Didit obtient iBeta Level 2 : 300 attaques, aucune n'est passée

Nous avons obtenu iBeta Level 2. Le 9 novembre 2026, iBeta Quality Assurance a confirmé que la détection du vivant de Didit est conforme à la norme ISO/IEC 30107-3 de détection des attaques par présentation au niveau 2 : le laboratoire a mené 300 attaques par présentation, et aucune n'est passée.

Je veux expliquer pourquoi c'est important pour moi, et pourquoi je pense que cela devrait compter pour toute personne qui fait tourner un produit sur internet. Ce n'est pas un communiqué de presse. C'est la raison pour laquelle nous avons construit Didit comme nous l'avons fait.

Ce que nous avons obtenu

iBeta Quality Assurance est un laboratoire biométrique indépendant, accrédité par NIST/NVLAP (code laboratoire 200962) pour tester selon ISO/IEC 30107-3, la norme internationale d'évaluation de la détection des attaques par présentation. Une attaque par présentation, c'est toute tentative de tromper une vérification faciale avec autre chose qu'une personne vivante : une photo, une vidéo sur un écran, un masque.

Le résultat est simple. 300 attaques. 0 acceptée. Un taux de réussite des attaques de 0 %.

Level 2 est le deuxième niveau d'iBeta. Il utilise des instruments d'attaque plus avancés et plus coûteux que Level 1, fabriqués par des attaquants plus compétents et qui disposent de plus de temps. Level 2 a testé notre détection du vivant active. Notre détection du vivant passive a obtenu Level 1 en février 2026, avec 360 tentatives et 0 % de réussite des attaques. Aujourd'hui, Didit détient donc les deux : iBeta Level 1 et Level 2.

Lire la lettre de confirmation. Toutes nos autres attestations se trouvent sur notre page de confiance.

Level 1 et Level 2, simplement

	Level 1	Level 2
Compétence de l'attaquant	Aucune expertise particulière	Modérée : a déjà mené au moins un autre test de ce type et comprend le fonctionnement de la détection du vivant
Instruments d'attaque	Des objets qu'on trouve chez soi ou au bureau, jusqu'à 30 dollars de matériel	Des outils plus chers comme des imprimantes 3D, des masques en résine et des masques en latex, jusqu'à 300 dollars de matériel
Attaques tolérées	0 %	Jusqu'à 1 %
Ce que cela prouve	Le système bloque les usurpations courantes et bon marché	Le système tient face à un attaquant compétent équipé de meilleures contrefaçons

Source : la méthodologie de test PAD publiée par iBeta. La méthode d'iBeta tolère jusqu'à 1 % d'attaques réussies au Level 2. Nous en avons eu 0.

Les deux niveaux sont testés de la même façon : un laboratoire qui ne travaille pas pour nous fabrique des contrefaçons, les présente au système et compte combien passent. Ce qui change, c'est la qualité des contrefaçons. Level 1 demande si vous bloquez les attaques courantes et bon marché. Level 2 demande si vous tenez encore quand quelqu'un y met de vrais moyens.

Pourquoi c'est important maintenant

Il y a dix ans, falsifier un visage demandait du savoir-faire. Aujourd'hui, il suffit d'un ordinateur portable et d'un après-midi.

Ce n'est pas mon opinion. En novembre 2024, la cellule de lutte contre la criminalité financière du Trésor américain, FinCEN, a publié une alerte sur les contenus deepfake indiquant avoir constaté, depuis 2023, davantage de déclarations d'activité suspecte décrivant des deepfakes utilisés « pour contourner les méthodes de vérification d'identité et d'authentification ». L'un de ses signaux d'alerte : un client qui utilise « un plugin de webcam tiers pendant une vérification en direct ».

Le Center for Financial Services de Deloitte estimait en 2024 que l'IA générative pourrait porter les pertes liées à la fraude aux États-Unis à 40 milliards de dollars d'ici 2027, contre 12,3 milliards en 2023. En janvier 2026, le Cybercrime Atlas du Forum économique mondial a analysé 17 outils d'échange de visages et constaté que certains permettent déjà une « usurpation en temps réel et haute fidélité, capable de compromettre le KYC numérique ». L'agence européenne de cybersécurité, l'ENISA, signalait en 2022 que les attaques par masque et par injection vidéo étaient en hausse.

