Peningkatan biometrik di saat-saat krusial yang menjadi target penyerang, transfer, reset kata sandi, login perangkat baru. Verifikasi kurang dari dua detik, sekitar $0.13 per kejadian. 500 verifikasi gratis setiap bulan.
Robinhood Ventures
Dipercaya oleh 2.000+ organisasi di seluruh dunia.
Bagaimana penyerang menyerang
Serangan credential stuffing, SIM-swap, dan pencurian session cookie semuanya melewati kata sandi dan kode satu kali. Ganti dengan Didit step-up pada saat tindakan, $0.10 per panggilan, verifikasi kurang dari dua detik, 500 gratis setiap bulan.
Pilih pemeriksaan yang Anda inginkan, ID, liveness, pencocokan wajah, sanksi, alamat, usia, telepon, email, pertanyaan kustom. Seret ke dalam alur di dashboard, atau posting alur yang sama ke API kami. Buat cabang berdasarkan kondisi, jalankan A/B test, tanpa perlu coding.
Sematkan secara native dengan SDK Web, iOS, Android, React Native, atau Flutter kami. Arahkan ke halaman yang di-hosting. Atau cukup kirim tautan kepada pengguna Anda, melalui email, SMS, WhatsApp, di mana saja. Pilih yang sesuai dengan stack Anda.
Didit meng-hosting kamera, isyarat pencahayaan, hand-off seluler, dan aksesibilitas. Saat pengguna berada dalam alur, kami menilai 200+ sinyal penipuan secara real time dan memverifikasi setiap bidang terhadap sumber data otoritatif. Hasil dalam waktu kurang dari dua detik.
Webhook terenkripsi secara real-time akan menjaga database kamu tetap sinkron saat pengguna disetujui, ditolak, atau dikirim untuk ditinjau. Kamu bisa polling API sesuai kebutuhan, atau buka konsol untuk memeriksa setiap sesi, setiap sinyal, dan mengelola kasus sesuai keinginanmu.
Didit · Kebijakan Step-up
Didit · Autentikasi Biometrik
Langkah 2 / 2
Tetap diam untuk pemeriksaan
Didit · Face Match 1:1
Daftar
Step-up
Didit · Passive Liveness
Didit · Analisis Perangkat & IP
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "user-42",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved",
"similarity_score": 0.94 }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_ato_step_up",
"vendor_data": "user-42",
"metadata": { "trigger": "high_value_transfer" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
unblockAction(payload.vendor_data);
} else if (payload.status === "Declined") {
logWarnings(payload.liveness.warnings);
blockAndAlert(payload.vendor_data);
}status Disetujui · Ditolak · Dalam Peninjauan · Belum SelesaiYou are integrating Didit account-takeover defence into an application that already has the user signed in. Your job: when a sensitive action fires (large transfer, password reset, payout to a new destination, new-device login, geo anomaly), gate it on a Didit biometric step-up. One API call. One signed webhook. Three branches.
WHY THIS SHAPE
- Credential stuffing, SIM-swap, and stolen-session-cookie attacks all walk past passwords and SMS one-time codes. A face check at the moment of the sensitive action does not.
- Didit runs Passive Liveness (the user is alive, present, not a deepfake) plus 1:1 Face Match against the portrait captured at sign-up. A stolen selfie cannot pass — the comparison target is locked to the original enrollment.
- $0.10 per step-up (Biometric Authentication module) + $0.03 IP pre-check (optional) = around $0.13 per event. Sub-two-second verdict on entry-level Android. 500 verifications free every month.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A Workflow Builder workflow that bundles Passive Liveness + Face Match 1:1 (with the user's stored sign-up portrait as the comparison target). Optionally compose Device & IP Analysis ahead of the step-up to pre-gate the check.
- Persist the user's sign-up portrait — either base64 on your side, or rely on Didit's stored enrollment via vendor_data lookup.
STEP 1 — Decide WHEN to step up (your code, not Didit's)
Run your usual fraud signals. Common triggers worth a biometric step-up:
- Wire / crypto transfer above the user's daily limit
- Password / email reset on a session less than 24h old
- Payout to a bank account or wallet seen for the first time
- Login from a new device or new country
- Velocity anomaly — N actions of type T within window W
Cheap pre-check (optional, ~100ms, $0.03):
- Score the user's IP via Device & IP Analysis. If the IP is a residential trusted address with a low risk score AND the device fingerprint matches the user's trusted device, skip the step-up. Otherwise run Step 2.
