Monitorización de transacciones en tiempo real por $0.02 por llamada, más gestión de casos con exportación lista para el Informe de Actividad Sospechosa (SAR). 11 paquetes de reglas predefinidos, autorremediación AWAITING_USER, 500 verificaciones gratis cada mes.
Robinhood Ventures
Con la confianza de más de 2.000 organizaciones en todo el mundo.
Lo que exige la BSA
Toda institución financiera de EE. UU. debe monitorizar en tiempo real cada transacción y presentar un Informe de Actividad Sospechosa (SAR) en un plazo de 30 días desde su detección. Didit te ofrece el motor de reglas, la máquina de estados de casos, el bucle de autorremediación y la exportación con esquema FinCEN, por $0.02 por llamada de transacción. 500 verificaciones gratis cada mes.
Elige las comprobaciones que quieras: ID, prueba de vida, coincidencia facial, sanciones, dirección, edad, teléfono, email, preguntas personalizadas. Arrástralas a un flujo en el panel de control, o publica el mismo flujo en nuestra API. Crea ramificaciones condicionales, haz pruebas A/B, sin necesidad de código.
Intégralo de forma nativa con nuestro SDK para Web, iOS, Android, React Native o Flutter. Redirige a una página alojada. O simplemente envía a tu usuario un enlace, por email, SMS, WhatsApp, donde quieras. Elige lo que mejor se adapte a tu stack.
Didit aloja la cámara, las indicaciones de iluminación, la transferencia móvil y la accesibilidad. Mientras el usuario está en el flujo, puntuamos más de 200 señales de fraude en tiempo real y verificamos cada campo con fuentes de datos autorizadas. Resultados en menos de dos segundos.
Los webhooks firmados en tiempo real mantienen tu base de datos sincronizada en el momento en que un usuario es aprobado, rechazado o enviado a revisión. Consulta la API bajo demanda. O abre la consola para inspeccionar cada sesión, cada señal y gestionar los casos a tu manera.
Didit · Monitoreo de transacciones
Didit · Gestión de casos
ABIERTO
Alerta activada
T+0s
INVESTIGANDO
Analista K. asignado
T+4m
SAR_PRESENTADO
Analista K. + Oficial M.
T+2h
CERRADO
Oficial M.
T+24h
Didit · Exportación SAR
Didit · ESPERANDO_USUARIO
Didit · Consola de casos
Didit · Pila de retención
$ curl -X POST https://verification.didit.me/v3/transactions/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"transaction_id": "tx-9001",
"transaction_details": { "direction": "OUTBOUND", "currency": "USD", "amount": "9500" },
"subject": { "full_name": "J. Doe" },
"counterparty": { "full_name": "Counterparty" }
}'estado APROBADO · EN_REVISIÓN · RECHAZADO · ESPERANDO_USUARIO$ curl https://verification.didit.me/v3/transactions/$TXN/ \
-H "x-api-key: $DIDIT_API_KEY"
# Devuelve la carga útil completa del caso,
# transacciones marcadas, KYC del sujeto,
# contraparte, contexto de comportamiento,
# narrativa del revisor, firma HMAC.
# Mapea al esquema XML SAR de FinCEN.caso ABIERTO · INVESTIGANDO · SAR_PRESENTADO · CERRADOYou are integrating Didit into a US financial institution (bank, money services business, crypto VASP, broker-dealer, casino, mortgage lender) to satisfy Bank Secrecy Act monitoring + Suspicious Activity Report (SAR) filing under the Financial Crimes Enforcement Network (FinCEN). Three obligations:
1. Monitor every transaction in real time against the eleven seeded rule bundles (structuring, velocity, mule patterns, geographic risk, sanctioned counterparties, etc.).
2. Open and manage cases on every flagged transaction.
3. Export the SAR-ready package matching the FinCEN SAR XML schema for filing via the BSA E-Filing System.
Pricing (verified live 2026-05-16):
- Transaction Monitoring: $0.02 per transaction call
- Anti-Money Laundering (AML) Screening on flagged subjects: $0.20 per check, $0.07 per user per year for ongoing monitoring
- User Verification (Know Your Customer (KYC)) for remediation: $0.33 per check
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A workflow_id for KYC sessions (used on remediation), and Transaction Monitoring + Case Management enabled in the Business Console.
