Renforcez les flux sensibles avec une reconnaissance faciale en moins de 2 secondes, comparée au portrait enregistré. Résistant au phishing. À l'épreuve de l'échange de carte SIM. 0,10 $ par authentification. 500 vérifications gratuites chaque mois.
Robinhood Ventures
Approuvé par plus de 2 000 organisations dans le monde entier.
Résistant au phishing · À l'épreuve de l'échange de carte SIM
Le deuxième facteur est le visage de l'utilisateur, comparé 1:1 au portrait qu'il a enregistré lors de l'inscription. La détection de vivacité bloque les attaques par impression / relecture / masque / réseau génératif antagoniste (GAN) sur la même image. Verdict en moins de 2 secondes sur Android d'entrée de gamme. 0,10 $ par authentification. 500 vérifications gratuites chaque mois.
Choisissez les vérifications que vous souhaitez, pièce d'identité, vivacité, reconnaissance faciale, sanctions, adresse, âge, téléphone, e-mail, questions personnalisées. Glissez-les dans un flux sur le tableau de bord, ou publiez le même flux via notre API. Créez des branches conditionnelles, lancez des tests A/B, aucun code requis.
Intégrez nativement avec nos SDK Web, iOS, Android, React Native ou Flutter. Redirigez vers une page hébergée. Ou envoyez simplement un lien à votre utilisateur, par e-mail, SMS, WhatsApp, n'importe où. Choisissez ce qui convient à votre stack.
Didit gère la caméra, les indications lumineuses, le transfert mobile et l'accessibilité. Pendant que l'utilisateur est dans le flux, nous évaluons plus de 200 signaux de fraude en temps réel et vérifions chaque champ par rapport à des sources de données fiables. Résultat en moins de deux secondes.
Des webhooks signés en temps réel maintiennent votre base de données synchronisée dès qu'un utilisateur est approuvé, refusé ou envoyé en révision. Interrogez l'API à la demande. Ou ouvrez la console pour inspecter chaque session, chaque signal, et gérer les cas à votre manière.
Didit · Authentification biométrique
Confirmer le virement
Montre ton visage pour autoriser
Didit · Face Match 1:1
Enregistré
Similarité
0.96
CorrespondanceEn direct
Didit · Matrice d'attaque
Didit · Déclencheurs de renforcement
Didit · Webhook · X-Signature-V2
Charge utile
{
"session_id": "<uuid>",
"vendor_data": "user-42",
"status": "Approved",
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}Didit · Économie
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_bio_2fa",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 reference selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }$ curl -X POST https://verification.didit.me/v3/face-match/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image_a=@live.jpg" \
-F "image_b=@enrolled.jpg"{ "status": "Approuvé", "similarity_score": 0.96 }You are integrating Didit's Biometric 2FA into <my_stack>. Replace SMS one-time-password (OTP) on sensitive flows — login from a new device, large-value transfer, settings change, account recovery — with a sub-2-second face match against the user's enrolled portrait. Cheaper than SMS. Phishing-resistant. SIM-swap-proof.
1. Enrol the user's portrait ONCE at sign-up via the standard Know Your Customer (KYC) session.
2. On every sensitive action, open a Biometric Authentication session that runs Passive Liveness + Face Match 1:1 against the stored portrait. Verdict in sub-2-seconds.
Pricing (public):
- Biometric Authentication: $0.10 per authentication (Sessions API)
- Standalone Face Match 1:1: $0.05 per match (server-to-server)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled — either via a full KYC session (recommended; the portrait is stored automatically and never leaves Didit) or via a portrait you supply on each re-auth.
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session must be opened with workflow_type = "biometric_authentication" (or use a workflow that has FACE_MATCH and pass a portrait_image at session creation).
STEP 1 — Enrolment (one-time, at user sign-up)
Run a standard KYC session at sign-up. Didit stores the portrait (the face captured during the liveness step) as the user's enrolled template, bound to vendor_data.
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<your KYC workflow>",
"vendor_data": "<your user id>"
}
No additional code — once the user passes KYC, their enrolled portrait is ready for every future re-auth.
STEP 2 — Re-authentication (on every sensitive action)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/2fa/callback",
"metadata": {
"reason": "<login_new_device | high_value_txn | settings_change | account_recovery>",
"amount": "<optional, for large-value transfers>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user to it. The hosted UI:
- Opens the front camera
- Captures one passive frame
- Runs Liveness + Face Match 1:1 against the user's enrolled portrait
- Returns the verdict in sub-2-seconds
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved", "method": "PASSIVE", "score": 96 },
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Branch your application:
Approved → execute the action (sign in, release the transfer, save settings).