Voici les attaques qu'une vérification faciale doit bloquer :

• Photos imprimées. La plus vieille ruse. Quelqu'un présente une impression du visage d'une autre personne. Bon marché, et encore tentée tous les jours.
• Rediffusions sur écran. Une vidéo de la vraie personne lue sur un téléphone ou une tablette devant la caméra. Elle cligne des yeux, elle bouge, elle a l'air vivante.
• Masques. En papier, en latex, en résine ou en silicone. Les meilleurs ont une profondeur et une texture qu'une image plate n'a pas.
• Deepfakes. Un visage synthétique, ou un vrai visage plaqué sur une autre personne en temps réel. Montré à la caméra sur un écran, c'est une attaque par présentation.
• Attaques par injection. L'attaquant contourne complètement la caméra et injecte dans l'application une vidéo préenregistrée ou synthétique, au moyen d'une caméra virtuelle, d'un émulateur ou d'un appareil modifié. Il n'y a aucune contrefaçon physique à voir. Nous l'avons expliqué en détail dans notre article sur la détection des attaques par injection.

Le test d'iBeta porte sur les attaques par présentation : des contrefaçons montrées à la caméra. L'injection est un autre vecteur d'attaque, et c'est pour cela que la détection du vivant seule ne suffit pas.

Prouver qu'il y a un humain derrière l'écran

Voici ce que je crois. Internet se remplit de choses qui ressemblent à des personnes et qui n'en sont pas. Des bots qui s'inscrivent. Des fermes de comptes qui ouvrent des milliers de profils avec des identités volées ou synthétiques. Des agents IA qui agissent pour quelqu'un que vous ne voyez pas.

L'évaluation 2026 de la menace cybercriminelle d'Europol décrit un seul service de ferme de cartes SIM derrière plus de 49 millions de comptes en ligne, et indique que ces fermes permettent aux réseaux criminels de « contourner les protocoles KYC et de s'inscrire simultanément à des milliers de services ». L'équipe paiements de la Réserve fédérale américaine décrit la fraude à l'identité synthétique comme « présentée comme le type de criminalité financière qui progresse le plus vite aux États-Unis », avec des milliards de pertes chaque année.

Les normes vont dans le même sens. Les lignes directrices du NIST sur l'identité numérique, SP 800-63A-4 (juillet 2025), exigent une détection des attaques par présentation dès que des données biométriques sont comparées à distance, testée selon ISO/IEC 30107-3, « pour confirmer la présence réelle d'un être humain vivant ».

Les mots de passe et les codes prouvent que quelqu'un sait quelque chose. Ils ne prouvent pas qu'un vrai humain est là. La détection du vivant et l'authentification biométrique, si. Un visage vivant, rapproché d'une identité vérifiée, est le signal le plus fort dont nous disposons pour dire qu'une personne précise est présente, maintenant, et non un bot ou une ferme.

Mais un seul signal ne suffit jamais. Chez Didit, nous plaçons le visage à côté de tout ce que nous voyons d'autre dans la même vérification :

• Détection du vivant. Passive, 3D Flash ou 3D Action and Flash, selon le niveau de risque que vous acceptez.
• Comparaison et recherche faciales. Le visage en direct est comparé au document, et recherché parmi vos propres utilisateurs et listes de blocage pour repérer une même personne qui ouvre un second compte.
• Authentification biométrique. Quand un utilisateur qui revient fait quelque chose de sensible, une nouvelle détection du vivant et une comparaison avec le visage utilisé lors de sa vérification.
• Analyse de l'appareil et de l'IP. L'empreinte de l'appareil retrouve le même appareil physique derrière de nombreux comptes, et les contrôles IP signalent les VPN, les proxys, Tor et les incohérences de localisation.
• Signaux e-mail et téléphone dans le même dossier que le résultat d'identité.

Réuni, tout cela devient selon moi la ligne de front d'internet. Pas un mur autour d'une application, mais une question simple posée aux moments qui comptent : est-ce une vraie personne, et est-ce la bonne ?

Level 2 est une preuve indépendante que la partie visage de cette réponse tient face à des attaques avancées. Ce n'est pas nous qui le disons. C'est un laboratoire.

Tout ce sur quoi nous avons été évalués

Nous ne demandons à personne de nous croire sur parole en matière de sécurité. Voici la liste complète à ce jour, avec les détails sur notre page de confiance et dans notre présentation de nos attestations.

