Didit menukar data Travel Rule dan menyaring dompet pihak lawan dalam satu panggilan transaksi /v3/ yang sama. Payload IVMS-101, $0.17 per transfer terkelola, 500 verifikasi gratis setiap bulan.
Robinhood Ventures
Dipercaya oleh 2.000+ organisasi di seluruh dunia.
Apa yang diwajibkan Travel Rule
Setiap VASP yang teregulasi wajib memenuhi kedua bagian pada setiap transfer, paket IVMS-101 untuk VASP pihak lawan, dan pemeriksaan risiko on-chain untuk dirinya sendiri. Didit mengirimkannya sebagai satu panggilan API Transaksi: $0.17 terkelola, $0.04 dengan Bring Your Own Key pada penyedia dompet. 500 verifikasi gratis setiap bulan.
Pilih pemeriksaan yang Anda inginkan, ID, liveness, pencocokan wajah, sanksi, alamat, usia, telepon, email, pertanyaan kustom. Seret ke dalam alur di dashboard, atau kirim alur yang sama ke API kami. Buat cabang berdasarkan kondisi, jalankan A/B test, tanpa perlu kode.
Sematkan secara native dengan SDK Web, iOS, Android, React Native, atau Flutter kami. Arahkan ke halaman yang di-host. Atau cukup kirim tautan kepada pengguna Anda, melalui email, SMS, WhatsApp, di mana saja. Pilih yang sesuai dengan stack Anda.
Didit meng-host kamera, isyarat pencahayaan, serah terima seluler, dan aksesibilitas. Saat pengguna dalam alur, kami menilai 200+ sinyal penipuan secara real time dan memverifikasi setiap bidang terhadap sumber data otoritatif. Hasil dalam waktu kurang dari dua detik.
Webhook yang ditandatangani secara real-time menjaga database Anda tetap sinkron saat pengguna disetujui, ditolak, atau dikirim untuk ditinjau. Lakukan polling API sesuai permintaan. Atau buka konsol untuk memeriksa setiap sesi, setiap sinyal, dan mengelola kasus sesuai keinginan Anda.
Didit · IVMS-101
Originator
Penerima
Didit · Aturan per wilayah
Didit · Interoperabilitas TR
Didit · Unhosted wallet
Didit · Transactions API
Didit · Paket bukti
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_casp_onboard",
"vendor_data": "user-42"
}'{ status Disetujui · Dalam Peninjauan · Ditolak }$ curl -X POST https://verification.didit.me/v3/transactions/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"transaction_id": "tx-9001",
"transaction_details": { "direction": "OUTBOUND", "currency_kind": "crypto" },
"subject": { "full_name": "J. Pérez" },
"counterparty": { "full_name": "R. Beneficiary", "payment_method": { "account_id": "bc1qa3…hk22" }}
}'{ status APPROVED · IN_REVIEW · DECLINED · AWAITING_USER }You are integrating Didit into a Virtual Asset Service Provider (VASP) / Crypto-Asset Service Provider (CASP) to satisfy the Travel Rule on every crypto transfer. Two obligations:
1. Verify the user (KYC) — identity, liveness, face match, device + IP, AML. The originator data on every outbound transfer comes from this verified profile.
2. Submit each transfer with originator + beneficiary fields (IVMS-101) AND screen the counterparty wallet — one /v3/transactions/ call.
Bundle pricing (verified live 2026-05-16):
- User Verification (KYC) bundle: $0.33 per user (Sessions API)
- Transactions API call: $0.02 base + $0.15 managed wallet screen = $0.17 per managed transfer
- With Bring Your Own Key (BYOK) on the wallet provider: $0.04 per transfer ($0.02 + $0.02)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A workflow_id from the no-code Workflow Builder with ID Verification + Passive Liveness + Face Match 1:1 + Device & IP Analysis + AML Screening.
- Transaction Monitoring + Wallet Screening enabled in the Business Console (Transactions > Settings).
STEP 1 — Verify the user with the Sessions API (one-time onboarding)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with KYC + AML modules>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/casp/onboard/callback",
"metadata": {
"purpose": "casp_onboarding"
}
}
Response: 201 Created with the hosted session URL. Sub-2-second median verdict on completion.