Declined → block the action, re-prompt with a higher-friction recovery path (support contact / KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back.
STEP 4 — Alternate path (server-to-server, when you already have the selfie)
If you already captured the selfie locally (native mobile SDK, in-app camera):
POST https://verification.didit.me/v3/face-match/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image_a <the live selfie>
image_b <the enrolled portrait>
Response: similarity_score (0-1), status (Approved | Declined | In Review).
Use the standalone path only when you trust your client-side capture pipeline. For browser flows or any surface where the SDK is not embedded, always prefer the hosted session — Didit's liveness check is harder to defeat than a raw camera grab.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Always verify X-Signature-V2 on every payload.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, ID_VERIFICATION, AML, IP_ANALYSIS, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The biometric template is irreversible (a one-way hash) and stored on Didit's infrastructure. You never receive the raw template. Standard data-subject-deletion rules apply.
PRO TIPS
- Pair Biometric 2FA with Device & IP Analysis (bundled into the 200+ fraud-signal stack). A re-auth that originates from a brand-new device + a brand-new IP should always step up to face.
- For the strongest possible surface, swap method PASSIVE for ACTIVE_3D — a short motion challenge — on transfers above your operational risk threshold.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mois. Aucune carte de crédit requise.
Payez uniquement ce que vous utilisez. Plus de 25 modules. Tarification publique par module, sans minimum mensuel.
MSA et SLA personnalisés. Pour les gros volumes et les programmes réglementés.
Commence gratuitement → ne paie que lorsqu'une vérification est effectuée → débloque l'Enterprise pour un contrat personnalisé, un SLA ou la résidence des données.
Didit est une infrastructure pour l'identité et la fraude, la plateforme que nous aurions aimé avoir lorsque nous développions nos propres produits : ouverte, flexible et conviviale pour les développeurs, afin qu'elle s'intègre réellement à ta stack au lieu d'être une boîte noire autour de laquelle tu dois t'adapter.
Une seule API couvre la vérification des personnes (KYC, Know Your Customer), la vérification des entreprises (KYB, Know Your Business), le filtrage des portefeuilles crypto (KYT, Know Your Transaction), et la surveillance des transactions en temps réel, sur une stack conçue pour être :
L'empreinte sous-jacente : plus de 14 000 types de documents dans plus de 48 langues, plus de 1 000 sources de données, et plus de 200 signaux de fraude sur chaque session. L'infrastructure Didit apprend dynamiquement de chaque session et s'améliore chaque jour.
L'authentification à deux facteurs utilisant le visage de l'utilisateur, et non un code envoyé via un réseau. Le premier facteur est ce que l'utilisateur connaît (mot de passe, passkey, lien magique). Le second facteur est ce que l'utilisateur est, un selfie en direct comparé 1:1 à un portrait que l'utilisateur a enregistré précédemment.
Elle se situe au même endroit que le mot de passe à usage unique par SMS (OTP) dans le flux de ton application, mais avec un profil de coût, de sécurité et de conversion différent.
Quatre types d'attaques bien documentées le déjouent. Le Federal Bureau of Investigation (FBI) américain et le National Cyber Security Centre (NCSC) britannique ont tous deux publié des directives déconseillant aux organisations d'utiliser les SMS pour les flux sensibles.
Le processus complet prend normalement moins de 30 secondes de bout en bout, prendre la pièce d'identité, photographier le document, prendre le selfie, c'est fait. C'est le plus rapide du marché. Les fournisseurs KYC traditionnels prennent généralement plus de 90 secondes pour le même processus.
En arrière-plan, Didit renvoie le résultat en moins de deux secondes au p99, mesuré à partir du moment où l'utilisateur termine le selfie jusqu'au déclenchement de ton webhook. La capture mobile est optimisée pour les téléphones lents et les réseaux lents : compression d'image progressive, chargement paresseux du kit de développement logiciel, et un transfert en un clic du bureau au téléphone via un code QR si l'utilisateur commence sur le web.
La plupart des équipes procèdent à l'enregistrement lors de la session Know Your Customer (KYC) initiale de l'utilisateur. Le portrait capturé par l'étape de vivacité est stocké lié à ton vendor_data et utilisé comme modèle pour chaque réauthentification ultérieure.
Si tu n'effectues pas de KYC à l'inscription, tu peux lancer une session d'enregistrement unique via un workflow Didit qui contient uniquement LIVENESS + FACE_MATCH. Chaque approche coûte 0,10 $ une fois, et le modèle résultant est réutilisable pour chaque authentification future.
