Tingkatkan alur sensitif dengan pencocokan wajah di bawah 2 detik terhadap potret terdaftar. Tahan phishing. Tahan pertukaran SIM. $0.10 per autentikasi. 500 verifikasi gratis setiap bulan.
Dipercaya oleh 2.000+ organisasi di seluruh dunia.
Tahan phishing · Tahan pertukaran SIM
Faktor kedua adalah wajah pengguna, dicocokkan 1:1 dengan potret yang mereka daftarkan saat mendaftar. Keaktifan memblokir serangan cetak / putar ulang / topeng / Generative Adversarial Network (GAN) pada bingkai yang sama. Putusan di bawah 2 detik pada Android tingkat pemula. $0.10 per autentikasi. 500 verifikasi gratis setiap bulan.
Pilih pemeriksaan yang Anda inginkan — ID, keaktifan, pencocokan wajah, sanksi, alamat, usia, telepon, email, pertanyaan khusus. Seret ke dalam alur di dasbor, atau posting alur yang sama ke API kami. Cabang berdasarkan kondisi, jalankan tes A/B, tidak perlu kode.
Sematkan secara native dengan SDK Web, iOS, Android, React Native, atau Flutter kami. Alihkan ke halaman yang dihosting. Atau cukup kirim tautan kepada pengguna Anda — melalui email, SMS, WhatsApp, di mana saja. Pilih yang sesuai dengan tumpukan Anda.
Didit meng-host kamera, isyarat pencahayaan, serah terima seluler, dan aksesibilitas. Saat pengguna berada dalam alur, kami menilai 200+ sinyal penipuan secara real time dan memverifikasi setiap bidang terhadap sumber data otoritatif. Hasil dalam waktu kurang dari dua detik.
Webhook bertanda tangan real-time menjaga database Anda tetap sinkron saat pengguna disetujui, ditolak, atau dikirim untuk ditinjau. Polling API sesuai permintaan. Atau buka konsol untuk memeriksa setiap sesi, setiap sinyal, dan mengelola kasus sesuai keinginan Anda.
Didit · Otentikasi Biometrik
Konfirmasi transfer
Tunjukkan wajah Anda untuk otorisasi
Didit · Pencocokan Wajah 1:1
Terdaftar
Kesamaan
0.96
CocokLangsung
Didit · Matriks serangan
Didit · Pemicu peningkatan
Didit · Webhook · X-Signature-V2
Payload
{
"session_id": "<uuid>",
"vendor_data": "user-42",
"status": "Approved",
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}Didit · Ekonomi
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_bio_2fa",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 reference selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'LIVENESS + FACE_MATCH terhadap portrait_image yang disediakan.dokumen →$ curl -X POST https://verification.didit.me/v3/face-match/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image_a=@live.jpg" \
-F "image_b=@enrolled.jpg"You are integrating Didit's Biometric 2FA into <my_stack>. Replace SMS one-time-password (OTP) on sensitive flows — login from a new device, large-value transfer, settings change, account recovery — with a sub-2-second face match against the user's enrolled portrait. Cheaper than SMS. Phishing-resistant. SIM-swap-proof.
1. Enrol the user's portrait ONCE at sign-up via the standard Know Your Customer (KYC) session.
2. On every sensitive action, open a Biometric Authentication session that runs Passive Liveness + Face Match 1:1 against the stored portrait. Verdict in sub-2-seconds.
Pricing (public):
- Biometric Authentication: $0.10 per authentication (Sessions API)
- Standalone Face Match 1:1: $0.05 per match (server-to-server)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled — either via a full KYC session (recommended; the portrait is stored automatically and never leaves Didit) or via a portrait you supply on each re-auth.
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session must be opened with workflow_type = "biometric_authentication" (or use a workflow that has FACE_MATCH and pass a portrait_image at session creation).
STEP 1 — Enrolment (one-time, at user sign-up)
Run a standard KYC session at sign-up. Didit stores the portrait (the face captured during the liveness step) as the user's enrolled template, bound to vendor_data.
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<your KYC workflow>",
"vendor_data": "<your user id>"
}
No additional code — once the user passes KYC, their enrolled portrait is ready for every future re-auth.