Attestation	Ce qu'elle couvre	Date
iBeta PAD Level 2 (ISO/IEC 30107-3)	Détection du vivant active face aux attaques par présentation avancées. 300 attaques, 0 % de réussite.	Novembre 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	Détection du vivant passive face aux attaques par présentation courantes. 360 tentatives, 0 % de réussite.	Février 2026
SOC 2 Type 1	Conception de nos contrôles de sécurité, de disponibilité et de confidentialité.	Avril 2026
SOC 2 Type 2	Le fonctionnement de ces mêmes contrôles sur une période d'observation.	Rapport émis en juillet 2026
ISO/IEC 27001:2022	Notre système de management de la sécurité de l'information, certifié par Bureau Veritas.	Valable jusqu'en juin 2027
Bac à sable du Trésor espagnol	Le Tesoro, la Banque d'Espagne, le SEPBLAC et la CNMV ont conclu que notre vérification à distance est au moins aussi sûre qu'une identification en personne.	De novembre 2024 à juillet 2025
Vérification de l'âge FSM	Notre système de vérification de l'âge, certifié selon les règles allemandes de protection de la jeunesse.	Juin 2026
FIDO Alliance	Membre associé de l'organisation à l'origine de FIDO2 et des passkeys. Une adhésion, pas une certification.	Août 2026
Avis sur l'entrée en relation à distance (EBA)	Avis juridique indépendant attestant que notre entrée en relation à distance respecte les orientations de l'EBA sur l'entrée en relation à distance avec les clients.	Sur demande
GDPR	Nous agissons en tant que sous-traitant au sens du GDPR, avec des mesures conformes à l'article 32 et un accord de traitement des données.	En continu

Le résultat du bac à sable espagnol est celui dont je suis le plus fier, parce que les régulateurs y sont arrivés par eux-mêmes. Vous pouvez lire leurs conclusions.

Ce que cela change si vous utilisez Didit

• Rien à modifier. Le résultat couvre la détection du vivant active de Didit. Si votre workflow l'utilise, il n'y a rien à changer dans votre intégration.
• Une preuve que vous pouvez transmettre. Quand une banque partenaire, un auditeur ou un régulateur vous demande comment vous bloquez l'usurpation, vous pouvez montrer le résultat d'un laboratoire accrédité face à une norme publiée, plutôt que la promesse d'un fournisseur.
• Plus qu'une vérification faciale. Combinez la détection du vivant avec la recherche faciale, l'analyse de l'appareil et de l'IP et l'authentification biométrique dans un seul workflow, sur un seul dossier.

Questions fréquentes

Qu'est-ce qu'iBeta Level 2 ?

C'est le deuxième niveau des tests de détection des attaques par présentation menés par iBeta Quality Assurance selon ISO/IEC 30107-3. Par rapport à Level 1, le laboratoire utilise des instruments d'attaque plus avancés et plus coûteux, fabriqués avec plus de temps et de savoir-faire.

Qu'a obtenu Didit ?

iBeta a mené 300 attaques par présentation contre la détection du vivant de Didit et aucune n'a été acceptée, soit un taux de réussite des attaques de 0 %. La lettre de confirmation est datée du 9 novembre 2026.

Didit est-il iBeta Level 1 ou Level 2 ?

Les deux. Didit a obtenu iBeta Level 1 en février 2026 avec la détection du vivant passive et Level 2 en novembre 2026 avec la détection du vivant active, chaque fois avec 0 % de réussite des attaques.

Qu'est-ce que la norme ISO/IEC 30107-3 ?

C'est la partie de la norme ISO/IEC 30107 qui définit comment tester et rendre compte de la détection des attaques par présentation dans les systèmes biométriques, afin que les résultats de différents laboratoires et fournisseurs puissent être comparés.

Qui est iBeta ?

iBeta Quality Assurance est un laboratoire de test indépendant basé aux États-Unis, accrédité par NIST/NVLAP (code laboratoire 200962) pour tester la détection des attaques par présentation selon ISO/IEC 30107-3.

iBeta Level 2 couvre-t-il les deepfakes et les attaques par injection ?

iBeta Level 2 teste les attaques par présentation, c'est-à-dire des contrefaçons montrées à la caméra. Il ne teste pas les attaques par injection, qui contournent la caméra. C'est pourquoi nous combinons la détection du vivant avec des signaux liés à l'appareil, à l'IP et d'autres encore.

Puis-je voir la lettre ?

Oui. Lisez la lettre de confirmation, et retrouvez nos autres rapports sur la page de confiance.

Dois-je modifier mon intégration ?

Non. Vous choisissez la détection du vivant passive ou active pour chaque workflow dans la Business Console, et rien ne change dans votre intégration.

Comment l'essayer ?

Créez un compte gratuit sur business.didit.me, construisez un workflow avec la détection du vivant et lancez-le dans le sandbox. La documentation sur la détection du vivant explique chaque méthode.

Pour conclure

La fraude est devenue bon marché. Prouver qu'on est humain devrait l'être aussi, et devrait être solide. C'est l'exigence que nous nous fixons, et Level 2 est une vérification indépendante de plus que nous la respectons.

Si vous voulez le voir fonctionner, commencez gratuitement. Si vous voulez d'abord les rapports, ils sont sur notre page de confiance.

Alberto Rosas, CEO de Didit