Integrasikan pencocokan wajah kurang dari 2 detik untuk pengguna yang kembali. Lewati reset kata sandi. Lewati penundaan SMS. Lewati masalah magic link. $0.10 per re-autentikasi, 500 verifikasi gratis setiap bulan.
Dipercaya oleh 2.000+ organisasi di seluruh dunia.
Tanpa kata sandi · tahan phishing
Reset kata sandi membuat ~30% pengguna yang kembali batal login; kode Short Message Service (SMS) bisa memakan waktu hingga 90 detik. Selfie yang dicocokkan dengan potret terdaftar pengguna selesai dalam waktu sekitar dua detik, kontrak callback instan untuk setiap alur OAuth / OpenID Connect yang ada. $0.10 per re-autentikasi. 500 verifikasi gratis setiap bulan.
Pilih pemeriksaan yang Anda inginkan, ID, liveness, face match, sanksi, alamat, usia, telepon, email, pertanyaan kustom. Seret ke dalam alur di dashboard, atau kirim alur yang sama ke API kami. Buat cabang berdasarkan kondisi, jalankan A/B test, tanpa perlu coding.
Integrasikan secara native dengan Web, iOS, Android, React Native, atau Flutter SDK kami. Redirect ke halaman yang di-host. Atau cukup kirim link ke pengguna Anda, via email, SMS, WhatsApp, di mana saja. Pilih yang paling sesuai dengan stack Anda.
Didit meng-host kamera, isyarat pencahayaan, mobile hand-off, dan aksesibilitas. Saat pengguna dalam alur, kami menilai 200+ sinyal fraud secara real-time dan memverifikasi setiap field terhadap sumber data otoritatif. Hasilnya kurang dari dua detik.
Webhook terautentikasi real-time menjaga database Anda tetap sinkron saat pengguna disetujui, ditolak, atau dikirim untuk ditinjau. Poll API sesuai permintaan. Atau buka konsol untuk memeriksa setiap sesi, setiap sinyal, dan mengelola kasus sesuai keinginan Anda.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_reauth",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 enrolment selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }$ curl https://verification.didit.me/v3/session/<id>/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Returns the re-auth verdict
{
"status": "Approved",
"face": { "similarity_score": 0.96 }
}status Disetujui · Dalam Peninjauan · Ditolak · Belum SelesaiYou are integrating Didit's selfie-only re-authentication into <my_stack>. Replace password, SMS one-time-password, or magic-link on returning-user surfaces with a sub-2-second face match against the enrolled portrait. Phishing-resistant, no carrier dependency, no SIM-swap surface, no email-delivery delay.
1. Enrol the user's portrait ONCE at sign-up (standard Know Your Customer (KYC) session).
2. On every returning-user sign-in, open a re-auth session that runs Passive Liveness + Face Match 1:1 against the stored portrait. ~2 seconds end-to-end.
Pricing (public):
- Selfie re-auth: $0.10 per authentication (Sessions API)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled via a Didit KYC session (the portrait captured during the liveness step is stored automatically, bound to vendor_data).
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session is opened with workflow_type = "biometric_authentication".
STEP 1 — Open a re-auth session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/reauth/callback",
"metadata": {
"purpose": "returning_user_signin",
"device_id": "<optional, your device fingerprint>",
"from_ip": "<optional, the request IP>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user. The hosted UI opens the front camera, captures one passive frame, runs Liveness + Face Match 1:1 against the user's enrolled portrait, returns the verdict in sub-2-seconds.
STEP 2 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": {
"status": "Approved",
"method": "PASSIVE",
"score": 96
},
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 3 — Branch your sign-in logic on the verdict
Approved → mint your session token, sign the user in.
Declined → block sign-in; fall back to a higher-friction recovery (support contact / full KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back to a backup factor.
STEP 4 — Adaptive step-up (recommended)
Pair the selfie with Device & IP Analysis (bundled into the 200+ fraud-signal stack at no extra cost). Adaptive rules to consider:
Known device + known Internet Protocol (IP) → skip the selfie, mint a session token.
