Compara cada selfie de nuevo registro con la galería de selfies previamente aprobadas. Una coincidencia significa que la misma persona ya tiene una cuenta. La búsqueda facial es gratuita; 500 verificaciones gratis cada mes.
Robinhood Ventures
Con la confianza de más de 2.000 organizaciones en todo el mundo.
Lo que el email y el teléfono no pueden detectar
Los alias de email y las SIM de usar y tirar cuestan céntimos. Una cara humana es el único identificador que el "sybil farmer" no puede rotar. Face Search 1:N contra tu galería de selfies anteriores hace imposible que la misma persona se esconda. Gratis por búsqueda, 500 verificaciones gratis cada mes.
Elige las comprobaciones que quieras: ID, prueba de vida, coincidencia facial, sanciones, dirección, edad, teléfono, email, preguntas personalizadas. Arrástralas a un flujo en el panel de control, o publica el mismo flujo en nuestra API. Crea ramificaciones condicionales, haz pruebas A/B, sin necesidad de código.
Integra de forma nativa con nuestros SDK para Web, iOS, Android, React Native o Flutter. Redirige a una página alojada. O simplemente envía a tu usuario un enlace, por email, SMS, WhatsApp, donde quieras. Elige lo que mejor se adapte a tu stack.
Didit aloja la cámara, las indicaciones de iluminación, la transferencia móvil y la accesibilidad. Mientras el usuario está en el flujo, puntuamos más de 200 señales de fraude en tiempo real y verificamos cada campo con fuentes de datos autorizadas. El resultado en menos de dos segundos.
Los webhooks firmados en tiempo real mantienen tu base de datos sincronizada en el momento en que un usuario es aprobado, rechazado o enviado a revisión. Consulta la API bajo demanda. O abre la consola para inspeccionar cada sesión, cada señal y gestionar los casos a tu manera.
Didit · Patrones Sybil
Didit · Búsqueda facial 1:N
Registro · 2 / 2
Buscando en la galería
Didit · Veredicto de búsqueda facial
Didit · Enlace entre cuentas
Didit · KYC reutilizable
Primer KYC
Ancla
Didit · Webhook · X-Signature-V2
{
"session_id": "new-abc",
"vendor_data": "signup-A4",
"status": "Declined",
"face_search": {
"matches": [
{ "session_id": "sess-9182",
"similarity": 0.96 }
]
}
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_sybil_gate",
"vendor_data": "signup-A4",
"metadata": { "surface": "airdrop_claim" }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Declined") {
logCluster(payload.face_search.matches);
blockSignup(payload.vendor_data);
} else if (payload.status === «En revisión») {
queueForAnalyst(payload);
}estado Aprobado · Rechazado · En revisión · No finalizadoYou are integrating Didit Face Search 1:N to catch the same human opening many accounts on your platform — sybil airdrops, referral payout cycles, sign-up bonus stacking, iGaming multi-accounting that bypasses self-exclusion, marketplace fake-review clusters. One API call. One signed webhook. One decision.
WHY THIS SHAPE
- Email, phone, device, IP can all be rotated cheaply. A human face cannot.
- Every new sign-up captures one Passive Liveness selfie. Didit searches that selfie against the gallery of prior approved selfies under your account. A high-similarity match means the same person already has an account.
- Face Search 1:N itself is FREE on every session — no per-search fee. Only the surrounding bundle (ID + Passive Liveness + AML) carries the usual cost. Use the full Know Your Customer (KYC) bundle on sign-up or the Passive Liveness + Face Search subset, depending on what the product needs.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow that contains the Face Search 1:N module. Compose it with Passive Liveness so an attacker cannot upload a still photo of the target.
- Define what a "match" means for your product. Default: similarity ≥ 0.85 = Declined. 0.75–0.85 = In Review. < 0.75 = Approved.
STEP 1 — Open the sign-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Face Search 1:N + Passive Liveness>",
"vendor_data": "<your new-account id, max 256 chars>",
"callback": "https://<your-app>/sybil-gate/callback",
"metadata": {
"surface": "airdrop_claim",
"campaign": "<your campaign id>"
}
}
Response: 201 Created with a hosted session URL. Redirect inline (web) or open in a Software Development Kit (SDK) webview (mobile). The new account stays UNCREATED on your side until the signed webhook lands.
