Remplacez les questions de sécurité et les codes SMS à usage unique par une correspondance biométrique avec le selfie d'inscription. Verdict en moins de 2 secondes, ~0,15 $ par récupération, certifié iBeta Level 1.
Robinhood Ventures
Approuvé par plus de 2 000 organisations dans le monde entier.
Pourquoi la vérification faciale surpasse le SMS
Le SIM-swap déjoue les codes SMS à usage unique. Le phishing déjoue les questions de sécurité. Les agents du support se déjouent eux-mêmes sous la pression. Une correspondance faciale en direct avec le selfie d'inscription déjoue les trois — à 0,15 $ par récupération, verdict en moins de deux secondes, 500 gratuites chaque mois.
Choisis les vérifications que tu veux — ID, détection du vivant, correspondance faciale, sanctions, adresse, âge, téléphone, e-mail, questions personnalisées. Glisse-les dans un flux sur le tableau de bord, ou publie le même flux sur notre API. Crée des branches conditionnelles, exécute des tests A/B, aucun code requis.
Intègre nativement avec nos SDK Web, iOS, Android, React Native ou Flutter. Redirige vers une page hébergée. Ou envoie simplement un lien à ton utilisateur — par e-mail, SMS, WhatsApp, n'importe où. Choisis ce qui convient à ta stack.
Didit héberge la caméra, les indications lumineuses, le transfert mobile et l'accessibilité. Pendant que l'utilisateur est dans le flux, nous évaluons plus de 200 signaux de fraude en temps réel et vérifions chaque champ par rapport à des sources de données fiables. Résultat en moins de deux secondes.
Les webhooks signés en temps réel maintiennent ta base de données synchronisée dès qu'un utilisateur est approuvé, refusé ou envoyé en révision. Interroge l'API à la demande. Ou ouvre la console pour inspecter chaque session, chaque signal, et gérer les cas à ta manière.
Didit · Correspondance faciale 1:1
Enrôlement
Récupération
Didit · Liveness passif
Didit · Politique de renforcement
Didit · Solutions de repli
Didit · Journal d'audit
Didit · Politique de session
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_account_recovery",
"vendor_data": "user-7382",
"metadata": { "trigger": "forgot_password" },
// base64 enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'status: Approved.docs →// X-Signature-V2 verified upstream
if (charge utile.status === "Approuvé") {
envoyerEmailReinitialisationMotDePasse(charge utile.données_fournisseur);
enregistrerNouvelAppareil(charge utile.metadata);
} sinon si (charge utile.status === "Refusé") {
security.logRecoveryAttack(payload);
}X-Signature-V2 avant de lire le payload.docs →You are integrating Didit into an account-recovery flow. Replace knowledge-based recovery (security questions, SMS OTP, support-rep verification) with a biometric re-match against the user's enrolment selfie. ONE Didit session, two checks:
- Passive Liveness — make sure the recovery selfie is a real human, not a print / screen / mask / deepfake.
- Face Match 1:1 — match the recovery selfie against the user's enrolment selfie. If similarity is above your threshold, the recovery is approved.
Bundle pricing (verified live, 2026-05-16):
- Passive Liveness: $0.10 per recovery
- Face Match 1:1: $0.05 per recovery
- Total: ~$0.15 per recovery — public price, no minimums
- First 500 verifications free every month, forever
- SMS / WhatsApp One-Time Passcode (OTP) fallback: $0.03 per OTP (when biometric isn't possible)
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header.
- User's enrolment selfie on file — captured during initial KYC via a previous /v3/session/. Stored under your tenant in encrypted form.
- A workflow_id from the Workflow Builder that runs Passive Liveness + Face Match 1:1 against the stored reference.
STEP 1 — Trigger recovery on the right signal
Recovery is gated by your risk policy. Typical triggers:
- User clicks "Forgot password" — always.
- Sign-in from a new device + new IP country at the same time.
- Sign-in after account dormancy (e.g. 180+ days).
- Sensitive action: large withdrawal, payout to a new beneficiary, account-settings change.
Each trigger opens a Didit session.
STEP 2 — Open the recovery session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Passive Liveness + Face Match against enrolment selfie>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/account/recovery/callback",
"metadata": {
"trigger": "forgot_password",
"device_fingerprint": "<your device fingerprint>",
"ip_country": "ES"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the recovery flow matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user (web or in-app webview) to the URL. Sub-2-second median verdict on completion.