STEP 2 — Read the signed webhook on KYC completion
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body.
Capture the user's full name, date of birth, address, and any registered identity-document number from the decision payload. These fields populate the IVMS-101 originator block on every subsequent transfer.
STEP 3 — Submit every transfer with IVMS-101 + wallet screen in one call
POST https://verification.didit.me/v3/transactions/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (required fields verified live 2026-05-16):
{
"transaction_id": "<your internal transfer reference>",
"transaction_category": "finance",
"include_crypto_screening": true,
"transaction_details": {
"direction": "OUTBOUND",
"amount": "0.45",
"currency": "ETH",
"currency_kind": "crypto",
"action_type": "transfer"
},
"subject": {
"entity_type": "individual",
"vendor_data": "<your user id>",
"full_name": "<originator name from KYC>",
"address": "<originator address from KYC>",
"dob": "<originator dob from KYC, YYYY-MM-DD>"
},
"counterparty": {
"entity_type": "individual",
"full_name": "<beneficiary name>",
"address": "<beneficiary address if known>",
"payment_method": {
"method_type": "crypto_wallet",
"account_id": "<counterparty wallet address>"
}
}
}
REQUIRED fields the API rejects if missing:
- subject.vendor_data + subject.full_name
- counterparty.full_name
- transaction_details.direction + currency + currency_kind + amount
- counterparty.payment_method.account_id (the wallet address)
Didit packages the subject + counterparty fields into an IVMS-101 payload, hands them off to the connected Travel Rule protocol (TRP / Sumsub TR / Notabene / Veriscope), runs Wallet Screening on the counterparty address server-side, and returns one verdict.
Response shape (excerpted from a real successful 201):
{
"uuid": "<server transaction uuid>",
"txn_id": "<your transaction_id echoed back>",
"status": "APPROVED",
"score": 0,
"severity": null,
"travel_rule": { "status": "EXCHANGED", "protocol": "<network>", "ivms_packet_id": "<id>" },
"props": {
"wallet_risk_score": 0,
"sanctions_hit": false,
"aml_provider": "<provider slug>",
"aml_screening_type": "WALLET_SCREENING",
"aml_screening_status": "COMPLETED"
},
"cost_breakdown": {
"total_price": 0.17,
"items": [
{ "usage_type": "transaction_aml_monitoring", "price": 0.15 },
{ "usage_type": "transaction_monitoring", "price": 0.02 }
]
}
}
Transaction status enum (exact case, UPPER_SNAKE_CASE): APPROVED | IN_REVIEW | DECLINED | AWAITING_USER.
Wallet-screen severity (UPPER): LOW | MEDIUM | HIGH | CRITICAL | UNKNOWN.
Branch logic:
APPROVED → release the crypto.
IN_REVIEW → hold the transfer, route to analyst queue.
DECLINED → refuse the transfer, log the IVMS attempt for the audit.
AWAITING_USER → redirect the user to the remediation URL on the response.
STEP 4 — Inbound transfers: ingest the counterparty's IVMS packet
When you RECEIVE a transfer from another VASP:
- The connected Travel Rule protocol delivers the originator IVMS data to you BEFORE the on-chain transfer settles.
- Submit it via the same POST /v3/transactions/ with direction: "INBOUND" and the originator fields on subject and your own beneficiary on counterparty.
- Wallet Screening runs on the originator wallet (subject.payment_method.account_id).
- Verdict drives whether to credit the user.
STEP 5 — Self-hosted (unhosted) wallet transfers
For transfers TO a self-hosted wallet (no counterparty VASP to exchange with):
- Collect the beneficiary identity from the user via a custom questionnaire ($0.10).
- Above local enhanced-due-diligence thresholds, prompt the user to sign a short message with the beneficiary wallet's private key as proof of control.
- Submit the transaction with the captured beneficiary fields + wallet address.
- Didit still runs Wallet Screening on the destination and stores the IVMS-format record for the audit.
