Refuerza los flujos sensibles con una verificación facial en menos de 2 segundos contra el retrato registrado. Resistente al phishing. A prueba de SIM-swap. $0.10 por autenticación. 500 verificaciones gratis cada mes.
Con la confianza de más de 2.000 organizaciones en todo el mundo.
Resistente al phishing · A prueba de SIM-swap
El segundo factor es la cara del usuario, verificada 1:1 contra el retrato que registró al darse de alta. La prueba de vida bloquea ataques de impresión / reproducción / máscara / Red Generativa Antagónica (GAN) en el mismo fotograma. Veredicto en menos de 2 segundos en Android de gama baja. $0.10 por autenticación. 500 verificaciones gratis cada mes.
Elige las comprobaciones que necesites: ID, prueba de vida, verificación facial, sanciones, dirección, edad, teléfono, email, preguntas personalizadas. Arrástralas a un flujo en el panel de control, o publica el mismo flujo en nuestra API. Crea ramificaciones condicionales, haz pruebas A/B, sin código.
Intégralo de forma nativa con nuestro SDK para Web, iOS, Android, React Native o Flutter. Redirige a una página alojada. O simplemente envía a tu usuario un enlace, por email, SMS, WhatsApp, donde quieras. Elige lo que mejor se adapte a tu stack.
Didit aloja la cámara, las indicaciones de iluminación, la transferencia móvil y la accesibilidad. Mientras el usuario está en el flujo, puntuamos más de 200 señales de fraude en tiempo real y verificamos cada campo contra fuentes de datos autorizadas. Resultado en menos de dos segundos.
Los webhooks firmados en tiempo real mantienen tu base de datos sincronizada en el momento en que un usuario es aprobado, rechazado o enviado a revisión. Consulta la API bajo demanda. O abre la consola para inspeccionar cada sesión, cada señal y gestionar los casos a tu manera.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_bio_2fa",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 reference selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }$ curl -X POST https://verification.didit.me/v3/face-match/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image_a=@live.jpg" \
-F "image_b=@enrolled.jpg"{ "status": "Aprobado", "similarity_score": 0.96 }You are integrating Didit's Biometric 2FA into <my_stack>. Replace SMS one-time-password (OTP) on sensitive flows — login from a new device, large-value transfer, settings change, account recovery — with a sub-2-second face match against the user's enrolled portrait. Cheaper than SMS. Phishing-resistant. SIM-swap-proof.
1. Enrol the user's portrait ONCE at sign-up via the standard Know Your Customer (KYC) session.
2. On every sensitive action, open a Biometric Authentication session that runs Passive Liveness + Face Match 1:1 against the stored portrait. Verdict in sub-2-seconds.
Pricing (public):
- Biometric Authentication: $0.10 per authentication (Sessions API)
- Standalone Face Match 1:1: $0.05 per match (server-to-server)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled — either via a full KYC session (recommended; the portrait is stored automatically and never leaves Didit) or via a portrait you supply on each re-auth.
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session must be opened with workflow_type = "biometric_authentication" (or use a workflow that has FACE_MATCH and pass a portrait_image at session creation).
STEP 1 — Enrolment (one-time, at user sign-up)
Run a standard KYC session at sign-up. Didit stores the portrait (the face captured during the liveness step) as the user's enrolled template, bound to vendor_data.
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<your KYC workflow>",
"vendor_data": "<your user id>"
}
No additional code — once the user passes KYC, their enrolled portrait is ready for every future re-auth.
STEP 2 — Re-authentication (on every sensitive action)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/2fa/callback",
"metadata": {
"reason": "<login_new_device | high_value_txn | settings_change | account_recovery>",
"amount": "<optional, for large-value transfers>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user to it. The hosted UI:
- Opens the front camera
- Captures one passive frame
- Runs Liveness + Face Match 1:1 against the user's enrolled portrait
- Returns the verdict in sub-2-seconds
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved", "method": "PASSIVE", "score": 96 },
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Branch your application:
Approved → execute the action (sign in, release the transfer, save settings).
Declined → block the action, re-prompt with a higher-friction recovery path (support contact / KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back.
