Évalue le réseau et l'appareil pour chaque panier à risque élevé à 0,03 $. Renforce la vérification biométrique uniquement pour la petite partie des cas où les signaux seuls ne suffisent pas. 500 vérifications gratuites chaque mois.
Robinhood Ventures
Approuvé par plus de 2 000 organisations dans le monde entier.
Pourquoi la plupart des paiements n'ont pas besoin de friction
90 % des commandes proviennent d'acheteurs réguliers sur des appareils de confiance, elles devraient passer sans accroc. Les 10 % présentant un pic de risque sont filtrées : 0,03 $ pour l'IP + l'appareil sur les cas simples, 0,10 $ pour l'authentification biométrique renforcée sur les cas à forte valeur. 500 vérifications gratuites chaque mois.
Choisis les vérifications que tu veux, ID, détection du vivant, correspondance faciale, sanctions, adresse, âge, téléphone, e-mail, questions personnalisées. Glisse-les dans un workflow sur le tableau de bord, ou publie le même workflow via notre API. Crée des branches conditionnelles, lance des tests A/B, aucun code requis.
Intègre nativement avec nos SDK Web, iOS, Android, React Native ou Flutter. Redirige vers une page hébergée. Ou envoie simplement un lien à ton utilisateur, par e-mail, SMS, WhatsApp, n'importe où. Choisis ce qui convient à ta stack.
Didit gère la caméra, les indications lumineuses, le transfert mobile et l'accessibilité. Pendant que l'utilisateur est dans le parcours, nous évaluons plus de 200 signaux de fraude en temps réel et vérifions chaque champ par rapport à des sources de données fiables. Résultat en moins de deux secondes.
Des webhooks signés en temps réel maintiennent ta base de données synchronisée dès qu'un utilisateur est approuvé, refusé ou envoyé en révision. Interroge l'API à la demande. Ou ouvre la console pour inspecter chaque session, chaque signal, et gérer les cas à ta manière.
Didit · Politique de déclenchement de risque
Didit · Analyse d'appareil et d'IP
Didit · Authentification biométrique
Confirmer · 1 sur 1
Ne bouge pas pour la vérification
Didit · Preuve de rétrofacturation
commande-A4421 · pack de preuves
Didit · KYC réutilisable
Premier passage
Paiement
Didit · Webhook · X-Signature-V2
{
"session_id": "order-A4421",
"vendor_data": "order-A4421",
"status": "Approved",
"ip_analysis": { "score": 11 },
"liveness": { "status": "Approved" }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_buyer_screen",
"vendor_data": "order-A4421",
"metadata": { "cart_total_cents": 78500 }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
shipOrder(payload.vendor_data);
} else if (payload.status === "Declined") {
cancelAndRefund(payload.vendor_data);
}{ status Approuvé · Refusé · En révision · Non terminé }You are integrating a Didit buyer-side fraud screen on a marketplace / e-commerce checkout. Goal: catch stolen-card use, account takeover, gift-card stack abuse, geo-mismatch friendly fraud, and bot scalping on high-value carts. Two stages — cheap signals first, biometric step-up only when signals aren't enough.
WHY THIS SHAPE
- Most checkouts don't need any friction. Day-to-day buyers on trusted devices from residential networks should sail through.
- A small percentage are high-value or high-risk — cart over a threshold, gift-card stack, payout to a new card, geo mismatch, new device, velocity anomaly. On those, run a screen.
- Two stages keep the cost and the friction proportional to the risk. Cheap IP + device check ($0.03) is decisive on the obvious cases. Biometric step-up ($0.10) only fires when the cheap signals are inconclusive AND the order is high-value.
- 500 verifications free every month. The screen runs inside the free tier for most teams while they tune the thresholds.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow with Device & IP Analysis and optionally Passive Liveness + Face Match 1:1 against the stored buyer portrait.
- A server-side cart-gate that defaults to BLOCK on the high-risk path and only unblocks on a verified webhook with status: Approved.
STEP 1 — Decide WHEN to screen (your code, not Didit's)
Run your usual checkout signals. Default triggers worth a screen:
- Cart total above your account-level tier (e.g. > $500)
- Gift-card stack of three or more cards in one order
- Shipping country that doesn't match the billing-card country
- First buy from a new device
- Velocity anomaly — N orders within window W from the same buyer
- Payout / refund destination changed mid-flow
Day-to-day reads from trusted-device + residential-network buyers do NOT need a screen.
