Ganti pertanyaan keamanan dan kode satu kali SMS dengan pencocokan biometrik ulang terhadap selfie pendaftaran. Keputusan di bawah 2 detik, ~$0.15 per pemulihan, bersertifikat iBeta Level 1.
Robinhood Ventures
Dipercaya oleh 2.000+ organisasi di seluruh dunia.
Kenapa verifikasi wajah lebih baik dari SMS
SIM-swap mengalahkan kode satu kali SMS. Phishing mengalahkan pertanyaan keamanan. Staf support bisa salah di bawah tekanan. Verifikasi wajah langsung yang dicocokkan dengan selfie pendaftaran mengalahkan ketiganya — dengan biaya $0.15 per pemulihan, keputusan di bawah dua detik, 500 gratis setiap bulan.
Pilih verifikasi yang Anda inginkan — ID, liveness, face match, sanksi, alamat, usia, telepon, email, pertanyaan kustom. Seret ke dalam alur di dashboard, atau kirim alur yang sama ke API kami. Buat cabang berdasarkan kondisi, jalankan A/B test, tanpa perlu coding.
Integrasikan secara native dengan SDK Web, iOS, Android, React Native, atau Flutter kami. Redirect ke halaman yang di-host. Atau cukup kirim link ke pengguna Anda — via email, SMS, WhatsApp, di mana saja. Pilih yang sesuai dengan stack Anda.
Didit meng-host kamera, isyarat pencahayaan, hand-off mobile, dan aksesibilitas. Saat pengguna dalam alur, kami menilai 200+ sinyal fraud secara real-time dan memverifikasi setiap field terhadap sumber data otoritatif. Hasilnya dalam waktu kurang dari dua detik.
Webhook yang ditandatangani secara real-time menjaga database Anda tetap sinkron saat pengguna disetujui, ditolak, atau dikirim untuk ditinjau. Lakukan polling API sesuai permintaan. Atau buka konsol untuk memeriksa setiap sesi, setiap sinyal, dan mengelola kasus sesuai keinginan Anda.
Didit · Pencocokan Wajah 1:1
Pendaftaran
Pemulihan
Didit · Passive Liveness
Didit · Kebijakan Step-up
Didit · Fallback
Didit · Audit log
Didit · Kebijakan sesi
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_account_recovery",
"vendor_data": "user-7382",
"metadata": { "trigger": "forgot_password" },
// base64 enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'status: Approved.dokumen →// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
sendPasswordResetEmail(payload.vendor_data);
registerNewDevice(payload.metadata);
} else if (payload.status === "Declined") {
security.logRecoveryAttack(payload);
}X-Signature-V2 sebelum membaca payload.dokumen →You are integrating Didit into an account-recovery flow. Replace knowledge-based recovery (security questions, SMS OTP, support-rep verification) with a biometric re-match against the user's enrolment selfie. ONE Didit session, two checks:
- Passive Liveness — make sure the recovery selfie is a real human, not a print / screen / mask / deepfake.
- Face Match 1:1 — match the recovery selfie against the user's enrolment selfie. If similarity is above your threshold, the recovery is approved.
Bundle pricing (verified live, 2026-05-16):
- Passive Liveness: $0.10 per recovery
- Face Match 1:1: $0.05 per recovery
- Total: ~$0.15 per recovery — public price, no minimums
- First 500 verifications free every month, forever
- SMS / WhatsApp One-Time Passcode (OTP) fallback: $0.03 per OTP (when biometric isn't possible)
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header.
- User's enrolment selfie on file — captured during initial KYC via a previous /v3/session/. Stored under your tenant in encrypted form.
- A workflow_id from the Workflow Builder that runs Passive Liveness + Face Match 1:1 against the stored reference.
STEP 1 — Trigger recovery on the right signal
Recovery is gated by your risk policy. Typical triggers:
- User clicks "Forgot password" — always.
- Sign-in from a new device + new IP country at the same time.
- Sign-in after account dormancy (e.g. 180+ days).