STEP 2 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body) BEFORE reading the JSON.
Payload (excerpted, match case):
{
"session_id": "<uuid>",
"vendor_data": "<your new-account id>",
"status": "Declined",
"face_search": {
"matches": [
{ "session_id": "sess-9182", "similarity": 0.96, "vendor_data": "user-A1" },
{ "session_id": "sess-7733", "similarity": 0.94, "vendor_data": "user-A2" }
]
}
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 3 — Branch the sign-up
Approved → no gallery match. Create the account.
In Review → soft match (similarity in your grey-zone band). Queue for human review.
Declined → hard match (similarity above your hard threshold). Block, log the matched session_id list as the audit trail.
STEP 4 — Cross-account link signals (optional but cheap)
Compose Device & IP Analysis ($0.03 / call) in the same workflow. The decision payload surfaces device fingerprint, IP, Autonomous System Number (ASN), country, and city. Combine with your own payment-instrument hash and you can cluster sybils even before the face search confirms.
STEP 5 — Reusable KYC for legitimate cross-product re-entry
If the user is supposed to reuse one identity across multiple products you own, Reusable KYC lets them replay a previously verified credential at no cost. That is different from sybil abuse — reuse is intentional and you control the issuance.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT IT BLOCKS
- Sybil airdrop / token claims (one person · many wallets)
- Self-referral payout cycles (sign-up bonus farms)
- iGaming multi-accounting that bypasses self-exclusion
- Marketplace fake-review clusters from a single human
- DAO and community-vote stuffing
- Welcome-bonus stacking on neobank / brokerage sign-ups
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE for session verdicts — that's the Transactions API.
- Face Search 1:N WITHOUT Passive Liveness lets an attacker upload a still photo of the target. Always compose them together.
- Thresholds are tunable per workflow. Start at 0.85 hard / 0.75 soft and adjust based on your false-positive tolerance.
- The gallery is scoped to your account — no cross-customer leakage by design.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/face-search/overview
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mes. No se requiere tarjeta de crédito.
Paga solo por lo que usas. Más de 25 módulos. Precios públicos por módulo, sin cuota mínima mensual.
MSA y SLA personalizados. Para grandes volúmenes y programas regulados.
Empieza gratis → paga solo cuando se ejecuta una verificación → desbloquea Enterprise para un contrato personalizado, SLA o residencia de datos.
Didit es infraestructura para identidad y fraude: la plataforma que nos hubiera gustado tener cuando creábamos nuestros propios productos. Es abierta, flexible y fácil de usar para desarrolladores, para que se integre de verdad en tu stack en lugar de ser una caja negra que tienes que rodear.
Una sola API cubre la verificación de personas (KYC, know your customer), la verificación de empresas (KYB, know your business), el análisis de carteras de criptomonedas (KYT, know your transaction) y la monitorización de transacciones en tiempo real, todo ello sobre una infraestructura diseñada para ser:
Nuestra base incluye: más de 14.000 tipos de documentos en más de 48 idiomas, más de 1.000 fuentes de datos y más de 200 señales de fraude en cada sesión. La infraestructura de Didit aprende dinámicamente de cada sesión y mejora cada día.
Un ataque Sybil ocurre cuando una persona crea muchas cuentas para hacerse pasar por varias. El nombre proviene de un estudio de caso de 1973 sobre un paciente con trastorno de identidad disociativo. En términos de producto, se manifiesta cuando una persona reclama un airdrop diez veces, acumula diez bonos de registro o llena una tabla de clasificación con diez victorias "diferentes".
El ataque funciona porque cualquier otro identificador,correo electrónico, teléfono, dispositivo, dirección de Protocolo de Internet (IP), se puede rotar por céntimos. El único identificador que no se puede rotar de forma barata es la propia cara del atacante.
Un sybil farmer en 2026 puede comprar:
Toda la operación es rentable si un solo airdrop o bono obtenido mediante Sybil vale más que el kit. *Face Search 1:N toma la cara,lo único que el farmer no puede duplicar de forma barata, y la convierte en la clave única.*
El flujo completo suele tardar menos de 30 segundos de principio a fin: coger el DNI, escanear el documento, hacer el selfie, listo. Es el más rápido del mercado. Los proveedores de KYC tradicionales suelen tardar más de 90 segundos para el mismo proceso.
