Émets une accréditation signée Didit après un KYC à 0,33 $. L'utilisateur la présente sur toutes les autres plateformes Didit avec divulgation sélective, gratuit, pour toujours, conforme au règlement sur le portefeuille d'identité de l'UE.
Approuvé par plus de 2 000 organisations dans le monde entier.
Ce que l'identité réutilisable débloque
Chaque KYC Didit envoie une accréditation d'identité réutilisable signée au portefeuille de l'utilisateur. Chaque plateforme réceptrice la valide gratuitement avec divulgation sélective. Une vérification, chaque entreprise qui accepte Didit. 500 vérifications gratuites chaque mois.
Choisis les vérifications que tu souhaites, pièce d'identité, détection du vivant, correspondance faciale, sanctions, adresse, âge, téléphone, e-mail, questions personnalisées. Glisse-les dans un flux sur le tableau de bord, ou publie le même flux sur notre API. Crée des branches conditionnelles, exécute des tests A/B, aucun code requis.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_accept_reusable",
"vendor_data": "user-42",
"metadata": { "request_fields": ["full_name", "age_over_18"] }
}'le flux hébergé détecte l'identifiant ou exécute un KYC complet$ curl https://verification.didit.me/v3/session/$SID/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Retourne les champs divulgués + la chaîne de l'émetteur
# quand reusable_identity.presented est vrai.
# Retourne le pack complet de preuves KYC
# quand un nouveau KYC a été effectué.statut Approuvé · En révision · Refusé · ExpiréYou are integrating Didit's Reusable Identity / eIDAS 2.0 acceptance into your platform. Two flows:
1. Issue — when a new user runs a full KYC on your platform, they leave with a Didit-signed Reusable Identity credential in their wallet (the Didit app or any EU Digital Identity Wallet).
2. Accept — when a user arrives at your platform already holding a Didit-signed credential, the session detects it and short-circuits, returning Approved without re-running the full KYC.
Bundle pricing (verified live 2026-05-16):
- First verification (issuance side): $0.33 per user (Sessions API full KYC bundle)
- Issuance: free — the signed credential is included with every KYC
- Reuse on the verifying side: free, forever
- Selective disclosure: free
- Continuous Anti-Money Laundering (AML) refresh: $0.07 per user per year (automatic)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A workflow_id from the no-code Workflow Builder with:
* ID Verification + Passive Liveness + Face Match 1:1 + Device & IP Analysis + AML Screening (for issuance)
* Reusable Identity acceptance turned on (for acceptance — toggle in the Workflow Builder)
- Optional: the Didit mobile SDK (iOS / Android / React Native / Flutter) for native deep-link wallet handoff.
STEP 1 — Open a session that accepts a Reusable Identity if presented
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Reusable Identity acceptance on>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/onboarding/callback",
"metadata": {
"purpose": "platform_onboarding",
"request_fields": ["full_name", "age_over_18", "country_of_residence"]
}
}
Optional in body: declare the exact fields you need disclosed via metadata.request_fields. Didit's hosted flow will prompt the user to approve only those specific fields when they present a Reusable Identity credential.
Response: 201 Created with the hosted session URL. Redirect the user.
STEP 2 — The hosted flow detects (or runs) the verification
Two paths from this one endpoint:
Path A — User has a Didit-signed credential
- The hosted flow detects the credential via a wallet-handoff prompt (universal link on mobile, popup-bridge on desktop)
- The user approves the disclosure of the requested fields
- Didit validates the issuer signature + credential freshness server-side
- Session returns Approved with the disclosed fields populated on the decision payload
- Cost: $0 on the verifying side
Path B — User does NOT have a credential
- The hosted flow runs the full KYC bundle (ID + Liveness + Face Match + Device & IP + AML)
- At completion, Didit issues a Reusable Identity credential to the user's wallet
- Session returns Approved with the full decision payload
- Cost: $0.33 on the verifying-and-issuing side
Same endpoint, same webhook, same status enum. The path is transparent to your back-end.
STEP 3 — Read the signed webhook
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"id_verification": { "status": "Approved" },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved" },
"aml": { "status": "Approved", "hits": [] },
"reusable_identity": {
"presented": true,
"issuer": "<issuing-platform name>",
"issued_at": "<timestamp>",
"disclosed_fields": ["full_name", "age_over_18", "country_of_residence"]
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body.
When reusable_identity.presented is true, the user re-presented an existing credential and the verification was free; when false, a fresh KYC was run and billed at $0.33.
