Verifikasi pengguna atau bisnis sekali saja. Bagikan hasilnya dengan mitra, mereka bisa langsung onboarding orang yang sama. Tidak perlu alur kedua, tidak perlu selfie kedua. Berfungsi untuk KYC dan KYB. Dibuat untuk Banking-as-a-Service, grup multi-brand, embedded finance, dan marketplace dengan sub-platform.
Robinhood Ventures
Dibuat untuk ekosistem mitra
Pengguna Anda memverifikasi sekali di aplikasi Anda. Mitra Anda, sponsor BaaS Anda, brand saudara Anda, marketplace downstream Anda, membutuhkan catatan yang sama. Kirimkan mereka share token sekali pakai. Mereka menukarkannya dan menarik verifikasi lengkap. Pengguna tidak pernah melihat alur kedua.
Pilih verifikasi yang sudah selesai, disetujui, ditolak, atau dalam peninjauan, dan minta share token dari Didit. Token kedaluwarsa dalam satu jam secara default; Anda bisa memperpanjangnya dari satu menit hingga satu hari penuh.
Serahkan token kepada mitra Anda melalui backend Anda sendiri, webhook, queue, REST call. Token hanya berfungsi untuk mitra yang Anda sebutkan saat Anda membuatnya. Tidak ada orang lain yang bisa menukarkannya.
Mitra Anda menukarkan token dan memilih cara onboarding pengguna, percaya keputusan Anda dan langsung menyetujui, atau menarik data mentah dan membiarkan tim kepatuhan mereka membuat keputusan.
Didit mengkloning seluruh catatan, dokumen, selfie, face match, AML, data registri, UBO, ke workspace mitra Anda. Bentuknya sama seperti verifikasi baru, dengan audit trail yang jelas kembali ke aslinya.
POST /v3/session/[id]/share/
POST /v3/session/import-shared/
Onboarding instan · atau tinjauan Anda sendiri
session_kind: user | business
pengguna · KYC
bisnis · KYB
Satu verifikasi untuk banyak kebutuhan
Hanya yang selesai · idempoten · audit-grade
$ curl -X POST https://verification.didit.me/v3/session/$SID/share/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"for_application_id": "partner-app-uuid",
"ttl_in_seconds": 3600
}'{ "share_token": "eyJhbGciOi…" }$ curl -X POST https://verification.didit.me/v3/session/import-shared/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"share_token": "eyJhbGciOi…",
"workflow_id": "wf_partner_kyc",
"vendor_data": "partner-user-42",
"trust_review": true
}'{ "status": "Approved", "session_kind": "user" }# Didit B2B Reusable KYC — partner-to-partner KYC sharing
You are integrating Didit's B2B Reusable Know Your Customer (KYC) into <my_stack>. The recipe is server-to-server: one Didit application (Service X) mints a short-lived JSON Web Token (JWT) share token for a finished session; a partner Didit application (Service Y) imports the token and Didit clones the full verified session into Service Y. Works for both KYC and Know Your Business (KYB) sessions.
Built for Banking-as-a-Service (BaaS) sponsor banks, multi-brand financial groups, embedded finance through partner banks, marketplaces with regional or vertical sub-platforms, on-ramp + exchange ecosystems, white-label resellers, and B2B KYB consortia where the same legal entity onboards once and serves many. Every URL, header, and enum value below is canonical — do not paraphrase or "improve" them.
## 1. Provision both applications
- Sign up: https://business.didit.me (no credit card required).
- Or provision programmatically: POST https://apx.didit.me/auth/v2/programmatic/register/
- Create TWO applications in your Didit organisation. One acts as Service X (mints share tokens), the other as Service Y (imports them). In production these will usually live in different organisations — one per partner.
- Each application has its own `x-api-key`. Service X uses its own key to mint; Service Y uses its own key to import.
## 2. Service X — mint a share token
Service X picks a finished session it owns and posts to the share endpoint:
POST https://verification.didit.me/v3/session/{sessionId}/share/
Headers:
x-api-key: <Service X api key>
Content-Type: application/json
Body:
{
"for_application_id": "<partner-application-uuid>",
"ttl_in_seconds": 3600
}
Bounds on `ttl_in_seconds`: min 60, max 86400, default 3600.
Requirements:
- The session must be in a FINISHED status: "Approved", "Declined", or "In Review".
- The API key must hold the `write:sessions` privilege.
- `for_application_id` must be a real Didit application uuid — usually the partner's app.
Response: 201 Created with the JWT in the `share_token` field plus `for_application_id` and `session_kind` ("user" or "business" — Didit detects this from the source session and embeds it in the token):
{
"share_token": "eyJhbGciOiJIUzI1NiJ9...",
"for_application_id": "partner-app-uuid",
"session_kind": "user"
}
## 3. Transmit the token to Service Y
Service X transmits the `share_token` to Service Y over a pre-arranged backend channel — REST, message queue, signed webhook, anything you control. The token is scoped to Service Y's application and useless to any other application.