- Sensitive action: large withdrawal, payout to a new beneficiary, account-settings change.
Each trigger opens a Didit session.
STEP 2 — Open the recovery session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Passive Liveness + Face Match against enrolment selfie>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/account/recovery/callback",
"metadata": {
"trigger": "forgot_password",
"device_fingerprint": "<your device fingerprint>",
"ip_country": "ES"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the recovery flow matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user (web or in-app webview) to the URL. Sub-2-second median verdict on completion.
STEP 3 — Read the signed webhook on the verdict
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 }
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Branch on the verdict
Approved → unlock recovery: send the password-reset email, register the new device, complete the sensitive action.
In Review → soft-fail the recovery, route to support for human review.
Declined → block the recovery; log the hit. Could be a printed-photo or screen-replay attack — surface to security.
Resubmitted → user retried after a soft rejection — re-read.
Kyc Expired → reference selfie has aged out (per your retention policy) — fall back to documented recovery flow.
STEP 5 — Fallback for users who can't take a selfie
Camera missing, low light, hardware refused permission. Two graceful fallbacks:
- SMS / WhatsApp / Telegram One-Time Passcode (OTP) via Didit Phone Verification, $0.03 per OTP.
- Email magic link via your existing transactional email provider, $0.03 per email.
- Authenticator app — Time-based One-Time Password (TOTP) or FIDO2 hardware key, free.
Configure the fallback chain in the Workflow Builder. Selfie always tried first.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Do not lowercase or snake_case them.
- The recovery similarity threshold is configurable per app — start at 0.85, tune up for high-assurance apps (banks, brokerages) and down for low-friction consumer apps.
- Liveness is a Presentation Attack Detection (PAD) Level 1 model — defeats prints, screens, masks, deepfakes on consumer cameras. Active liveness (head-tilt prompts) is available for higher-friction higher-assurance flows at $0.15.
- The user's enrolment selfie must have been captured by Didit (any prior /v3/session/ with face capture). Bring-your-own enrolment image is roadmap.
- Default audit retention is 5 years configurable in the Business Console.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang kamu pakai. 25+ modul. Harga per modul transparan, tanpa biaya minimum bulanan.
MSA & SLA kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak kustom, SLA, atau data residency.
Didit adalah infrastruktur untuk identitas dan penipuan — platform yang kami harapkan ada saat kami sendiri membangun produk: terbuka, fleksibel, dan ramah developer, sehingga berfungsi sebagai bagian nyata dari stack Anda, bukan kotak hitam yang Anda integrasikan di sekitarnya.
Satu API mencakup verifikasi individu (KYC, know your customer), verifikasi bisnis (KYB, know your business), penyaringan dompet kripto (KYT, know your transaction), dan pemantauan transaksi secara real time — pada stack yang dibangun untuk menjadi:
Jejak di bawahnya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal penipuan pada setiap sesi. Infrastruktur Didit belajar secara dinamis dari setiap sesi dan menjadi lebih baik setiap hari.
Karena alur pemulihan adalah tempat termudah untuk melewati autentikasi. Pengguna lupa kata sandi — secara definisi Anda tidak bisa memintanya. Sebagian besar aplikasi kembali ke:
Pencocokan wajah langsung terhadap selfie pendaftaran mengalahkan keempatnya.
Tiga masalah struktural yang tidak akan hilang:
Institut Standar dan Teknologi Nasional (NIST) AS secara eksplisit merekomendasikan untuk tidak menggunakan SMS untuk pemulihan dengan jaminan tinggi sejak 2017 (SP 800-63B).
Alur lengkap biasanya memakan waktu kurang dari 30 detik dari awal hingga akhir — ambil ID, jepret dokumen, jepret selfie, selesai. Itu adalah yang tercepat di pasar. Penyedia KYC lama biasanya membutuhkan lebih dari 90 detik untuk alur yang sama.