STEP 4 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload including: document scan + extracted Machine-Readable Zone (MRZ) data, biometric similarity, AML hits, device + IP risk signals, 200+ fraud signals, HMAC signature, and (if presented) the credential issuance chain.
Same evidence pack regardless of issuance vs reuse — the verifier never sees less than a fresh KYC would deliver.
STEP 5 — Continuous AML monitoring is automatic
Every approved user (issued OR presented) is re-screened daily against 1,300+ sanctions, PEP, and adverse-media lists at $0.07 per user per year on heavy-volume accounts. When a previously-clean user crosses an AML threshold, the credential's AML field is updated automatically; every receiving platform sees the refreshed status on next presentation.
When the user revokes a credential from their wallet, your receiving platform's webhook fires with status: Expired and the credential is dropped from the user's account.
STEP 6 — Selective disclosure at presentation time
Pass the exact fields you need via metadata.request_fields at session creation. Recommended minimum-disclosure patterns:
- Age-gate (UK Online Safety Act, France SREN): ["age_over_18"]
- Country-gate: ["country_of_residence"]
- Full name + verified-human: ["full_name", "verified_human"]
- AML-clear gate (lending): ["aml_clear", "full_name"]
- Full identity (banking, payments): ["full_name", "date_of_birth", "address", "document_number", "aml_clear"]
The user sees a single approval prompt listing the requested fields. Anything not listed is never disclosed to your platform.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook (verify X-Signature-V2 HMAC SHA-256).
- Credential lifecycle: status: Expired fires when a holder revokes the credential.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Don't UPPER_SNAKE_CASE them.
- Reusable Identity acceptance is OFF by default; turn it on in the Workflow Builder.
- Selective disclosure is the privacy default — fields not in metadata.request_fields are never returned, even if the credential carries them.
- Default record retention is 5 years post-relationship per the EU AML package.
- 200+ fraud signals are evaluated on every session, issued or presented, at no extra cost.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.
Pour le développement, les tests et tes premiers utilisateurs.
Plus de 25 modules, tarifs publics. Remises automatiques sur volume.
Pour les gros volumes et les programmes réglementés.
Les remises sur volume s'appliquent automatiquement à mesure que votre utilisation augmente — pas de négociation, pas d'appel commercial.
Didit est une infrastructure d'identité et de lutte contre la fraude, la plateforme que nous aurions aimé avoir lorsque nous développions nos propres produits : ouverte, flexible et pensée pour les développeurs. Elle s'intègre parfaitement à votre stack, sans être une boîte noire difficile à gérer.
Une seule API pour vérifier les personnes (KYC, Know Your Customer), les entreprises (KYB, Know Your Business), analyser les portefeuilles crypto (KYT, Know Your Transaction) et surveiller les transactions en temps réel. Le tout, sur une architecture conçue pour être :
En coulisses : plus de 14 000 types de documents dans plus de 48 langues, plus de 1 000 sources de données et plus de 200 signaux de fraude par session. L'infrastructure Didit apprend dynamiquement de chaque session et s'améliore chaque jour.
eIDAS 2.0, abréviation de electronic IDentification, Authentication and trust Services, est la mise à jour 2024 par l'UE de son cadre réglementaire en matière d'identité. Le changement majeur est le Portefeuille européen d'identité numérique (souvent abrégé en Portefeuille EUDI) : une application pour smartphone à laquelle chaque citoyen et résident de l'UE aura droit d'ici fin 2026.
Le portefeuille contient des accréditations vérifiables, un permis de conduire numérique, une attestation d'identité vérifiée, un diplôme universitaire, émises par des parties de confiance et présentées à des parties s'y fiant avec une preuve cryptographique, éventuellement avec divulgation sélective (prouver que vous avez plus de 18 ans sans révéler votre date de naissance complète).
Pour les entreprises, eIDAS 2.0 consiste à la fois à accepter les accréditations présentées par le portefeuille et à émettre les accréditations que vos utilisateurs transportent.
L'acceptation obligatoire est mise en place par secteur :
En dehors de la liste obligatoire, chaque entreprise de l'UE a la possibilité d'émettre et d'accepter volontairement les accréditations du portefeuille, et la plupart des entreprises réglementées le feront, car l'expérience utilisateur est considérablement meilleure que de relancer un KYC complet.
Le processus complet prend normalement moins de 30 secondes de bout en bout, prendre la pièce d'identité, la scanner, prendre le selfie, c'est fait. C'est le plus rapide du marché. Les fournisseurs KYC traditionnels prennent généralement plus de 90 secondes pour le même processus.