## 4. Service Y — import the shared session
Service Y posts the token to the import endpoint:
POST https://verification.didit.me/v3/session/import-shared/
Headers:
x-api-key: <Service Y api key>
Content-Type: application/json
Body:
{
"share_token": "<jwt from step 2>",
"workflow_id": "<Service Y's own workflow id>",
"vendor_data": "<Service Y's internal user id>",
"trust_review": true
}
`trust_review`:
- `true` → the imported session preserves the original status ("Approved" / "Declined" / "In Review"). Service Y onboards the user instantly. Use when Service Y fully trusts Service X's decision (sister brand, regulated partner with a signed data-sharing agreement).
- `false` → the imported session lands in "In Review" so Service Y's compliance team makes its own call. Safe default for new partner relationships.
Response: 201 Created with a brand-new session in Service Y's application:
{
"session_id": "<new uuid>",
"session_number": <int>,
"session_kind": "user" | "business",
"status": "Approved" | "In Review" | "Declined",
"shared_from_session": "<original session uuid in Service X>",
"vendor_data": "<Service Y's internal user id>",
"id_verifications": [...],
"liveness_checks": [...],
"face_matches": [...],
"aml_screenings": [...],
"database_validations": [...],
"proof_of_address": [...],
"phone_verifications": [...],
"email_verifications": [...]
}
For a `session_kind: "business"` token Didit clones the KYB shape instead. KYB session statuses are UPPER_SNAKE_CASE (not Title Case like KYC):
{
"session_id": "<new uuid>",
"session_kind": "business",
"status": "APPROVED",
"shared_from_session": "<original business session uuid>",
"vendor_data": "<Service Y's internal business id>",
"registry_checks": [...],
"key_people_checks": [...],
"document_verifications": [...],
"aml_screenings": [...],
"questionnaires": [...]
}
A new User or Business entity is auto-created in Service Y if one with the supplied `vendor_data` doesn't already exist.
## 5. Idempotency, expiration, errors
| Status | Reason |
|--------|--------|
| 401 | Share token invalid or past `exp` — request a new one. |
| 403 | Token not intended for your application, OR session already imported into your app. |
| 404 | Original session no longer exists. |
| 404 | `workflow_id` not found in your application. |
The duplicate-import check is enforced against the (share_token, partner application) pair.
## 6. Webhooks (optional, only when Service Y wants async updates)
Service Y can register a webhook destination once via:
POST https://verification.didit.me/v3/webhook/destinations/
Body: url, subscribed_events: ["status.updated"]
Every webhook delivery carries an `X-Signature-V2` header you MUST verify before trusting the payload. HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature.
Algorithm:
1. sortKeys(payload) recursively
2. shortenFloats (truncate trailing zeros after the decimal point)
3. JSON.stringify the result
4. HMAC-SHA256 with the secret_shared_key
5. Hex-encode, compare to the X-Signature-V2 header.
## 7. Hard rules — do not change
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: "Approved", "Declined", "In Review", "Not Finished" (Title Case With Spaces — KYC convention).
- session_kind is lowercase: "user" or "business".
- The share API is BUSINESS-to-BUSINESS sharing. Service X and Service Y are responsible for the data-sharing legal basis under General Data Protection Regulation (GDPR), UK GDPR, and any cross-border transfer rules. Didit ships the technical capability; you ship the data-sharing agreement.
## 8. Pricing reference (public)
- Service X already paid for the original verification (full KYC bundle is $0.30 or KYB session starts at $2.00; see didit.me/pricing).
- Service Y pays nothing on the import side — `POST /v3/session/import-shared/` is included with every plan.
- 500 free verifications every month on every account (applies to fresh captures, not imports).
## 9. Verify your integration
- Sandbox starts on signup at https://business.didit.me — no separate flag.
- Create two sandbox applications: one as Service X (issuer), the other as Service Y (importer). Use Service X's API key to mint a token for a finished sandbox session, hand the token off, use Service Y's API key to import.
- Switch to live: flip each application's environment toggle in console.
When in doubt:
- https://docs.didit.me/sessions-api/share-session/overview
- https://docs.didit.me/sessions-api/share-session/share
- https://docs.didit.me/sessions-api/share-session/import
- https://docs.didit.me/core-technology/reusable-kyc/share-kyc-via-api
$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang kamu pakai. 25+ modul. Harga per modul transparan, tanpa biaya minimum bulanan.
MSA & SLA kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak kustom, SLA, atau data residency.
Didit adalah infrastruktur untuk identitas dan fraud, platform yang kami harapkan ada saat kami sendiri membangun produk: terbuka, fleksibel, dan ramah developer, sehingga berfungsi sebagai bagian nyata dari stack Anda, bukan kotak hitam yang Anda integrasikan secara terpisah.
