Tingkatkan keamanan alur sensitif dengan pencocokan wajah di bawah 2 detik terhadap potret yang sudah didaftarkan. Tahan phishing. Anti-SIM swap. $0.10 per autentikasi. 500 verifikasi gratis setiap bulan.
Robinhood Ventures
Dipercaya oleh 2.000+ organisasi di seluruh dunia.
Tahan Phishing · Anti-SIM swap
Faktor kedua adalah wajah pengguna, dicocokkan 1:1 dengan potret yang mereka daftarkan saat sign-up. Liveness memblokir serangan print / replay / mask / Generative Adversarial Network (GAN) pada frame yang sama. Verifikasi di bawah 2 detik pada Android entry-level. $0.10 per autentikasi. 500 verifikasi gratis setiap bulan.
Pilih pemeriksaan yang Anda inginkan, ID, liveness, pencocokan wajah, sanksi, alamat, usia, telepon, email, pertanyaan kustom. Seret ke dalam alur di dashboard, atau posting alur yang sama ke API kami. Buat cabang berdasarkan kondisi, jalankan A/B test, tanpa perlu coding.
Sematkan secara native dengan SDK Web, iOS, Android, React Native, atau Flutter kami. Redirect ke halaman yang di-host. Atau cukup kirim tautan kepada pengguna Anda, melalui email, SMS, WhatsApp, di mana saja. Pilih yang sesuai dengan stack Anda.
Didit meng-host kamera, isyarat pencahayaan, hand-off seluler, dan aksesibilitas. Saat pengguna berada dalam alur, kami menilai 200+ sinyal penipuan secara real time dan memverifikasi setiap bidang terhadap sumber data otoritatif. Hasil dalam waktu kurang dari dua detik.
Webhook bertanda tangan real-time menjaga database Anda tetap sinkron saat pengguna disetujui, ditolak, atau dikirim untuk ditinjau. Lakukan polling API sesuai permintaan. Atau buka konsol untuk memeriksa setiap sesi, setiap sinyal, dan mengelola kasus sesuai keinginan Anda.
Didit · Autentikasi Biometrik
Konfirmasi transfer
Tunjukkan wajahmu untuk otorisasi
Didit · Face Match 1:1
Terdaftar
Kemiripan
0.96
CocokAktif
Didit · Matriks Serangan
Didit · Pemicu Step-up
Didit · Webhook · X-Signature-V2
Payload
{
"session_id": "<uuid>",
"vendor_data": "user-42",
"status": "Approved",
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}Didit · Ekonomi
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_bio_2fa",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 reference selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }$ curl -X POST https://verification.didit.me/v3/face-match/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image_a=@live.jpg" \
-F "image_b=@enrolled.jpg"{ "status": "Disetujui", "similarity_score": 0.96 }You are integrating Didit's Biometric 2FA into <my_stack>. Replace SMS one-time-password (OTP) on sensitive flows — login from a new device, large-value transfer, settings change, account recovery — with a sub-2-second face match against the user's enrolled portrait. Cheaper than SMS. Phishing-resistant. SIM-swap-proof.
1. Enrol the user's portrait ONCE at sign-up via the standard Know Your Customer (KYC) session.
2. On every sensitive action, open a Biometric Authentication session that runs Passive Liveness + Face Match 1:1 against the stored portrait. Verdict in sub-2-seconds.
Pricing (public):
- Biometric Authentication: $0.10 per authentication (Sessions API)
- Standalone Face Match 1:1: $0.05 per match (server-to-server)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled — either via a full KYC session (recommended; the portrait is stored automatically and never leaves Didit) or via a portrait you supply on each re-auth.
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session must be opened with workflow_type = "biometric_authentication" (or use a workflow that has FACE_MATCH and pass a portrait_image at session creation).
STEP 1 — Enrolment (one-time, at user sign-up)
Run a standard KYC session at sign-up. Didit stores the portrait (the face captured during the liveness step) as the user's enrolled template, bound to vendor_data.
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<your KYC workflow>",
"vendor_data": "<your user id>"
}
No additional code — once the user passes KYC, their enrolled portrait is ready for every future re-auth.
