Une authentification biométrique renforcée aux moments précis où les attaquants frappent : transferts, réinitialisations de mot de passe, connexions depuis un nouvel appareil. Verdict en moins de deux secondes, environ 0,13 $ par événement. 500 vérifications gratuites chaque mois.
Robinhood Ventures
Approuvé par plus de 2 000 organisations dans le monde entier.
Comment les attaquants opèrent
Les attaques par *credential stuffing*, échange de carte SIM et vol de cookies de session contournent les mots de passe et les codes à usage unique. Remplacez-les par une authentification renforcée Didit au moment de l'action , 0,10 $ par appel, verdict en moins de deux secondes, 500 gratuits chaque mois.
Choisissez les vérifications que vous souhaitez, pièce d'identité, vivacité, correspondance faciale, sanctions, adresse, âge, téléphone, e-mail, questions personnalisées. Glissez-les dans un flux sur le tableau de bord, ou publiez le même flux via notre API. Créez des branches conditionnelles, effectuez des tests A/B, aucun code requis.
Intégrez nativement avec nos SDK Web, iOS, Android, React Native ou Flutter. Redirigez vers une page hébergée. Ou envoyez simplement un lien à votre utilisateur, par e-mail, SMS, WhatsApp, n'importe où. Choisissez ce qui convient à votre stack.
Didit gère la caméra, les indications lumineuses, le transfert mobile et l'accessibilité. Pendant que l'utilisateur est dans le flux, nous évaluons plus de 200 signaux de fraude en temps réel et vérifions chaque champ par rapport à des sources de données fiables. Résultat en moins de deux secondes.
Des webhooks signés en temps réel synchronisent ta base de données dès qu'un utilisateur est approuvé, refusé ou mis en attente de révision. Interroge l'API à la demande. Ou ouvre la console pour inspecter chaque session, chaque signal, et gérer les cas à ta façon.
Didit · Politique de renforcement
Didit · Authentification biométrique
Étape 2 / 2
Ne bouge pas pour la vérification
Didit · Face Match 1:1
Inscription
Vérification renforcée
Didit · Détection de vivacité passive
Didit · Analyse appareil & IP
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "user-42",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved",
"similarity_score": 0.94 }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_ato_step_up",
"vendor_data": "user-42",
"metadata": { "trigger": "high_value_transfer" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
unblockAction(payload.vendor_data);
} else if (payload.status === "Declined") {
logWarnings(payload.liveness.warnings);
blockAndAlert(payload.vendor_data);
}statut Approuvé · Refusé · En cours d'examen · Non terminéYou are integrating Didit account-takeover defence into an application that already has the user signed in. Your job: when a sensitive action fires (large transfer, password reset, payout to a new destination, new-device login, geo anomaly), gate it on a Didit biometric step-up. One API call. One signed webhook. Three branches.
WHY THIS SHAPE
- Credential stuffing, SIM-swap, and stolen-session-cookie attacks all walk past passwords and SMS one-time codes. A face check at the moment of the sensitive action does not.
- Didit runs Passive Liveness (the user is alive, present, not a deepfake) plus 1:1 Face Match against the portrait captured at sign-up. A stolen selfie cannot pass — the comparison target is locked to the original enrollment.
- $0.10 per step-up (Biometric Authentication module) + $0.03 IP pre-check (optional) = around $0.13 per event. Sub-two-second verdict on entry-level Android. 500 verifications free every month.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A Workflow Builder workflow that bundles Passive Liveness + Face Match 1:1 (with the user's stored sign-up portrait as the comparison target). Optionally compose Device & IP Analysis ahead of the step-up to pre-gate the check.
- Persist the user's sign-up portrait — either base64 on your side, or rely on Didit's stored enrollment via vendor_data lookup.
STEP 1 — Decide WHEN to step up (your code, not Didit's)
Run your usual fraud signals. Common triggers worth a biometric step-up:
- Wire / crypto transfer above the user's daily limit
- Password / email reset on a session less than 24h old
- Payout to a bank account or wallet seen for the first time
- Login from a new device or new country
- Velocity anomaly — N actions of type T within window W
Cheap pre-check (optional, ~100ms, $0.03):
- Score the user's IP via Device & IP Analysis. If the IP is a residential trusted address with a low risk score AND the device fingerprint matches the user's trusted device, skip the step-up. Otherwise run Step 2.
