Control de edad 18+, verificación de identidad, cotejo con el registro de autoexclusión, AML en depósitos. Compatible con auditorías de UKGC, MGA, Curaçao. ~$0.40 por incorporación de jugador.
Con la confianza de más de 2.000 organizaciones en todo el mundo.
Lo que exigen los reguladores
Todo operador regulado debe implementar un control de edad estricto (18+), un cotejo con el registro de autoexclusión, AML en depósitos umbral y reautenticación biométrica en retiros. Didit los ofrece como un único flujo de trabajo por ~$0.40 por jugador + $0.02 por depósito. 500 verificaciones gratis cada mes.
Elige las verificaciones que necesites: identidad, prueba de vida, coincidencia facial, sanciones, dirección, edad, teléfono, email, preguntas personalizadas. Arrástralas a un flujo en el panel de control o publica el mismo flujo en nuestra API. Crea ramificaciones según condiciones, ejecuta pruebas A/B, sin necesidad de código.
Intégralo de forma nativa con nuestros SDK para Web, iOS, Android, React Native o Flutter. Redirige a una página alojada. O simplemente envía a tu usuario un enlace por email, SMS, WhatsApp, donde quieras. Elige lo que mejor se adapte a tu stack.
Didit gestiona la cámara, las indicaciones de iluminación, la transferencia móvil y la accesibilidad. Mientras el usuario está en el flujo, puntuamos más de 200 señales de fraude en tiempo real y verificamos cada campo con fuentes de datos autorizadas. El resultado en menos de dos segundos.
Los webhooks firmados en tiempo real mantienen tu base de datos sincronizada en el momento en que un usuario es aprobado, rechazado o enviado a revisión. Consulta la API bajo demanda. O abre la consola para inspeccionar cada sesión, cada señal y gestionar los casos a tu manera.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_igaming_onboard",
"vendor_data": "player-91",
"metadata": { "regulator": "UKGC" }
}'{ "session_url": "verify.didit.me/..." }$ curl -X POST https://verification.didit.me/v3/transactions/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"transaction_id": "deposit-991",
"transaction_details": { "direction": "INBOUND", "amount": 150.00, "currency": "GBP", "currency_kind": "fiat" },
"subject": { "vendor_data": "player-91", "full_name": "Jamie Example" },
"counterparty": { "full_name": "Depósito de jugador" }
}'{ estado APROBADO · EN_REVISIÓN · RECHAZADO · PENDIENTE_USUARIO }You are integrating Didit into a regulated iGaming / sports-betting operator (UK Gambling Commission, Malta Gaming Authority, Curaçao, SIGAP, ANJ). Three obligations on every player and every deposit:
- Onboarding: 18+ age gate, ID Verification, self-exclusion register cross-check.
- Deposits: AML on above-threshold deposits, real-time deposit limits + loss caps.
- Withdrawals + sensitive actions: biometric re-auth against the enrolment selfie.
Recommended recipe + pricing (verified live):
- Onboarding session: $0.10 Age Estimation + $0.15 ID Verification + $0.10 Passive Liveness + $0.05 Face Match 1:1 + $0.20 AML (above threshold). Face Search 1:N against self-exclusion register: free. Average ~$0.40 per player.
- Per-deposit / per-withdrawal transaction: $0.02 per call to Transaction Monitoring (rule engine + limits).
- AML re-screening on flagged transactions: $0.20 per check.
- Biometric re-auth on withdrawal: $0.10 per auth.
- First 500 verifications free every month, forever.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A workflow_id from the Workflow Builder that bundles Age Estimation + ID Verification + Passive Liveness + Face Match 1:1 + Face Search 1:N (against your self-exclusion index) + AML Screening.
- A self-exclusion index loaded into the Didit Face Search 1:N — your own banned-players list at minimum; GAMSTOP / RIGA / equivalent national register where the regulator participates.
- Transaction Monitoring enabled in the Business Console with the rule bundle for sports-betting or online-casino seeded.
STEP 1 — Open the onboarding session at signup
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with age gate + ID + AML + Face Search self-exclusion>",
"vendor_data": "<your player id, max 256 chars>",
"callback": "https://<your-app>/igaming/onboarding/callback",
"metadata": {
"regulator": "UKGC",
"license_class": "remote_casino_betting",
"min_age": 18
}
}
Response: 201 Created with the hosted session URL. Redirect the player. Sub-2-second median verdict on completion.
STEP 2 — Read the signed webhook on the onboarding verdict
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your player id>",
"status": "Approved",
"age_estimation": { "estimated_age": 27, "confidence": 0.92 },
"id_verification": { "status": "Approved", "dob": "1997-03-12" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"face_search": { "status": "Approved", "matches": [] },
"aml": { "status": "Approved", "hits": [] }
}
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body.
