Satu pemeriksaan Liveness Pasif di depan setiap tindakan bernilai tinggi. Bot tidak punya wajah untuk ditunjukkan, mereka tidak bisa lolos. Keputusan di bawah dua detik, $0.10 per pemeriksaan, 500 gratis setiap bulan.
Robinhood Ventures
Dipercaya oleh 2.000+ organisasi di seluruh dunia.
Kenapa CAPTCHA tidak lagi efektif
Peternakan pemecah CAPTCHA komersial bisa melewati hCaptcha dan reCAPTCHA Enterprise hanya dengan beberapa sen. Liveness Pasif meminta sesuatu yang tidak dimiliki skrip, manusia sungguhan di depan kamera sungguhan. $0.10 per gerbang, di bawah dua detik, 500 gratis setiap bulan.
Pilih pemeriksaan yang Anda inginkan, ID, liveness, pencocokan wajah, sanksi, alamat, usia, telepon, email, pertanyaan kustom. Seret ke dalam alur di dashboard, atau kirim alur yang sama ke API kami. Buat cabang berdasarkan kondisi, jalankan A/B test, tanpa perlu coding.
Integrasikan secara native dengan SDK Web, iOS, Android, React Native, atau Flutter kami. Redirect ke halaman yang di-host. Atau cukup kirim tautan ke pengguna Anda, via email, SMS, WhatsApp, di mana saja. Pilih yang sesuai dengan stack Anda.
Didit meng-host kamera, isyarat pencahayaan, hand-off seluler, dan aksesibilitas. Saat pengguna berada dalam alur, kami menilai 200+ sinyal penipuan secara real time dan memverifikasi setiap bidang terhadap sumber data otoritatif. Hasil dalam waktu kurang dari dua detik.
Webhook bertanda tangan real-time menjaga database Anda tetap sinkron saat pengguna disetujui, ditolak, atau dikirim untuk ditinjau. Lakukan polling API sesuai permintaan. Atau buka konsol untuk memeriksa setiap sesi, setiap sinyal, dan kelola kasus sesuai keinginan Anda.
Didit · Peta permukaan
Didit · Passive Liveness
Jangan bergerak · 1 dari 1
Lihat ke kamera
Didit · Pertahanan vektor bot
Didit · Analisis Perangkat & IP
Didit · KYC yang Dapat Digunakan Kembali
Lolos pertama
Putar ulang
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "signup-918",
"status": "Approved",
"liveness": { "status": "Approved" }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_bot_gate",
"vendor_data": "signup-918",
"metadata": { "surface": "signup_form" }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
allowSignup(payload.vendor_data);
} else if (payload.status === "Ditolak") {
throttleIP(payload.ip_analysis.ip);
blockAndLog(payload.vendor_data);
}status Disetujui · Ditolak · Dalam Peninjauan · Belum SelesaiYou are integrating Didit Passive Liveness as a bot-gate on a high-value action — sign-up, leaderboard submission, airdrop / token claim, referral payout, comment, or ticket queue. Bots cannot pass Passive Liveness because they have no face to present to the camera. One API call. One signed webhook. One decision.
WHY THIS SHAPE
- Bots scale because they cost nothing per attempt. CAPTCHA stops the dumbest ones but commercial solver farms beat hCaptcha and reCAPTCHA Enterprise at fractions of a cent per solve.
- Passive Liveness asks for something a script does not have: a live human face in front of a real camera. The model decides on one frame, in under two seconds, with no user interaction beyond "hold still".
- $0.10 per check (Passive Liveness module). 500 verifications free every month. Combine with $0.03 IP / device pre-screen to keep the camera off the obvious bots and the budget on real candidates.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow containing the Passive Liveness module — optionally Device & IP Analysis pre-step.
- The high-value action wrapped in a server-side gate that defaults to BLOCK and only unblocks on a verified webhook with status: Approved.
STEP 1 — (Optional) Cheap IP / device pre-screen
Before opening a camera, score the network with Device & IP Analysis ($0.03 / call, under 100ms).
If the score is low and no datacenter / VPN / scripted-user-agent flags fire, run Step 2.
If the score is high or any of those flags fire, skip the liveness call and decline up-front — this saves the camera budget for plausible humans.