STEP 2 — Open the screen session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Device & IP Analysis + optional Passive Liveness + Face Match 1:1>",
"vendor_data": "<your order id, max 256 chars>",
"callback": "https://<your-app>/checkout/screen/callback",
"metadata": {
"cart_total_cents": 78500,
"currency": "EUR",
"trigger": "high_value_cart"
}
}
Response: 201 Created with a hosted session URL. Show inline at checkout (web), or open in a Software Development Kit (SDK) webview (mobile). The order stays in HOLD on your side until the signed webhook lands.
STEP 3 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your order id>",
"status": "Approved",
"ip_analysis": { "status": "Approved", "score": 11 },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.93 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the cart action
Approved → ship the order, capture the auth, send the confirmation.
In Review → hold the order. Route to manual review with the per-module signals as the case file.
Declined → cancel the order, refund the auth, log warnings (liveness / face-match / ip flags), throttle the source IP.
Not Finished → invite the buyer to retry the screen with a fresh session URL. Don't ship.
STEP 5 — (Optional) Reusable Know Your Customer (KYC) for returning trusted buyers
Once a buyer has passed identity once on the platform, the credential can replay on future checkouts at no cost via Reusable KYC. Look up the buyer's prior session_id; if the credential is valid and recent, skip the live screen.
That keeps the friction on the unknown traffic only. Free forever.
STEP 6 — Use the decision payload as the chargeback evidence pack
When a dispute lands, pull the full decision payload via:
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Pairs naturally with:
- 3-D Secure 2.x (3DS2) liability shift on EU cards
- Visa Compelling Evidence 3.0 (CE3.0) — biometric + IP + device fingerprint + prior-order history meets the "trusted customer" bar
- Mastercard Identity Check chargeback dispute kit
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT IT BLOCKS
- Stolen-card use on first-time-buy + geo mismatch
- Account takeover on a previously-verified buyer (the step-up is the second-factor)
- Friendly fraud where the cardholder disputes a charge they actually authorised
- Bot scalpers running multi-item carts from datacenter Internet Protocol (IP) addresses
- Gift-card stack drains funded by a stolen card
- Reshipper / mule patterns (ship-to address inconsistent with prior orders)
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE — that's the Transactions API.
- Start with IP-only on the cheap cases. Add the biometric step-up only on high-value carts or when IP alone is inconclusive — keeps cost down and friction proportional.
- 200+ fraud signals are evaluated on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mois. Aucune carte de crédit requise.
Payez uniquement ce que vous utilisez. Plus de 25 modules. Tarification publique par module, sans minimum mensuel.
MSA et SLA personnalisés. Pour les gros volumes et les programmes réglementés.
Commence gratuitement → ne paie que lorsqu'une vérification est effectuée → débloque l'Enterprise pour un contrat personnalisé, un SLA ou la résidence des données.
Didit, c'est l'infrastructure d'identité et de fraude que nous aurions aimé avoir lorsque nous développions nos propres produits : ouverte, flexible et pensée pour les développeurs. Elle s'intègre parfaitement à votre stack, sans être une boîte noire difficile à gérer.
Une seule API pour vérifier les personnes (KYC, Know Your Customer), les entreprises (KYB, Know Your Business), les portefeuilles crypto (KYT, Know Your Transaction) et surveiller les transactions en temps réel. Le tout, sur une stack conçue pour être :
En coulisses : plus de 14 000 types de documents dans plus de 48 langues, plus de 1 000 sources de données et plus de 200 signaux de fraude par session. L'infrastructure Didit apprend dynamiquement de chaque session et s'améliore chaque jour.
C'est tout scénario où la personne qui paie n'a pas le droit d'utiliser l'instrument de paiement, ou lorsque la transaction est structurée pour déclencher un chargeback ultérieur.
Les formes courantes :
La friction a un coût. Le taux de conversion diminue de manière significative à chaque étape de paiement supplémentaire. La plupart des acheteurs, appareil connu, réseau résidentiel, panier normal, devraient passer sans aucun contrôle.
Deux étapes permettent d'adapter la friction au risque :
$0.03), L'Analyse d'appareil et d'IP est peu coûteuse et silencieuse. Elle est décisive pour les cas évidents (VPN + IP de datacenter + navigateur headless = blocage immédiat ; appareil de confiance + FAI résidentiel = passage immédiat).$0.10), Le Passive Liveness ne se déclenche que pour la petite partie des cas où l'étape 1 est non concluante ET que le montant du panier justifie l'effort.Résultat : le paiement médian n'ajoute aucune friction, et les cas à haut risque bénéficient d'un contrôle décisif.
