Uma única checagem de Prova de Vida Passiva antes de qualquer ação de alto valor. Bots não têm rosto para apresentar, eles não conseguem passar. Veredito em menos de dois segundos, $0.10 por checagem, 500 gratuitas todo mês.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
Por que o CAPTCHA parou de funcionar
Fazendas comerciais de resolução de CAPTCHA superam hCaptcha e reCAPTCHA Enterprise por frações de centavo. A Prova de Vida Passiva pede algo que um script não tem, um humano real na frente de uma câmera real. $0.10 por "gate", em menos de dois segundos, 500 gratuitas todo mês.
Escolha as verificações que você quer, ID, prova de vida, correspondência facial, sanções, endereço, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no painel, ou envie o mesmo fluxo para nossa API. Crie ramificações com base em condições, execute testes A/B, sem necessidade de código.
Incorpore nativamente com nossos SDKs para Web, iOS, Android, React Native ou Flutter. Redirecione para uma página hospedada. Ou simplesmente envie um link ao seu usuário, por e-mail, SMS, WhatsApp, onde quiser. Escolha o que melhor se adapta à sua stack.
A Didit hospeda a câmera, as dicas de iluminação, a transição para dispositivos móveis e a acessibilidade. Enquanto o usuário está no fluxo, pontuamos mais de 200 sinais de fraude em tempo real e verificamos cada campo contra fontes de dados autorizadas. Resultado em menos de dois segundos.
Webhooks assinados em tempo real mantêm seu banco de dados sincronizado no momento em que um usuário é aprovado, recusado ou enviado para revisão. Consulte a API sob demanda. Ou abra o console para inspecionar cada sessão, cada sinal e gerenciar os casos do seu jeito.
Didit · Mapa de Superfície
Didit · Prova de Vida Passiva
Fique parado · 1 de 1
Olhe para a câmera
Didit · Defesa contra Vetores de Bot
Didit · Análise de Dispositivo e IP
Didit · KYC Reutilizável
Primeira tentativa
Reproduzir
Didit · Webhook · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "signup-918",
"status": "Approved",
"liveness": { "status": "Approved" }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_bot_gate",
"vendor_data": "signup-918",
"metadata": { "surface": "signup_form" }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
allowSignup(payload.vendor_data);
} else if (payload.status === "Recusado") {
throttleIP(payload.ip_analysis.ip);
blockAndLog(payload.vendor_data);
}status Aprovado · Recusado · Em Análise · Não FinalizadoYou are integrating Didit Passive Liveness as a bot-gate on a high-value action — sign-up, leaderboard submission, airdrop / token claim, referral payout, comment, or ticket queue. Bots cannot pass Passive Liveness because they have no face to present to the camera. One API call. One signed webhook. One decision.
WHY THIS SHAPE
- Bots scale because they cost nothing per attempt. CAPTCHA stops the dumbest ones but commercial solver farms beat hCaptcha and reCAPTCHA Enterprise at fractions of a cent per solve.
- Passive Liveness asks for something a script does not have: a live human face in front of a real camera. The model decides on one frame, in under two seconds, with no user interaction beyond "hold still".
- $0.10 per check (Passive Liveness module). 500 verifications free every month. Combine with $0.03 IP / device pre-screen to keep the camera off the obvious bots and the budget on real candidates.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow containing the Passive Liveness module — optionally Device & IP Analysis pre-step.
- The high-value action wrapped in a server-side gate that defaults to BLOCK and only unblocks on a verified webhook with status: Approved.
STEP 1 — (Optional) Cheap IP / device pre-screen
Before opening a camera, score the network with Device & IP Analysis ($0.03 / call, under 100ms).
If the score is low and no datacenter / VPN / scripted-user-agent flags fire, run Step 2.
If the score is high or any of those flags fire, skip the liveness call and decline up-front — this saves the camera budget for plausible humans.
STEP 2 — Open a Passive Liveness session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with the Passive Liveness module>",
"vendor_data": "<your action / user id, max 256 chars>",
"callback": "https://<your-app>/bot-gate/callback",
"metadata": {
"surface": "signup_form",
"action_id": "<your internal reference>"
}
}
Response: 201 Created with a hosted session URL. Redirect inline (web) or open in a Software Development Kit (SDK) webview (mobile). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your action / user id>",
"status": "Approved",
"liveness": { "status": "Approved" }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the action
Approved → allow the sign-up / claim / submission.
Declined → block the action. Log liveness warnings (image-only / virtual-cam / replay / deepfake) and throttle the source IP.
Not Finished → invite the user to retry with a fresh session URL.
Expired → session timed out. Resend the link.
Abandoned → the user closed the flow before completing. Resend the link.
STEP 5 — (Optional) Replay Reusable Know Your Customer (KYC) for known humans
If a user has previously completed a Didit-verified session, a fresh liveness check is not required for re-entry — they can replay their verified credential at no cost via Didit Reusable KYC. Use the user's existing session_id to confirm enrollment and skip Step 2. Free forever.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you where in the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT GETS BLOCKED
- Headless Chrome with scripted form submission
- Browser-automation farms (Puppeteer, Playwright, Selenium)
- Image-only submissions (no camera attached)
- Virtual-camera AI face injectors
- Pre-recorded screen replays
- Print or paper attacks
- Silicone / latex masks
- AI-generated deepfake faces
All independently tested at iBeta and certified at Level 1 Presentation Attack Detection (PAD) against the full ISO/IEC 30107-3 catalogue. Re-tested every year.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API.
