Una única verificación de prueba de vida pasiva antes de cualquier acción de alto valor. Los bots no tienen cara que presentar, no pueden pasar. Veredicto en menos de dos segundos, 0,10 $ por verificación, 500 gratis cada mes.
Robinhood Ventures
Con la confianza de más de 2.000 organizaciones en todo el mundo.
Por qué CAPTCHA dejó de funcionar
Las granjas comerciales de resolución de CAPTCHA superan hCaptcha y reCAPTCHA Enterprise por fracciones de céntimo. La prueba de vida pasiva pide algo que un script no tiene: un humano real delante de una cámara real. 0,10 $ por filtro, menos de dos segundos, 500 gratis cada mes.
Elige las verificaciones que quieras: ID, prueba de vida, coincidencia facial, sanciones, dirección, edad, teléfono, correo electrónico, preguntas personalizadas. Arrástralas a un flujo en el panel de control, o publica el mismo flujo en nuestra API. Crea ramificaciones condicionales, ejecuta pruebas A/B, sin necesidad de código.
Integra de forma nativa con nuestro SDK para Web, iOS, Android, React Native o Flutter. Redirige a una página alojada. O simplemente envía a tu usuario un enlace, por correo electrónico, SMS, WhatsApp, donde quieras. Elige lo que mejor se adapte a tu stack.
Didit aloja la cámara, las indicaciones de iluminación, la transferencia móvil y la accesibilidad. Mientras el usuario está en el flujo, puntuamos más de 200 señales de fraude en tiempo real y verificamos cada campo con fuentes de datos autorizadas. Resultado en menos de dos segundos.
Los webhooks firmados en tiempo real mantienen tu base de datos sincronizada en el momento en que un usuario es aprobado, rechazado o enviado a revisión. Consulta la API bajo demanda. O abre la consola para inspeccionar cada sesión, cada señal y gestionar los casos a tu manera.
Didit · Mapa de superficie
Didit · Prueba de vida pasiva
No te muevas · 1 de 1
Mira a la cámara
Didit · Defensa contra bots
Didit · Análisis de dispositivo e IP
Didit · KYC reutilizable
Primera pasada
Reproducir
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "signup-918",
"status": "Approved",
"liveness": { "status": "Approved" }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_bot_gate",
"vendor_data": "signup-918",
"metadata": { "surface": "signup_form" }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
allowSignup(payload.vendor_data);
} else if (payload.status === "Rechazado") {
throttleIP(payload.ip_analysis.ip);
blockAndLog(payload.vendor_data);
}estado Aprobado · Rechazado · En revisión · No finalizadoYou are integrating Didit Passive Liveness as a bot-gate on a high-value action — sign-up, leaderboard submission, airdrop / token claim, referral payout, comment, or ticket queue. Bots cannot pass Passive Liveness because they have no face to present to the camera. One API call. One signed webhook. One decision.
WHY THIS SHAPE
- Bots scale because they cost nothing per attempt. CAPTCHA stops the dumbest ones but commercial solver farms beat hCaptcha and reCAPTCHA Enterprise at fractions of a cent per solve.
- Passive Liveness asks for something a script does not have: a live human face in front of a real camera. The model decides on one frame, in under two seconds, with no user interaction beyond "hold still".
- $0.10 per check (Passive Liveness module). 500 verifications free every month. Combine with $0.03 IP / device pre-screen to keep the camera off the obvious bots and the budget on real candidates.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow containing the Passive Liveness module — optionally Device & IP Analysis pre-step.
- The high-value action wrapped in a server-side gate that defaults to BLOCK and only unblocks on a verified webhook with status: Approved.
STEP 1 — (Optional) Cheap IP / device pre-screen
Before opening a camera, score the network with Device & IP Analysis ($0.03 / call, under 100ms).
If the score is low and no datacenter / VPN / scripted-user-agent flags fire, run Step 2.
If the score is high or any of those flags fire, skip the liveness call and decline up-front — this saves the camera budget for plausible humans.