STEP 2 — Open a Passive Liveness session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with the Passive Liveness module>",
"vendor_data": "<your action / user id, max 256 chars>",
"callback": "https://<your-app>/bot-gate/callback",
"metadata": {
"surface": "signup_form",
"action_id": "<your internal reference>"
}
}
Response: 201 Created with a hosted session URL. Redirect inline (web) or open in a Software Development Kit (SDK) webview (mobile). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your action / user id>",
"status": "Approved",
"liveness": { "status": "Approved" }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the action
Approved → allow the sign-up / claim / submission.
Declined → block the action. Log liveness warnings (image-only / virtual-cam / replay / deepfake) and throttle the source IP.
Not Finished → invite the user to retry with a fresh session URL.
Expired → session timed out. Resend the link.
Abandoned → the user closed the flow before completing. Resend the link.
STEP 5 — (Optional) Replay Reusable Know Your Customer (KYC) for known humans
If a user has previously completed a Didit-verified session, a fresh liveness check is not required for re-entry — they can replay their verified credential at no cost via Didit Reusable KYC. Use the user's existing session_id to confirm enrollment and skip Step 2. Free forever.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you where in the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT GETS BLOCKED
- Headless Chrome with scripted form submission
- Browser-automation farms (Puppeteer, Playwright, Selenium)
- Image-only submissions (no camera attached)
- Virtual-camera AI face injectors
- Pre-recorded screen replays
- Print or paper attacks
- Silicone / latex masks
- AI-generated deepfake faces
All independently tested at iBeta and certified at Level 1 Presentation Attack Detection (PAD) against the full ISO/IEC 30107-3 catalogue. Re-tested every year.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API.
- Default to BLOCK on the server. Only unblock when the verified webhook says Approved.
- 200+ fraud signals are evaluated on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang kamu pakai. 25+ modul. Harga per modul transparan, tanpa biaya minimum bulanan.
MSA & SLA kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak kustom, SLA, atau data residency.
Didit adalah infrastruktur untuk identitas dan fraud, platform yang kami harapkan ada saat kami sendiri membangun produk: terbuka, fleksibel, dan ramah developer, sehingga berfungsi sebagai bagian nyata dari stack Anda, bukan kotak hitam yang harus Anda integrasikan secara terpisah.
Satu API mencakup verifikasi individu (KYC, know your customer), verifikasi bisnis (KYB, know your business), penyaringan dompet kripto (KYT, know your transaction), dan pemantauan transaksi secara real-time, pada stack yang dibangun agar:
Jejak yang mendasarinya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal fraud di setiap sesi. Infrastruktur Didit belajar secara dinamis dari setiap sesi dan terus meningkat setiap hari.
Apa pun yang mengirimkan formulir, mengklaim pembayaran, memposting komentar, atau membeli tiket tanpa ada manusia sungguhan di dalamnya. Bentuk umum:
Ciri khasnya sama: tidak ada yang melihat layar, jadi tidak ada yang di depan kamera.
Farm pemecah CAPTCHA mengalahkan hCaptcha dan reCAPTCHA Enterprise dengan biaya sepersekian sen per pemecahan. Ekonominya berbalik bertahun-tahun yang lalu, serangan 1.000 akun menghabiskan biaya bagi penyerang kurang dari tagihan bulanan Software-as-a-Service (SaaS) Anda untuk CAPTCHA itu sendiri.
Masalah yang lebih dalam adalah CAPTCHA menguji keterampilan (pengenalan gambar, pengenalan karakter, pola klik) yang sekarang dilakukan mesin lebih baik daripada manusia. Sebuah bot-gate harus menguji sesuatu yang tidak dimiliki mesin. Wajah manusia hidup di depan kamera sungguhan adalah persis itu.
Proses verifikasi penuh biasanya memakan waktu kurang dari 30 detik dari awal hingga akhir, ambil ID, foto dokumen, foto selfie, selesai. Ini adalah yang tercepat di pasar. Penyedia KYC lama biasanya membutuhkan lebih dari 90 detik untuk alur yang sama.
Di sisi back end, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, terhitung sejak pengguna selesai selfie hingga webhook Anda aktif. Pengambilan gambar di perangkat mobile dioptimalkan untuk ponsel dan jaringan lambat: kompresi gambar progresif, pemuatan SDK yang efisien, dan transfer satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai di web.