STEP 2 — Create a biometric step-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id bundling Passive Liveness + Face Match 1:1>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/ato/step-up/callback",
"metadata": {
"trigger": "high_value_transfer",
"action_id": "<your internal action reference>"
},
"portrait_image": "<base64 JPEG of the user's stored sign-up portrait, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the step-up matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user there inline (or open it in a webview / Didit mobile SDK). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook on completion
Didit POSTs the decision to your callback. Verify X-Signature-V2 (HMAC SHA-256 of the raw request body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "score": 11 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the original action on status
Approved → unblock the sensitive action. Log session_id + similarity score on the audit trail.
In Review → hold the action, route to a human review queue.
Declined → block the action, log liveness warnings (mask / deepfake / replay / morph), alert the user.
Not Finished → invite the user to retry with a fresh session URL.
Expired → resend the link; the original session has timed out.
Abandoned → the user closed the flow before completing; resend the link.
STEP 5 — (Optional) Pull the full decision payload
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Returns the same payload as the webhook plus the structured signals (liveness warnings, face-match similarity, IP / device flags). Use for analyst review.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook (one endpoint, status field tells you where in the lifecycle).
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API and lives in a different surface.
- 1:1 face match's comparison target is the user's STORED sign-up portrait, not a freshly captured one. A stolen selfie cannot pass.
- iBeta Level 1 Presentation Attack Detection (PAD) certified against the full ISO/IEC 30107-3 catalogue — print, replay, paper / silicone / latex mask, deepfake, morph.
- The Workflow Builder is where you choose the modules in the step-up — change them in the console without redeploying.
- 200+ fraud signals are surfaced on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mois. Aucune carte de crédit requise.
Payez uniquement ce que vous utilisez. Plus de 25 modules. Tarification publique par module, sans minimum mensuel.
MSA et SLA personnalisés. Pour les gros volumes et les programmes réglementés.
Commence gratuitement → ne paie que lorsqu'une vérification est effectuée → débloque l'Enterprise pour un contrat personnalisé, un SLA ou la résidence des données.
Didit est une infrastructure d'identité et de lutte contre la fraude, la plateforme que nous aurions aimé avoir lorsque nous développions nos propres produits : ouverte, flexible et pensée pour les développeurs, afin qu'elle s'intègre réellement à votre stack plutôt que d'être une boîte noire autour de laquelle vous devez bricoler.
Une seule API couvre la vérification des personnes (KYC, Know Your Customer), la vérification des entreprises (KYB, Know Your Business), le contrôle des portefeuilles crypto (KYT, Know Your Transaction), et la surveillance des transactions en temps réel, sur une stack conçue pour être :
L'empreinte sous-jacente : plus de 14 000 types de documents dans plus de 48 langues, plus de 1 000 sources de données et plus de 200 signaux de fraude sur chaque session. L'infrastructure Didit apprend dynamiquement de chaque session et s'améliore chaque jour.
Un piratage de compte (ATO) se produit lorsqu'un attaquant prend le contrôle d'un compte utilisateur légitime, généralement avec des identifiants volés, un cookie de session détourné, ou un échange de carte SIM qui intercepte le mot de passe à usage unique (OTP). De là, il vide les portefeuilles, déplace des fonds, modifie les détails de paiement, ou réinitialise l'e-mail et bloque l'accès au propriétaire légitime.
L'attaque contourne le mot de passe parce que le mot de passe est déjà correct. Elle contourne le code Short Message Service (SMS) parce que l'attaquant contrôle le numéro de téléphone. La défense consiste à interrompre l'action avec quelque chose que l'attaquant n'a pas : le visage de l'utilisateur légitime.
Parce que la fraude par échange de carte SIM met le code Short Message Service (SMS) dans la poche de l'attaquant. L'attaquant convainc l'opérateur de transférer le numéro de la victime vers une nouvelle Subscriber Identity Module (SIM) ; à partir de ce moment, chaque code envoyé par la banque arrive sur le téléphone de l'attaquant.
Les kits de phishing en 2026 proxyfient également le code en temps réel : l'utilisateur le tape sur une fausse page, le kit le rejoue sur le vrai site, la session s'ouvre. Le SMS donne un secret partagé unique par canal ; la biométrie fournit une preuve par action liée à l'humain devant la caméra.
Le processus complet prend normalement moins de 30 secondes de bout en bout, prendre la pièce d'identité, la scanner, prendre le selfie, c'est fait. C'est le plus rapide du marché. Les fournisseurs KYC traditionnels prennent généralement plus de 90 secondes pour le même processus.
En arrière-plan, Didit renvoie le résultat en moins de deux secondes au p99, mesuré à partir du moment où l'utilisateur termine le selfie jusqu'au déclenchement de votre webhook. La capture mobile est optimisée pour les téléphones lents et les réseaux lents : compression d'image progressive, chargement paresseux du kit de développement logiciel, et un transfert en un clic du bureau au téléphone via un code QR si l'utilisateur commence sur le web.
