Renforcez les flux sensibles avec une correspondance faciale en moins de 2 secondes avec le portrait enregistré. Résistant au phishing. À l'épreuve de l'échange de carte SIM. 0,10 $ par authentification. 500 vérifications gratuites chaque mois.
Approuvé par plus de 2 000 organisations dans le monde entier.
Résistant au phishing · À l'épreuve de l'échange de carte SIM
Le deuxième facteur est le visage de l'utilisateur, comparé 1:1 au portrait qu'il a enregistré lors de l'inscription. La détection de vivacité bloque l'attaque par impression / relecture / masque / réseau antagoniste génératif (GAN) sur la même image. Verdict en moins de 2 secondes sur Android d'entrée de gamme. 0,10 $ par authentification. 500 vérifications gratuites chaque mois.
Choisissez les vérifications que vous souhaitez — pièce d'identité, vivacité, correspondance faciale, sanctions, adresse, âge, téléphone, e-mail, questions personnalisées. Faites-les glisser dans un flux sur le tableau de bord, ou publiez le même flux sur notre API. Créez des branches conditionnelles, exécutez des tests A/B, aucun code requis.
Intégrez nativement avec nos SDK Web, iOS, Android, React Native ou Flutter. Redirigez vers une page hébergée. Ou envoyez simplement un lien à votre utilisateur — par e-mail, SMS, WhatsApp, n'importe où. Choisissez ce qui convient à votre pile technologique.
Didit héberge la caméra, les signaux lumineux, le transfert mobile et l'accessibilité. Pendant que l'utilisateur est dans le flux, nous évaluons plus de 200 signaux de fraude en temps réel et vérifions chaque champ par rapport à des sources de données fiables. Résultat en moins de deux secondes.
Les webhooks signés en temps réel maintiennent votre base de données synchronisée dès qu'un utilisateur est approuvé, refusé ou envoyé pour examen. Interrogez l'API à la demande. Ou ouvrez la console pour inspecter chaque session, chaque signal et gérer les cas à votre manière.
Didit · Authentification biométrique
Confirmer le transfert
Montrez votre visage pour autoriser
Didit · Correspondance faciale 1:1
Inscrit
Similitude
0.96
CorrespondanceEn direct
Didit · Matrice d'attaque
Didit · Déclencheurs d'authentification renforcée
Didit · Webhook · X-Signature-V2
Charge utile
{
"session_id": "<uuid>",
"vendor_data": "user-42",
"status": "Approved",
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}Didit · Économie
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_bio_2fa",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 reference selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'LIVENESS + FACE_MATCH par rapport à l<fontmonotext>portrait_image</fontmonotext> fourni.docs →$ curl -X POST https://verification.didit.me/v3/face-match/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image_a=@live.jpg" \
-F "image_b=@enrolled.jpg"You are integrating Didit's Biometric 2FA into <my_stack>. Replace SMS one-time-password (OTP) on sensitive flows — login from a new device, large-value transfer, settings change, account recovery — with a sub-2-second face match against the user's enrolled portrait. Cheaper than SMS. Phishing-resistant. SIM-swap-proof.
1. Enrol the user's portrait ONCE at sign-up via the standard Know Your Customer (KYC) session.
2. On every sensitive action, open a Biometric Authentication session that runs Passive Liveness + Face Match 1:1 against the stored portrait. Verdict in sub-2-seconds.
Pricing (public):
- Biometric Authentication: $0.10 per authentication (Sessions API)
- Standalone Face Match 1:1: $0.05 per match (server-to-server)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled — either via a full KYC session (recommended; the portrait is stored automatically and never leaves Didit) or via a portrait you supply on each re-auth.
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session must be opened with workflow_type = "biometric_authentication" (or use a workflow that has FACE_MATCH and pass a portrait_image at session creation).
STEP 1 — Enrolment (one-time, at user sign-up)
Run a standard KYC session at sign-up. Didit stores the portrait (the face captured during the liveness step) as the user's enrolled template, bound to vendor_data.
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<your KYC workflow>",
"vendor_data": "<your user id>"
}
No additional code — once the user passes KYC, their enrolled portrait is ready for every future re-auth.
STEP 2 — Re-authentication (on every sensitive action)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/2fa/callback",
"metadata": {
"reason": "<login_new_device | high_value_txn | settings_change | account_recovery>",
"amount": "<optional, for large-value transfers>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user to it. The hosted UI:
- Opens the front camera
- Captures one passive frame
- Runs Liveness + Face Match 1:1 against the user's enrolled portrait
- Returns the verdict in sub-2-seconds
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved", "method": "PASSIVE", "score": 96 },
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Branch your application:
Approved → execute the action (sign in, release the transfer, save settings).