Known device + new IP → run the selfie (passive).
New device + new IP → run the selfie (passive).
Tor / Virtual Private Network (VPN) exit +
new device → escalate to ACTIVE_3D method (motion challenge).
Implement the branching in your application or in the Workflow Builder via per-session overrides.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, IP_ANALYSIS, ID_VERIFICATION, AML, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The face template is irreversible (a one-way hash). The user can request deletion via the standard data-subject-request path.
PRO TIPS
- Bind a Reusable Credential to each enrolled user. The next Didit-powered surface that needs the same gate consumes the credential at zero cost.
- Keep a fallback factor (password, magic link, support recovery) for users who cannot complete the selfie — accessibility, device camera failure, religious head covering, etc.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / bulan. Tidak perlu kartu kredit.
Bayar hanya untuk yang kamu pakai. 25+ modul. Harga per modul transparan, tanpa biaya minimum bulanan.
MSA & SLA kustom. Untuk volume besar dan program yang diatur.
Mulai gratis → bayar hanya saat pemeriksaan berjalan → buka Enterprise untuk kontrak kustom, SLA, atau data residency.
Didit adalah infrastruktur untuk identitas dan penipuan, platform yang kami harapkan ada saat kami membangun produk sendiri: terbuka, fleksibel, dan ramah developer, sehingga berfungsi sebagai bagian nyata dari stack Anda, bukan kotak hitam yang Anda integrasikan secara terpisah.
Satu API mencakup verifikasi orang (KYC, know your customer), verifikasi bisnis (KYB, know your business), penyaringan dompet kripto (KYT, know your transaction), dan pemantauan transaksi secara real time, pada stack yang dibangun untuk menjadi:
Jejak di bawahnya: 14.000+ jenis dokumen dalam 48+ bahasa, 1.000+ sumber data, dan 200+ sinyal penipuan pada setiap sesi. Infrastruktur Didit belajar secara dinamis dari setiap sesi dan menjadi lebih baik setiap hari.
Tiga alasan yang belum membaik:
Alur lengkap biasanya memakan waktu kurang dari 30 detik dari awal hingga akhir, ambil ID, foto dokumen, foto selfie, selesai. Itu yang tercepat di pasar. Penyedia KYC lama biasanya memakan waktu lebih dari 90 detik untuk alur yang sama.
Di sisi back end, Didit mengembalikan hasilnya dalam kurang dari dua detik pada p99, diukur dari saat pengguna selesai mengambil selfie hingga saat webhook Anda terpicu. Pengambilan gambar di perangkat seluler dioptimalkan untuk ponsel lambat dan jaringan lambat: kompresi gambar progresif, pemuatan SDK yang malas, dan penyerahan satu ketukan dari desktop ke ponsel melalui kode QR jika pengguna memulai di web.
SMS one-time-password memiliki waktu pengiriman 5 hingga 90 detik tergantung pada operator, negara, dan waktu. Bahkan dalam kasus terbaik, pengguna menunggu, beralih aplikasi, menyalin nomor 6 digit, beralih kembali, menempelkannya, dan menekan kirim, total waktu hingga login adalah 15 hingga 120 detik.
Selfie adalah satu ketukan, satu bingkai kamera, satu hasil, sekitar 2 detik dari awal hingga akhir tanpa beralih aplikasi, tanpa salin/tempel, tanpa pesan yang tidak pernah sampai.
Setiap sesi berakhir pada salah satu dari tujuh status yang jelas, sehingga kode Anda selalu tahu apa yang harus dilakukan:
Approved, semua pemeriksaan lolos. Lanjutkan pengguna.Declined, satu atau lebih pemeriksaan gagal. Anda dapat mengizinkan pengguna untuk mengirim ulang langkah spesifik yang gagal (misalnya, mengambil ulang selfie) tanpa menjalankan kembali seluruh alur.In Review, ditandai untuk tinjauan kepatuhan. Buka kasus di konsol, lihat setiap sinyal, putuskan setuju atau tolak.In Progress, pengguna sedang dalam alur.Not Started, tautan terkirim, pengguna belum membukanya. Kirim pengingat jika terlalu lama.Abandoned, pengguna membuka tautan tetapi tidak selesai tepat waktu. Libatkan kembali atau biarkan kedaluwarsa.Expired, tautan sesi sudah kedaluwarsa. Buat sesi baru.Webhook yang ditandatangani terpicu pada setiap perubahan status, sehingga database Anda selalu sinkron. Sesi yang dibatalkan dan ditolak gratis.