Satu API mencakup verifikasi individu (KYC, know your customer), verifikasi bisnis (KYB, know your business), penyaringan dompet kripto (KYT, know your transaction), dan pemantauan transaksi secara real time, pada stack yang dibangun untuk menjadi:
Jejak di baliknya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal fraud pada setiap sesi. Infrastruktur Didit belajar secara dinamis dari setiap sesi dan menjadi lebih baik setiap hari.
B2B Reusable KYC memungkinkan satu bisnis menyerahkan pengguna atau perusahaan yang sudah terverifikasi ke bisnis lain, sehingga partner dapat meng-onboard orang yang sama tanpa perlu menjalankan verifikasi lagi.
Ini bekerja dalam dua langkah:
Partner Anda memilih kecepatan onboarding. Percayai keputusan Anda dan setujui pengguna secara instan, atau ambil data mentah dan biarkan tim kepatuhan mereka yang memutuskan.
Berfungsi untuk Know Your Customer (KYC) dan Know Your Business (KYB), panggilan yang sama, kedua bentuknya.
Referensi lengkap: docs.didit.me/sessions-api/share-session.
Model bisnis apa pun di mana satu platform meng-onboard pengguna sekali dan beberapa platform partner membutuhkan verifikasi yang sama:
Jika Anda bisa membuat perjanjian berbagi data dengan partner Anda, API ini akan menangani bagian teknisnya.
Alur lengkap biasanya memakan waktu kurang dari 30 detik end-to-end, ambil ID, jepret dokumen, jepret selfie, selesai. Itu yang tercepat di pasar. Penyedia KYC lama biasanya membutuhkan lebih dari 90 detik untuk alur yang sama.
Di sisi back-end, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, diukur dari saat pengguna selesai selfie hingga webhook Anda terpicu. Pengambilan gambar di perangkat seluler dioptimalkan untuk ponsel lambat dan jaringan lambat: kompresi gambar progresif, pemuatan SDK yang malas, dan penyerahan satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai di web.
POST /v3/session/import-shared/ mengembalikan 201 Created dengan sesi baru di aplikasi Anda, session_id dan session_number yang baru, payload lengkap dikloning dari sumber.
Field utama:
status, Approved / Declined / In Review (dipertahankan saat trust_review: true, dipaksa menjadi In Review saat trust_review: false).session_kind, user (KYC) atau business (KYB).shared_from_session, menunjuk ke sesi asli di aplikasi sumber. Sinyal kanonis bahwa sesi ini diimpor, bukan diambil baru.vendor_data, ID pengguna / bisnis internal yang ANDA berikan pada panggilan impor.id_verifications, liveness_checks, face_matches, aml_screenings, database_validations, proof_of_address, location_checks, phone_verifications, email_verifications.registry_checks, key_people_checks (dengan KYC bersarangnya), document_verifications, aml_screenings, questionnaires.Bentuknya identik dengan sesi baru, handler webhook Anda yang sudah ada membacanya dengan cara yang sama.
Setiap sesi berakhir pada salah satu dari tujuh status yang jelas, sehingga kode Anda selalu tahu apa yang harus dilakukan:
Approved, semua pemeriksaan lolos. Lanjutkan pengguna.Declined, satu atau lebih pemeriksaan gagal. Anda dapat mengizinkan pengguna untuk mengirim ulang langkah spesifik yang gagal (misalnya, mengambil ulang selfie) tanpa menjalankan kembali seluruh alur.In Review, ditandai untuk tinjauan kepatuhan. Buka kasus di konsol, lihat setiap sinyal, putuskan untuk menyetujui atau menolak.In Progress, pengguna sedang dalam alur.Not Started, tautan terkirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned, pengguna membuka tautan tetapi tidak selesai tepat waktu. Libatkan kembali atau biarkan kedaluwarsa.Expired, tautan sesi sudah kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani akan terpicu pada setiap perubahan status, sehingga database Anda selalu sinkron. Sesi yang ditinggalkan dan ditolak tidak dikenakan biaya.
Data produksi diproses dan disimpan di Uni Eropa secara default, di Amazon Web Services. Kontrak enterprise dapat meminta wilayah alternatif untuk yurisdiksi yang regulatornya mensyaratkan demikian.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap database, object store, dan backup. Transport Layer Security 1.3 saat transit pada setiap panggilan API, webhook, dan sesi Business Console. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi ada di tangan Anda. Retensi default adalah tak terbatas (unlimited) kecuali Anda mengonfigurasi lebih pendek, antara 30 hari hingga 10 tahun per aplikasi, dan Anda dapat menghapus sesi individual kapan saja dari dashboard atau API.
Sertifikasi: SOC 2 Type 1 (audit Type 2 sedang berlangsung), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pengakuan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada memverifikasi seseorang secara langsung. Laporan lengkap di /security-compliance.
Didit sudah patuh secara default untuk regulator yang relevan dengan infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi, pilih yang paling sesuai dengan stack Anda:
Dashboard yang sama, penagihan yang sama, harga pay-per-success yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
Satu API untuk KYC, KYB, Transaction Monitoring, dan Wallet Screening. Integrasi dalam 5 menit.