Le processus complet prend normalement moins de 30 secondes de bout en bout, prendre la pièce d'identité, la scanner, prendre un selfie, c'est fait. C'est le plus rapide du marché. Les fournisseurs KYC traditionnels prennent généralement plus de 90 secondes pour le même processus.
Côté backend, Didit renvoie le résultat en moins de deux secondes au p99, mesuré à partir du moment où l'utilisateur termine le selfie jusqu'au déclenchement de votre webhook. La capture mobile est optimisée pour les téléphones et les réseaux lents : compression d'image progressive, chargement paresseux du SDK, et transfert en un clic du bureau vers le téléphone via QR code si l'utilisateur commence sur le web.
Uniquement lorsque l'étape 1 est non concluante ET que la commande est suffisamment importante pour justifier la friction. Exemples :
Le step-up est un Passive Liveness à $0.10, avec en option un Face Match 1:1 contre le portrait de l'acheteur stocké pour $0.05 supplémentaires. Verdict en moins de deux secondes sur un Android d'entrée de gamme.
Chaque session aboutit à l'un des sept statuts clairs, afin que votre code sache toujours quoi faire :
Approved, toutes les vérifications sont passées. L'utilisateur peut continuer.Declined, une ou plusieurs vérifications ont échoué. Vous pouvez permettre à l'utilisateur de resoumettre l'étape spécifique qui a échoué (par exemple, reprendre le selfie) sans relancer tout le processus.In Review, signalé pour examen de conformité. Ouvrez le cas dans la console, consultez tous les signaux, décidez d'approuver ou de refuser.In Progress, l'utilisateur est en cours de processus.Not Started, lien envoyé, l'utilisateur ne l'a pas encore ouvert. Envoyez un rappel s'il reste trop longtemps inactif.Abandoned, l'utilisateur a ouvert le lien mais n'a pas terminé à temps. Relancez-le ou expirez la session.Expired, le lien de session a expiré. Créez une nouvelle session.Un webhook signé se déclenche à chaque changement de statut, afin que votre base de données reste toujours synchronisée. Les sessions abandonnées et refusées sont gratuites.
Les données de production sont traitées et stockées par défaut dans l'Union Européenne, sur Amazon Web Services. Les contrats d'entreprise peuvent demander des régions alternatives pour les juridictions dont les régulateurs l'exigent.
Chiffrement partout. AES-256 au repos sur chaque base de données, stockage d'objets et sauvegarde. Transport Layer Security 1.3 en transit sur chaque appel API, webhook et session de la console Business. Les données biométriques sont chiffrées sous une Customer Master Key distincte.
La rétention est sous votre contrôle. La rétention par défaut est indéfinie (illimitée), sauf si vous configurez une durée plus courte, entre 30 jours et 10 ans par application, et vous pouvez supprimer n'importe quelle session individuelle à tout moment depuis le tableau de bord ou l'API.
Certifications : SOC 2 Type 1 (audit Type 2 en cours), ISO/IEC 27001:2022, iBeta Level 1 PAD, et une attestation publique du Tesoro / SEPBLAC / CNMV espagnol que la vérification d'identité à distance de Didit est plus sûre que la vérification en personne. Rapport complet sur /security-compliance.
Didit est conforme par défaut aux régulateurs importants pour l'infrastructure d'identité :
Mémo détaillé, chaque certificat, chaque lettre de régulateur : /security-compliance.
Trois chemins d'intégration, choisissez celui qui correspond à votre stack :
Même tableau de bord, même facturation, même prix au succès pour les trois. Guide étape par étape sur docs.didit.me/integration/integration-prompt.
Oui. Le même POST /v3/session/ alimente les deux. Sur le web, affichez l'session_url retournée directement au moment du paiement. Sur mobile, ouvrez-la dans la webview du Software Development Kit (SDK) Didit, cinq SDK sont disponibles : Web, iOS, Android, React Native, Flutter, tous gratuits.
Le verdict est transmis via le même webhook signé, quelle que soit la plateforme. Une seule intégration, toutes les plateformes.
Deux postes de coût dans le pire des cas :
Un paiement protégé médian qui nécessite les deux étapes coûte ~ $0.13. La plupart des paiements n'exécutent que l'étape 1 à $0.03. Les acheteurs de confiance récurrents via Reusable KYC sont gratuits pour toujours.
Les 500 premières vérifications chaque mois sont gratuites sur chaque compte.
Partout où le panier est suffisamment important pour qu'un achat par carte volée soit préjudiciable :
Un seul workflow, toutes les formes de panier.
Une seule API pour le KYC, le KYB, la surveillance des transactions et le screening de portefeuilles. Intégration en 5 minutes.