बायोमेट्रिक ऑथेंटिकेशन ($0.10) और डिवाइस व IP एनालिसिस ($0.03) एक ही प्रॉम्प्ट में दो PSD3-ग्रेड SCA फैक्टर प्रदान करते हैं। फ़िशिंग-रेज़िस्टेंट। SMS वन-टाइम-पासवर्ड के लिए ड्रॉप-इन रिप्लेसमेंट।
Robinhood Ventures
दुनिया भर में 2,000+ संगठनों द्वारा विश्वसनीय।
SMS OTP क्यों बंद हो रहा है
PSD3, SMS वन-टाइम-पासवर्ड को स्ट्रॉन्ग कस्टमर ऑथेंटिकेशन फैक्टर के तौर पर हटा रहा है। Didit का डिवाइस-बाउंड बायोमेट्रिक SCA SIM-स्वैप, रियल-टाइम फ़िशिंग और SS7 इंटरसेप्शन को रोकता है, $0.13 प्रति ऑथेंटिकेशन पर, दो सेकंड से भी कम समय में परिणाम, डायनामिक-लिंकिंग के लिए तैयार। हर महीने 500 वेरिफिकेशन मुफ्त।
अपनी ज़रूरत के चेक चुनें, ID, लाइवनैस, फ़ेस मैच, सैंक्शन, एड्रेस, उम्र, फ़ोन, ईमेल, कस्टम सवाल। उन्हें डैशबोर्ड में एक फ़्लो में ड्रैग करें, या उसी फ़्लो को हमारे API पर पोस्ट करें। शर्तों के आधार पर ब्रांच करें, A/B टेस्ट चलाएँ, किसी कोड की ज़रूरत नहीं।
हमारे वेब, iOS, Android, React Native, या Flutter SDK के साथ नेटिवली एम्बेड करें। होस्ट किए गए पेज पर रीडायरेक्ट करें। या बस अपने यूज़र को एक लिंक भेजें, ईमेल, SMS, WhatsApp, कहीं भी। जो आपके स्टैक के लिए सही हो, उसे चुनें।
Didit कैमरा, लाइटिंग क्यू, मोबाइल हैंड-ऑफ़ और एक्सेसिबिलिटी को होस्ट करता है। जब यूज़र फ़्लो में होता है, तो हम रियल टाइम में 200+ फ़्रॉड सिग्नल स्कोर करते हैं और हर फ़ील्ड को आधिकारिक डेटा स्रोतों के ख़िलाफ़ वेरिफाई करते हैं। दो सेकंड से भी कम समय में परिणाम।
रियल-टाइम साइंड वेबहुक आपके डेटाबेस को सिंक में रखते हैं, जैसे ही कोई यूज़र अप्रूव होता है, डिक्लाइन होता है, या रिव्यू के लिए भेजा जाता है। ज़रूरत पड़ने पर API को पोल करें। या हर सेशन, हर सिग्नल की जाँच करने और अपने तरीके से मामलों को मैनेज करने के लिए कंसोल खोलें।
Didit · SCA फैक्टर्स
ज्ञान
पासवर्ड · पिन
वैकल्पिक
अधिकार
बाउंड डिवाइस
Didit ✓
अंतर्निहित
चेहरा · जीवंतता
Didit ✓
Didit · डायनामिक लिंकिंग
Didit · अटैक मैट्रिक्स
Didit · एग्ज़ेम्प्शन इंजन
Didit · डिवाइस और IP एनालिसिस
Didit · प्रति-ऑथ लागत
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "purpose": "login" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'स्टेटस अप्रूव्ड · डिक्लाइंड · इन रिव्यू$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "amount": "247.50", "payee_account": "ES91…1332" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'वेबहुक सत्यापन के लिए राशि + प्राप्तकर्ता को दोहराता हैYou are integrating Didit's Strong Customer Authentication into a payment service provider, bank, EMI, or wallet to satisfy PSD3 / the Payment Services Regulation (PSR). Two factors in one prompt:
1. Inherence — Biometric Authentication: Passive Liveness + Face Match 1:1 against the user's previously-enrolled KYC selfie.