STEP 2 — Open a Passive Liveness session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with the Passive Liveness module>",
"vendor_data": "<your action / user id, max 256 chars>",
"callback": "https://<your-app>/bot-gate/callback",
"metadata": {
"surface": "signup_form",
"action_id": "<your internal reference>"
}
}
Response: 201 Created with a hosted session URL. Redirect inline (web) or open in a Software Development Kit (SDK) webview (mobile). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your action / user id>",
"status": "Approved",
"liveness": { "status": "Approved" }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the action
Approved → allow the sign-up / claim / submission.
Declined → block the action. Log liveness warnings (image-only / virtual-cam / replay / deepfake) and throttle the source IP.
Not Finished → invite the user to retry with a fresh session URL.
Expired → session timed out. Resend the link.
Abandoned → the user closed the flow before completing. Resend the link.
STEP 5 — (Optional) Replay Reusable Know Your Customer (KYC) for known humans
If a user has previously completed a Didit-verified session, a fresh liveness check is not required for re-entry — they can replay their verified credential at no cost via Didit Reusable KYC. Use the user's existing session_id to confirm enrollment and skip Step 2. Free forever.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you where in the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT GETS BLOCKED
- Headless Chrome with scripted form submission
- Browser-automation farms (Puppeteer, Playwright, Selenium)
- Image-only submissions (no camera attached)
- Virtual-camera AI face injectors
- Pre-recorded screen replays
- Print or paper attacks
- Silicone / latex masks
- AI-generated deepfake faces
All independently tested at iBeta and certified at Level 1 Presentation Attack Detection (PAD) against the full ISO/IEC 30107-3 catalogue. Re-tested every year.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API.
- Default to BLOCK on the server. Only unblock when the verified webhook says Approved.
- 200+ fraud signals are evaluated on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mes. No se requiere tarjeta de crédito.
Paga solo por lo que usas. Más de 25 módulos. Precios públicos por módulo, sin cuota mínima mensual.
MSA y SLA personalizados. Para grandes volúmenes y programas regulados.
Empieza gratis → paga solo cuando se ejecuta una verificación → desbloquea Enterprise para un contrato personalizado, SLA o residencia de datos.
Didit es infraestructura para identidad y fraude: la plataforma que nos hubiera gustado tener cuando creábamos nuestros propios productos. Es abierta, flexible y fácil de usar para desarrolladores, para que se integre de verdad en tu stack en lugar de ser una caja negra que tienes que rodear.
Una sola API cubre la verificación de personas (KYC, know your customer), la verificación de empresas (KYB, know your business), el análisis de carteras de criptomonedas (KYT, know your transaction) y la monitorización de transacciones en tiempo real, todo ello sobre una infraestructura diseñada para ser:
Nuestra base incluye: más de 14.000 tipos de documentos en más de 48 idiomas, más de 1.000 fuentes de datos y más de 200 señales de fraude en cada sesión. La infraestructura de Didit aprende dinámicamente de cada sesión y mejora cada día.
Cualquier cosa que envíe un formulario, reclame un pago, publique un comentario o compre una entrada sin la intervención de un humano real. Formas comunes:
La característica definitoria es la misma: nadie está mirando la pantalla, por lo que nadie está frente a la cámara.
Las granjas de resolución de CAPTCHA superan a hCaptcha y reCAPTCHA Enterprise por fracciones de céntimo por resolución. La economía cambió hace años: un ataque de 1.000 cuentas le cuesta al atacante menos que tu factura mensual de Software-as-a-Service (SaaS) por el propio CAPTCHA.
El problema más profundo es que CAPTCHA evalúa una habilidad (reconocimiento de imágenes, reconocimiento de caracteres, patrones de clics) que las máquinas ahora hacen mejor que los humanos. Un filtro de bots tiene que evaluar algo que las máquinas no tienen. Una cara humana en vivo frente a una cámara real es exactamente eso.
El flujo completo suele tardar menos de 30 segundos de principio a fin: coge el DNI, haz una foto al documento, hazte un selfi, listo. Es el más rápido del mercado. Los proveedores de KYC tradicionales suelen tardar más de 90 segundos para el mismo flujo.