STEP 6 — Continuous AML on the user is automatic
Every approved user is re-screened daily against 1,300+ sanctions, PEP, and adverse-media lists. There is NO separate endpoint to call. When a previously-clean user crosses an AML threshold, the session status updates and a signed webhook fires.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Transactions: transaction.created · transaction.updated · transaction.status.changed · transaction.alert.generated.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses Title Case With Spaces; transaction statuses UPPER_SNAKE_CASE. Don't mix.
- EU Transfer of Funds Regulation has NO de minimis threshold for crypto — every transfer carries originator + beneficiary data.
- US Travel Rule kicks in at $3,000; UK at £1,000; Singapore at SGD 1,500; Switzerland at CHF 1,000. Apply per-workflow.
- Default record retention is 5 years post-transfer per most AML regimes; extensible per supervisor guidance.
- Wallet Screening MUST run BEFORE the crypto leaves — a post-transfer screen is useful for audit but useless for blocking.
Read the docs:
- https://docs.didit.me/transaction-monitoring/overview
- https://docs.didit.me/transaction-monitoring/transactions
- https://docs.didit.me/transaction-monitoring/aml-screening
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang kamu pakai. 25+ modul. Harga per modul transparan, tanpa biaya minimum bulanan.
MSA & SLA kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak kustom, SLA, atau data residency.
Didit adalah infrastruktur untuk identitas dan fraud, platform yang kami harapkan ada saat kami sendiri membangun produk: terbuka, fleksibel, dan developer-friendly, sehingga berfungsi sebagai bagian nyata dari stack Anda, bukan kotak hitam yang harus Anda integrasikan secara terpisah.
Satu API mencakup verifikasi individu (KYC, know your customer), verifikasi bisnis (KYB, know your business), screening wallet kripto (KYT, know your transaction), dan pemantauan transaksi secara real time, pada stack yang dibangun agar:
Jejak di baliknya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal fraud pada setiap sesi. Infrastruktur Didit belajar secara dinamis dari setiap sesi dan terus meningkat setiap hari.
Travel Rule menyatakan bahwa ketika nilai berpindah antar dua penyedia layanan yang teregulasi, informasi pelanggan tertentu, nama, nomor rekening, alamat, harus ikut berpindah bersama nilai tersebut.
Aturan ini bermula dari keuangan tradisional (US Bank Secrecy Act tahun 1970), diperluas secara global oleh Financial Action Task Force (FATF) pada tahun 2019, dan kini berlaku untuk kripto di mana saja. Format payload standarnya adalah InterVASP Messaging Standard 101 (IVMS-101), skema JSON yang digunakan oleh setiap protokol Travel Rule utama.
Tujuan regulator sederhana: menghentikan pelaku kejahatan mencuci uang secara anonim melalui rantai penyedia layanan dengan memastikan data identitas mengikuti nilai di setiap langkah.
Setiap Virtual Asset Service Provider (VASP) atau Crypto-Asset Service Provider (CASP) yang teregulasi, bursa, on/off-ramp, dompet kustodian, broker, meja OTC, lembaga pembayaran yang menangani penyelesaian kripto.
Yurisdiksi yang sudah berlaku:
FATF melakukan evaluasi bersama terhadap implementasi setiap negara. Yurisdiksi yang tidak patuh berisiko masuk daftar abu-abu.
Proses lengkapnya biasanya memakan waktu kurang dari 30 detik dari awal hingga akhir, ambil ID, foto dokumen, foto selfie, selesai. Ini yang tercepat di pasar. Penyedia KYC lama biasanya membutuhkan lebih dari 90 detik untuk alur yang sama.
Di sisi backend, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, diukur dari saat pengguna selesai selfie hingga webhook Anda terpicu. Pengambilan gambar di perangkat seluler dioptimalkan untuk ponsel dan jaringan lambat: kompresi gambar progresif, pemuatan SDK yang lazy, dan hand-off satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai dari web.
Dataset minimum FATF adalah:
Data berpindah melalui protokol Travel Rule antar dua penyedia, bukan on-chain, bukan di memo transaksi. Pasar saat ini terfragmentasi: penyedia memilih satu atau lebih dari TRP, Sumsub Travel Rule, Notabene, Veriscope, OpenVASP, dan Shyft. Bahasa yang digunakan bersama adalah IVMS-101, yang dapat dibaca dan ditulis oleh setiap protokol.