L'inscription capture l'identité de l'utilisateur pour la première fois, document d'identité gouvernemental, reconnaissance optique de caractères (OCR), détection de vivacité passive, et un portrait qui devient la référence d'enregistrement. C'est un processus unique et lourd.
L'authentification renforcée est la version légère et répétable. Le même moteur de détection de vivacité s'exécute sur un nouveau selfie ; la comparaison faciale 1:1 compare le nouveau selfie au portrait d'inscription stocké. Pas de document d'identité, pas d'OCR. Moins de deux secondes, 0,10 $ par session.
Chaque session aboutit à l'un des sept statuts clairs, afin que votre code sache toujours quoi faire :
Approved, toutes les vérifications ont réussi. L'utilisateur peut continuer.Declined, une ou plusieurs vérifications ont échoué. Vous pouvez permettre à l'utilisateur de soumettre à nouveau l'étape spécifique qui a échoué (par exemple, reprendre le selfie) sans relancer tout le processus.In Review, signalé pour examen de conformité. Ouvrez le dossier dans la console, consultez tous les signaux, décidez d'approuver ou de refuser.In Progress, l'utilisateur est en cours de processus.Not Started, lien envoyé, l'utilisateur ne l'a pas encore ouvert. Envoyez un rappel s'il reste trop longtemps inactif.Abandoned, l'utilisateur a ouvert le lien mais n'a pas terminé à temps. Relancez ou expirez.Expired, le lien de session a expiré. Créez une nouvelle session.Un webhook signé se déclenche à chaque changement de statut, afin que votre base de données reste toujours synchronisée. Les sessions abandonnées et refusées sont gratuites.
Les données de production sont traitées et stockées par défaut dans l'Union européenne, sur Amazon Web Services. Les contrats d'entreprise peuvent demander des régions alternatives pour les juridictions dont les régulateurs l'exigent.
Chiffrement partout. AES-256 au repos sur chaque base de données, stockage d'objets et sauvegarde. Transport Layer Security 1.3 en transit sur chaque appel API, webhook et session de la console d'entreprise. Les données biométriques sont chiffrées sous une clé de client maître distincte.
La rétention est sous votre contrôle. La rétention par défaut est indéfinie (illimitée), sauf si vous configurez une durée plus courte, entre 30 jours et 10 ans par application, et vous pouvez supprimer n'importe quelle session individuelle à tout moment depuis le tableau de bord ou l'API.
Certifications : SOC 2 Type 1 (audit Type 2 en cours), ISO/IEC 27001:2022, iBeta Level 1 PAD, et une attestation publique du Tesoro / SEPBLAC / CNMV espagnol que la vérification d'identité à distance de Didit est plus sûre que la vérification en personne. Rapport complet sur /security-compliance.
Didit est conforme par défaut aux régulateurs importants pour l'infrastructure d'identité :
Mémo détaillé, chaque certificat, chaque lettre de régulateur : /security-compliance.
Trois chemins d'intégration, choisissez celui qui correspond à votre stack :
Même tableau de bord, même facturation, même prix par succès pour les trois. Guide étape par étape sur docs.didit.me/integration/integration-prompt.
Composez l'Analyse d'appareil et d'IP avant l'authentification renforcée. 0,03 $ par vérification, moins de 100 ms, renvoie un score de risque de 0 à 100 plus les indicateurs Virtual Private Network (VPN), proxy, The Onion Router (Tor), centre de données, pays et Autonomous System Number (ASN).
Si le réseau semble propre (fournisseur d'accès Internet résidentiel, empreinte d'appareil fiable, pas de changement de pays), ignorez la vérification faciale. Si le score est élevé ou si un indicateur se déclenche, exécutez l'authentification renforcée. Cela permet de conserver le budget biométrique pour les événements qui en ont réellement besoin.
Deux postes de dépense :
Environ 0,13 $ par action sensible entièrement contrôlée. Les 500 premières vérifications chaque mois sont gratuites sur chaque compte, la plupart des équipes constatent que leur volume d'authentifications renforcées reste dans cette limite pendant les premières semaines.
Pas de minimums, pas d'engagement annuel, pas de prix par siège.
Cette recette s'applique à toute équipe gérant des actions de grande valeur. Voici des exemples courants d'utilisation :
Même Workflow Builder, différents déclencheurs, une seule intégration, une seule ligne tarifaire.
Une seule API pour le KYC, le KYB, la surveillance des transactions et le screening de portefeuilles. Intégration en 5 minutes.