Intègre une correspondance faciale en moins de 2 secondes pour les utilisateurs récurrents. Oublie la réinitialisation de mot de passe. Oublie le délai des SMS. Oublie les problèmes de liens magiques. 0,10 $ par réauthentification, 500 vérifications gratuites chaque mois.
Robinhood Ventures
Approuvé par plus de 2 000 organisations dans le monde entier.
Sans mot de passe · résistant au phishing
Les réinitialisations de mot de passe font chuter ~30 % des utilisateurs récurrents ; les codes Short Message Service (SMS) peuvent prendre jusqu'à 90 secondes. Un selfie comparé au portrait enregistré de l'utilisateur se complète en environ deux secondes, un contrat de rappel "drop-in" pour tout flux OAuth / OpenID Connect existant. 0,10 $ par réauthentification. 500 vérifications gratuites chaque mois.
Choisis les vérifications dont tu as besoin : pièce d'identité, preuve de vie, correspondance faciale, sanctions, adresse, âge, téléphone, e-mail, questions personnalisées. Glisse-les dans un parcours depuis le tableau de bord, ou envoie le même parcours via notre API. Crée des branches conditionnelles, lance des tests A/B, aucun code requis.
Intègre nativement avec nos SDK Web, iOS, Android, React Native ou Flutter. Redirige vers une page hébergée. Ou envoie simplement un lien à ton utilisateur, par e-mail, SMS, WhatsApp, n'importe où. Choisis ce qui convient à ta stack.
Didit gère la caméra, les indications lumineuses, le transfert mobile et l'accessibilité. Pendant que l'utilisateur suit le parcours, nous évaluons plus de 200 signaux de fraude en temps réel et vérifions chaque champ par rapport à des sources de données fiables. Résultat en moins de deux secondes.
Des webhooks signés en temps réel maintiennent ta base de données synchronisée dès qu'un utilisateur est approuvé, refusé ou envoyé en révision. Interroge l'API à la demande. Ou ouvre la console pour inspecter chaque session, chaque signal, et gérer les cas à ta manière.
Didit · Réauthentification utilisateur récurrent
Bon retour
Un selfie pour se connecter
Didit · Matrice des méthodes
Didit · Conversion utilisateur récurrent
Didit · KYC réutilisable
Didit · Analyse appareil & IP
Didit · Tarification publique
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_reauth",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 enrolment selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }$ curl https://verification.didit.me/v3/session/<id>/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Returns the re-auth verdict
{
"status": "Approved",
"face": { "similarity_score": 0.96 }
}statut Approuvé · En cours d'examen · Refusé · Non terminéYou are integrating Didit's selfie-only re-authentication into <my_stack>. Replace password, SMS one-time-password, or magic-link on returning-user surfaces with a sub-2-second face match against the enrolled portrait. Phishing-resistant, no carrier dependency, no SIM-swap surface, no email-delivery delay.
1. Enrol the user's portrait ONCE at sign-up (standard Know Your Customer (KYC) session).
2. On every returning-user sign-in, open a re-auth session that runs Passive Liveness + Face Match 1:1 against the stored portrait. ~2 seconds end-to-end.
Pricing (public):
- Selfie re-auth: $0.10 per authentication (Sessions API)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled via a Didit KYC session (the portrait captured during the liveness step is stored automatically, bound to vendor_data).
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session is opened with workflow_type = "biometric_authentication".
STEP 1 — Open a re-auth session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/reauth/callback",
"metadata": {
"purpose": "returning_user_signin",
"device_id": "<optional, your device fingerprint>",
"from_ip": "<optional, the request IP>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user. The hosted UI opens the front camera, captures one passive frame, runs Liveness + Face Match 1:1 against the user's enrolled portrait, returns the verdict in sub-2-seconds.
STEP 2 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": {
"status": "Approved",
"method": "PASSIVE",
"score": 96
},
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 3 — Branch your sign-in logic on the verdict
Approved → mint your session token, sign the user in.
Declined → block sign-in; fall back to a higher-friction recovery (support contact / full KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back to a backup factor.
