हमलावर जिन पलों को निशाना बनाते हैं, ट्रांसफ़र, पासवर्ड रीसेट, नए-डिवाइस लॉगिन, ठीक उन्हीं पलों में एक बायोमेट्रिक स्टेप-अप। दो सेकंड से कम का फैसला, प्रति इवेंट लगभग $0.13। हर महीने 500 वेरिफिकेशन मुफ़्त।
Robinhood Ventures
दुनिया भर में 2,000+ संगठनों द्वारा विश्वसनीय।
हमलावर कैसे हमला करते हैं
क्रेडेंशियल स्टफिंग, SIM-स्वैप, और चोरी हुए-सेशन-कुकी हमले सभी पासवर्ड और वन-टाइम कोड को दरकिनार कर देते हैं। कार्रवाई के समय उन्हें Didit स्टेप-अप से बदलें , प्रति कॉल $0.10, दो सेकंड से कम का फैसला, हर महीने 500 मुफ़्त।
अपनी पसंद के चेक चुनें, ID, लाइवनेस, फेस मैच, प्रतिबंध, पता, उम्र, फ़ोन, ईमेल, कस्टम प्रश्न। उन्हें डैशबोर्ड में एक फ़्लो में ड्रैग करें, या उसी फ़्लो को हमारी API पर पोस्ट करें। शर्तों पर ब्रांच करें, A/B टेस्ट चलाएं, किसी कोड की आवश्यकता नहीं है।
हमारे वेब, iOS, Android, React Native, या Flutter SDK के साथ नेटिवली एम्बेड करें। एक होस्टेड पेज पर रीडायरेक्ट करें। या बस अपने यूज़र को एक लिंक भेजें, ईमेल, SMS, WhatsApp, कहीं भी। जो आपके स्टैक के लिए उपयुक्त हो उसे चुनें।
Didit कैमरा, लाइटिंग क्यू, मोबाइल हैंड-ऑफ और एक्सेसिबिलिटी को होस्ट करता है। जब यूज़र फ़्लो में होता है, तो हम वास्तविक समय में 200+ धोखाधड़ी संकेतों को स्कोर करते हैं और आधिकारिक डेटा स्रोतों के ख़िलाफ़ हर फ़ील्ड को वेरिफाई करते हैं। परिणाम दो सेकंड से कम समय में।
रियल-टाइम साइन्ड वेबहुक आपके डेटाबेस को सिंक में रखते हैं, जैसे ही किसी यूज़र को अप्रूव किया जाता है, डिक्लाइन किया जाता है, या रिव्यू के लिए भेजा जाता है। आप API को अपनी ज़रूरत के हिसाब से पोल कर सकते हैं। या कंसोल खोलकर हर सेशन, हर सिग्नल को देख सकते हैं और अपने तरीके से केस मैनेज कर सकते हैं।
Didit · स्टेप-अप पॉलिसी
Didit · बायोमेट्रिक ऑथेंटिकेशन
स्टेप 2 / 2
जाँच के लिए स्थिर रहें
Didit · फेस मैच 1:1
साइन-अप
स्टेप-अप
Didit · पैसिव लाइवनेस
Didit · डिवाइस और IP एनालिसिस
Didit · वेबहुक · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "user-42",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved",
"similarity_score": 0.94 }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_ato_step_up",
"vendor_data": "user-42",
"metadata": { "trigger": "high_value_transfer" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (पेलोड.status === "स्वीकृत") {
unblockAction(पेलोड.vendor_data);
} अन्यथा यदि (पेलोड.status === "अस्वीकृत") {
logWarnings(पेलोड.liveness.warnings);
blockAndAlert(पेलोड.vendor_data);
}स्थिति स्वीकृत · अस्वीकृत · समीक्षाधीन · पूरा नहीं हुआYou are integrating Didit account-takeover defence into an application that already has the user signed in. Your job: when a sensitive action fires (large transfer, password reset, payout to a new destination, new-device login, geo anomaly), gate it on a Didit biometric step-up. One API call. One signed webhook. Three branches.