STEP 2 — Re-authentication (on every sensitive action)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/2fa/callback",
"metadata": {
"reason": "<login_new_device | high_value_txn | settings_change | account_recovery>",
"amount": "<optional, for large-value transfers>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user to it. The hosted UI:
- Opens the front camera
- Captures one passive frame
- Runs Liveness + Face Match 1:1 against the user's enrolled portrait
- Returns the verdict in sub-2-seconds
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved", "method": "PASSIVE", "score": 96 },
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Branch your application:
Approved → execute the action (sign in, release the transfer, save settings).
Declined → block the action, re-prompt with a higher-friction recovery path (support contact / KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back.
STEP 4 — Alternate path (server-to-server, when you already have the selfie)
If you already captured the selfie locally (native mobile SDK, in-app camera):
POST https://verification.didit.me/v3/face-match/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image_a <the live selfie>
image_b <the enrolled portrait>
Response: similarity_score (0-1), status (Approved | Declined | In Review).
Use the standalone path only when you trust your client-side capture pipeline. For browser flows or any surface where the SDK is not embedded, always prefer the hosted session — Didit's liveness check is harder to defeat than a raw camera grab.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Always verify X-Signature-V2 on every payload.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, ID_VERIFICATION, AML, IP_ANALYSIS, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The biometric template is irreversible (a one-way hash) and stored on Didit's infrastructure. You never receive the raw template. Standard data-subject-deletion rules apply.
PRO TIPS
- Pair Biometric 2FA with Device & IP Analysis (bundled into the 200+ fraud-signal stack). A re-auth that originates from a brand-new device + a brand-new IP should always step up to face.
- For the strongest possible surface, swap method PASSIVE for ACTIVE_3D — a short motion challenge — on transfers above your operational risk threshold.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang kamu pakai. 25+ modul. Harga per modul transparan, tanpa biaya minimum bulanan.
MSA & SLA kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak kustom, SLA, atau data residency.
Didit adalah infrastruktur untuk identitas dan penipuan, platform yang kami harapkan ada saat kami sendiri membangun produk: terbuka, fleksibel, dan ramah developer, sehingga berfungsi sebagai bagian nyata dari stack Anda, bukan kotak hitam yang Anda integrasikan secara terpisah.
Satu API mencakup verifikasi individu (KYC, know your customer), verifikasi bisnis (KYB, know your business), penyaringan dompet kripto (KYT, know your transaction), dan pemantauan transaksi secara real time, pada stack yang dibangun untuk menjadi:
Jejak di baliknya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal penipuan pada setiap sesi. Infrastruktur Didit belajar secara dinamis dari setiap sesi dan menjadi lebih baik setiap hari.
Autentikasi faktor kedua menggunakan wajah pengguna, bukan kode yang dikirim melalui jaringan. Faktor pertama adalah apa yang diketahui pengguna (kata sandi, passkey, magic link). Faktor kedua adalah apa yang ada pada pengguna, selfie langsung yang dicocokkan 1:1 dengan potret yang didaftarkan pengguna sebelumnya.
Ini berada di tempat yang sama dengan SMS one-time-password (OTP) dalam alur aplikasi Anda, tetapi dengan biaya, keamanan, dan profil konversi yang berbeda.
Empat kelas serangan yang terdokumentasi dengan baik dapat mengalahkannya. Federal Bureau of Investigation (FBI) AS dan UK National Cyber Security Centre (NCSC) keduanya telah menerbitkan panduan yang mengarahkan organisasi untuk menjauhi SMS untuk alur sensitif.
Alur lengkap biasanya memakan waktu kurang dari 30 detik dari awal hingga akhir, ambil ID, jepret dokumen, jepret selfie, selesai. Itu adalah yang tercepat di pasar. Penyedia KYC lama biasanya membutuhkan lebih dari 90 detik untuk alur yang sama.
Di sisi backend, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, diukur dari saat pengguna selesai selfie hingga webhook Anda aktif. Pengambilan seluler disesuaikan untuk ponsel lambat dan jaringan lambat: kompresi gambar progresif, pemuatan SDK yang malas, dan serah terima satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai di web.
Sebagian besar tim mendaftarkan selama sesi Know Your Customer (KYC) awal pengguna. Potret yang diambil oleh langkah liveness disimpan terikat dengan vendor_data Anda dan digunakan sebagai template untuk setiap autentikasi ulang berikutnya.
Jika Anda tidak menjalankan KYC saat pendaftaran, Anda dapat menjalankan sesi pendaftaran satu kali terhadap alur kerja Didit yang hanya berisi LIVENESS + FACE_MATCH. Kedua jalur tersebut berbiaya $0.10 sekali, dan template yang dihasilkan dapat digunakan kembali untuk setiap autentikasi di masa mendatang.