STEP 4 — Adaptive step-up (recommended)
Pair the selfie with Device & IP Analysis (bundled into the 200+ fraud-signal stack at no extra cost). Adaptive rules to consider:
Known device + known Internet Protocol (IP) → skip the selfie, mint a session token.
Known device + new IP → run the selfie (passive).
New device + new IP → run the selfie (passive).
Tor / Virtual Private Network (VPN) exit +
new device → escalate to ACTIVE_3D method (motion challenge).
Implement the branching in your application or in the Workflow Builder via per-session overrides.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, IP_ANALYSIS, ID_VERIFICATION, AML, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The face template is irreversible (a one-way hash). The user can request deletion via the standard data-subject-request path.
PRO TIPS
- Bind a Reusable Credential to each enrolled user. The next Didit-powered surface that needs the same gate consumes the credential at zero cost.
- Keep a fallback factor (password, magic link, support recovery) for users who cannot complete the selfie — accessibility, device camera failure, religious head covering, etc.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.0 $ / mois. Aucune carte de crédit requise.
Payez uniquement ce que vous utilisez. Plus de 25 modules. Tarification publique par module, sans minimum mensuel.
MSA et SLA personnalisés. Pour les gros volumes et les programmes réglementés.
Commence gratuitement → ne paie que lorsqu'une vérification est effectuée → débloque l'Enterprise pour un contrat personnalisé, un SLA ou la résidence des données.
Didit est une infrastructure pour l'identité et la fraude, la plateforme que nous aurions aimé avoir lorsque nous développions nos propres produits : ouverte, flexible et pensée pour les développeurs, afin qu'elle s'intègre réellement à votre stack au lieu d'être une boîte noire autour de laquelle vous devez vous adapter.
Une seule API couvre la vérification des personnes (KYC, Know Your Customer), la vérification des entreprises (KYB, Know Your Business), le screening des portefeuilles crypto (KYT, Know Your Transaction), et le monitoring des transactions en temps réel, sur une stack conçue pour être :
L'empreinte sous-jacente : plus de 14 000 types de documents dans plus de 48 langues, plus de 1 000 sources de données, et plus de 200 signaux de fraude sur chaque session. L'infrastructure Didit apprend dynamiquement de chaque session et s'améliore chaque jour.
Trois raisons qui n'ont pas évolué :
Le flux complet prend normalement moins de 30 secondes de bout en bout, prendre la pièce d'identité, scanner le document, prendre le selfie, c'est fait. C'est le plus rapide du marché. Les fournisseurs KYC traditionnels prennent généralement plus de 90 secondes pour le même flux.
En back-end, Didit renvoie le résultat en moins de deux secondes au p99, mesuré à partir du moment où l'utilisateur termine le selfie jusqu'au déclenchement de votre webhook. La capture mobile est optimisée pour les téléphones lents et les réseaux lents : compression d'image progressive, chargement paresseux du kit de développement logiciel, et transfert en un clic du bureau au téléphone via code QR si l'utilisateur commence sur le web.
Le mot de passe à usage unique par SMS a un délai de livraison de 5 à 90 secondes selon l'opérateur, le pays et l'heure de la journée. Même dans le meilleur des cas, l'utilisateur attend, change d'application, copie un numéro à 6 chiffres, revient, le colle et valide, le temps total pour être connecté est de 15 à 120 secondes.
Un selfie, c'est un clic, une image de caméra, un verdict, environ 2 secondes de bout en bout sans changement d'application, sans copier/coller, sans message qui n'arrive jamais.