STEP 3 — Read the signed webhook on the verdict
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 }
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Branch on the verdict
Approved → unlock recovery: send the password-reset email, register the new device, complete the sensitive action.
In Review → soft-fail the recovery, route to support for human review.
Declined → block the recovery; log the hit. Could be a printed-photo or screen-replay attack — surface to security.
Resubmitted → user retried after a soft rejection — re-read.
Kyc Expired → reference selfie has aged out (per your retention policy) — fall back to documented recovery flow.
STEP 5 — Fallback for users who can't take a selfie
Camera missing, low light, hardware refused permission. Two graceful fallbacks:
- SMS / WhatsApp / Telegram One-Time Passcode (OTP) via Didit Phone Verification, $0.03 per OTP.
- Email magic link via your existing transactional email provider, $0.03 per email.
- Authenticator app — Time-based One-Time Password (TOTP) or FIDO2 hardware key, free.
Configure the fallback chain in the Workflow Builder. Selfie always tried first.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Do not lowercase or snake_case them.
- The recovery similarity threshold is configurable per app — start at 0.85, tune up for high-assurance apps (banks, brokerages) and down for low-friction consumer apps.
- Liveness is a Presentation Attack Detection (PAD) Level 1 model — defeats prints, screens, masks, deepfakes on consumer cameras. Active liveness (head-tilt prompts) is available for higher-friction higher-assurance flows at $0.15.
- The user's enrolment selfie must have been captured by Didit (any prior /v3/session/ with face capture). Bring-your-own enrolment image is roadmap.
- Default audit retention is 5 years configurable in the Business Console.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mois. Aucune carte de crédit requise.
Payez uniquement ce que vous utilisez. Plus de 25 modules. Tarification publique par module, sans minimum mensuel.
MSA et SLA personnalisés. Pour les gros volumes et les programmes réglementés.
Commence gratuitement → ne paie que lorsqu'une vérification est effectuée → débloque l'Enterprise pour un contrat personnalisé, un SLA ou la résidence des données.
Didit est une infrastructure pour l'identité et la fraude — la plateforme que nous aurions aimé avoir lorsque nous développions nous-mêmes des produits : ouverte, flexible et conviviale pour les développeurs, afin qu'elle s'intègre réellement à ta stack au lieu d'être une boîte noire autour de laquelle tu dois t'adapter.
Une seule API couvre la vérification des personnes (KYC, know your customer), la vérification des entreprises (KYB, know your business), le filtrage des portefeuilles crypto (KYT, know your transaction), et la surveillance des transactions en temps réel — sur une stack conçue pour être :
L'empreinte sous-jacente : plus de 14 000 types de documents dans plus de 48 langues, plus de 1 000 sources de données et plus de 200 signaux de fraude sur chaque session. L'infrastructure Didit apprend dynamiquement de chaque session et s'améliore chaque jour.
Parce que le flux de récupération est le moyen le plus simple de contourner l'authentification. L'utilisateur a oublié le mot de passe — par définition, tu ne peux pas le lui demander. La plupart des applications se rabattent sur :
Une correspondance faciale en direct avec le selfie d'inscription déjoue les quatre.
Trois problèmes structurels qui ne disparaîtront pas :
Le National Institute of Standards and Technology (NIST) des États-Unis a explicitement déconseillé l'utilisation des SMS pour la récupération de haute assurance depuis 2017 (SP 800-63B).
Le flux complet prend normalement moins de 30 secondes de bout en bout — prends la pièce d'identité, photographie le document, prends le selfie, c'est fait. C'est le plus rapide du marché. Les fournisseurs KYC traditionnels prennent généralement plus de 90 secondes pour le même flux.
En arrière-plan, Didit renvoie le résultat en moins de deux secondes au p99, mesuré à partir du moment où l'utilisateur termine le selfie jusqu'au moment où ton webhook se déclenche. La capture mobile est optimisée pour les téléphones lents et les réseaux lents : compression d'image progressive, chargement paresseux du kit de développement logiciel, et un transfert en un clic du bureau au téléphone via un code QR si l'utilisateur commence sur le web.