Penerima transfer memverifikasi data sebelum mengkredit akun penerima.
Setiap sesi berakhir pada salah satu dari tujuh status yang jelas, sehingga kode Anda selalu tahu apa yang harus dilakukan:
Approved, semua pemeriksaan lolos. Lanjutkan pengguna.Declined, satu atau lebih pemeriksaan gagal. Anda dapat mengizinkan pengguna untuk mengirim ulang langkah spesifik yang gagal (misalnya, mengambil ulang selfie) tanpa menjalankan ulang seluruh alur.In Review, ditandai untuk tinjauan kepatuhan. Buka kasus di konsol, lihat setiap sinyal, putuskan untuk menyetujui atau menolak.In Progress, pengguna sedang dalam proses.Not Started, tautan terkirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned, pengguna membuka tautan tetapi tidak selesai tepat waktu. Libatkan kembali atau biarkan kedaluwarsa.Expired, tautan sesi sudah kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani akan terpicu pada setiap perubahan status, sehingga database Anda selalu sinkron. Sesi yang ditinggalkan dan ditolak tidak dikenakan biaya.
Data produksi diproses dan disimpan di Uni Eropa secara default, di Amazon Web Services. Kontrak perusahaan dapat meminta wilayah alternatif untuk yurisdiksi yang regulatornya mensyaratkan hal tersebut.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap database, penyimpanan objek, dan cadangan. Transport Layer Security 1.3 saat transit pada setiap panggilan API, webhook, dan sesi Business Console. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi ada di tangan Anda. Retensi default adalah tak terbatas (unlimited) kecuali Anda mengonfigurasi lebih pendek, antara 30 hari hingga 10 tahun per aplikasi, dan Anda dapat menghapus sesi individual kapan saja dari dashboard atau API.
Sertifikasi: SOC 2 Type 1 (audit Type 2 sedang berlangsung), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pengesahan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada memverifikasi seseorang secara langsung. Laporan lengkap di /security-compliance.
Didit secara default patuh terhadap regulator yang penting untuk infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi, pilih yang paling sesuai dengan stack Anda:
Dashboard yang sama, penagihan yang sama, harga bayar-per-sukses yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
Dalam kehidupan nyata, jarang sekali paket Travel Rule yang bersih, pihak lawan mengirimkan data parsial, kolom tidak cocok dengan nama KYC, format alamat berbeda. Ada dua jalur:
DECLINED dan pengguna diminta untuk mengirim ulangIN_REVIEW dan kasus dibuka di Business Console dengan perbedaan yang disorotAWAITING_USER dan Didit secara otomatis membuat sesi remediasi, mengembalikan URL verifikasi pada responsTim kepatuhan Anda meninjau kasus, meminta lebih banyak data jika diperlukan, dan menyetujui atau menolak dari dalam Konsol. Catatan peninjau, keputusan, dan stempel waktu dicatat untuk paket audit.
Data Travel Rule dikumpulkan per transfer, bukan per hubungan, tidak ada "penyegaran" paket Travel Rule. Namun, pengguna di balik transfer harus dipantau secara berkelanjutan di bawah paket AML UE dan rezim yang setara.
Didit menjalankan:
Ketiganya memberi makan permukaan Manajemen Kasus yang sama, sehingga satu peninjau melihat gambaran lengkap per pengguna.
Sebagian besar regulator mensyaratkan setidaknya 5 tahun catatan pada setiap transfer Travel Rule dan identitas pengguna yang mendasarinya, terkadang lebih lama jika supervisor Anda memintanya.
Model retensi Didit:
Didit adalah satu-satunya platform KYC dengan pengesahan resmi pemerintah negara anggota UE, Departemen Keuangan Spanyol, Banco de España, dan SEPBLAC bersama-sama menyatakan layanan ini lebih aman daripada verifikasi langsung. Laporan tersebut langsung masuk ke paket otorisasi CASP Anda.
Satu API untuk KYC, KYB, Transaction Monitoring, dan Wallet Screening. Integrasi dalam 5 menit.