Autentikasi Biometrik ($0.10) ditambah Analisis Perangkat & IP ($0.03) menghadirkan dua faktor SCA kelas PSD3 dalam satu prompt. Tahan phishing. Pengganti drop-in untuk SMS one-time-password.
Robinhood Ventures
Dipercaya oleh 2.000+ organisasi di seluruh dunia.
Kenapa SMS OTP akan pensiun
PSD3 akan menghapus SMS one-time-password sebagai faktor Strong Customer Authentication. SCA biometrik terikat perangkat dari Didit bisa memblokir SIM-swap, phishing real-time, dan intersepsi SS7, dengan biaya $0.13 per otentikasi, verifikasi kurang dari dua detik, dan siap untuk dynamic-linking. Gratis 500 verifikasi setiap bulan.
Pilih pemeriksaan yang kamu mau, ID, liveness, face match, sanksi, alamat, usia, telepon, email, pertanyaan kustom. Seret ke dalam alur di dashboard, atau post alur yang sama ke API kami. Buat cabang berdasarkan kondisi, jalankan A/B test, tanpa perlu coding.
Integrasikan secara native dengan SDK Web, iOS, Android, React Native, atau Flutter kami. Redirect ke halaman yang di-host. Atau cukup kirim link ke pengguna, via email, SMS, WhatsApp, di mana saja. Pilih yang paling cocok dengan stack kamu.
Didit mengelola kamera, isyarat pencahayaan, hand-off mobile, dan aksesibilitas. Saat pengguna dalam alur, kami menilai 200+ sinyal fraud secara real time dan memverifikasi setiap field terhadap sumber data otoritatif. Hasilnya kurang dari dua detik.
Webhook terenkripsi real-time menjaga database kamu tetap sinkron saat pengguna disetujui, ditolak, atau dikirim untuk ditinjau. Poll API sesuai permintaan. Atau buka konsol untuk memeriksa setiap sesi, setiap sinyal, dan kelola kasus sesuai keinginanmu.
Didit · Faktor SCA
Pengetahuan
Kata sandi · PIN
Opsional
Kepemilikan
Perangkat terikat
Didit ✓
Inerensi
Wajah · liveness
Didit ✓
Didit · Dynamic linking
Didit · Matriks serangan
Didit · Exemption engine
Didit · Analisis Perangkat & IP
Didit · Biaya per-autentikasi
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "purpose": "login" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'status Disetujui · Ditolak · Dalam Peninjauan$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "amount": "247.50", "payee_account": "ES91…1332" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'webhook mengulang jumlah + penerima untuk verifikasiYou are integrating Didit's Strong Customer Authentication into a payment service provider, bank, EMI, or wallet to satisfy PSD3 / the Payment Services Regulation (PSR). Two factors in one prompt:
1. Inherence — Biometric Authentication: Passive Liveness + Face Match 1:1 against the user's previously-enrolled KYC selfie.
2. Possession — Device & IP Analysis: 200+ real-time fraud signals binding the auth to the user's known device.
Pricing (verified live 2026-05-16):
- Biometric Authentication: $0.10 per auth
- Device & IP Analysis: $0.03 per auth
- Total: $0.13 per Strong Customer Authentication
- First 500 verifications free every month, forever
- Re-uses the enrolled selfie from the original KYC — no re-enrolment
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
- A workflow_id from the no-code Workflow Builder configured as a Biometric Authentication workflow (Passive Liveness + Face Match 1:1 + Device & IP Analysis).
- The user has previously completed a Didit KYC (the same enrolled selfie backs every subsequent auth).
STEP 1 — Open an authentication session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (for login auth):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/auth/callback",
"metadata": {
"purpose": "login",
"session_id": "<your front-end session id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor; OMIT only if the workflow is liveness-only>"
}
Body (for payment with dynamic linking):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/payment/callback",
"metadata": {
"purpose": "payment",
"amount": "247.50",
"currency": "EUR",
"payee_account": "ES9121000418450200051332",
"payee_name": "<merchant or recipient>",
"transaction_reference": "<your internal transaction id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor>"
}
Response: 201 Created with the hosted session URL. Push the URL to the user via deep-link / push notification / in-app sheet.
STEP 2 — User completes the biometric auth
The user sees one prompt on their phone (or via the Didit SDK in your native app). Three things happen on the same screen:
1. The amount + payee are displayed (dynamic linking — the user explicitly approves THIS amount to THIS payee for payments).