2. Possession — Device & IP Analysis: 200+ real-time fraud signals binding the auth to the user's known device.
Pricing (verified live 2026-05-16):
- Biometric Authentication: $0.10 per auth
- Device & IP Analysis: $0.03 per auth
- Total: $0.13 per Strong Customer Authentication
- First 500 verifications free every month, forever
- Re-uses the enrolled selfie from the original KYC — no re-enrolment
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
- A workflow_id from the no-code Workflow Builder configured as a Biometric Authentication workflow (Passive Liveness + Face Match 1:1 + Device & IP Analysis).
- The user has previously completed a Didit KYC (the same enrolled selfie backs every subsequent auth).
STEP 1 — Open an authentication session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (for login auth):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/auth/callback",
"metadata": {
"purpose": "login",
"session_id": "<your front-end session id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor; OMIT only if the workflow is liveness-only>"
}
Body (for payment with dynamic linking):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/payment/callback",
"metadata": {
"purpose": "payment",
"amount": "247.50",
"currency": "EUR",
"payee_account": "ES9121000418450200051332",
"payee_name": "<merchant or recipient>",
"transaction_reference": "<your internal transaction id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor>"
}
Response: 201 Created with the hosted session URL. Push the URL to the user via deep-link / push notification / in-app sheet.
STEP 2 — User completes the biometric auth
The user sees one prompt on their phone (or via the Didit SDK in your native app). Three things happen on the same screen:
1. The amount + payee are displayed (dynamic linking — the user explicitly approves THIS amount to THIS payee for payments).
2. Passive Liveness defeats screen replay, printed photo, mask, deepfake.
3. Face Match 1:1 matches the new selfie against the enrolled KYC selfie.
Device & IP Analysis runs server-side on the session. Sub-2-second median verdict.
STEP 3 — Read the signed webhook on the auth verdict
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "vpn_detected": false, "datacenter_ip": false },
"metadata_echo": {
"amount": "247.50",
"payee_account": "ES9121000418450200051332"
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
For payments, verify that metadata_echo.amount and metadata_echo.payee_account match the values you passed in. If they do not, REJECT the payment — it's a dynamic-linking violation.
STEP 4 — Branch on verdict
Approved → unlock the action (login, payment, account change).
In Review → hold the action, route to manual review queue.
Declined → block, log the attempt, surface a friendly "try again" to the user.
Resubmitted → the user re-submitted after a soft fail (poor lighting, occlusion); proceed if the latest status is Approved.
STEP 5 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload: liveness verdict (iBeta Level 1 anti-spoof certified), Face Match similarity score, device fingerprint, IP geolocation, VPN / proxy / datacenter flags, 200+ fraud-signal score, dynamic-linking echo, HMAC signature.
Use this for the audit-trail surface a regulator examines on Strong Customer Authentication coverage.
STEP 6 — Step up on risk
When Device & IP Analysis surfaces a high-risk signal (new device + high-value payment, VPN/proxy on a login, geolocation jump), your workflow can step up to:
- A separate hardware-key challenge (FIDO2 / WebAuthn)
- A trusted-beneficiary whitelist confirmation
- A manual-review hold
Encode the step-up policy in the no-code Workflow Builder — no redeploy required.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE on a session.
- Dynamic linking is REQUIRED for payments — pass amount + payee in metadata, verify the echo on the webhook.
- The enrolled selfie that backs every SCA is the one captured during the user's original KYC — no separate enrolment step.
- PSD3 / PSR exemptions (low-value remote < EUR 30, contactless point-of-sale < EUR 50, recurring identical, trusted beneficiary, Transaction Risk Analysis tiers) are configured per workflow in the Business Console.