STEP 2 — Create a biometric step-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id bundling Passive Liveness + Face Match 1:1>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/ato/step-up/callback",
"metadata": {
"trigger": "high_value_transfer",
"action_id": "<your internal action reference>"
},
"portrait_image": "<base64 JPEG of the user's stored sign-up portrait, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the step-up matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user there inline (or open it in a webview / Didit mobile SDK). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook on completion
Didit POSTs the decision to your callback. Verify X-Signature-V2 (HMAC SHA-256 of the raw request body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "score": 11 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the original action on status
Approved → unblock the sensitive action. Log session_id + similarity score on the audit trail.
In Review → hold the action, route to a human review queue.
Declined → block the action, log liveness warnings (mask / deepfake / replay / morph), alert the user.
Not Finished → invite the user to retry with a fresh session URL.
Expired → resend the link; the original session has timed out.
Abandoned → the user closed the flow before completing; resend the link.
STEP 5 — (Optional) Pull the full decision payload
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Returns the same payload as the webhook plus the structured signals (liveness warnings, face-match similarity, IP / device flags). Use for analyst review.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook (one endpoint, status field tells you where in the lifecycle).
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API and lives in a different surface.
- 1:1 face match's comparison target is the user's STORED sign-up portrait, not a freshly captured one. A stolen selfie cannot pass.
- iBeta Level 1 Presentation Attack Detection (PAD) certified against the full ISO/IEC 30107-3 catalogue — print, replay, paper / silicone / latex mask, deepfake, morph.
- The Workflow Builder is where you choose the modules in the step-up — change them in the console without redeploying.
- 200+ fraud signals are surfaced on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang kamu pakai. 25+ modul. Harga per modul transparan, tanpa biaya minimum bulanan.
MSA & SLA kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak kustom, SLA, atau data residency.
Didit adalah infrastruktur untuk identitas dan fraud, platform yang kami harapkan ada saat kami sendiri membangun produk: terbuka, fleksibel, dan ramah developer, sehingga berfungsi sebagai bagian nyata dari stack Anda, bukan kotak hitam yang harus Anda integrasikan secara terpisah.
Satu API mencakup verifikasi individu (KYC, know your customer), verifikasi bisnis (KYB, know your business), penyaringan dompet kripto (KYT, know your transaction), dan pemantauan transaksi secara real-time, pada stack yang dibangun untuk menjadi:
Di baliknya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal fraud di setiap sesi. Infrastruktur Didit belajar secara dinamis dari setiap sesi dan terus menjadi lebih baik setiap hari.
Sebuah account takeover (ATO) terjadi ketika penyerang mendapatkan kendali atas akun pengguna yang sah, biasanya dengan kredensial curian, session cookie yang dibajak, atau SIM-swap yang mencegat One-Time Password (OTP). Dari sana mereka menguras dompet, memindahkan dana, mengubah detail pembayaran, atau mereset email dan mengunci pemilik asli.
Serangan ini melewati password karena password-nya sudah benar. Ia melewati kode Short Message Service (SMS) karena penyerang mengendalikan nomor telepon. Pertahanannya adalah menginterupsi momen tindakan dengan sesuatu yang tidak dimiliki penyerang, wajah pengguna yang sah.
Karena fraud SIM-swap menempatkan kode Short Message Service (SMS) di tangan penyerang. Penyerang meyakinkan operator untuk memindahkan nomor korban ke Subscriber Identity Module (SIM) baru; sejak saat itu, setiap kode yang dikirim bank akan tiba di ponsel penyerang.
Phishing kit di tahun 2026 juga mem-proxy kode secara real-time, pengguna mengetiknya ke halaman palsu, kit memutarnya kembali ke situs asli, sesi terbuka. SMS memberikan satu rahasia bersama per saluran; biometrik memberikan bukti per tindakan yang terikat pada manusia di depan kamera.
Alur lengkap biasanya memakan waktu kurang dari 30 detik dari awal hingga akhir, ambil ID, foto dokumen, foto selfie, selesai. Itu yang tercepat di pasar. Penyedia KYC lama biasanya membutuhkan lebih dari 90 detik untuk alur yang sama.