STEP 3 — Branch on the onboarding verdict
Approved + 18+ → unlock the player account.
Approved + Face Search hit on self-exclusion → block, log to compliance, surface support resources.
Declined → block, log AML hit detail.
In Review → hold the account, route to ops queue.
STEP 4 — Monitor every deposit + withdrawal
POST https://verification.didit.me/v3/transactions/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"transaction_id": "<your deposit reference>",
"transaction_category": "finance",
"transaction_details": {
"direction": "INBOUND",
"amount": "150.00",
"currency": "GBP",
"currency_kind": "fiat",
"action_type": "deposit"
},
"subject": {
"entity_type": "individual",
"vendor_data": "<your player id>",
"full_name": "<player full name>"
},
"counterparty": {
"entity_type": "individual",
"full_name": "Player deposit"
}
}
Response: status APPROVED | IN_REVIEW | DECLINED | AWAITING_USER. Rule engine evaluates against deposit limits, loss caps, velocity thresholds, and Reasonable-Affordability triggers in real time.
STEP 5 — Biometric re-auth on withdrawal
Open a re-auth session before processing a withdrawal:
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<wf id with Liveness + Face Match against enrolment selfie>",
"vendor_data": "<your player id>",
"metadata": { "trigger": "withdrawal", "withdrawal_amount": "500.00" }
}
Block the withdrawal until status: Approved with similarity above your threshold (default 0.85).
STEP 6 — Ongoing AML monitoring on the active player base
Every Approved player is automatically re-screened DAILY by Didit's continuous AML monitoring at $0.07 per player per year. The same session webhook fires when the verdict flips.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Transactions: transaction.created · transaction.updated · transaction.status.changed · transaction.alert.generated.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Transaction statuses use UPPER_SNAKE_CASE (APPROVED, IN_REVIEW, DECLINED, AWAITING_USER). They live in different APIs — don't mix them in the same code path.
- Self-exclusion cross-check must happen BEFORE the player can deposit — a post-deposit check is useful for audit but creates a refund obligation.
- Default audit retention is 5 years post-relationship per the UK Gambling Commission / Malta Gaming Authority requirements; configure per workflow in the Business Console.
- 200+ fraud signals are evaluated on every onboarding session at no extra cost.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/transaction-monitoring/overview
- https://docs.didit.me/core-technology/aml-screening/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mes. No se requiere tarjeta de crédito.
Paga solo por lo que usas. Más de 25 módulos. Precios públicos por módulo, sin cuota mínima mensual.
MSA y SLA personalizados. Para grandes volúmenes y programas regulados.
Empieza gratis → paga solo cuando se ejecuta una verificación → desbloquea Enterprise para un contrato personalizado, SLA o residencia de datos.
Didit es la infraestructura para identidad y fraude, la plataforma que nos hubiera gustado tener cuando desarrollábamos nuestros propios productos: abierta, flexible y pensada para desarrolladores, para que se integre de verdad en tu stack en lugar de ser una caja negra que tienes que rodear.
Una única API cubre la verificación de personas (KYC, know your customer), la verificación de empresas (KYB, know your business), el análisis de carteras de criptomonedas (KYT, know your transaction) y la monitorización de transacciones en tiempo real, todo ello sobre una arquitectura diseñada para ser:
La base tecnológica: más de 14.000 tipos de documentos en más de 48 idiomas, más de 1.000 fuentes de datos y más de 200 señales de fraude en cada sesión. La infraestructura de Didit aprende dinámicamente de cada sesión y mejora cada día.
Tres obligaciones que un operador regulado tiene con cada jugador, cada depósito y cada retirada:
Didit se encarga de la verificación + la comprobación cruzada + la monitorización; tú conectas la visualización de los recursos de apoyo.
Los principales de los que suelen tener licencias un operador de la UE + Reino Unido + LATAM:
Las plantillas de paquetes de auditoría de Didit se envían por regulador en la Consola de Negocio.
El flujo completo normalmente tarda menos de 30 segundos de principio a fin, coge el DNI, haz una foto al documento, hazte un selfie, listo. Es el más rápido del mercado. Los proveedores de KYC tradicionales suelen tardar más de 90 segundos para el mismo flujo.
En el backend, Didit devuelve el resultado en menos de dos segundos en p99, medido desde el momento en que el usuario termina el selfie hasta el momento en que se activa tu webhook. La captura móvil está optimizada para teléfonos lentos y redes lentas: compresión progresiva de imágenes, carga perezosa del kit de desarrollo de software y un traspaso con un solo toque de escritorio a teléfono mediante código QR si el usuario comienza en la web.
