Remplacez les questions de sécurité et les codes SMS à usage unique par une correspondance biométrique avec le selfie d'inscription. Verdict en moins de 2 secondes, ~0,15 $ par récupération, certifié iBeta Level 1.
Approuvé par plus de 2 000 organisations dans le monde entier.
Pourquoi la vérification faciale surpasse le SMS
Le SIM-swap déjoue les codes SMS à usage unique. Le phishing déjoue les questions de sécurité. Les agents du support se déjouent eux-mêmes sous la pression. Une correspondance faciale en direct avec le selfie d'inscription déjoue les trois, à 0,15 $ par récupération, verdict en moins de deux secondes, 500 gratuites chaque mois.
Choisis les vérifications que tu veux, ID, détection du vivant, correspondance faciale, sanctions, adresse, âge, téléphone, e-mail, questions personnalisées. Glisse-les dans un flux sur le tableau de bord, ou publie le même flux sur notre API. Crée des branches conditionnelles, exécute des tests A/B, aucun code requis.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_account_recovery",
"vendor_data": "user-7382",
"metadata": { "trigger": "forgot_password" },
// base64 enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (charge utile.status === "Approuvé") {
envoyerEmailReinitialisationMotDePasse(charge utile.données_fournisseur);
enregistrerNouvelAppareil(charge utile.metadata);
} sinon si (charge utile.status === "Refusé") {
security.logRecoveryAttack(payload);
}statut Approuvé · Refusé · En cours d'examen · KYC ExpiréYou are integrating Didit into an account-recovery flow. Replace knowledge-based recovery (security questions, SMS OTP, support-rep verification) with a biometric re-match against the user's enrolment selfie. ONE Didit session, two checks:
- Passive Liveness — make sure the recovery selfie is a real human, not a print / screen / mask / deepfake.
- Face Match 1:1 — match the recovery selfie against the user's enrolment selfie. If similarity is above your threshold, the recovery is approved.
Bundle pricing (verified live, 2026-05-16):
- Passive Liveness: $0.10 per recovery
- Face Match 1:1: $0.05 per recovery
- Total: ~$0.15 per recovery — public price, no minimums
- First 500 verifications free every month, forever
- SMS / WhatsApp One-Time Passcode (OTP) fallback: $0.03 per OTP (when biometric isn't possible)
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header.
- User's enrolment selfie on file — captured during initial KYC via a previous /v3/session/. Stored under your tenant in encrypted form.
- A workflow_id from the Workflow Builder that runs Passive Liveness + Face Match 1:1 against the stored reference.
STEP 1 — Trigger recovery on the right signal
Recovery is gated by your risk policy. Typical triggers:
- User clicks "Forgot password" — always.
- Sign-in from a new device + new IP country at the same time.
- Sign-in after account dormancy (e.g. 180+ days).
- Sensitive action: large withdrawal, payout to a new beneficiary, account-settings change.
Each trigger opens a Didit session.
STEP 2 — Open the recovery session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Passive Liveness + Face Match against enrolment selfie>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/account/recovery/callback",
"metadata": {
"trigger": "forgot_password",
"device_fingerprint": "<your device fingerprint>",
"ip_country": "ES"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the recovery flow matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user (web or in-app webview) to the URL. Sub-2-second median verdict on completion.
STEP 3 — Read the signed webhook on the verdict
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 }
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Branch on the verdict
Approved → unlock recovery: send the password-reset email, register the new device, complete the sensitive action.
In Review → soft-fail the recovery, route to support for human review.
Declined → block the recovery; log the hit. Could be a printed-photo or screen-replay attack — surface to security.
Resubmitted → user retried after a soft rejection — re-read.
Kyc Expired → reference selfie has aged out (per your retention policy) — fall back to documented recovery flow.
STEP 5 — Fallback for users who can't take a selfie
Camera missing, low light, hardware refused permission. Two graceful fallbacks:
- SMS / WhatsApp / Telegram One-Time Passcode (OTP) via Didit Phone Verification, $0.03 per OTP.
- Email magic link via your existing transactional email provider, $0.03 per email.
- Authenticator app — Time-based One-Time Password (TOTP) or FIDO2 hardware key, free.
Configure the fallback chain in the Workflow Builder. Selfie always tried first.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Do not lowercase or snake_case them.
- The recovery similarity threshold is configurable per app — start at 0.85, tune up for high-assurance apps (banks, brokerages) and down for low-friction consumer apps.
- Liveness is a Presentation Attack Detection (PAD) Level 1 model — defeats prints, screens, masks, deepfakes on consumer cameras. Active liveness (head-tilt prompts) is available for higher-friction higher-assurance flows at $0.15.
- The user's enrolment selfie must have been captured by Didit (any prior /v3/session/ with face capture). Bring-your-own enrolment image is roadmap.
- Default audit retention is 5 years configurable in the Business Console.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.
Pour le développement, les tests et tes premiers utilisateurs.
Plus de 25 modules, tarifs publics. Remises automatiques sur volume.
Pour les gros volumes et les programmes réglementés.
Les remises sur volume s'appliquent automatiquement à mesure que votre utilisation augmente — pas de négociation, pas d'appel commercial.
Didit est une infrastructure d'identité et de fraude, la plateforme que nous aurions aimé avoir lorsque nous développions nos propres produits : ouverte, flexible et pensée pour les développeurs, afin qu'elle s'intègre parfaitement à votre stack plutôt que d'être une boîte noire autour de laquelle vous devez bricoler.