Declined → block the action, re-prompt with a higher-friction recovery path (support contact / KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back.
STEP 4 — Alternate path (server-to-server, when you already have the selfie)
If you already captured the selfie locally (native mobile SDK, in-app camera):
POST https://verification.didit.me/v3/face-match/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image_a <the live selfie>
image_b <the enrolled portrait>
Response: similarity_score (0-1), status (Approved | Declined | In Review).
Use the standalone path only when you trust your client-side capture pipeline. For browser flows or any surface where the SDK is not embedded, always prefer the hosted session — Didit's liveness check is harder to defeat than a raw camera grab.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Always verify X-Signature-V2 on every payload.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, ID_VERIFICATION, AML, IP_ANALYSIS, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The biometric template is irreversible (a one-way hash) and stored on Didit's infrastructure. You never receive the raw template. Standard data-subject-deletion rules apply.
PRO TIPS
- Pair Biometric 2FA with Device & IP Analysis (bundled into the 200+ fraud-signal stack). A re-auth that originates from a brand-new device + a brand-new IP should always step up to face.
- For the strongest possible surface, swap method PASSIVE for ACTIVE_3D — a short motion challenge — on transfers above your operational risk threshold.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mois. Aucune carte de crédit requise.
Payez uniquement pour ce que vous utilisez. Plus de 25 modules. Tarification publique par module, pas de frais mensuels minimums.
MSA et SLA personnalisés. Pour les grands volumes et les programmes réglementés.
Commencez gratuitement → payez uniquement lorsqu'une vérification est effectuée → débloquez l'Entreprise pour un contrat personnalisé, un SLA ou une résidence des données.
Didit est une infrastructure pour l'identité et la fraude — la plateforme que nous aurions aimé avoir lorsque nous développions nous-mêmes des produits : ouverte, flexible et conviviale pour les développeurs, afin qu'elle fonctionne comme une véritable partie de votre pile plutôt que comme une boîte noire autour de laquelle vous intégrez.
Une seule API couvre la vérification des personnes (KYC, connaissez votre client), la vérification des entreprises (KYB, connaissez votre entreprise), le filtrage des portefeuilles crypto (KYT, connaissez votre transaction) et la surveillance des transactions en temps réel — sur une pile conçue pour être :
L'empreinte sous-jacente : plus de 14 000 types de documents dans plus de 48 langues, plus de 1 000 sources de données et plus de 200 signaux de fraude sur chaque session. L'infrastructure Didit apprend dynamiquement de chaque session et s'améliore chaque jour.
Authentification à deux facteurs utilisant le visage de l'utilisateur, et non un code envoyé sur un réseau. Le premier facteur est ce que l'utilisateur connaît (mot de passe, clé d'accès, lien magique). Le deuxième facteur est ce que l'utilisateur est — un selfie en direct comparé 1:1 à un portrait que l'utilisateur a enregistré précédemment.
Il se situe au même endroit que le mot de passe à usage unique par SMS (OTP) dans le flux de votre application, mais avec un coût, une sécurité et un profil de conversion différents.
Quatre classes d'attaques bien documentées le déjouent. Le Federal Bureau of Investigation (FBI) des États-Unis et le National Cyber Security Centre (NCSC) du Royaume-Uni ont tous deux publié des directives éloignant les organisations des SMS pour les flux sensibles.
Le flux complet prend normalement moins de 30 secondes de bout en bout — prendre la pièce d'identité, photographier le document, prendre le selfie, c'est fait. C'est le plus rapide du marché. Les fournisseurs KYC traditionnels prennent généralement plus de 90 secondes pour le même flux.
En arrière-plan, Didit renvoie le résultat en moins de deux secondes à p99, mesuré à partir du moment où l'utilisateur termine le selfie jusqu'au moment où votre webhook se déclenche. La capture mobile est optimisée pour les téléphones lents et les réseaux lents : compression d'image progressive, chargement paresseux du kit de développement logiciel, et un transfert en un clic du bureau au téléphone via code QR si l'utilisateur commence sur le web.
La plupart des équipes s'inscrivent lors de la session originale "Know Your Customer" (KYC) de l'utilisateur. Le portrait capturé par l'étape de vivacité est stocké lié à votre vendor_data et utilisé comme modèle pour chaque réauthentification ultérieure.
Si vous n'exécutez pas de KYC lors de l'inscription, vous pouvez exécuter une session d'inscription unique par rapport à un flux de travail Didit qui ne contient que LIVENESS + FACE_MATCH. Chaque chemin coûte 0,10 $ une fois, et le modèle résultant est réutilisable pour chaque authentification future.