Di sisi back end, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, diukur dari saat pengguna menyelesaikan selfie hingga saat webhook Anda aktif. Pengambilan gambar seluler disesuaikan untuk ponsel lambat dan jaringan lambat: kompresi gambar progresif, pemuatan software development kit yang malas, dan serah terima satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai di web.
Dua skenario:
Fitur bawa gambar pendaftaran Anda sendiri — korpus selfie Anda yang sudah ada — sedang dalam roadmap.
Setiap sesi berakhir pada salah satu dari tujuh status yang jelas, sehingga kode Anda selalu tahu apa yang harus dilakukan:
Approved — semua pemeriksaan lolos. Lanjutkan pengguna.Declined — satu atau lebih pemeriksaan gagal. Anda bisa mengizinkan pengguna untuk mengirim ulang langkah spesifik yang gagal (misalnya, mengambil ulang selfie) tanpa menjalankan kembali seluruh alur.In Review — ditandai untuk tinjauan kepatuhan. Buka kasus di konsol, lihat setiap sinyal, putuskan setuju atau tolak.In Progress — pengguna sedang dalam alur.Not Started — link terkirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned — pengguna membuka link tetapi tidak selesai tepat waktu. Libatkan kembali atau biarkan kedaluwarsa.Expired — link sesi sudah kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani aktif pada setiap perubahan status, sehingga database Anda selalu sinkron. Sesi yang ditinggalkan dan ditolak gratis.
Data produksi secara default diproses dan disimpan di Uni Eropa, menggunakan Amazon Web Services. Kontrak enterprise bisa meminta region alternatif untuk yurisdiksi yang mengharuskan hal tersebut oleh regulator.
Enkripsi di mana-mana. AES-256 saat data tidak aktif di setiap database, object store, dan backup. Transport Layer Security 1.3 saat data dalam perjalanan di setiap panggilan API, webhook, dan sesi Business Console. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi data sepenuhnya Anda yang kontrol. Retensi default adalah tak terbatas (unlimited) kecuali Anda mengonfigurasi lebih pendek — antara 30 hari hingga 10 tahun per aplikasi — dan Anda bisa menghapus sesi individual kapan saja dari dashboard atau API.
Sertifikasi: SOC 2 Type 1 (audit Type 2 sedang berjalan), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pernyataan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada verifikasi langsung. Laporan lengkap di /security-compliance.
Didit secara default compliant untuk regulator yang penting bagi infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi — pilih yang paling sesuai dengan stack Anda:
Dashboard yang sama, billing yang sama, harga pay-per-success yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
Passive Liveness saat ini mampu mengalahkan deepfake kelas konsumen. Model Presentation Attack Detection (PAD) kami mencari:
Model PAD Didit telah bersertifikasi iBeta Level 1. Active Liveness ($0.15) menambahkan perintah kemiringan kepala untuk jaminan yang lebih tinggi terhadap deepfake real-time kelas profesional yang langka.
Pertahanan deepfake adalah perlombaan senjata — Didit melatih ulang model PAD setiap kuartal terhadap korpus serangan terbaru.
Bisa — itu adalah Autentikasi Biometrik, pola re-auth berulang. $0.10 per autentikasi:
Kontrak /v3/session yang sama, workflow_id yang berbeda. Umum digunakan untuk crypto exchange, aplikasi perbankan, dan produk konsumen dengan jaminan tinggi. Lihat /products/biometric-authentication untuk pola autentikasi berulang.
Setiap upaya pemulihan mencatat:
vendor_data (identifikasi pengguna Anda) dan session_id Didit.trigger yang Anda berikan di metadata (forgot_password / new_device / dormancy / sensitive_action).Dapat dicari dari Business Console, dapat diekspor per pengguna, retensi 5 tahun dapat dikonfigurasi. Kontrol SOC 2 Type 1 + ISO 27001 mengatur penyimpanannya.
Satu API untuk KYC, KYB, Transaction Monitoring, dan Wallet Screening. Integrasi dalam 5 menit.