Une seule API couvre la vérification des personnes (KYC, know your customer), la vérification des entreprises (KYB, know your business), le filtrage des portefeuilles crypto (KYT, know your transaction), et le suivi des transactions en temps réel, sur une stack conçue pour être :
L'empreinte sous-jacente : plus de 14 000 types de documents dans plus de 48 langues, plus de 1 000 sources de données et plus de 200 signaux de fraude sur chaque session. L'infrastructure Didit apprend dynamiquement de chaque session et s'améliore chaque jour.
Parce que le flux de récupération est le moyen le plus simple de contourner l'authentification. L'utilisateur a oublié le mot de passe, par définition, tu ne peux pas le lui demander. La plupart des applications se rabattent sur :
Une correspondance faciale en direct avec le selfie d'inscription déjoue les quatre.
Trois problèmes structurels qui ne disparaîtront pas :
Le National Institute of Standards and Technology (NIST) des États-Unis a explicitement déconseillé l'utilisation des SMS pour la récupération de haute assurance depuis 2017 (SP 800-63B).
Le flux complet prend normalement moins de 30 secondes de bout en bout, prends la pièce d'identité, photographie le document, prends le selfie, c'est fait. C'est le plus rapide du marché. Les fournisseurs KYC traditionnels prennent généralement plus de 90 secondes pour le même flux.
En arrière-plan, Didit renvoie le résultat en moins de deux secondes au p99, mesuré à partir du moment où l'utilisateur termine le selfie jusqu'au moment où ton webhook se déclenche. La capture mobile est optimisée pour les téléphones lents et les réseaux lents : compression d'image progressive, chargement paresseux du kit de développement logiciel, et un transfert en un clic du bureau au téléphone via un code QR si l'utilisateur commence sur le web.
Deux scénarios :
/v3/session/ avec vérification d'identité + correspondance faciale + vivacité, stocke le selfie vérifié dans le dossier de l'utilisateur. Coût : 0,33 $ (pack KYC complet).L'intégration de tes propres images d'inscription, ton corpus de selfies existant, est sur la feuille de route.
Chaque session aboutit à l'un des sept statuts clairs, afin que ton code sache toujours quoi faire :
Approved, toutes les vérifications sont passées. Fais avancer l'utilisateur.Declined, une ou plusieurs vérifications ont échoué. Tu peux permettre à l'utilisateur de soumettre à nouveau l'étape spécifique qui a échoué (par exemple, reprendre le selfie) sans relancer tout le flux.In Review, signalé pour examen de conformité. Ouvre le cas dans la console, vois tous les signaux, décide d'approuver ou de refuser.In Progress, l'utilisateur est en cours de flux.Not Started, lien envoyé, l'utilisateur ne l'a pas encore ouvert. Envoie un rappel s'il reste trop longtemps.Abandoned, l'utilisateur a ouvert le lien mais n'a pas terminé à temps. Relance ou expire.Expired, le lien de session a expiré. Crée une nouvelle session.Un webhook signé se déclenche à chaque changement de statut, afin que ta base de données reste toujours synchronisée. Les sessions abandonnées et refusées sont gratuites.
Les données de production sont traitées et stockées par défaut dans l'Union Européenne, sur Amazon Web Services. Les contrats d'entreprise peuvent demander des régions alternatives pour les juridictions dont les régulateurs l'exigent.
Chiffrement partout. AES-256 au repos sur chaque base de données, stockage d'objets et sauvegarde. Transport Layer Security 1.3 en transit sur chaque appel API, webhook et session de la console Business. Les données biométriques sont chiffrées sous une clé de chiffrement client (Customer Master Key) distincte.
La rétention est sous votre contrôle. La rétention par défaut est indéfinie (illimitée), sauf si vous configurez une durée plus courte, entre 30 jours et 10 ans par application, et vous pouvez supprimer n'importe quelle session individuelle à tout moment depuis le tableau de bord ou l'API.
Certifications : SOC 2 Type 1 & Type 2, ISO/IEC 27001:2022, iBeta Level 1 PAD, et une attestation publique du Tesoro / SEPBLAC / CNMV espagnol que la vérification d'identité à distance de Didit est plus sûre que la vérification en personne. Rapport complet sur /security-compliance.
Didit est conforme par défaut pour les régulateurs importants en matière d'infrastructure d'identité :
Note détaillée, chaque certificat, chaque lettre de régulateur : /security-compliance.
Trois chemins d'intégration, choisis celui qui correspond à ta stack :
Même tableau de bord, même facturation, même prix par succès pour les trois. Guide étape par étape sur docs.didit.me/integration/integration-prompt.
La détection de vivacité passive déjoue les deepfakes grand public actuels. Le modèle PAD (Presentation Attack Detection) recherche :
Le modèle PAD de Didit est certifié iBeta Niveau 1. La détection de vivacité active (0,15 $) ajoute des invites d'inclinaison de la tête pour une assurance accrue contre les rares deepfakes professionnels en temps réel.
La défense contre les deepfakes est une course à l'armement, Didit réentraîne son modèle PAD tous les trimestres contre les derniers corpus d'attaques.
Oui, c'est l'authentification biométrique, un modèle de réauthentification récurrent. 0,10 $ par authentification :
Même contrat /v3/session/, workflow_id différent. Courant pour les échanges de crypto-monnaies, les applications bancaires et les produits grand public à haute assurance. Voir /products/biometric-authentication pour le modèle d'authentification récurrente.
Chaque tentative de récupération enregistre :
vendor_data (votre identifiant utilisateur) et le session_id Didit.trigger que vous avez passé dans metadata (forgot_password / new_device / dormancy / sensitive_action).Recherchable depuis la console Business, exportable par utilisateur, rétention configurable sur 5 ans. Les contrôles SOC 2 Type 1 & Type 2 + ISO 27001 régissent le stockage.
Une seule API pour le KYC, le KYB, la surveillance des transactions et le screening de portefeuilles. Intégration en 5 minutes.