2. Passive Liveness defeats screen replay, printed photo, mask, deepfake.
3. Face Match 1:1 matches the new selfie against the enrolled KYC selfie.
Device & IP Analysis runs server-side on the session. Sub-2-second median verdict.
STEP 3 — Read the signed webhook on the auth verdict
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "vpn_detected": false, "datacenter_ip": false },
"metadata_echo": {
"amount": "247.50",
"payee_account": "ES9121000418450200051332"
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
For payments, verify that metadata_echo.amount and metadata_echo.payee_account match the values you passed in. If they do not, REJECT the payment — it's a dynamic-linking violation.
STEP 4 — Branch on verdict
Approved → unlock the action (login, payment, account change).
In Review → hold the action, route to manual review queue.
Declined → block, log the attempt, surface a friendly "try again" to the user.
Resubmitted → the user re-submitted after a soft fail (poor lighting, occlusion); proceed if the latest status is Approved.
STEP 5 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload: liveness verdict (iBeta Level 1 anti-spoof certified), Face Match similarity score, device fingerprint, IP geolocation, VPN / proxy / datacenter flags, 200+ fraud-signal score, dynamic-linking echo, HMAC signature.
Use this for the audit-trail surface a regulator examines on Strong Customer Authentication coverage.
STEP 6 — Step up on risk
When Device & IP Analysis surfaces a high-risk signal (new device + high-value payment, VPN/proxy on a login, geolocation jump), your workflow can step up to:
- A separate hardware-key challenge (FIDO2 / WebAuthn)
- A trusted-beneficiary whitelist confirmation
- A manual-review hold
Encode the step-up policy in the no-code Workflow Builder — no redeploy required.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE on a session.
- Dynamic linking is REQUIRED for payments — pass amount + payee in metadata, verify the echo on the webhook.
- The enrolled selfie that backs every SCA is the one captured during the user's original KYC — no separate enrolment step.
- PSD3 / PSR exemptions (low-value remote < EUR 30, contactless point-of-sale < EUR 50, recurring identical, trusted beneficiary, Transaction Risk Analysis tiers) are configured per workflow in the Business Console.
- Default record retention is 5 years per the EU AML and payments rules.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang kamu pakai. 25+ modul. Harga per modul transparan, tanpa biaya minimum bulanan.
MSA & SLA kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak kustom, SLA, atau data residency.
Didit adalah infrastruktur untuk identitas dan penipuan, platform yang kami harapkan ada saat kami sendiri membangun produk: terbuka, fleksibel, dan ramah developer, sehingga berfungsi sebagai bagian nyata dari stack Anda, bukan kotak hitam yang harus Anda integrasikan secara terpisah.
Satu API mencakup verifikasi individu (KYC, know your customer), verifikasi bisnis (KYB, know your business), penyaringan wallet kripto (KYT, know your transaction), dan pemantauan transaksi secara real time, pada stack yang dibangun untuk menjadi:
Jejak di baliknya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal penipuan pada setiap sesi. Infrastruktur Didit secara dinamis belajar dari setiap sesi dan menjadi lebih baik setiap hari.
Strong Customer Authentication (SCA) adalah aturan dari regulasi layanan pembayaran UE yang menyatakan: ketika pelanggan masuk ke akun mereka atau memulai pembayaran, Anda harus memverifikasi mereka menggunakan setidaknya dua dari tiga kategori faktor independen.
Tiga kategori tersebut:
Dua faktor harus berasal dari kategori yang berbeda, kata sandi ditambah pertanyaan keamanan bukanlah SCA, karena keduanya adalah pengetahuan. Kata sandi ditambah sidik jari adalah SCA, karena melintasi kategori.
Persyaratan ketiga, dynamic linking, menyatakan bahwa faktor kedua untuk pembayaran harus terikat secara unik pada jumlah transaksi dan penerima pembayaran, sehingga kode yang dicuri tidak dapat digunakan kembali untuk transaksi yang berbeda.
PSD3, singkatan dari Payment Services Directive 3, adalah penulisan ulang aturan UE tahun 2026 dari PSD2 yang diperkenalkan pada tahun 2018. Bersamaan dengan itu, ada Payment Services Regulation (PSR) yang berlaku langsung di seluruh negara anggota tanpa transposisi nasional.