Chaque session aboutit à l'un des sept statuts clairs, de sorte que votre code sait toujours quoi faire :
Approved — toutes les vérifications ont réussi. Faites avancer l'utilisateur.Declined — une ou plusieurs vérifications ont échoué. Vous pouvez autoriser l'utilisateur à soumettre à nouveau l'étape spécifique qui a échoué (par exemple, reprendre le selfie) sans réexécuter tout le flux.In Review — signalé pour examen de conformité. Ouvrez le cas dans la console, consultez tous les signaux, décidez d'approuver ou de refuser.In Progress — l'utilisateur est en cours de flux.Not Started — lien envoyé, l'utilisateur ne l'a pas encore ouvert. Envoyez un rappel s'il reste trop longtemps.Abandoned — l'utilisateur a ouvert le lien mais n'a pas terminé à temps. Relancez ou expirez.Expired — le lien de session a expiré. Créez une nouvelle session.Un webhook signé se déclenche à chaque changement de statut, de sorte que votre base de données reste toujours synchronisée. Les sessions abandonnées et refusées sont gratuites.
Les données de production sont traitées et stockées dans l'Union européenne par défaut, sur Amazon Web Services. Les contrats d'entreprise peuvent demander des régions alternatives pour les juridictions dont les régulateurs l'exigent.
Chiffrement partout. AES-256 au repos sur chaque base de données, magasin d'objets et sauvegarde. Transport Layer Security 1.3 en transit sur chaque appel API, webhook et session de la console métier. Les données biométriques sont chiffrées sous une clé principale client distincte.
La rétention est sous votre contrôle. La rétention par défaut est indéfinie (illimitée) à moins que vous ne configuriez une durée plus courte — entre 30 jours et 10 ans par application — et vous pouvez supprimer n'importe quelle session individuelle à tout moment depuis le tableau de bord ou l'API.
Certifications : SOC 2 Type 1 (audit de Type 2 en cours), ISO/IEC 27001:2022, iBeta Level 1 PAD, et une attestation publique du Tesoro / SEPBLAC / CNMV espagnol selon laquelle la vérification d'identité à distance de Didit est plus sûre que la vérification en personne. Rapport complet sur /security-compliance.
Didit est conforme par défaut aux régulateurs importants pour l'infrastructure d'identité :
Mémo détaillé, chaque certificat, chaque lettre de régulateur : /security-compliance.
Trois chemins d'intégration — choisissez celui qui correspond à votre pile :
Même tableau de bord, même facturation, même prix par succès pour les trois. Guide étape par étape sur docs.didit.me/integration/integration-prompt.
C'est un remplacement direct pour votre contrat de rappel de mot de passe à usage unique existant.
POST /v3/session/ avec workflow_type: "biometric_authentication" et les mêmes vendor_data que vous avez utilisés lors de l'inscription.session_url renvoyé.X-Signature-V2 sur le webhook avant de faire confiance au corps.status — Approved (exécuter l'action), Declined (bloquer), In Review (mettre en file d'attente), Not Finished (relancer).La plupart des équipes échangent les SMS contre le visage en un week-end. L'invite complète "agent-pastable" est ci-dessus ; le serveur Model Context Protocol (MCP) gère les deux surfaces.
La correspondance faciale 1:1 est robuste aux changements d'apparence modérés — pilosité faciale, lunettes, couleur de cheveux, éclairage. Le score de similarité renvoyé par authentification reflète la confiance du modèle.
Pour les utilisateurs qui dépassent le seuil d'approbation automatique (cas typique : changement de poids spectaculaire, chirurgie, vieillissement sur de nombreuses années), le verdict renvoie In Review et est acheminé vers votre file d'attente d'opérations. Le chemin de récupération standard est une session de réinscription — un appel KYC actualise le portrait, et la prochaine authentification utilise le nouveau modèle.
Oui pour la catégorie inhérence. Les normes techniques réglementaires de l'Autorité bancaire européenne sur l'authentification forte du client reconnaissent les attributs biométriques (quelque chose que vous êtes) comme un deuxième facteur valide lorsqu'ils sont associés à l'une des deux autres catégories (connaissance ou possession).
Pour un flux d'authentification forte du client PSD2 complet, associez la 2FA biométrique au mot de passe de l'utilisateur (connaissance) ou à une session liée à l'appareil (possession). Le verdict signé de Didit est la preuve vérifiable du facteur d'inhérence.
Une seule API pour le KYC, le KYB, la surveillance des transactions et le filtrage des portefeuilles. Intégration en 5 minutes.