Setiap sesi akan berakhir dengan salah satu dari tujuh status yang jelas, jadi kode Anda selalu tahu apa yang harus dilakukan:
Approved, semua pemeriksaan lolos. Lanjutkan proses pengguna.Declined, satu atau lebih pemeriksaan gagal. Anda bisa mengizinkan pengguna untuk mengirim ulang langkah spesifik yang gagal (misalnya, mengambil ulang selfie) tanpa harus menjalankan ulang seluruh alur.In Review, ditandai untuk peninjauan kepatuhan. Buka kasusnya di konsol, lihat semua sinyal, putuskan untuk menyetujui atau menolak.In Progress, pengguna sedang dalam proses.Not Started, tautan sudah dikirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned, pengguna membuka tautan tetapi tidak menyelesaikannya tepat waktu. Ajak kembali atau biarkan kedaluwarsa.Expired, tautan sesi sudah kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani akan aktif pada setiap perubahan status, jadi database Anda selalu sinkron. Sesi yang ditinggalkan dan ditolak tidak dikenakan biaya.
Data produksi secara default diproses dan disimpan di Uni Eropa, di Amazon Web Services. Kontrak enterprise dapat meminta wilayah alternatif untuk yurisdiksi yang diwajibkan oleh regulatornya.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap database, object store, dan backup. Transport Layer Security 1.3 saat transit di setiap panggilan API, webhook, dan sesi Business Console. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi ada dalam kendali Anda. Retensi default adalah tanpa batas (unlimited) kecuali Anda mengonfigurasi lebih pendek, antara 30 hari hingga 10 tahun per aplikasi, dan Anda dapat menghapus sesi individual kapan saja dari dashboard atau API.
Sertifikasi: SOC 2 Type 1 (audit Type 2 sedang berjalan), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pernyataan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada memverifikasi seseorang secara langsung. Laporan lengkap di /security-compliance.
Didit secara default patuh terhadap regulator yang penting untuk infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi, pilih yang paling sesuai dengan stack Anda:
Dashboard yang sama, penagihan yang sama, harga pay-per-success yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
Ini adalah drop-in untuk kontrak callback one-time-password Anda yang sudah ada.
POST /v3/session/ dengan workflow_type: "biometric_authentication" dan vendor_data yang sama dengan yang Anda gunakan saat pendaftaran.session_url yang dikembalikan.X-Signature-V2 pada webhook sebelum memercayai body.status, Approved (jalankan tindakan), Declined (blokir), In Review (antrekan), Not Finished (minta ulang).Kebanyakan tim mengganti SMS dengan wajah dalam satu akhir pekan. Prompt lengkap yang bisa langsung ditempel agen ada di atas; server Model Context Protocol (MCP) mendukung kedua antarmuka.
Face Match 1:1 tangguh terhadap perubahan penampilan moderat, rambut wajah, kacamata, warna rambut, pencahayaan. Skor kemiripan yang dikembalikan per autentikasi mencerminkan seberapa yakin model tersebut.
Untuk pengguna yang melampaui ambang batas persetujuan otomatis (kasus umum: perubahan berat badan drastis, operasi, penuaan selama bertahun-tahun), hasilnya akan In Review dan dialihkan ke antrean operasional Anda. Jalur pemulihan standar adalah sesi pendaftaran ulang, satu panggilan KYC menyegarkan potret, dan autentikasi berikutnya menggunakan template baru.
Ya, untuk kategori inherence. Standar Teknis Regulasi Otoritas Perbankan Eropa tentang Autentikasi Pelanggan Kuat mengakui atribut biometrik (sesuatu yang Anda miliki) sebagai faktor kedua yang valid ketika dipasangkan dengan salah satu dari dua kategori lainnya (pengetahuan atau kepemilikan).
Untuk alur autentikasi pelanggan kuat PSD2 yang lengkap, pasangkan 2FA biometrik dengan kata sandi pengguna (pengetahuan) atau sesi yang terikat perangkat (kepemilikan). Hasil Didit yang ditandatangani adalah bukti audit faktor inherence.
Satu API untuk KYC, KYB, Transaction Monitoring, dan Wallet Screening. Integrasi dalam 5 menit.