- Default record retention is 5 years per the EU AML and payments rules.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / महीना। क्रेडिट कार्ड की ज़रूरत नहीं।
आप जितना उपयोग करते हैं, केवल उसी का भुगतान करें। 25+ मॉड्यूल। प्रति-मॉड्यूल सार्वजनिक मूल्य निर्धारण, कोई मासिक न्यूनतम शुल्क नहीं।
कस्टम MSA और SLA। बड़ी मात्रा और विनियमित कार्यक्रमों के लिए।
मुफ़्त में शुरू करें → केवल चेक चलने पर भुगतान करें → कस्टम कॉन्ट्रैक्ट, SLA, या डेटा रेज़िडेंसी के लिए एंटरप्राइज़ अनलॉक करें।
Didit आइडेंटिटी और फ्रॉड के लिए इंफ्रास्ट्रक्चर है, वह प्लेटफ़ॉर्म जिसकी हमने खुद प्रोडक्ट बनाते समय कामना की थी: ओपन, फ्लेक्सिबल और डेवलपर-फ्रेंडली, ताकि यह आपके स्टैक के एक वास्तविक हिस्से के रूप में काम करे, न कि एक ब्लैक बॉक्स के रूप में जिसे आप इंटीग्रेट करते हैं।
एक API लोगों को वेरीफाई करने (KYC, अपने ग्राहक को जानें), बिज़नेस को वेरीफाई करने (KYB, अपने बिज़नेस को जानें), क्रिप्टो वॉलेट को स्क्रीन करने (KYT, अपने ट्रांज़ैक्शन को जानें), और वास्तविक समय में ट्रांज़ैक्शन की निगरानी करने को कवर करता है, एक ऐसे स्टैक पर बनाया गया है जो:
इसके नीचे का फ़ुटप्रिंट: 48+ भाषाओं में 14,000+ दस्तावेज़ प्रकार, 1,000+ डेटा स्रोत, और हर सेशन पर 200+ फ्रॉड सिग्नल। Didit इंफ्रास्ट्रक्चर हर सेशन से गतिशील रूप से सीखता है और हर दिन बेहतर होता जाता है।
स्ट्रॉन्ग कस्टमर ऑथेंटिकेशन (SCA) EU के पेमेंट-सर्विसेज रेगुलेशन का एक नियम है जो कहता है: जब कोई ग्राहक अपने अकाउंट में लॉग इन करता है या पेमेंट शुरू करता है, तो आपको उन्हें तीन स्वतंत्र फैक्टर कैटेगरी में से कम से कम दो का उपयोग करके वेरीफाई करना होगा।
तीन कैटेगरी:
दो फैक्टर अलग-अलग कैटेगरी से आने चाहिए, एक पासवर्ड प्लस एक सिक्योरिटी प्रश्न SCA नहीं है, क्योंकि दोनों नॉलेज हैं। एक पासवर्ड प्लस एक फ़िंगरप्रिंट है, क्योंकि वे कैटेगरी को पार करते हैं।
एक तीसरी आवश्यकता, डायनामिक लिंकिंग, कहती है कि पेमेंट के लिए दूसरा फैक्टर ट्रांज़ैक्शन राशि और प्राप्तकर्ता से विशिष्ट रूप से जुड़ा होना चाहिए, ताकि एक चोरी किए गए कोड को किसी अलग ट्रांज़ैक्शन के खिलाफ फिर से नहीं चलाया जा सके।
PSD3, पेमेंट सर्विसेज डायरेक्टिव 3 का संक्षिप्त रूप, EU का 2026 का रूलबुक का फिर से लिखना है जिसे PSD2 ने 2018 में पेश किया था। इसके साथ पेमेंट सर्विसेज रेगुलेशन (PSR) भी है जो राष्ट्रीय ट्रांसपोज़िशन के बिना सदस्य राज्यों में सीधे लागू होता है।