Di sisi back end, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, diukur dari saat pengguna selesai selfie hingga webhook Anda terpicu. Pengambilan gambar di perangkat mobile dioptimalkan untuk ponsel lambat dan jaringan lambat: kompresi gambar progresif, pemuatan Software Development Kit yang lambat, dan penyerahan satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai di web.
Sign-up menangkap identitas pengguna untuk pertama kalinya, dokumen identitas pemerintah, Optical Character Recognition (OCR), Passive Liveness, dan potret yang menjadi dasar pendaftaran. Ini adalah alur satu kali yang berat.
Step-up adalah versi ringan yang dapat diulang. Mesin liveness yang sama berjalan pada selfie baru; Face Match 1:1 membandingkan selfie baru dengan potret sign-up yang tersimpan. Tanpa dokumen identitas, tanpa OCR. Kurang dari dua detik, $0.10 per sesi.
Setiap sesi berakhir pada salah satu dari tujuh status yang jelas, sehingga kode Anda selalu tahu apa yang harus dilakukan:
Approved, semua pemeriksaan lolos. Lanjutkan pengguna.Declined, satu atau lebih pemeriksaan gagal. Anda dapat mengizinkan pengguna untuk mengirim ulang langkah spesifik yang gagal (misalnya, mengambil ulang selfie) tanpa menjalankan kembali seluruh alur.In Review, ditandai untuk tinjauan kepatuhan. Buka kasus di konsol, lihat setiap sinyal, putuskan setuju atau tolak.In Progress, pengguna sedang dalam alur.Not Started, tautan terkirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned, pengguna membuka tautan tetapi tidak selesai tepat waktu. Libatkan kembali atau biarkan kedaluwarsa.Expired, tautan sesi kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani akan terpicu pada setiap perubahan status, sehingga database Anda selalu sinkron. Sesi yang ditinggalkan dan ditolak gratis.
Data produksi diproses dan disimpan di Uni Eropa secara default, di Amazon Web Services. Kontrak enterprise dapat meminta wilayah alternatif untuk yurisdiksi yang regulatornya mensyaratkan demikian.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap database, object store, dan backup. Transport Layer Security 1.3 saat transit di setiap panggilan API, webhook, dan sesi Business Console. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi dapat Anda kendalikan. Retensi default adalah tak terbatas (unlimited) kecuali Anda mengonfigurasi lebih pendek, antara 30 hari dan 10 tahun per aplikasi, dan Anda dapat menghapus sesi individual kapan saja dari dashboard atau API.
Sertifikasi: SOC 2 Type 1 (audit Type 2 sedang berlangsung), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pengakuan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada verifikasi langsung. Laporan lengkap di /security-compliance.
Didit secara default patuh terhadap regulator yang penting untuk infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi, pilih yang paling sesuai dengan stack Anda:
Dashboard yang sama, penagihan yang sama, harga pay-per-success yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
Lakukan Device & IP Analysis sebelum step-up. $0.03 per pemeriksaan, di bawah 100ms, mengembalikan skor risiko 0–100 ditambah Virtual Private Network (VPN), proxy, The Onion Router (Tor), datacenter, negara, dan flag Autonomous System Number (ASN).
Jika jaringan terlihat bersih (Internet Service Provider (ISP) residensial, fingerprint perangkat tepercaya, tidak ada perubahan negara), lewati verifikasi wajah. Jika skor tinggi atau ada flag yang terpicu, jalankan step-up. Ini menjaga anggaran biometrik pada kejadian yang benar-benar membutuhkannya.
Dua item biaya:
Sekitar $0.13 per tindakan sensitif yang disaring sepenuhnya. 500 verifikasi pertama setiap bulan gratis di setiap akun, sebagian besar tim menemukan volume step-up mereka berada dalam batas tersebut selama beberapa minggu pertama.
Tanpa minimum, tanpa komitmen tahunan, tanpa harga per kursi.
Resep ini berlaku untuk tim mana pun yang menangani tindakan bernilai tinggi. Pola umum yang sudah berjalan:
Workflow Builder yang sama, pemicu yang berbeda, satu integrasi, satu lini harga.
Satu API untuk KYC, KYB, Transaction Monitoring, dan Wallet Screening. Integrasi dalam 5 menit.