- Default to BLOCK on the server. Only unblock when the verified webhook says Approved.
- 200+ fraud signals are evaluated on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não precisa de cartão de crédito.
Pague apenas pelo que usar. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulamentados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
A Didit é a infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos desenvolvendo nossos próprios produtos: aberta, flexível e amigável para desenvolvedores, para que funcione como uma parte real da sua stack, em vez de uma caixa preta que você integra por fora.
Uma única API cobre a verificação de pessoas (KYC, know your customer), verificação de empresas (KYB, know your business), triagem de carteiras de cripto (KYT, know your transaction) e monitoramento de transações em tempo real, em uma stack construída para ser:
A base por trás: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura da Didit aprende dinamicamente com cada sessão e melhora a cada dia.
Qualquer coisa que envie um formulário, reivindique um pagamento, publique um comentário ou compre um ingresso sem um humano real envolvido. Formas comuns:
A característica definidora é a mesma: ninguém está olhando para a tela, então ninguém está na frente da câmera.
Fazendas de solução de CAPTCHA superam hCaptcha e reCAPTCHA Enterprise por frações de centavo por solução. A economia mudou anos atrás, um ataque de 1.000 contas custa ao atacante menos do que sua conta mensal de Software-as-a-Service (SaaS) para o próprio CAPTCHA.
O problema mais profundo é que o CAPTCHA testa uma habilidade (reconhecimento de imagem, reconhecimento de caracteres, padrões de clique) que as máquinas agora fazem melhor que os humanos. Um gate de bot precisa testar algo que as máquinas não têm. Um rosto humano ao vivo na frente de uma câmera real é exatamente isso.
O fluxo completo normalmente leva menos de 30 segundos do início ao fim, pegue o documento, tire a foto, tire a selfie, pronto. É o mais rápido do mercado. Provedores de KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, o Didit retorna o resultado em menos de dois segundos no p99, medido a partir do momento em que o usuário termina a selfie até o momento em que seu webhook é acionado. A captura móvel é otimizada para celulares e redes lentas: compressão progressiva de imagem, carregamento preguiçoso do SDK e uma transição com um toque do desktop para o celular via QR code, caso o usuário comece na web.
Todos os vetores comuns de bot:
Tudo detectado na camada de Liveness Passiva. Nada para o bot usar.
Cada sessão chega em um de sete status claros, para que seu código sempre saiba o que fazer:
Approved, todas as verificações aprovadas. Avance com o usuário.Declined, uma ou mais verificações falharam. Você pode permitir que o usuário reenvie a etapa específica que falhou (por exemplo, refazer a selfie) sem precisar rodar o fluxo inteiro novamente.In Review, sinalizado para revisão de conformidade. Abra o caso no console, veja todos os sinais, decida aprovar ou recusar.In Progress, o usuário está no meio do fluxo.Not Started, link enviado, o usuário ainda não abriu. Envie um lembrete se demorar muito.Abandoned, o usuário abriu o link, mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é acionado a cada mudança de status, para que seu banco de dados esteja sempre sincronizado. Sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por padrão, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todos os lugares. AES-256 em repouso em todos os bancos de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão do Business Console. Dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que você configure um período mais curto, entre 30 dias e 10 anos por aplicação, e você pode excluir qualquer sessão individual a qualquer momento pelo painel ou pela API.
Certificações: SOC 2 Type 1 (auditoria Type 2 em andamento), ISO/IEC 27001:2022, iBeta Level 1 PAD, e uma declaração pública do Tesoro / SEPBLAC / CNMV da Espanha de que a verificação remota de identidade do Didit é mais segura do que verificar alguém pessoalmente. Relatório completo em /security-compliance.
O Didit já vem em conformidade por padrão com os reguladores importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo painel, mesma cobrança, mesmo preço de pagamento por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
Não. Usuários que já passaram por uma sessão verificada pelo Didit podem reutilizar a credencial sem custo via KYC Reutilizável, grátis para sempre. Consulte o session_id anterior do usuário; se a credencial for válida, pule a verificação ao vivo.
Isso mantém o atrito (e o custo) no tráfego que você nunca viu antes. Humanos que retornam passam instantaneamente.
Duas linhas de custo:
500 verificações gratuitas todo mês em cada conta, a maioria das equipes permanece no nível gratuito por semanas. Usuários recorrentes via KYC Reutilizável são gratuitos para sempre. Sem mínimos, sem compromisso anual, sem preço por assento.
Qualquer lugar onde um único envio de bot custa dinheiro ou reputação à equipe:
Um fluxo de trabalho, todas as superfícies.
Uma API para KYC, KYB, Monitoramento de Transações e Análise de Carteiras. Integre em 5 minutos.