PSD2 पर मुख्य परिवर्तन:
ट्रांज़िशन रोलिंग है, अधिकांश SCA परिवर्तनों के अंतिम अपनाने के 18 से 24 महीने बाद प्रभावी होने की उम्मीद है।
पूरा फ्लो आमतौर पर एंड-टू-एंड 30 सेकंड से कम समय लेता है, ID उठाएं, दस्तावेज़ की तस्वीर लें, सेल्फी लें, हो गया। यह बाज़ार में सबसे तेज़ है। लेगेसी KYC प्रोवाइडर आमतौर पर उसी फ्लो के लिए 90 सेकंड से ज़्यादा लेते हैं।
बैक एंड पर, Didit p99 पर दो सेकंड से कम में परिणाम देता है, यूज़र के सेल्फी खत्म करने के क्षण से लेकर आपके वेबहुक के फायर होने के क्षण तक मापा जाता है। मोबाइल कैप्चर धीमे फ़ोन और धीमे नेटवर्क के लिए ट्यून किया गया है: प्रोग्रेसिव इमेज कम्प्रेशन, लेज़ी सॉफ्टवेयर डेवलपमेंट किट लोड, और अगर यूज़र वेब पर शुरू करता है तो QR कोड के माध्यम से डेस्कटॉप से फ़ोन पर एक-टैप हैंड-ऑफ।
डिफ़ॉल्ट रूप से SCA की आवश्यकता है:
छूट प्राप्त (PSD3 अधिकांश PSD2 छूटों को रखता है लेकिन थ्रेशोल्ड को कड़ा करता है):
छूट के गणित को सही करना अधिकांश टीमों द्वारा किया जाने वाला सबसे ज़्यादा-लीवरेज SCA ऑप्टिमाइज़ेशन कार्य है, अच्छी तरह से लागू होने पर यह फ्रॉड को बढ़ाए बिना ऑथेंटिकेशन घर्षण को कम करता है।
हर सेशन सात स्पष्ट स्टेटस में से एक पर आता है, ताकि आपके कोड को हमेशा पता रहे कि क्या करना है:
Approved, सभी चेक पास हो गए। यूज़र को आगे बढ़ाएं।Declined, एक या एक से ज़्यादा चेक फेल हो गए। आप यूज़र को पूरे फ्लो को फिर से चलाए बिना विशिष्ट फेल हुए स्टेप को फिर से सबमिट करने की अनुमति दे सकते हैं (उदाहरण के लिए, सेल्फी फिर से लें)।In Review, कंप्लायंस रिव्यू के लिए फ़्लैग किया गया। कंसोल में केस खोलें, हर सिग्नल देखें, अप्रूव या डिक्लाइन करने का निर्णय लें।In Progress, यूज़र फ्लो के बीच में है।Not Started, लिंक भेजा गया, यूज़र ने अभी तक इसे नहीं खोला है। अगर यह बहुत देर तक रहता है तो एक रिमाइंडर भेजें।Abandoned, यूज़र ने लिंक खोला लेकिन समय पर पूरा नहीं किया। फिर से एंगेज करें या एक्सपायर करें।Expired, सेशन लिंक की समय-सीमा खत्म हो गई। एक नया सेशन बनाएं।हर स्टेटस चेंज पर एक साइंड वेबहुक फायर होता है, ताकि आपका डेटाबेस हमेशा सिंक में रहे। अबैंडन्ड और डिक्लाइन किए गए सेशन मुफ़्त हैं।
प्रोडक्शन डेटा को डिफ़ॉल्ट रूप से यूरोपीय संघ में प्रोसेस और स्टोर किया जाता है, Amazon Web Services पर। एंटरप्राइज़ कॉन्ट्रैक्ट उन अधिकार क्षेत्रों के लिए वैकल्पिक क्षेत्रों का अनुरोध कर सकते हैं जिनके रेगुलेटर को इसकी आवश्यकता होती है।