Deux scénarios :
/v3/session/ avec vérification d'identité + correspondance faciale + vivacité, stocke le selfie vérifié dans le dossier de l'utilisateur. Coût : 0,33 $ (pack KYC complet).L'intégration de tes propres images d'inscription — ton corpus de selfies existant — est sur la feuille de route.
Chaque session aboutit à l'un des sept statuts clairs, afin que ton code sache toujours quoi faire :
Approved — toutes les vérifications sont passées. Fais avancer l'utilisateur.Declined — une ou plusieurs vérifications ont échoué. Tu peux permettre à l'utilisateur de soumettre à nouveau l'étape spécifique qui a échoué (par exemple, reprendre le selfie) sans relancer tout le flux.In Review — signalé pour examen de conformité. Ouvre le cas dans la console, vois tous les signaux, décide d'approuver ou de refuser.In Progress — l'utilisateur est en cours de flux.Not Started — lien envoyé, l'utilisateur ne l'a pas encore ouvert. Envoie un rappel s'il reste trop longtemps.Abandoned — l'utilisateur a ouvert le lien mais n'a pas terminé à temps. Relance ou expire.Expired — le lien de session a expiré. Crée une nouvelle session.Un webhook signé se déclenche à chaque changement de statut, afin que ta base de données reste toujours synchronisée. Les sessions abandonnées et refusées sont gratuites.
Par défaut, les données de production sont traitées et stockées dans l'Union européenne, sur Amazon Web Services. Les contrats d'entreprise peuvent demander des régions alternatives pour les juridictions dont les régulateurs l'exigent.
Chiffrement partout. AES-256 au repos sur chaque base de données, stockage d'objets et sauvegarde. Transport Layer Security 1.3 en transit sur chaque appel API, webhook et session de la console Business. Les données biométriques sont chiffrées sous une clé de chiffrement client (CMK) distincte.
La rétention est sous ton contrôle. La rétention par défaut est indéfinie (illimitée), sauf si tu la configures plus courte — entre 30 jours et 10 ans par application — et tu peux supprimer n'importe quelle session individuelle à tout moment depuis le tableau de bord ou l'API.
Certifications : SOC 2 Type 1 (audit Type 2 en cours), ISO/IEC 27001:2022, iBeta Level 1 PAD, et une attestation publique du Tesoro / SEPBLAC / CNMV espagnol confirmant que la vérification d'identité à distance de Didit est plus sûre que la vérification en personne. Rapport complet sur /security-compliance.
Didit est conforme par défaut pour les régulateurs importants en matière d'infrastructure d'identité :
Note détaillée, chaque certificat, chaque lettre de régulateur : /security-compliance.
Trois chemins d'intégration — choisis celui qui correspond à ta stack :
Même tableau de bord, même facturation, même prix par succès pour les trois. Guide étape par étape sur docs.didit.me/integration/integration-prompt.
La détection de vivacité passive déjoue les deepfakes grand public actuels. Le modèle PAD (Presentation Attack Detection) recherche :
Le modèle PAD de Didit est certifié iBeta Niveau 1. La détection de vivacité active (0,15 $) ajoute des invites d'inclinaison de la tête pour une assurance accrue contre les rares deepfakes professionnels en temps réel.
La défense contre les deepfakes est une course à l'armement — Didit réentraîne son modèle PAD tous les trimestres contre les derniers corpus d'attaques.
Oui — c'est l'authentification biométrique, un modèle de réauthentification récurrent. 0,10 $ par authentification :
Même contrat /v3/session/, workflow_id différent. Courant pour les échanges de crypto-monnaies, les applications bancaires et les produits grand public à haute assurance. Voir /products/biometric-authentication pour le modèle d'authentification récurrente.
Chaque tentative de récupération enregistre :
vendor_data (votre identifiant utilisateur) et le session_id Didit.trigger que vous avez passé dans metadata (forgot_password / new_device / dormancy / sensitive_action).Recherchable depuis la Business Console, exportable par utilisateur, rétention configurable sur 5 ans. Les contrôles SOC 2 Type 1 + ISO 27001 régissent le stockage.
Une seule API pour le KYC, le KYB, la surveillance des transactions et le screening de portefeuilles. Intégration en 5 minutes.