WHY THIS SHAPE
- Credential stuffing, SIM-swap, and stolen-session-cookie attacks all walk past passwords and SMS one-time codes. A face check at the moment of the sensitive action does not.
- Didit runs Passive Liveness (the user is alive, present, not a deepfake) plus 1:1 Face Match against the portrait captured at sign-up. A stolen selfie cannot pass — the comparison target is locked to the original enrollment.
- $0.10 per step-up (Biometric Authentication module) + $0.03 IP pre-check (optional) = around $0.13 per event. Sub-two-second verdict on entry-level Android. 500 verifications free every month.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A Workflow Builder workflow that bundles Passive Liveness + Face Match 1:1 (with the user's stored sign-up portrait as the comparison target). Optionally compose Device & IP Analysis ahead of the step-up to pre-gate the check.
- Persist the user's sign-up portrait — either base64 on your side, or rely on Didit's stored enrollment via vendor_data lookup.
STEP 1 — Decide WHEN to step up (your code, not Didit's)
Run your usual fraud signals. Common triggers worth a biometric step-up:
- Wire / crypto transfer above the user's daily limit
- Password / email reset on a session less than 24h old
- Payout to a bank account or wallet seen for the first time
- Login from a new device or new country
- Velocity anomaly — N actions of type T within window W
Cheap pre-check (optional, ~100ms, $0.03):
- Score the user's IP via Device & IP Analysis. If the IP is a residential trusted address with a low risk score AND the device fingerprint matches the user's trusted device, skip the step-up. Otherwise run Step 2.
STEP 2 — Create a biometric step-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id bundling Passive Liveness + Face Match 1:1>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/ato/step-up/callback",
"metadata": {
"trigger": "high_value_transfer",
"action_id": "<your internal action reference>"
},
"portrait_image": "<base64 JPEG of the user's stored sign-up portrait, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the step-up matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user there inline (or open it in a webview / Didit mobile SDK). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook on completion
Didit POSTs the decision to your callback. Verify X-Signature-V2 (HMAC SHA-256 of the raw request body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "score": 11 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the original action on status
Approved → unblock the sensitive action. Log session_id + similarity score on the audit trail.
In Review → hold the action, route to a human review queue.
Declined → block the action, log liveness warnings (mask / deepfake / replay / morph), alert the user.
Not Finished → invite the user to retry with a fresh session URL.
Expired → resend the link; the original session has timed out.
Abandoned → the user closed the flow before completing; resend the link.
STEP 5 — (Optional) Pull the full decision payload
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Returns the same payload as the webhook plus the structured signals (liveness warnings, face-match similarity, IP / device flags). Use for analyst review.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook (one endpoint, status field tells you where in the lifecycle).
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API and lives in a different surface.
- 1:1 face match's comparison target is the user's STORED sign-up portrait, not a freshly captured one. A stolen selfie cannot pass.
- iBeta Level 1 Presentation Attack Detection (PAD) certified against the full ISO/IEC 30107-3 catalogue — print, replay, paper / silicone / latex mask, deepfake, morph.
- The Workflow Builder is where you choose the modules in the step-up — change them in the console without redeploying.