Se superponen dos capas:
Veredicto en menos de 200 ms. Un jugador autoexcluido que vuelve a solicitar con un nuevo correo electrónico + nueva IP + un documento diferente es detectado porque la cara es la constante. Gratis, incluido en cada flujo de trabajo.
Cada sesión aterriza en uno de siete estados claros, para que tu código siempre sepa qué hacer:
Approved, todas las comprobaciones pasaron. Haz que el usuario avance.Declined, una o más comprobaciones fallaron. Puedes permitir que el usuario vuelva a enviar el paso fallido específico (por ejemplo, volver a hacerse el selfie) sin volver a ejecutar todo el flujo.In Review, marcado para revisión de cumplimiento. Abre el caso en la consola, ve todas las señales, decide aprobar o rechazar.In Progress, el usuario está a mitad de flujo.Not Started, enlace enviado, el usuario aún no lo ha abierto. Envía un recordatorio si tarda demasiado.Abandoned, el usuario abrió el enlace pero no terminó a tiempo. Vuelve a interactuar o expira.Expired, el enlace de la sesión caducó. Crea una nueva sesión.Un webhook firmado se activa en cada cambio de estado, para que tu base de datos siempre esté sincronizada. Las sesiones abandonadas y rechazadas son gratuitas.
Por defecto, los datos de producción se procesan y almacenan en la Unión Europea, en Amazon Web Services. Los contratos empresariales pueden solicitar regiones alternativas para aquellas jurisdicciones cuyos reguladores lo exijan.
Cifrado en todas partes. AES-256 en reposo en cada base de datos, almacén de objetos y copia de seguridad. Transport Layer Security 1.3 en tránsito en cada llamada a la API, webhook y sesión de la Business Console. Los datos biométricos se cifran con una Customer Master Key independiente.
Tú controlas la retención. La retención por defecto es indefinida (ilimitada), a menos que configures un periodo más corto, entre 30 días y 10 años por aplicación, y puedes eliminar cualquier sesión individual en cualquier momento desde el panel de control o la API.
Certificaciones: SOC 2 Tipo 1 y Tipo 2, ISO/IEC 27001:2022, iBeta Nivel 1 PAD, y una certificación pública del Tesoro / SEPBLAC / CNMV de España que acredita que la verificación de identidad remota de Didit es más segura que verificar a alguien en persona. Informe completo en /security-compliance.
Didit cumple con la normativa por defecto para los reguladores clave en infraestructura de identidad:
Memorándum detallado, cada certificado, cada carta del regulador: /security-compliance.
Tres rutas de integración, elige la que mejor se adapte a tu stack:
Mismo panel de control, misma facturación, mismo precio de pago por éxito para los tres. Guía paso a paso en docs.didit.me/integration/integration-prompt.
Los atacantes que toman el control de cuentas no quieren perder fichas, quieren retirar dinero. Un flujo de retirada sin reautenticación es la superficie más atacada en iGaming.
La Autenticación Biométrica realiza una comparación facial con el selfie de registro del jugador a $0.10 por autenticación. La retirada se retiene hasta que el veredicto sea Approved con una similitud superior a tu umbral (por defecto 0.85, más alto para grandes retiradas). La misma primitiva se ejecuta opcionalmente en:
Una cuenta secuestrada no puede retirar dinero, cambiar el banco de destino o redirigir los fondos sin enfrentarse a la cámara.
Tres puntos de integración:
Approved.Cuatro integraciones "plug and play", sin necesidad de cambiar de plataforma. El mismo contrato /v3/ en todo el ciclo de vida. El mismo paquete de auditoría para cada jugador.
El mismo flujo, con un extra: verificación de monedero en cada depósito y retirada.
Se aplica la receta /solutions/crypto-onramp-kyc-kyt: la verificación de monedero se ejecuta DENTRO de POST /v3/transactions/ a través de currency_kind: "crypto" y una dirección de monedero de la contraparte. Las categorías de monederos sancionados, mezcladores y exchanges de alto riesgo se puntúan a $0.15 por verificación (gestionado por Didit) o $0.02 por verificación (usando tu propia clave de proveedor).
Combinado con la receta estándar de iGaming, una plataforma de apuestas deportivas que prioriza las criptomonedas cuesta aproximadamente $0.40 por el alta de jugador + $0.17 por depósito de criptomonedas (cuando la verificación de monedero está activa) + $0.02 por transacción fiat.
Una API para KYC, KYB, Monitoreo de Transacciones y Detección de Fraude en Wallets. Intégrala en 5 minutos.