Perubahan utama dari PSD2:
Transisi sedang berjalan, sebagian besar perubahan SCA diharapkan berlaku 18 hingga 24 bulan setelah adopsi final.
Alur lengkap biasanya memakan waktu kurang dari 30 detik dari awal hingga akhir, ambil ID, foto dokumen, foto selfie, selesai. Ini adalah yang tercepat di pasar. Penyedia KYC lama biasanya memakan waktu lebih dari 90 detik untuk alur yang sama.
Di sisi back-end, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, diukur dari saat pengguna selesai selfie hingga saat webhook Anda aktif. Pengambilan gambar di ponsel dioptimalkan untuk ponsel lambat dan jaringan lambat: kompresi gambar progresif, pemuatan SDK yang lambat, dan serah terima satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai di web.
Membutuhkan SCA secara default:
Dikecualikan (PSD3 mempertahankan sebagian besar pengecualian PSD2 tetapi memperketat ambang batas):
Memahami perhitungan pengecualian dengan benar adalah pekerjaan optimasi SCA paling berpengaruh yang dilakukan sebagian besar tim, jika diterapkan dengan baik, ini mengurangi friksi autentikasi tanpa meningkatkan penipuan.
Setiap sesi akan berakhir dengan salah satu dari tujuh status yang jelas, jadi kode Anda selalu tahu apa yang harus dilakukan:
Approved, semua pemeriksaan lolos. Lanjutkan pengguna.Declined, satu atau lebih pemeriksaan gagal. Anda bisa mengizinkan pengguna untuk mengirim ulang langkah spesifik yang gagal (misalnya, mengambil ulang selfie) tanpa harus menjalankan ulang seluruh alur.In Review, ditandai untuk peninjauan kepatuhan. Buka kasus di konsol, lihat setiap sinyal, putuskan untuk menyetujui atau menolak.In Progress, pengguna sedang dalam proses.Not Started, tautan terkirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned, pengguna membuka tautan tetapi tidak selesai tepat waktu. Libatkan kembali atau biarkan kedaluwarsa.Expired, tautan sesi sudah kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani akan aktif pada setiap perubahan status, jadi database Anda selalu sinkron. Sesi yang ditinggalkan dan ditolak tidak dikenakan biaya.
Data produksi diproses dan disimpan di Uni Eropa secara default, di Amazon Web Services. Kontrak enterprise dapat meminta wilayah alternatif untuk yurisdiksi yang regulatornya mewajibkan hal tersebut.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap database, object store, dan backup. Transport Layer Security 1.3 saat transit di setiap panggilan API, webhook, dan sesi Business Console. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi ada di tangan Anda. Retensi default adalah tak terbatas (unlimited) kecuali Anda mengonfigurasi lebih pendek, antara 30 hari hingga 10 tahun per aplikasi, dan Anda dapat menghapus sesi individual kapan saja dari dashboard atau API.
Sertifikasi: SOC 2 Type 1 (audit Type 2 sedang berjalan), ISO/IEC 27001:2022, iBeta Level 1 PAD, dan atestasi publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada memverifikasi seseorang secara langsung. Laporan lengkap di /security-compliance.
Didit secara default patuh terhadap regulator yang penting untuk infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi, pilih yang paling sesuai dengan stack Anda:
Dashboard yang sama, penagihan yang sama, harga pay-per-success yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
API POST /v3/session/ yang sama di setiap platform, yang berbeda adalah proses capture yang dihadapi pengguna:
Template biometrik yang sama yang didaftarkan pengguna saat KYC mendukung setiap otentikasi, tanpa pendaftaran ulang, tanpa alur terpisah.
Ya, auth bundle yang sama memenuhi sebagian besar aturan global yang setara:
Satu API, satu auth bundle, setiap yurisdiksi. Perhitungan pengecualian berubah; kontrak teknis tidak.
Setiap otentikasi menghasilkan catatan bukti yang ditandatangani yang dapat diekspor dari Business Console:
Pending ke Approved atau Declined, dengan catatan reviewer jika di-escalate.Semua catatan disimpan di Uni Eropa (pusat data UE), disimpan tanpa batas waktu selama langganan Anda aktif. Retensi catatan default adalah 5 tahun sesuai aturan AML dan pembayaran UE, dapat diperpanjang sesuai panduan supervisor Anda.
Satu API untuk KYC, KYB, Transaction Monitoring, dan Wallet Screening. Integrasi dalam 5 menit.