En el back-end, Didit devuelve el resultado en menos de dos segundos en p99, medido desde que el usuario termina el selfie hasta que se activa tu webhook. La captura móvil está optimizada para teléfonos y redes lentas: compresión progresiva de imágenes, carga diferida del Software Development Kit y un traspaso con un solo toque de escritorio a teléfono mediante código QR si el usuario empieza en la web.
Preguntas diferentes, cálculos diferentes.
La verificación 1:1 cuesta 0,05 \$ por coincidencia. Face Search 1:N es gratis por búsqueda; solo el paquete asociado (ID Verification, Passive Liveness) tiene coste.
Cada sesión termina en uno de siete estados claros, para que tu código siempre sepa qué hacer:
Approved: todas las comprobaciones superadas. Permite al usuario avanzar.Declined: una o más comprobaciones fallaron. Puedes permitir al usuario volver a enviar el paso fallido específico (por ejemplo, volver a hacer el selfie) sin ejecutar todo el flujo de nuevo.In Review: marcado para revisión de cumplimiento. Abre el caso en la consola, consulta todas las señales y decide si aprobar o rechazar.In Progress: el usuario está en medio del flujo.Not Started: enlace enviado, el usuario aún no lo ha abierto. Envía un recordatorio si pasa demasiado tiempo.Abandoned: el usuario abrió el enlace pero no terminó a tiempo. Vuelve a contactar o expira.Expired: el enlace de la sesión caducó. Crea una nueva sesión.Un webhook firmado se activa con cada cambio de estado, para que tu base de datos siempre esté sincronizada. Las sesiones abandonadas y rechazadas son gratuitas.
Los datos de producción se procesan y almacenan en la Unión Europea por defecto, en Amazon Web Services. Los contratos empresariales pueden solicitar regiones alternativas para jurisdicciones cuyos reguladores lo exijan.
Cifrado en todas partes. AES-256 en reposo en cada base de datos, almacén de objetos y copia de seguridad. Transport Layer Security 1.3 en tránsito en cada llamada API, webhook y sesión de la Business Console. Los datos biométricos se cifran bajo una clave maestra de cliente separada.
La retención la controlas tú. La retención predeterminada es indefinida (ilimitada) a menos que configures un período más corto,entre 30 días y 10 años por aplicación, y puedes eliminar cualquier sesión individual en cualquier momento desde el panel de control o la API.
Certificaciones: SOC 2 Tipo 1 (auditoría Tipo 2 en curso), ISO/IEC 27001:2022, iBeta Nivel 1 PAD, y una certificación pública del Tesoro / SEPBLAC / CNMV de España de que la verificación remota de identidad de Didit es más segura que verificar a alguien en persona. Informe completo en /security-compliance.
Didit cumple por defecto con los reguladores importantes para la infraestructura de identidad:
Memorándum detallado, cada certificado, cada carta del regulador: /security-compliance.
Tres rutas de integración: elige la que mejor se adapte a tu stack:
Mismo panel de control, misma facturación, mismo precio de pago por éxito para los tres. Guía paso a paso en docs.didit.me/integration/integration-prompt.
Face Search 1:N devuelve una puntuación de similitud entre 0 y 1 por cada coincidencia. Tú estableces dos umbrales por flujo de trabajo:
Declined. Bloquea automáticamente el registro.In Review. Pasa a la cola del analista.Approved. No se encontró duplicado.Empieza con los valores predeterminados. Si ves demasiados falsos positivos (gemelos reales, gran parecido familiar), sube el umbral estricto. Si se cuelan duplicados, bájalo. Ajústalo en el Workflow Builder, sin necesidad de volver a desplegar.
Dos partidas por cada nuevo registro:
Aproximadamente 0,10 \$ por registro protegido. Añade Device & IP Analysis por 0,03 \$ si quieres señales de enlace de dispositivo + IP para la agrupación. Las primeras 500 verificaciones cada mes son gratuitas en cada cuenta.
Sin mínimos, sin compromiso anual, sin precios por asiento.
Cualquier sector donde la multiplicación de cuentas tenga valor económico:
Una integración, todas las superficies.
Una API para KYC, KYB, Monitoreo de Transacciones y Detección de Fraude en Wallets. Intégrala en 5 minutos.