-level Android. 500 verifications free every month.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A Workflow Builder workflow that bundles Passive Liveness + Face Match 1:1 (with the user's stored sign-up portrait as the comparison target). Optionally compose Device & IP Analysis ahead of the step-up to pre-gate the check.
- Persist the user's sign-up portrait — either base64 on your side, or rely on Didit's stored enrollment via vendor_data lookup.
STEP 1 — Decide WHEN to step up (your code, not Didit's)
Run your usual fraud signals. Common triggers worth a biometric step-up:
- Wire / crypto transfer above the user's daily limit
- Password / email reset on a session less than 24h old
- Payout to a bank account or wallet seen for the first time
- Login from a new device or new country
- Velocity anomaly — N actions of type T within window W
Cheap pre-check (optional, ~100ms, $0.03):
- Score the user's IP via Device & IP Analysis. If the IP is a residential trusted address with a low risk score AND the device fingerprint matches the user's trusted device, skip the step-up. Otherwise run Step 2.
STEP 2 — Create a biometric step-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id bundling Passive Liveness + Face Match 1:1>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/ato/step-up/callback",
"metadata": {
"trigger": "high_value_transfer",
"action_id": "<your internal action reference>"
},
"portrait_image": "<base64 JPEG of the user's stored sign-up portrait, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the step-up matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user there inline (or open it in a webview / Didit mobile SDK). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook on completion
Didit POSTs the decision to your callback. Verify X-Signature-V2 (HMAC SHA-256 of the raw request body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "score": 11 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the original action on status
Approved → unblock the sensitive action. Log session_id + similarity score on the audit trail.
In Review → hold the action, route to a human review queue.
Declined → block the action, log liveness warnings (mask / deepfake / replay / morph), alert the user.
Not Finished → invite the user to retry with a fresh session URL.
Expired → resend the link; the original session has timed out.
Abandoned → the user closed the flow before completing; resend the link.
STEP 5 — (Optional) Pull the full decision payload
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Returns the same payload as the webhook plus the structured signals (liveness warnings, face-match similarity, IP / device flags). Use for analyst review.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook (one endpoint, status field tells you where in the lifecycle).
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API and lives in a different surface.
- 1:1 face match's comparison target is the user's STORED sign-up portrait, not a freshly captured one. A stolen selfie cannot pass.
- iBeta Level 1 Presentation Attack Detection (PAD) certified against the full ISO/IEC 30107-3 catalogue — print, replay, paper / silicone / latex mask, deepfake, morph.
- The Workflow Builder is where you choose the modules in the step-up — change them in the console without redeploying.
- 200+ fraud signals are surfaced on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mes. No se requiere tarjeta de crédito.
Paga solo por lo que usas. Más de 25 módulos. Precios públicos por módulo, sin cuota mínima mensual.
MSA y SLA personalizados. Para grandes volúmenes y programas regulados.
Empieza gratis → paga solo cuando se ejecuta una verificación → desbloquea Enterprise para un contrato personalizado, SLA o residencia de datos.
Didit es la infraestructura para la identidad y el fraude. Es la plataforma que nos hubiera gustado tener cuando desarrollábamos nuestros propios productos: abierta, flexible y pensada para desarrolladores, para que se integre de verdad en tu stack en lugar de ser una caja negra con la que tienes que lidiar.
Una única API cubre la verificación de personas (KYC, Know Your Customer), la verificación de empresas (KYB, Know Your Business), el análisis de carteras de criptomonedas (KYT, Know Your Transaction) y la monitorización de transacciones en tiempo real, todo ello sobre una arquitectura diseñada para ser:
La base tecnológica: más de 14.000 tipos de documentos en más de 48 idiomas, más de 1.000 fuentes de datos y más de 200 señales de fraude en cada sesión. La infraestructura de Didit aprende dinámicamente de cada sesión y mejora cada día.
Una toma de control de cuenta (ATO) ocurre cuando un atacante consigue el control de una cuenta de usuario legítima, normalmente con credenciales robadas, una cookie de sesión secuestrada o un SIM-swap que intercepta la contraseña de un solo uso (OTP). A partir de ahí, vacían carteras, mueven fondos, cambian datos de pago o restablecen el correo electrónico y bloquean al propietario real.
El ataque sortea la contraseña porque esta ya es correcta. Sortear el código Short Message Service (SMS) porque el atacante controla el número de teléfono. La defensa es interrumpir el momento de la acción con algo que el atacante no tiene: la cara del usuario legítimo.
Porque el fraude de SIM-swap pone el código Short Message Service (SMS) en el bolsillo del atacante. El atacante convence al operador para que transfiera el número de la víctima a un nuevo módulo de identidad de suscriptor (SIM); a partir de ese momento, cada código que envía el banco llega al teléfono del atacante.
Los kits de phishing en 2026 también actúan como proxy del código en tiempo real: el usuario lo introduce en una página falsa, el kit lo reenvía al sitio real y la sesión se abre. El SMS ofrece un único secreto compartido por canal; la biometría proporciona una prueba por acción vinculada al humano delante de la cámara.