Data produksi diproses dan disimpan di Uni Eropa secara default, di Amazon Web Services. Kontrak enterprise dapat meminta wilayah alternatif untuk yurisdiksi yang diwajibkan oleh regulatornya.
Enkripsi di mana-mana. AES-256 saat tidak aktif di setiap database, penyimpanan objek, dan backup. Transport Layer Security 1.3 saat transit di setiap panggilan API, webhook, dan sesi Business Console. Data biometrik dienkripsi di bawah Customer Master Key terpisah.
Retensi ada dalam kendali Anda. Retensi default adalah tidak terbatas (unlimited) kecuali Anda mengonfigurasi lebih pendek, antara 30 hari hingga 10 tahun per aplikasi, dan Anda dapat menghapus sesi individual kapan saja dari dashboard atau API.
Sertifikasi: SOC 2 Type 1 & Type 2, ISO/IEC 27001:2022, iBeta Level 1 PAD, dan pengesahan publik dari Tesoro / SEPBLAC / CNMV Spanyol bahwa verifikasi identitas jarak jauh Didit lebih aman daripada memverifikasi seseorang secara langsung. Laporan lengkap di /security-compliance.
Didit secara default patuh terhadap regulator yang penting untuk infrastruktur identitas:
Memo terperinci, setiap sertifikat, setiap surat regulator: /security-compliance.
Tiga jalur integrasi, pilih yang paling sesuai dengan stack Anda:
Dashboard yang sama, penagihan yang sama, harga bayar-per-sukses yang sama untuk ketiganya. Panduan langkah demi langkah di docs.didit.me/integration/integration-prompt.
Ini adalah drop-in untuk kontrak callback pengguna yang kembali yang sudah ada.
POST /v3/session/ dengan workflow_type: "biometric_authentication" dan vendor_data yang sama yang Anda gunakan saat pendaftaran.session_url yang dikembalikan.X-Signature-V2 pada webhook.status, Approved membuat token Anda, Declined memblokir dan kembali, In Review mengarahkan ke operasi, Not Finished meminta ulang.Sebagian besar tim menyelesaikannya dalam satu akhir pekan. Prompt lengkap yang dapat ditempel agen ada di atas; server Model Context Protocol (MCP) mendukung kedua antarmuka.
Minimalisasi data secara default. Selfie diproses dalam memori, hasil dan similarity_score tetap ada, dan gambar mentah dihapus kecuali retensi diaktifkan secara eksplisit. Potret yang terdaftar disimpan sebagai template wajah yang tidak dapat dibalik, hash satu arah yang tidak dapat Anda rekonstruksi wajah aslinya.
Kami tidak pernah menjual, membagikan, atau melatih model pihak ketiga dengan data biometrik pelanggan. Pengguna akhir dapat meminta penghapusan template mereka kapan saja melalui jalur permintaan subjek data standar.
Face Match 1:1 tangguh terhadap perubahan penampilan moderat, potongan rambut, janggut, kacamata, pencahayaan, riasan, penuaan ringan. Skor kemiripan yang dikembalikan per re-autentikasi mencerminkan kepercayaan model.
Untuk pengguna yang berada di luar ambang batas persetujuan otomatis (perubahan berat badan drastis, operasi, penuaan multi-tahun tanpa penyegaran), hasilnya akan In Review dan mengarah ke antrean operasi Anda. Sesi pendaftaran ulang 10 detik akan memperbarui template, dan re-autentikasi berikutnya akan menggunakan potret baru.
Satu API untuk KYC, KYB, Transaction Monitoring, dan Wallet Screening. Integrasi dalam 5 menit.