- Optional: integration with the BSA E-Filing System on your back-end OR push to your existing investigation tool (Actimize, NICE, Quantexa, ComplyAdvantage Workflow).
STEP 1 — Monitor every transaction with the Transactions API
POST https://verification.didit.me/v3/transactions/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (required fields verified live 2026-05-16):
{
"transaction_id": "<your internal transaction id>",
"transaction_category": "finance",
"transaction_details": {
"direction": "OUTBOUND",
"amount": "9500",
"currency": "USD",
"currency_kind": "fiat",
"action_type": "payment"
},
"subject": {
"entity_type": "individual",
"vendor_data": "<your user id>",
"full_name": "<user name from verified KYC>"
},
"counterparty": {
"entity_type": "individual",
"full_name": "<counterparty name if known>",
"payment_method": {
"method_type": "wire",
"account_id": "<counterparty account or routing reference>"
}
}
}
REQUIRED fields the API rejects if missing:
- subject.vendor_data + subject.full_name
- counterparty.full_name
- transaction_details.direction + currency + currency_kind + amount
Response shape (excerpted from a real successful 201):
{
"uuid": "<server transaction uuid>",
"txn_id": "<your transaction_id echoed back>",
"status": "APPROVED",
"score": 0,
"severity": null,
"cost_breakdown": {
"total_price": 0.02,
"items": [{ "usage_type": "transaction_monitoring", "price": 0.02 }]
}
}
Transaction status enum (exact case, UPPER_SNAKE_CASE): APPROVED | IN_REVIEW | DECLINED | AWAITING_USER.
STEP 2 — Branch on the verdict
APPROVED → clear the transaction. Webhook may still update later if Ongoing Monitoring catches a delayed signal.
IN_REVIEW → hold the transaction. Case opens automatically in the Business Console for analyst triage.
DECLINED → refuse the transaction. Case opens at SAR-candidate priority.
AWAITING_USER → the workflow needs more data from the customer (source of funds, updated address, refreshed selfie). The response includes a remediation verification URL — send it to the customer.
STEP 3 — Handle AWAITING_USER auto-remediation
Push the verification URL on the response to the customer (email, app deep-link, push notification). They complete the additional verification in hosted flow on their phone.
On completion:
- The remediation session is LINKED to the original transaction (you'll see the linkage in both webhooks).
- Didit re-runs the relevant rules with the new evidence.
- The transaction moves to APPROVED (clear) or DECLINED (case opens for SAR consideration).
The whole loop takes minutes for the user; your team only touches the cases that genuinely need human judgement.
STEP 4 — Case Management — every flagged transaction opens a case
Cases live in the Business Console with a state machine:
OPEN → alert fires, no reviewer yet
INVESTIGATING → reviewer assigned, gathering context
SAR_FILED → SAR exported and filed; case awaits regulator response
CLOSED → case resolved, no SAR (with reviewer notes explaining why)
Each transition is signed, timestamped, and attributed (analyst name + officer name).
Per case, you get:
- The flagged transaction(s) + the rule(s) that fired
- The subject's verified KYC bundle (document, biometric, AML, device + IP)
- The counterparty data (for crypto: wallet screen; for fiat: counterparty identity if known)
- Behavioural context (user's transaction history, baseline, velocity)
- Reviewer narrative (analyst notes, decisions, escalations)
STEP 5 — Export the SAR package
Two paths:
Path A — Direct from the Console
Click "Export SAR XML" on a case. You get a downloadable package matching the FinCEN SAR XML schema. Upload through the BSA E-Filing System manually.
Path B — Via API + your back-end
GET https://verification.didit.me/v3/transactions/{id}/
Headers:
x-api-key: <your api key>
The full case payload — every field above — is returned as JSON. Map to the FinCEN schema in your back-end and POST to the BSA E-Filing System programmatically.
STEP 6 — Webhook event names
Sessions: standard session webhook for remediation completions (verify X-Signature-V2).
Transactions:
- transaction.created
- transaction.updated
- transaction.status.changed
- transaction.alert.generated
Every payload signed with X-Signature-V2 HMAC SHA-256.
STEP 7 — Ongoing AML monitoring is automatic on every verified subject
Every approved user is re-screened daily against 1,300+ sanctions, PEP, and adverse-media lists at $0.07 per user per year on heavy-volume accounts. When a previously-clean subject crosses an AML threshold, a transaction.alert.generated webhook fires and a case opens automatically.