Chaque session aboutit à l'un des sept statuts clairs, afin que votre code sache toujours quoi faire :
Approved, toutes les vérifications sont passées. Faites avancer l'utilisateur.Declined, une ou plusieurs vérifications ont échoué. Vous pouvez permettre à l'utilisateur de soumettre à nouveau l'étape spécifique qui a échoué (par exemple, reprendre le selfie) sans relancer tout le flux.In Review, signalé pour examen de conformité. Ouvrez le dossier dans la console, consultez tous les signaux, décidez d'approuver ou de refuser.In Progress, l'utilisateur est en cours de flux.Not Started, lien envoyé, l'utilisateur ne l'a pas encore ouvert. Envoyez un rappel s'il reste trop longtemps.Abandoned, l'utilisateur a ouvert le lien mais n'a pas terminé à temps. Relancez ou expirez.Expired, le lien de session a expiré. Créez une nouvelle session.Un webhook signé se déclenche à chaque changement de statut, ainsi votre base de données reste toujours synchronisée. Les sessions abandonnées et refusées sont gratuites.
Les données de production sont traitées et stockées par défaut dans l'Union Européenne, sur Amazon Web Services. Les contrats d'entreprise peuvent demander des régions alternatives pour les juridictions dont les régulateurs l'exigent.
Chiffrement partout. AES-256 au repos sur chaque base de données, stockage d'objets et sauvegarde. Transport Layer Security 1.3 en transit sur chaque appel API, webhook et session de la console Business. Les données biométriques sont chiffrées sous une clé de chiffrement client (Customer Master Key) distincte.
La rétention est sous votre contrôle. La rétention par défaut est illimitée sauf si vous configurez une durée plus courte, entre 30 jours et 10 ans par application, et vous pouvez supprimer toute session individuelle à tout moment depuis le tableau de bord ou l'API.
Certifications : SOC 2 Type 1 (audit Type 2 en cours), ISO/IEC 27001:2022, iBeta Level 1 PAD, et une attestation publique du Tesoro / SEPBLAC / CNMV espagnol certifiant que la vérification d'identité à distance de Didit est plus sûre que la vérification en personne. Rapport complet sur /security-compliance.
Didit est conforme par défaut aux régulateurs importants pour l'infrastructure d'identité :
Note détaillée, chaque certificat, chaque lettre de régulateur : /security-compliance.
Trois chemins d'intégration, choisissez celui qui correspond à votre stack :
Même tableau de bord, même facturation, même prix au succès pour les trois. Guide étape par étape sur docs.didit.me/integration/integration-prompt.
C'est un drop-in pour tout contrat de callback d'utilisateur récurrent existant.
POST /v3/session/ avec workflow_type: "biometric_authentication" et les mêmes vendor_data que vous avez utilisés lors de l'enrôlement.session_url retourné.X-Signature-V2 sur le webhook.status, Approved émet votre jeton, Declined bloque et revient en arrière, In Review dirige vers les opérations, Not Finished relance.La plupart des équipes le déploient en un week-end. L'invite complète, copiable par l'agent, est ci-dessus ; le serveur Model Context Protocol (MCP) gère les deux interfaces.
Minimisation des données par défaut. Le selfie est traité en mémoire, le verdict et le similarity_score persistent, et l'image brute est supprimée sauf si la rétention est explicitement activée. Le portrait enregistré est stocké comme un modèle facial irréversible, un hachage unidirectionnel à partir duquel vous ne pouvez pas reconstruire le visage original.
Nous ne vendons, ne partageons ni n'entraînons jamais de modèles tiers avec les données biométriques d'un client. Les utilisateurs finaux peuvent demander la suppression de leur modèle à tout moment via le chemin standard de demande de sujet de données.
La correspondance faciale 1:1 est robuste face aux changements d'apparence modérés : coupe de cheveux, barbe, lunettes, éclairage, maquillage, vieillissement modeste. Le score de similarité renvoyé par réauthentification reflète la confiance du modèle.
Pour les utilisateurs qui dépassent le seuil d'approbation automatique (changement de poids spectaculaire, chirurgie, vieillissement sur plusieurs années sans rafraîchissement), le verdict est In Review et est acheminé vers votre file d'attente d'opérations. Une session de ré-enrôlement de 10 secondes actualise le modèle, et la prochaine réauthentification utilise le nouveau portrait.
Une seule API pour le KYC, le KYB, la surveillance des transactions et le screening de portefeuilles. Intégration en 5 minutes.