STEP 4 — Alternate path (server-to-server, when you already have the selfie)
If you already captured the selfie locally (native mobile SDK, in-app camera):
POST https://verification.didit.me/v3/face-match/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image_a <the live selfie>
image_b <the enrolled portrait>
Response: similarity_score (0-1), status (Approved | Declined | In Review).
Use the standalone path only when you trust your client-side capture pipeline. For browser flows or any surface where the SDK is not embedded, always prefer the hosted session — Didit's liveness check is harder to defeat than a raw camera grab.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Always verify X-Signature-V2 on every payload.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, ID_VERIFICATION, AML, IP_ANALYSIS, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The biometric template is irreversible (a one-way hash) and stored on Didit's infrastructure. You never receive the raw template. Standard data-subject-deletion rules apply.
PRO TIPS
- Pair Biometric 2FA with Device & IP Analysis (bundled into the 200+ fraud-signal stack). A re-auth that originates from a brand-new device + a brand-new IP should always step up to face.
- For the strongest possible surface, swap method PASSIVE for ACTIVE_3D — a short motion challenge — on transfers above your operational risk threshold.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mes. No se requiere tarjeta de crédito.
Paga solo por lo que usas. Más de 25 módulos. Precios públicos por módulo, sin cuota mínima mensual.
MSA y SLA personalizados. Para grandes volúmenes y programas regulados.
Empieza gratis → paga solo cuando se ejecuta una verificación → desbloquea Enterprise para un contrato personalizado, SLA o residencia de datos.
Didit es la infraestructura para identidad y fraude, la plataforma que nos hubiera gustado tener cuando construíamos nuestros propios productos: abierta, flexible y amigable para desarrolladores, para que funcione como una parte real de tu stack en lugar de una caja negra que tienes que integrar a su alrededor.
Una única API cubre la verificación de personas (KYC, know your customer), la verificación de empresas (KYB, know your business), el cribado de carteras de criptomonedas (KYT, know your transaction), y la monitorización de transacciones en tiempo real, sobre un stack diseñado para ser:
La base subyacente: más de 14.000 tipos de documentos en más de 48 idiomas, más de 1.000 fuentes de datos y más de 200 señales de fraude en cada sesión. La infraestructura de Didit aprende dinámicamente de cada sesión y mejora cada día.
Autenticación de segundo factor usando la cara del usuario, no un código enviado por la red. El primer factor es lo que el usuario sabe (contraseña, passkey, enlace mágico). El segundo factor es lo que el usuario es, un selfie en vivo que se compara 1:1 con un retrato que el usuario registró previamente.
Se sitúa en el mismo lugar que la contraseña de un solo uso por SMS (OTP) en el flujo de tu aplicación, pero con un perfil de coste, seguridad y conversión diferente.
Cuatro clases de ataques bien documentadas la superan. Tanto el FBI (Oficina Federal de Investigación de EE. UU.) como el NCSC (Centro Nacional de Ciberseguridad del Reino Unido) han publicado guías que aconsejan a las organizaciones alejarse del SMS para flujos sensibles.
El flujo completo normalmente tarda menos de 30 segundos de principio a fin, coger el DNI, escanear el documento, hacer el selfie, listo. Es el más rápido del mercado. Los proveedores de KYC tradicionales suelen tardar más de 90 segundos para el mismo flujo.
En el backend, Didit devuelve el resultado en menos de dos segundos en p99, medido desde el momento en que el usuario termina el selfie hasta que se activa tu webhook. La captura móvil está optimizada para teléfonos lentos y redes lentas: compresión progresiva de imágenes, carga diferida del kit de desarrollo de software y un traspaso con un solo toque de escritorio a teléfono mediante código QR si el usuario empieza en la web.
La mayoría de los equipos registran durante la sesión original de Know Your Customer (KYC) del usuario. El retrato capturado por el paso de vivacidad se almacena vinculado a tu vendor_data y se utiliza como plantilla para cada reautenticación posterior.
Si no realizas KYC al registrarte, puedes ejecutar una sesión de registro única contra un flujo de trabajo de Didit que contenga solo LIVENESS + FACE_MATCH. Cualquiera de las dos rutas cuesta $0.10 una vez, y la plantilla resultante es reutilizable para cada autenticación futura.