- 200+ fraud signals are surfaced on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / महीना। क्रेडिट कार्ड की ज़रूरत नहीं।
आप जितना उपयोग करते हैं, केवल उसी का भुगतान करें। 25+ मॉड्यूल। प्रति-मॉड्यूल सार्वजनिक मूल्य निर्धारण, कोई मासिक न्यूनतम शुल्क नहीं।
कस्टम MSA और SLA। बड़ी मात्रा और विनियमित कार्यक्रमों के लिए।
मुफ़्त में शुरू करें → केवल चेक चलने पर भुगतान करें → कस्टम कॉन्ट्रैक्ट, SLA, या डेटा रेज़िडेंसी के लिए एंटरप्राइज़ अनलॉक करें।
Didit पहचान और धोखाधड़ी के लिए इंफ्रास्ट्रक्चर है, यह वह प्लेटफॉर्म है जिसकी हमें खुद प्रोडक्ट बनाते समय ज़रूरत महसूस हुई थी: ओपन, लचीला और डेवलपर-फ्रेंडली, ताकि यह आपके स्टैक के एक वास्तविक हिस्से के रूप में काम करे, न कि एक ब्लैक बॉक्स के रूप में जिसके चारों ओर आपको इंटीग्रेट करना पड़े।
एक API लोगों को वेरिफाई करने (KYC, अपने ग्राहक को जानें), व्यवसायों को वेरिफाई करने (KYB, अपने व्यवसाय को जानें), क्रिप्टो वॉलेट्स की स्क्रीनिंग करने (KYT, अपने ट्रांजेक्शन को जानें), और वास्तविक समय में ट्रांजेक्शन की निगरानी करने को कवर करता है, एक ऐसे स्टैक पर बनाया गया है जो:
इसके पीछे का फुटप्रिंट: 48+ भाषाओं में 14,000+ डॉक्यूमेंट प्रकार, 1,000+ डेटा स्रोत, और हर सेशन पर 200+ धोखाधड़ी सिग्नल। Didit इंफ्रास्ट्रक्चर हर सेशन से गतिशील रूप से सीखता है और हर दिन बेहतर होता जाता है।
एक अकाउंट टेकओवर (ATO) तब होता है जब कोई हमलावर किसी वैध उपयोगकर्ता खाते पर नियंत्रण हासिल कर लेता है, आमतौर पर चोरी किए गए क्रेडेंशियल, एक हाईजैक की गई सेशन कुकी, या एक SIM-स्वैप के साथ जो वन-टाइम पासवर्ड (OTP) को इंटरसेप्ट करता है। वहां से वे वॉलेट खाली कर देते हैं, फंड ट्रांसफर करते हैं, भुगतान विवरण बदलते हैं, या ईमेल रीसेट करते हैं और वास्तविक मालिक को बाहर कर देते हैं।
यह हमला पासवर्ड को पार कर जाता है क्योंकि पासवर्ड पहले से ही सही होता है। यह शॉर्ट मैसेज सर्विस (SMS) कोड को पार कर जाता है क्योंकि हमलावर फोन नंबर को नियंत्रित करता है। बचाव यह है कि कार्रवाई के क्षण को किसी ऐसी चीज़ से बाधित किया जाए जो हमलावर के पास नहीं है, वैध उपयोगकर्ता का चेहरा।
क्योंकि SIM-स्वैप धोखाधड़ी शॉर्ट मैसेज सर्विस (SMS) कोड को हमलावर की जेब में डाल देती है। हमलावर कैरियर को पीड़ित का नंबर एक नए सब्सक्राइबर आइडेंटिटी मॉड्यूल (SIM) पर पोर्ट करने के लिए मना लेता है; तब से, बैंक द्वारा भेजे गए हर कोड हमलावर के फोन पर आते हैं।