En el back-end, Didit devuelve el resultado en menos de dos segundos al p99, medido desde que el usuario termina el selfi hasta que se activa tu webhook. La captura móvil está optimizada para teléfonos lentos y redes con poca cobertura: compresión progresiva de imágenes, carga diferida del SDK y un traspaso con un solo toque de escritorio a teléfono mediante código QR si el usuario empieza en la web.
Todos los vectores de bot comunes:
Todo detectado en la capa de prueba de vida pasiva. Nada que el bot pueda introducir.
Cada sesión termina en uno de siete estados claros, para que tu código siempre sepa qué hacer:
Approved, todas las comprobaciones superadas. Permite que el usuario avance.Declined, una o más comprobaciones fallaron. Puedes permitir que el usuario vuelva a enviar el paso específico que falló (por ejemplo, volver a hacer el selfi) sin ejecutar todo el flujo de nuevo.In Review, marcado para revisión de cumplimiento. Abre el caso en la consola, consulta todas las señales, decide si aprobar o rechazar.In Progress, el usuario está a mitad del flujo.Not Started, enlace enviado, el usuario aún no lo ha abierto. Envía un recordatorio si pasa demasiado tiempo.Abandoned, el usuario abrió el enlace pero no terminó a tiempo. Vuelve a contactar o haz que caduque.Expired, el enlace de la sesión caducó. Crea una nueva sesión.Un webhook firmado se activa con cada cambio de estado, para que tu base de datos esté siempre sincronizada. Las sesiones abandonadas y rechazadas son gratuitas.
Los datos de producción se procesan y almacenan en la Unión Europea por defecto, en Amazon Web Services. Los contratos empresariales pueden solicitar regiones alternativas para jurisdicciones cuyos reguladores lo requieran.
Cifrado en todas partes. AES-256 en reposo en cada base de datos, almacén de objetos y copia de seguridad. Transport Layer Security 1.3 en tránsito en cada llamada API, webhook y sesión de la Consola de Negocios. Los datos biométricos se cifran bajo una clave maestra de cliente separada.
Tú controlas la retención. La retención predeterminada es indefinida (ilimitada) a menos que configures una más corta,entre 30 días y 10 años por aplicación, y puedes eliminar cualquier sesión individual en cualquier momento desde el panel de control o la API.
Certificaciones: SOC 2 Tipo 1 (auditoría Tipo 2 en curso), ISO/IEC 27001:2022, iBeta Nivel 1 PAD, y una certificación pública del Tesoro / SEPBLAC / CNMV de España de que la verificación remota de identidad de Didit es más segura que verificar a alguien en persona. Informe completo en /security-compliance.
Didit cumple por defecto con los reguladores importantes para la infraestructura de identidad:
Memorándum detallado, cada certificado, cada carta del regulador: /security-compliance.
Tres rutas de integración, elige la que mejor se adapte a tu stack:
Mismo panel de control, misma facturación, mismo precio de pago por éxito para los tres. Guía paso a paso en docs.didit.me/integration/integration-prompt.
No. Los usuarios que ya han pasado una sesión verificada por Didit pueden volver a usar la credencial sin coste a través de KYC Reutilizable, gratis para siempre. Busca el session_id anterior del usuario; si la credencial es válida, omite la puerta en vivo.
Esto mantiene la fricción (y el coste) en el tráfico que nunca antes habías visto. Los humanos que regresan pasan al instante.
Dos partidas:
500 verificaciones gratuitas cada mes en cada cuenta, la mayoría de los equipos se mantienen dentro del nivel gratuito durante semanas. Los usuarios recurrentes a través de Reusable KYC son gratis para siempre. Sin mínimos, sin compromiso anual, sin precios por asiento.
Cualquier lugar donde un solo envío de bot le cueste dinero o reputación al equipo:
Un flujo de trabajo, todas las superficies.
Una API para KYC, KYB, Monitoreo de Transacciones y Detección de Fraude en Wallets. Intégrala en 5 minutos.