CONSTRAINTS
- Session statuses Title Case With Spaces; transaction statuses UPPER_SNAKE_CASE. Don't mix.
- SAR filing deadlines: 30 days from detection (extendable by 30 days for suspect identification).
- SAR thresholds: $5,000 aggregate transaction for banks; $2,000 for money services businesses.
- BSA retention: 5 years on every SAR + supporting documentation.
- Tipping-off: NEVER disclose the SAR filing to the subject. Encode this in your customer-comms workflow.
- Default record retention is indefinite while subscribed; configurable per workflow if your supervisor mandates a specific duration.
Read the docs:
- https://docs.didit.me/transaction-monitoring/overview
- https://docs.didit.me/transaction-monitoring/transactions
- https://docs.didit.me/transaction-monitoring/aml-screening
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mes. No se requiere tarjeta de crédito.
Paga solo por lo que usas. Más de 25 módulos. Precios públicos por módulo, sin cuota mínima mensual.
MSA y SLA personalizados. Para grandes volúmenes y programas regulados.
Empieza gratis → paga solo cuando se ejecuta una verificación → desbloquea Enterprise para un contrato personalizado, SLA o residencia de datos.
Didit es infraestructura para identidad y fraude, la plataforma que nos hubiera gustado tener cuando construíamos nuestros propios productos: abierta, flexible y amigable para desarrolladores, para que funcione como una parte real de tu stack en lugar de una caja negra que integras de forma aislada.
Una API cubre la verificación de personas (KYC, know your customer), la verificación de empresas (KYB, know your business), el cribado de carteras de criptomonedas (KYT, know your transaction) y la monitorización de transacciones en tiempo real, en un stack construido para ser:
La base subyacente: más de 14.000 tipos de documentos en más de 48 idiomas, más de 1.000 fuentes de datos y más de 200 señales de fraude en cada sesión. La infraestructura de Didit aprende dinámicamente de cada sesión y mejora cada día.
La Bank Secrecy Act (BSA) es la ley fundamental contra el lavado de dinero de EE. UU., aprobada en 1970 y modificada muchas veces desde entonces. Requiere que las instituciones financieras estadounidenses ayuden al gobierno a detectar y prevenir el lavado de dinero manteniendo registros, informando actividades sospechosas y reportando grandes transacciones en efectivo.
El reglamento es aplicado por la Financial Crimes Enforcement Network (FinCEN), una oficina del Tesoro de EE. UU. Las inspecciones son realizadas por el regulador federal principal de la institución, la OCC para bancos nacionales, la Reserva Federal para bancos miembros estatales, la Federal Deposit Insurance Corporation (FDIC) para bancos no miembros estatales, la National Credit Union Administration (NCUA) para cooperativas de crédito, y la SEC + FINRA para corredores de bolsa.
En 2020, la Anti-Money Laundering Act de 2020 modernizó el régimen, informes de beneficiarios finales, expansión regulatoria para cubrir a los comerciantes de antigüedades y la Corporate Transparency Act superpuesta.
Un Informe de Actividad Sospechosa (SAR) es una presentación confidencial que una institución financiera de EE. UU. envía a FinCEN cada vez que detecta una transacción o patrón que puede indicar lavado de dinero, fraude, financiación del terrorismo u otra actividad criminal.
Reglas de presentación:
FinCEN utiliza los SAR para generar pistas de investigación; agencias como el FBI, IRS-Criminal Investigation y la DEA consultan la base de datos constantemente.
El flujo completo normalmente tarda menos de 30 segundos de principio a fin, coge el DNI, haz una foto al documento, hazte un selfie, listo. Eso es lo más rápido del mercado. Los proveedores de KYC tradicionales suelen tardar más de 90 segundos para el mismo flujo.
En el back-end, Didit devuelve el resultado en menos de dos segundos en p99, medido desde el momento en que el usuario termina el selfie hasta el momento en que se activa tu webhook. La captura móvil está optimizada para teléfonos y redes lentas: compresión progresiva de imágenes, carga perezosa del kit de desarrollo de software y una transferencia con un solo toque de escritorio a teléfono mediante código QR si el usuario comienza en la web.
La guía SAR de FinCEN cubre muchas categorías; las más comunes:
FinCEN espera detección basada en reglas y en el comportamiento, no solo una lista de verificación. Un programa de monitorización de transacciones real ajusta las reglas a la base de clientes y al perfil de riesgo de la institución.