STEP 2 — Re-authentication (on every sensitive action)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/2fa/callback",
"metadata": {
"reason": "<login_new_device | high_value_txn | settings_change | account_recovery>",
"amount": "<optional, for large-value transfers>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user to it. The hosted UI:
- Opens the front camera
- Captures one passive frame
- Runs Liveness + Face Match 1:1 against the user's enrolled portrait
- Returns the verdict in sub-2-seconds
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved", "method": "PASSIVE", "score": 96 },
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Branch your application:
Approved → execute the action (sign in, release the transfer, save settings).
Declined → block the action, re-prompt with a higher-friction recovery path (support contact / KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back.
STEP 4 — Alternate path (server-to-server, when you already have the selfie)
If you already captured the selfie locally (native mobile SDK, in-app camera):
POST https://verification.didit.me/v3/face-match/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image_a <the live selfie>
image_b <the enrolled portrait>
Response: similarity_score (0-1), status (Approved | Declined | In Review).
Use the standalone path only when you trust your client-side capture pipeline. For browser flows or any surface where the SDK is not embedded, always prefer the hosted session — Didit's liveness check is harder to defeat than a raw camera grab.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Always verify X-Signature-V2 on every payload.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, ID_VERIFICATION, AML, IP_ANALYSIS, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The biometric template is irreversible (a one-way hash) and stored on Didit's infrastructure. You never receive the raw template. Standard data-subject-deletion rules apply.
PRO TIPS
- Pair Biometric 2FA with Device & IP Analysis (bundled into the 200+ fraud-signal stack). A re-auth that originates from a brand-new device + a brand-new IP should always step up to face.
- For the strongest possible surface, swap method PASSIVE for ACTIVE_3D — a short motion challenge — on transfers above your operational risk threshold.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang Anda gunakan. 25+ modul. Harga per modul publik, tanpa biaya minimum bulanan.
MSA & SLA Kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak khusus, SLA, atau residensi data.
Didit adalah infrastruktur untuk identitas dan penipuan — platform yang kami harapkan ada saat kami membangun produk sendiri: terbuka, fleksibel, dan ramah pengembang, sehingga berfungsi sebagai bagian nyata dari tumpukan Anda, bukan kotak hitam yang Anda integrasikan di sekitarnya.
Satu API mencakup verifikasi orang (KYC, kenali pelanggan Anda), verifikasi bisnis (KYB, kenali bisnis Anda), penyaringan dompet kripto (KYT, kenali transaksi Anda), dan pemantauan transaksi secara real time — pada tumpukan yang dibangun untuk menjadi:
Jejak di bawahnya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal penipuan di setiap sesi. Infrastruktur Didit secara dinamis belajar dari setiap sesi dan menjadi lebih baik setiap hari.
Autentikasi faktor kedua menggunakan wajah pengguna, bukan kode yang dikirim melalui jaringan. Faktor pertama adalah apa yang diketahui pengguna (kata sandi, passkey, tautan ajaib). Faktor kedua adalah apa yang ada pada pengguna — selfie langsung yang dicocokkan 1:1 dengan potret yang didaftarkan pengguna sebelumnya.
Ini berada di tempat yang sama dengan kata sandi satu kali (OTP) SMS dalam alur aplikasi Anda, tetapi dengan biaya, keamanan, dan profil konversi yang berbeda.
Empat kelas serangan yang terdokumentasi dengan baik mengalahkannya. Federal Bureau of Investigation (FBI) AS dan National Cyber Security Centre (NCSC) Inggris keduanya telah menerbitkan panduan yang mengarahkan organisasi menjauh dari SMS untuk alur sensitif.
Alur lengkap biasanya memakan waktu kurang dari 30 detik dari awal hingga akhir — ambil ID, jepret dokumen, jepret selfie, selesai. Itu yang tercepat di pasar. Penyedia KYC lama biasanya memakan waktu lebih dari 90 detik untuk alur yang sama.
Di bagian belakang, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, diukur dari saat pengguna selesai mengambil selfie hingga saat webhook Anda aktif. Pengambilan seluler disesuaikan untuk ponsel lambat dan jaringan lambat: kompresi gambar progresif, pemuatan SDK yang lambat, dan penyerahan satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai di web.
Sebagian besar tim mendaftar selama sesi Know Your Customer (KYC) asli pengguna. Potret yang diambil oleh langkah keaktifan disimpan terikat pada vendor_data Anda dan digunakan sebagai templat untuk setiap autentikasi ulang berikutnya.