El flujo completo normalmente tarda menos de 30 segundos de principio a fin: coger el DNI, escanear el documento, hacer el selfie, listo. Es el más rápido del mercado. Los proveedores de KYC tradicionales suelen tardar más de 90 segundos para el mismo proceso.
En el backend, Didit devuelve el resultado en menos de dos segundos en p99, medido desde que el usuario termina el selfie hasta que se activa tu webhook. La captura móvil está optimizada para teléfonos lentos y redes con poca cobertura: compresión progresiva de imágenes, carga diferida del kit de desarrollo de software y un traspaso con un solo toque de escritorio a teléfono mediante código QR si el usuario empieza en la web.
El registro captura la identidad del usuario por primera vez: documento de identidad oficial, reconocimiento óptico de caracteres (OCR), prueba de vida pasiva y un retrato que se convierte en la base de referencia. Es un flujo único y de peso.
La verificación adicional es la versión ligera y repetible. El mismo motor de prueba de vida se ejecuta en un nuevo selfie; Face Match 1:1 compara el nuevo selfie con el retrato de registro almacenado. Sin documento de identidad, sin OCR. Menos de dos segundos, $0.10 por sesión.
Cada sesión termina en uno de siete estados claros, para que tu código siempre sepa qué hacer:
Approved, todas las comprobaciones superadas. Permite al usuario continuar.Declined, una o más comprobaciones fallaron. Puedes permitir al usuario reenviar el paso específico fallido (por ejemplo, volver a hacer el selfie) sin volver a ejecutar todo el flujo.In Review, marcado para revisión de cumplimiento. Abre el caso en la consola, consulta todas las señales, decide aprobar o rechazar.In Progress, el usuario está a mitad del flujo.Not Started, enlace enviado, el usuario aún no lo ha abierto. Envía un recordatorio si pasa demasiado tiempo.Abandoned, el usuario abrió el enlace pero no terminó a tiempo. Vuelve a contactar o expira.Expired, el enlace de la sesión caducó. Crea una nueva sesión.Un webhook firmado se activa con cada cambio de estado, para que tu base de datos siempre esté sincronizada. Las sesiones abandonadas y rechazadas son gratuitas.
Los datos de producción se procesan y almacenan en la Unión Europea por defecto, en Amazon Web Services. Los contratos empresariales pueden solicitar regiones alternativas para jurisdicciones cuyos reguladores lo exijan.
Cifrado en todas partes. AES-256 en reposo en cada base de datos, almacenamiento de objetos y copia de seguridad. Transport Layer Security 1.3 en tránsito en cada llamada API, webhook y sesión de la Consola de Negocios. Los datos biométricos se cifran bajo una clave maestra de cliente separada.
La retención la controlas tú. La retención predeterminada es indefinida (ilimitada) a menos que configures un período más corto,entre 30 días y 10 años por aplicación, y puedes eliminar cualquier sesión individual en cualquier momento desde el panel de control o la API.
Certificaciones: SOC 2 Tipo 1 (auditoría Tipo 2 en curso), ISO/IEC 27001:2022, iBeta Nivel 1 PAD, y una certificación pública del Tesoro / SEPBLAC / CNMV de España de que la verificación de identidad remota de Didit es más segura que verificar a alguien en persona. Informe completo en /security-compliance.
Didit cumple por defecto con los reguladores importantes para la infraestructura de identidad:
Memorándum detallado, cada certificado, cada carta del regulador: /security-compliance.
Tres rutas de integración: elige la que mejor se adapte a tu stack:
Mismo panel de control, misma facturación, mismo precio de pago por éxito para los tres. Guía paso a paso en docs.didit.me/integration/integration-prompt.
Combina el Análisis de Dispositivo e IP antes de la verificación adicional. $0.03 por verificación, en menos de 100 ms, devuelve una puntuación de riesgo de 0 a 100 más indicadores de red privada virtual (VPN), proxy, The Onion Router (Tor), centro de datos, país y número de sistema autónomo (ASN).
Si la red parece limpia (proveedor de servicios de Internet (ISP) residencial, huella digital de dispositivo de confianza, sin cambio de país), omite la verificación facial. Si la puntuación es alta o se activa alguna bandera, ejecuta la verificación adicional. Esto mantiene el presupuesto biométrico en los eventos que realmente lo necesitan.
Dos conceptos:
Alrededor de $0.13 por acción sensible completamente verificada. Las primeras 500 verificaciones cada mes son gratuitas en cada cuenta; la mayoría de los equipos encuentran que su volumen de verificaciones adicionales se mantiene dentro de esa asignación durante las primeras semanas.
Sin mínimos, sin compromiso anual, sin precios por puesto.
La receta se aplica a cualquier equipo que gestione acciones de alto valor. Patrones comunes en vivo:
Mismo Workflow Builder, diferentes disparadores: una integración, una línea de precios.
Una API para KYC, KYB, Monitoreo de Transacciones y Detección de Fraude en Wallets. Intégrala en 5 minutos.