Cada sesión termina en uno de siete estados claros, para que tu código siempre sepa qué hacer:
Approved, todas las comprobaciones superadas. Deja que el usuario avance.Declined, una o más comprobaciones fallaron. Puedes permitir que el usuario reenvíe el paso fallido específico (por ejemplo, que se haga de nuevo el selfie) sin tener que ejecutar de nuevo todo el flujo.In Review, marcado para revisión de cumplimiento. Abre el caso en la consola, revisa todas las señales y decide si aprobar o rechazar.In Progress, el usuario está a mitad del flujo.Not Started, enlace enviado, el usuario aún no lo ha abierto. Envía un recordatorio si pasa demasiado tiempo.Abandoned, el usuario abrió el enlace pero no terminó a tiempo. Vuelve a contactarle o expira la sesión.Expired, el enlace de la sesión caducó. Crea una nueva sesión.Un webhook firmado se activa con cada cambio de estado, para que tu base de datos esté siempre sincronizada. Las sesiones abandonadas y rechazadas son gratuitas.
Por defecto, los datos de producción se procesan y almacenan en la Unión Europea, en Amazon Web Services. Los contratos empresariales pueden solicitar regiones alternativas para jurisdicciones que así lo exijan sus reguladores.
Cifrado en todas partes. AES-256 en reposo en cada base de datos, almacén de objetos y copia de seguridad. Transport Layer Security 1.3 en tránsito en cada llamada a la API, webhook y sesión de la Business Console. Los datos biométricos se cifran bajo una Customer Master Key independiente.
Tú controlas la retención. La retención por defecto es indefinida (ilimitada) a menos que configures un periodo más corto, entre 30 días y 10 años por aplicación, y puedes eliminar cualquier sesión individual en cualquier momento desde el panel de control o la API.
Certificaciones: SOC 2 Type 1 & Type 2, ISO/IEC 27001:2022, iBeta Level 1 PAD, y una certificación pública del Tesoro / SEPBLAC / CNMV de España de que la verificación remota de identidad de Didit es más segura que verificar a alguien en persona. Informe completo en /security-compliance.
Didit cumple por defecto con los reguladores clave para la infraestructura de identidad:
Memorándum detallado, todos los certificados, todas las cartas de los reguladores: /security-compliance.
Tres rutas de integración: elige la que mejor se adapte a tu stack:
Mismo panel de control, misma facturación, mismo precio de pago por éxito para los tres. Guía paso a paso en docs.didit.me/integration/integration-prompt.
Es un "drop-in" para tu contrato de callback de contraseña de un solo uso (OTP) existente.
POST /v3/session/ con workflow_type: "biometric_authentication" y los mismos vendor_data que usaste en el registro.session_url devuelta.X-Signature-V2 en el webhook antes de confiar en el cuerpo.status, Approved (ejecuta la acción), Declined (bloquea), In Review (pon en cola), Not Finished (vuelve a solicitar).La mayoría de los equipos cambian el SMS por el reconocimiento facial en un fin de semana. El prompt completo para el agente está arriba; el servidor Model Context Protocol (MCP) funciona con ambas interfaces.
El Face Match 1:1 es robusto ante cambios moderados en la apariencia, vello facial, gafas, color de pelo, iluminación. La puntuación de similitud devuelta por autenticación refleja la confianza del modelo.
Para los usuarios que superan el umbral de aprobación automática (caso típico: cambio drástico de peso, cirugía, envejecimiento a lo largo de muchos años), el veredicto devuelve In Review y se dirige a tu cola de operaciones. La ruta de recuperación estándar es una sesión de reinscripción, una llamada KYC actualiza el retrato, y la siguiente autenticación utiliza la nueva plantilla.
Sí, para la categoría de inherencia. Las Normas Técnicas de Regulación de la Autoridad Bancaria Europea sobre la Autenticación Reforzada de Clientes reconocen los atributos biométricos (algo que eres) como un segundo factor válido cuando se combina con una de las otras dos categorías (conocimiento o posesión).
Para un flujo completo de autenticación reforzada de clientes (SCA) de la PSD2, combina la 2FA biométrica con la contraseña del usuario (conocimiento) o una sesión vinculada al dispositivo (posesión). El veredicto firmado de Didit es la evidencia del paquete de auditoría del factor de inherencia.
Una API para KYC, KYB, Monitoreo de Transacciones y Detección de Fraude en Wallets. Intégrala en 5 minutos.