Côté back-end, Didit renvoie le résultat en moins de deux secondes au p99, mesuré à partir du moment où l'utilisateur termine le selfie jusqu'au déclenchement de votre webhook. La capture mobile est optimisée pour les téléphones et les réseaux lents : compression d'image progressive, chargement paresseux du SDK, et un transfert en un clic du bureau au téléphone via QR code si l'utilisateur commence sur le web.
La connexion fédérée prouve l'existence d'un compte auprès du fournisseur d'identité. L'entreprise destinataire reçoit une adresse e-mail et éventuellement un nom. Ce n'est pas une identité conforme aux exigences réglementaires.
L'identité réutilisable inclut :
Le vérificateur obtient la même assurance réglementaire que s'il effectuait son propre KYC, sans les coûts, les frictions et la baisse de conversion.
Chaque session aboutit à l'un des sept statuts clairs, pour que ton code sache toujours quoi faire :
Approved, toutes les vérifications sont passées. Fais avancer l'utilisateur.Declined, une ou plusieurs vérifications ont échoué. Tu peux permettre à l'utilisateur de soumettre à nouveau l'étape spécifique qui a échoué (par exemple, reprendre le selfie) sans relancer tout le processus.In Review, signalé pour examen de conformité. Ouvre le cas dans la console, vois tous les signaux, décide d'approuver ou de refuser.In Progress, l'utilisateur est en cours de processus.Not Started, lien envoyé, l'utilisateur ne l'a pas encore ouvert. Envoie un rappel s'il reste trop longtemps inactif.Abandoned, l'utilisateur a ouvert le lien mais n'a pas terminé à temps. Relance ou expire.Expired, le lien de session a expiré. Crée une nouvelle session.Un webhook signé se déclenche à chaque changement de statut, pour que ta base de données reste toujours synchronisée. Les sessions abandonnées et refusées sont gratuites.
Les données de production sont traitées et stockées par défaut dans l'Union Européenne, sur Amazon Web Services. Les contrats d'entreprise peuvent demander des régions alternatives pour les juridictions dont les régulateurs l'exigent.
Chiffrement partout. AES-256 au repos sur chaque base de données, stockage d'objets et sauvegarde. Transport Layer Security 1.3 en transit sur chaque appel API, webhook et session de la console Business. Les données biométriques sont chiffrées sous une Customer Master Key distincte.
La rétention est sous ton contrôle. La rétention par défaut est indéfinie (illimitée), sauf si tu configures une durée plus courte, entre 30 jours et 10 ans par application, et tu peux supprimer n'importe quelle session individuelle à tout moment depuis le tableau de bord ou l'API.
Certifications : SOC 2 Type 1 & Type 2, ISO/IEC 27001:2022, iBeta Level 1 PAD, et une attestation publique du Tesoro / SEPBLAC / CNMV espagnol confirmant que la vérification d'identité à distance de Didit est plus sûre qu'une vérification en personne. Rapport complet sur /security-compliance.
Didit est conforme par défaut aux régulateurs importants pour l'infrastructure d'identité :
Mémo détaillé, chaque certificat, chaque lettre de régulateur : /security-compliance.
Trois chemins d'intégration, choisis celui qui correspond à ta stack :
Même tableau de bord, même facturation, même prix par succès pour les trois. Guide étape par étape sur docs.didit.me/integration/integration-prompt.
L'identité réutilisable est une amélioration de la confidentialité par rapport à la stack KYC traditionnelle :
La base légale pour le traitement côté réception est l'intérêt légitime en vertu du GDPR, l'utilisateur a explicitement présenté un justificatif d'identité pour accéder au service. L'accord de traitement des données (DPA) standard de Didit couvre la relation de co-responsable du traitement.
Trois types de déclencheurs :
La plateforme réceptrice n'a jamais à relancer l'utilisateur pour les mises à jour, le justificatif d'identité porte son propre signal de fraîcheur, et les justificatifs d'identité obsolètes sont rejetés au moment de la présentation.
Le vérificateur (la plateforme réceptrice) reçoit le même pack de preuves par présentation que le vérificateur original, plus la chaîne d'émission :
Didit est la seule plateforme KYC avec une attestation formelle d'un gouvernement d'un État membre de l'UE, le Trésor espagnol, la Banque d'Espagne et le SEPBLAC ont conjointement attesté que le service est plus sûr que la vérification en personne. Cette attestation s'étend à chaque présentation réutilisée.
Une seule API pour le KYC, le KYB, la surveillance des transactions et le screening de portefeuilles. Intégration en 5 minutes.