Jika Anda tidak menjalankan KYC saat pendaftaran, Anda dapat menjalankan sesi pendaftaran satu kali terhadap alur kerja Didit yang hanya berisi LIVENESS + FACE_MATCH. Salah satu jalur berharga $0.10 sekali, dan templat yang dihasilkan dapat digunakan kembali untuk setiap autentikasi di masa mendatang.
Setiap sesi berakhir pada salah satu dari tujuh status yang jelas, sehingga kode Anda selalu tahu apa yang harus dilakukan:
Approved — setiap pemeriksaan lulus. Lanjutkan pengguna.Declined — satu atau lebih pemeriksaan gagal. Anda dapat mengizinkan pengguna untuk mengirim ulang langkah yang gagal (misalnya, mengambil ulang selfie) tanpa menjalankan ulang seluruh alur.In Review — ditandai untuk peninjauan kepatuhan. Buka kasus di konsol, lihat setiap sinyal, putuskan setujui atau tolak.In Progress — pengguna sedang dalam alur.Not Started — tautan terkirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned — pengguna membuka tautan tetapi tidak selesai tepat waktu. Libatkan kembali atau kedaluwarsa.Expired — tautan sesi sudah kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani aktif pada setiap perubahan status, sehingga database Anda selalu sinkron. Sesi yang ditinggalkan dan ditolak gratis.
Data produksi diproses dan disimpan di Uni Eropa secara default, di Amazon Web Services. Kontrak perusahaan dapat meminta wilayah alternatif untuk yurisdiksi yang regulatornya memerlukannya.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap database, penyimpanan objek, dan cadangan. Transport Layer Security 1.3 dalam transit pada setiap panggilan API, webhook, dan sesi Konsol Bisnis. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi adalah milik Anda untuk dikontrol. Retensi default adalah tidak terbatas (tak terbatas) kecuali Anda mengonfigurasi yang lebih pendek — antara 30 hari dan 10 tahun per aplikasi — dan Anda dapat menghapus sesi individual kapan saja dari dasbor atau API.
Sertifikasi: SOC 2 Tipe 1 (audit Tipe 2 sedang berlangsung), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pengesahan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada memverifikasi seseorang secara langsung. Laporan lengkap di /security-compliance.
Didit sesuai secara default untuk regulator yang penting bagi infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi — pilih mana saja yang sesuai dengan tumpukan Anda:
Dasbor yang sama, penagihan yang sama, harga bayar-per-sukses yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
Ini adalah drop-in untuk kontrak callback kata sandi satu kali Anda yang sudah ada.
POST /v3/session/ dengan workflow_type: "biometric_authentication" dan vendor_data yang sama yang Anda gunakan saat pendaftaran.session_url yang dikembalikan.X-Signature-V2 pada webhook sebelum mempercayai isinya.status — Approved (jalankan tindakan), Declined (blokir), In Review (antrean), Not Finished (minta ulang).Sebagian besar tim menukar SMS dengan wajah dalam satu akhir pekan. Prompt yang dapat ditempel agen lengkap ada di atas; server Model Context Protocol (MCP) berbicara di kedua permukaan.
Pencocokan Wajah 1:1 kuat terhadap perubahan penampilan moderat — rambut wajah, kacamata, warna rambut, pencahayaan. Skor kemiripan yang dikembalikan per autentikasi mencerminkan seberapa yakin model tersebut.
Untuk pengguna yang melampaui ambang batas persetujuan otomatis (kasus tipikal: perubahan berat badan yang drastis, operasi, penuaan selama bertahun-tahun), keputusan mengembalikan In Review dan mengarah ke antrean operasi Anda. Jalur pemulihan standar adalah sesi pendaftaran ulang — satu panggilan KYC menyegarkan potret, dan autentikasi berikutnya menggunakan templat baru.
Ya untuk kategori inherence. Standar Teknis Regulasi Otoritas Perbankan Eropa tentang Autentikasi Pelanggan Kuat mengakui atribut biometrik (sesuatu yang Anda miliki) sebagai faktor kedua yang valid ketika dipasangkan dengan salah satu dari dua kategori lainnya (pengetahuan atau kepemilikan).
Untuk alur autentikasi pelanggan kuat PSD2 lengkap, pasangkan 2FA biometrik dengan kata sandi pengguna (pengetahuan) atau sesi terikat perangkat (kepemilikan). Keputusan Didit yang ditandatangani adalah bukti paket audit dari faktor inherence.
Satu API untuk KYC, KYB, Pemantauan Transaksi, dan Penyaringan Dompet. Integrasikan dalam 5 menit.