Cada sesión aterriza en uno de siete estados claros, para que tu código siempre sepa qué hacer:
Approved, todas las comprobaciones pasadas. Haz que el usuario avance.Declined, una o más comprobaciones fallaron. Puedes permitir que el usuario vuelva a enviar el paso fallido específico (por ejemplo, volver a tomar el selfie) sin volver a ejecutar todo el flujo.In Review, marcado para revisión de cumplimiento. Abre el caso en la consola, ve todas las señales, decide aprobar o rechazar.In Progress, el usuario está a mitad del flujo.Not Started, enlace enviado, el usuario aún no lo ha abierto. Envía un recordatorio si pasa demasiado tiempo.Abandoned, el usuario abrió el enlace pero no terminó a tiempo. Vuelve a interactuar o expira.Expired, el enlace de la sesión caducó. Crea una nueva sesión.Un webhook firmado se activa con cada cambio de estado, para que tu base de datos siempre esté sincronizada. Las sesiones abandonadas y rechazadas son gratuitas.
Los datos de producción se procesan y almacenan en la Unión Europea por defecto, en Amazon Web Services. Los contratos empresariales pueden solicitar regiones alternativas para jurisdicciones cuyos reguladores lo requieran.
Cifrado en todas partes. AES-256 en reposo en cada base de datos, almacén de objetos y copia de seguridad. Transport Layer Security 1.3 en tránsito en cada llamada a la API, webhook y sesión de la Consola de Negocio. Los datos biométricos se cifran bajo una Customer Master Key separada.
La retención la controlas tú. La retención predeterminada es indefinida (ilimitada) a menos que configures una más corta, entre 30 días y 10 años por aplicación, y puedes eliminar cualquier sesión individual en cualquier momento desde el panel de control o la API.
Certificaciones: SOC 2 Tipo 1 (auditoría Tipo 2 en curso), ISO/IEC 27001:2022, iBeta Nivel 1 PAD, y una certificación pública del Tesoro / SEPBLAC / CNMV de España de que la verificación de identidad remota de Didit es más segura que verificar a alguien en persona. Informe completo en /security-compliance.
Didit cumple por defecto con los reguladores importantes para la infraestructura de identidad:
Memorándum detallado, cada certificado, cada carta del regulador: /security-compliance.
Tres rutas de integración, elige la que mejor se adapte a tu stack:
Mismo panel de control, misma facturación, mismo precio de pago por éxito para los tres. Guía paso a paso en docs.didit.me/integration/integration-prompt.
Un resultado común de la monitorización es necesitamos más información del cliente antes de aprobar esta transacción, prueba de origen de fondos, una dirección actualizada, un selfie re-verificado.
Los stacks tradicionales obligan a tu equipo de operaciones a manejar esto manualmente: enviar un email al cliente, esperar, insistir, volver a examinar. La auto-remediación AWAITING_USER cierra el ciclo automáticamente:
AWAITING_USER con una URL de verificación de remediación en la respuesta.APPROVED; si no, pasa a DECLINED y se abre un caso para consideración de SAR.Efecto neto: un ciclo de remediación que solía tardar días ahora tarda minutos, el rastro de auditoría está completo y tu equipo solo interviene en los casos que realmente necesitan juicio humano.
Didit produce evidencia lista para SAR; tú aportas las herramientas de presentación e investigación que ya utilizas.
Patrones de integración:
La superficie de Didit es intencionadamente estrecha: captura, puntúa, monitoriza, abre casos y almacena evidencia. Si el archivo SAR sale de Didit o de tu sistema downstream es tu decisión.
La BSA exige 5 años de registros de cada SAR, además de la documentación de respaldo. La configuración por defecto de Didit es:
Didit cuenta con las certificaciones SOC 2 Tipo 1 e ISO/IEC 27001, con los informes de auditoría y el catálogo de controles disponibles bajo NDA en /security-compliance. Para las instituciones estadounidenses específicamente, la separación de funciones de la plataforma, el cifrado en reposo y el registro de accesos cumplen con los estándares que buscan los examinadores según la guía de Tecnología de la Información de la FFIEC.
Una API para KYC, KYB, Monitoreo de Transacciones y Detección de Fraude en Wallets. Intégrala en 5 minutos.