हर जगह एन्क्रिप्शन। हर डेटाबेस, ऑब्जेक्ट स्टोर और बैकअप में AES-256 रेस्ट पर। हर API कॉल, वेबहुक और बिज़नेस कंसोल सेशन पर ट्रांज़िट में ट्रांसपोर्ट लेयर सिक्योरिटी 1.3। बायोमेट्रिक डेटा को एक अलग कस्टमर मास्टर की के तहत एन्क्रिप्ट किया जाता है।
रिटेंशन आपके कंट्रोल में है। डिफ़ॉल्ट रिटेंशन अनिश्चित (असीमित) है जब तक कि आप कम कॉन्फ़िगर नहीं करते, प्रति एप्लिकेशन 30 दिन और 10 साल के बीच, और आप डैशबोर्ड या API से किसी भी समय किसी भी व्यक्तिगत सेशन को हटा सकते हैं।
सर्टिफिकेशन: SOC 2 Type 1 (Type 2 ऑडिट प्रगति पर है), ISO/IEC 27001:2022, iBeta Level 1 PAD, और स्पेन के टेसोरो / SEPBLAC / CNMV से एक सार्वजनिक अटेस्टेशन कि Didit का रिमोट आइडेंटिटी वेरिफिकेशन किसी व्यक्ति को व्यक्तिगत रूप से वेरीफाई करने से ज़्यादा सुरक्षित है। पूरी रिपोर्ट /security-compliance पर।
Didit डिफ़ॉल्ट रूप से उन रेगुलेटर के लिए कंप्लायंट शिप करता है जो आइडेंटिटी इंफ्रास्ट्रक्चर के लिए मायने रखते हैं:
विस्तृत मेमो, हर सर्टिफिकेट, हर रेगुलेटर लेटर: /security-compliance।
तीन इंटीग्रेशन पाथ, जो भी आपके स्टैक में फिट बैठता है उसे चुनें:
तीनों के लिए एक ही डैशबोर्ड, एक ही बिलिंग, एक ही पे-पर-सक्सेस प्राइस। स्टेप-बाय-स्टेप गाइड docs.didit.me/integration/integration-prompt पर।
हर प्लेटफॉर्म पर एक ही POST /v3/session/ API, यूज़र-फेसिंग कैप्चर अलग होता है:
वही बायोमेट्रिक टेम्पलेट जिसे यूज़र ने KYC के समय एनरोल किया था, हर ऑथ को सपोर्ट करता है, कोई री-एनरोलमेंट नहीं, कोई अलग फ़्लो नहीं।
हाँ, वही ऑथ बंडल अधिकांश समान वैश्विक नियमों को पूरा करता है:
एक API, एक ऑथ बंडल, हर ज्यूरिसडिक्शन। छूट का गणित बदलता है; तकनीकी कॉन्ट्रैक्ट नहीं बदलता।
हर ऑथेंटिकेशन एक साइन्ड एविडेंस रिकॉर्ड बनाता है जिसे बिज़नेस कंसोल से एक्सपोर्ट किया जा सकता है:
Pending से Approved या Declined तक हर स्टेप स्टेट-मशीन किया गया, अगर एस्केलेट किया गया तो समीक्षक के नोट्स के साथसभी रिकॉर्ड यूरोपीय संघ (EU डेटा सेंटर) में संग्रहीत हैं, जब तक आपकी सदस्यता सक्रिय है तब तक अनिश्चित काल तक रखे जाते हैं। डिफ़ॉल्ट रिकॉर्ड रिटेंशन EU AML और पेमेंट नियमों के अनुसार 5 साल है, जो आपके सुपरवाइज़र के मार्गदर्शन के अनुसार बढ़ाया जा सकता है।
KYC, KYB, ट्रांज़ैक्शन मॉनिटरिंग और वॉलेट स्क्रीनिंग के लिए एक API। 5 मिनट में इंटीग्रेट करें।