Chaque session aboutit à l'un des sept statuts clairs, pour que ton code sache toujours quoi faire :
Approved, toutes les vérifications sont passées. Fais avancer l'utilisateur.Declined, une ou plusieurs vérifications ont échoué. Tu peux permettre à l'utilisateur de soumettre à nouveau l'étape spécifique qui a échoué (par exemple, reprendre le selfie) sans relancer tout le processus.In Review, signalé pour examen de conformité. Ouvre le cas dans la console, vois tous les signaux, décide d'approuver ou de refuser.In Progress, l'utilisateur est en cours de processus.Not Started, lien envoyé, l'utilisateur ne l'a pas encore ouvert. Envoie un rappel s'il reste trop longtemps inactif.Abandoned, l'utilisateur a ouvert le lien mais n'a pas terminé à temps. Relance-le ou laisse expirer.Expired, le lien de session a expiré. Crée une nouvelle session.Un webhook signé se déclenche à chaque changement de statut, pour que ta base de données reste toujours synchronisée. Les sessions abandonnées et refusées sont gratuites.
Les données de production sont traitées et stockées par défaut dans l'Union Européenne, sur Amazon Web Services. Les contrats d'entreprise peuvent demander des régions alternatives pour les juridictions dont les régulateurs l'exigent.
Chiffrement partout. AES-256 au repos sur chaque base de données, stockage d'objets et sauvegarde. Transport Layer Security 1.3 en transit sur chaque appel API, webhook et session de la console Business. Les données biométriques sont chiffrées sous une Customer Master Key distincte.
La rétention est sous ton contrôle. La rétention par défaut est indéfinie (illimitée), sauf si tu configures une durée plus courte, entre 30 jours et 10 ans par application, et tu peux supprimer n'importe quelle session individuelle à tout moment depuis le tableau de bord ou l'API.
Certifications : SOC 2 Type 1 (audit Type 2 en cours), ISO/IEC 27001:2022, iBeta Level 1 PAD, et une attestation publique du Tesoro / SEPBLAC / CNMV espagnol que la vérification d'identité à distance de Didit est plus sûre que la vérification en personne. Rapport complet sur /security-compliance.
Didit est conforme par défaut pour les régulateurs importants en matière d'infrastructure d'identité :
Mémo détaillé, chaque certificat, chaque lettre de régulateur : /security-compliance.
Trois chemins d'intégration, choisis celui qui correspond le mieux à ta stack :
Même tableau de bord, même facturation, même prix au succès pour les trois. Guide étape par étape sur docs.didit.me/integration/integration-prompt.
C'est un drop-in pour ton contrat de rappel de mot de passe à usage unique existant.
POST /v3/session/ avec workflow_type: "biometric_authentication" et les mêmes vendor_data que tu as utilisés lors de l'inscription.session_url retournée.X-Signature-V2 sur le webhook avant de faire confiance au corps.status, Approved (exécute l'action), Declined (bloque), In Review (mets en file d'attente), Not Finished (relance).La plupart des équipes remplacent le SMS par la reconnaissance faciale en un week-end. Le prompt complet, copiable par un agent, est ci-dessus ; le serveur Model Context Protocol (MCP) gère les deux interfaces.
La correspondance faciale 1:1 est robuste aux changements d'apparence modérés, pilosité faciale, lunettes, couleur de cheveux, éclairage. Le score de similarité renvoyé par authentification reflète la confiance du modèle.
Pour les utilisateurs qui dépassent le seuil d'approbation automatique (cas typique : changement de poids spectaculaire, chirurgie, vieillissement sur de nombreuses années), le verdict renvoie In Review et est acheminé vers ta file d'attente d'opérations. Le chemin de récupération standard est une session de ré-inscription, un appel KYC rafraîchit le portrait, et la prochaine authentification utilise le nouveau modèle.
Oui pour la catégorie inhérence. Les normes techniques réglementaires de l'Autorité bancaire européenne sur l'authentification forte du client reconnaissent les attributs biométriques (quelque chose que tu es) comme un deuxième facteur valide lorsqu'il est associé à l'une des deux autres catégories (connaissance ou possession).
Pour un flux complet d'authentification forte du client PSD2, associe la 2FA biométrique au mot de passe de l'utilisateur (connaissance) ou à une session liée à l'appareil (possession). Le verdict signé de Didit constitue la preuve d'audit du facteur d'inhérence.
Une seule API pour le KYC, le KYB, la surveillance des transactions et le screening de portefeuilles. Intégration en 5 minutes.