2026 में फ़िशिंग किट भी कोड को वास्तविक समय में प्रॉक्सी करती हैं, उपयोगकर्ता इसे एक नकली पेज में टाइप करता है, किट इसे वास्तविक साइट पर रीप्ले करती है, सेशन खुल जाता है। SMS प्रति चैनल एक सिंगल साझा रहस्य देता है; बायोमेट्रिक्स कैमरे के सामने मौजूद व्यक्ति से जुड़ी प्रति-कार्य प्रमाण देते हैं।
पूरा फ्लो आमतौर पर एंड-टू-एंड 30 सेकंड से कम समय लेता है, ID उठाएं, डॉक्यूमेंट की तस्वीर लें, सेल्फी लें, हो गया। यह बाज़ार में सबसे तेज़ है। पुराने KYC प्रोवाइडर्स को उसी फ्लो के लिए आमतौर पर 90 सेकंड से ज़्यादा लगते हैं।
बैक एंड पर, Didit p99 पर दो सेकंड से कम समय में परिणाम देता है, जिसकी गणना उपयोगकर्ता द्वारा सेल्फी पूरी करने के क्षण से लेकर आपके वेबहुक के फायर होने तक की जाती है। मोबाइल कैप्चर धीमे फोन और धीमे नेटवर्क के लिए ट्यून किया गया है: प्रोग्रेसिव इमेज कंप्रेशन, लेज़ी सॉफ्टवेयर डेवलपमेंट किट लोड, और अगर उपयोगकर्ता वेब पर शुरू करता है तो QR कोड के माध्यम से डेस्कटॉप से फोन पर एक-टैप हैंड-ऑफ।
साइन-अप उपयोगकर्ता की पहचान को पहली बार कैप्चर करता है, सरकारी पहचान दस्तावेज़, ऑप्टिकल कैरेक्टर रिकॉग्निशन (OCR), पैसिव लाइवनेस, और एक पोर्ट्रेट जो नामांकन बेसलाइन बन जाता है। यह एक बार का, भारी-भरकम फ्लो है।
स्टेप-अप हल्का, दोहराने योग्य संस्करण है। वही लाइवनेस इंजन एक नई सेल्फी पर चलता है; फेस मैच 1:1 नई सेल्फी की तुलना संग्रहीत साइन-अप पोर्ट्रेट से करता है। कोई पहचान दस्तावेज़ नहीं, कोई OCR नहीं। दो सेकंड से कम, प्रति सेशन $0.10।
हर सेशन सात स्पष्ट स्टेटस में से एक पर आता है, इसलिए आपका कोड हमेशा जानता है कि क्या करना है:
Approved, सभी चेक पास हो गए। उपयोगकर्ता को आगे बढ़ाएं।Declined, एक या अधिक चेक विफल हो गए। आप उपयोगकर्ता को विशिष्ट विफल चरण को फिर से सबमिट करने की अनुमति दे सकते हैं (उदाहरण के लिए, सेल्फी फिर से लें) पूरे फ्लो को फिर से चलाए बिना।In Review, अनुपालन समीक्षा के लिए फ़्लैग किया गया। कंसोल में केस खोलें, हर सिग्नल देखें, अप्रूव या डिक्लाइन का फैसला करें।In Progress, उपयोगकर्ता फ्लो के बीच में है।Not Started, लिंक भेजा गया, उपयोगकर्ता ने अभी तक इसे नहीं खोला है। यदि यह बहुत देर तक रहता है तो एक रिमाइंडर भेजें।Abandoned, उपयोगकर्ता ने लिंक खोला लेकिन समय पर पूरा नहीं किया। फिर से संलग्न करें या समाप्त करें।Expired, सेशन लिंक की समय सीमा समाप्त हो गई। एक नया सेशन बनाएं।हर स्टेटस परिवर्तन पर एक हस्ताक्षरित वेबहुक फायर होता है, इसलिए आपका डेटाबेस हमेशा सिंक में रहता है। छोड़े गए और अस्वीकृत सेशन मुफ्त हैं।
प्रोडक्शन डेटा डिफ़ॉल्ट रूप से यूरोपीय संघ में संसाधित और संग्रहीत किया जाता है, Amazon Web Services पर। एंटरप्राइज़ कॉन्ट्रैक्ट उन न्यायालयों के लिए वैकल्पिक क्षेत्रों का अनुरोध कर सकते हैं जिनके नियामकों को इसकी आवश्यकता होती है।