Semua vektor bot umum:
Semua terdeteksi di lapisan Passive Liveness. Tidak ada yang bisa dimasukkan oleh bot.
Setiap sesi akan berakhir dengan salah satu dari tujuh status yang jelas, jadi kode Anda selalu tahu apa yang harus dilakukan:
Approved, semua pemeriksaan lolos. Lanjutkan pengguna.Declined, satu atau lebih pemeriksaan gagal. Anda bisa mengizinkan pengguna untuk mengirim ulang langkah spesifik yang gagal (misalnya, mengambil ulang selfie) tanpa harus menjalankan ulang seluruh alur.In Review, ditandai untuk tinjauan kepatuhan. Buka kasus di konsol, lihat setiap sinyal, putuskan untuk menyetujui atau menolak.In Progress, pengguna sedang dalam proses.Not Started, tautan terkirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned, pengguna membuka tautan tetapi tidak menyelesaikannya tepat waktu. Libatkan kembali atau biarkan kedaluwarsa.Expired, tautan sesi sudah kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani akan aktif pada setiap perubahan status, sehingga database Anda selalu sinkron. Sesi yang ditinggalkan dan ditolak tidak dikenakan biaya.
Data produksi diproses dan disimpan di Uni Eropa secara default, di Amazon Web Services. Kontrak enterprise dapat meminta wilayah alternatif untuk yurisdiksi yang regulatornya mensyaratkan hal tersebut.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap database, object store, dan backup. Transport Layer Security 1.3 saat transit pada setiap panggilan API, webhook, dan sesi Business Console. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi sepenuhnya di bawah kendali Anda. Retensi default adalah tanpa batas waktu (unlimited) kecuali Anda mengonfigurasi lebih pendek, antara 30 hari hingga 10 tahun per aplikasi, dan Anda dapat menghapus sesi individual kapan saja dari dashboard atau API.
Sertifikasi: SOC 2 Type 1 (audit Type 2 sedang berlangsung), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pengesahan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada memverifikasi seseorang secara langsung. Laporan lengkap di /security-compliance.
Data produksi diproses dan disimpan di Uni Eropa secara default, di Amazon Web Services. Kontrak perusahaan dapat meminta wilayah alternatif untuk yurisdiksi yang mengharuskan regulatornya.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap basis data, penyimpanan objek, dan cadangan. Transport Layer Security 1.3 dalam transit pada setiap panggilan API, webhook, dan sesi Konsol Bisnis. Data biometrik dienkripsi di bawah Kunci Master Pelanggan terpisah.
Retensi adalah milik Anda untuk dikontrol. Retensi default adalah tidak terbatas (tanpa batas) kecuali Anda mengonfigurasi yang lebih pendek, antara 30 hari dan 10 tahun per aplikasi, dan Anda dapat menghapus sesi individual kapan saja dari dasbor atau API.
Sertifikasi: SOC 2 Tipe 1 (audit Tipe 2 sedang berlangsung), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pengesahan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada memverifikasi seseorang secara langsung. Laporan lengkap di /security-compliance.
Didit sudah patuh secara default untuk regulator yang penting bagi infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi, pilih yang paling sesuai dengan stack Anda:
Dashboard yang sama, penagihan yang sama, harga pay-per-success yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
Tidak. Pengguna yang sudah lolos sesi terverifikasi Didit dapat menggunakan kembali kredensialnya tanpa biaya melalui Reusable KYC, gratis selamanya. Cari session_id pengguna sebelumnya; jika kredensialnya valid, lewati pemeriksaan langsung.
Ini menjaga gesekan (dan biaya) pada traffic yang belum pernah Anda lihat sebelumnya. Pengguna yang kembali akan lolos secara instan.
Dua item biaya:
500 verifikasi gratis setiap bulan di setiap akun, sebagian besar tim berada dalam tingkatan gratis selama berminggu-minggu. Pengguna yang kembali melalui Reusable KYC gratis selamanya. Tanpa minimum, tanpa komitmen tahunan, tanpa harga per-kursi.
Di mana pun satu pengiriman bot merugikan tim secara finansial atau reputasi:
Satu alur kerja, setiap permukaan.
Satu API untuk KYC, KYB, Transaction Monitoring, dan Wallet Screening. Integrasi dalam 5 menit.