हर जगह एन्क्रिप्शन। हर डेटाबेस, ऑब्जेक्ट स्टोर और बैकअप में AES-256 रेस्ट पर। हर API कॉल, वेबहुक और बिजनेस कंसोल सेशन पर ट्रांजिट में ट्रांसपोर्ट लेयर सिक्योरिटी 1.3। बायोमेट्रिक डेटा एक अलग कस्टमर मास्टर की के तहत एन्क्रिप्ट किया गया है।
रिटेंशन आपके नियंत्रण में है। डिफ़ॉल्ट रिटेंशन अनिश्चित (असीमित) है जब तक कि आप कम कॉन्फ़िगर नहीं करते, प्रति एप्लिकेशन 30 दिनों और 10 वर्षों के बीच, और आप डैशबोर्ड या API से किसी भी समय किसी भी व्यक्तिगत सेशन को हटा सकते हैं।
प्रमाणपत्र: SOC 2 Type 1 (Type 2 ऑडिट प्रगति पर), ISO/IEC 27001:2022, iBeta Level 1 PAD, और स्पेन के Tesoro / SEPBLAC / CNMV से एक सार्वजनिक प्रमाणन कि Didit का रिमोट पहचान सत्यापन किसी व्यक्ति को व्यक्तिगत रूप से वेरिफाई करने से ज़्यादा सुरक्षित है। पूरी रिपोर्ट /security-compliance पर।
Didit पहचान इंफ्रास्ट्रक्चर के लिए महत्वपूर्ण नियामकों के लिए डिफ़ॉल्ट रूप से अनुपालन योग्य है:
विस्तृत मेमो, हर प्रमाणपत्र, हर नियामक पत्र: /security-compliance।
तीन इंटीग्रेशन पाथ, जो भी आपके स्टैक के अनुकूल हो उसे चुनें:
वही डैशबोर्ड, वही बिलिंग, तीनों के लिए वही पे-पर-सक्सेस कीमत। docs.didit.me/integration/integration-prompt पर स्टेप-बाय-स्टेप गाइड।
स्टेप-अप से पहले डिवाइस और IP विश्लेषण को कंपोज़ करें। प्रति चेक $0.03, 100ms से कम, 0–100 जोखिम स्कोर के साथ-साथ वर्चुअल प्राइवेट नेटवर्क (VPN), प्रॉक्सी, द अनियन राउटर (Tor), डेटासेंटर, देश, और ऑटोनॉमस सिस्टम नंबर (ASN) फ़्लैग्स देता है।
यदि नेटवर्क साफ दिखता है (रेसिडेंशियल इंटरनेट सर्विस प्रोवाइडर (ISP), विश्वसनीय डिवाइस फिंगरप्रिंट, कोई देश फ्लिप नहीं), तो फेस चेक छोड़ दें। यदि स्कोर अधिक है या कोई फ़्लैग फायर होता है, तो स्टेप-अप चलाएं। यह बायोमेट्रिक बजट को उन घटनाओं पर रखता है जिन्हें वास्तव में इसकी आवश्यकता होती है।
दो लाइन आइटम:
पूरी तरह से स्क्रीन की गई संवेदनशील कार्रवाई पर लगभग $0.13। हर अकाउंट पर हर महीने पहले 500 सत्यापन मुफ्त हैं, अधिकांश टीमें पाती हैं कि उनका स्टेप-अप वॉल्यूम पहले कुछ हफ्तों के लिए उस भत्ते के भीतर रहता है।
कोई न्यूनतम नहीं, कोई वार्षिक प्रतिबद्धता नहीं, कोई प्रति-सीट मूल्य निर्धारण नहीं।
यह रेसिपी किसी भी टीम पर लागू होती है जो उच्च-मूल्य वाली कार्रवाइयों को संभालती है। सामान्य लाइव पैटर्न:
वही वर्कफ़्लो बिल्डर, अलग-अलग ट्रिगर, एक इंटीग्रेशन, एक मूल्य निर्धारण लाइन।
KYC, KYB, ट्रांज़ैक्शन मॉनिटरिंग और वॉलेट स्क्रीनिंग के लिए एक API। 5 मिनट में इंटीग्रेट करें।