Monitoramento de transações em tempo real por $0.02 por chamada, mais Gerenciamento de Casos com exportação pronta para Relatório de Atividade Suspeita. 11 pacotes de regras pré-configurados, autorremediação AWAITING_USER, 500 verificações gratuitas todo mês.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
O que o BSA exige
Toda instituição financeira dos EUA deve monitorar em tempo real cada transação e enviar um Relatório de Atividade Suspeita (SAR) em até 30 dias após a detecção. A Didit oferece o motor de regras, a máquina de estados de casos, o loop de autorremediação e a exportação no esquema FinCEN, por $0.02 por chamada de transação. 500 verificações gratuitas todo mês.
Escolha as verificações que você quer, ID, prova de vida, reconhecimento facial, sanções, endereço, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no painel, ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, execute testes A/B, sem precisar de código.
Incorpore nativamente com nossos SDKs Web, iOS, Android, React Native ou Flutter. Redirecione para uma página hospedada. Ou simplesmente envie um link ao seu usuário, por e-mail, SMS, WhatsApp, onde quiser. Escolha o que melhor se adapta à sua stack.
A Didit hospeda a câmera, as dicas de iluminação, a transição para dispositivos móveis e a acessibilidade. Enquanto o usuário está no fluxo, pontuamos mais de 200 sinais de fraude em tempo real e verificamos cada campo contra fontes de dados oficiais. Resultado em menos de dois segundos.
Webhooks assinados em tempo real mantêm seu banco de dados sincronizado no momento em que um usuário é aprovado, recusado ou enviado para revisão. Consulte a API sob demanda. Ou abra o console para inspecionar cada sessão, cada sinal e gerenciar casos do seu jeito.
Didit · Monitoramento de Transações
Didit · Gerenciamento de Casos
ABERTO
Alerta disparado
T+0s
INVESTIGANDO
Analista K. atribuído
T+4m
SAR_REGISTRADO
Analista K. + Oficial M.
T+2h
FECHADO
Oficial M.
T+24h
Didit · Exportação SAR
Didit · AGUARDANDO_USUÁRIO
Didit · Console de Casos
Didit · Pilha de Retenção
$ curl -X POST https://verification.didit.me/v3/transactions/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"transaction_id": "tx-9001",
"transaction_details": { "direction": "OUTBOUND", "currency": "USD", "amount": "9500" },
"subject": { "full_name": "J. Doe" },
"counterparty": { "full_name": "Contraparte" }
}'status APROVADO · EM_REVISÃO · RECUSADO · AGUARDANDO_USUÁRIO$ curl https://verification.didit.me/v3/transactions/$TXN/ \
-H "x-api-key: $DIDIT_API_KEY"
# Retorna o payload completo do caso,
# transações sinalizadas, KYC do sujeito,
# contraparte, contexto comportamental,
# narrativa do revisor, assinatura HMAC.
# Mapeie para o esquema XML FinCEN SAR.caso ABERTO · INVESTIGANDO · SAR_ARQUIVADO · FECHADOYou are integrating Didit into a US financial institution (bank, money services business, crypto VASP, broker-dealer, casino, mortgage lender) to satisfy Bank Secrecy Act monitoring + Suspicious Activity Report (SAR) filing under the Financial Crimes Enforcement Network (FinCEN). Three obligations:
1. Monitor every transaction in real time against the eleven seeded rule bundles (structuring, velocity, mule patterns, geographic risk, sanctioned counterparties, etc.).
2. Open and manage cases on every flagged transaction.
3. Export the SAR-ready package matching the FinCEN SAR XML schema for filing via the BSA E-Filing System.
Pricing (verified live 2026-05-16):
- Transaction Monitoring: $0.02 per transaction call
- Anti-Money Laundering (AML) Screening on flagged subjects: $0.20 per check, $0.07 per user per year for ongoing monitoring
- User Verification (Know Your Customer (KYC)) for remediation: $0.33 per check
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A workflow_id for KYC sessions (used on remediation), and Transaction Monitoring + Case Management enabled in the Business Console.
- Optional: integration with the BSA E-Filing System on your back-end OR push to your existing investigation tool (Actimize, NICE, Quantexa, ComplyAdvantage Workflow).
STEP 1 — Monitor every transaction with the Transactions API
POST https://verification.didit.me/v3/transactions/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (required fields verified live 2026-05-16):
{
"transaction_id": "<your internal transaction id>",
"transaction_category": "finance",
"transaction_details": {
"direction": "OUTBOUND",
"amount": "9500",
"currency": "USD",
"currency_kind": "fiat",
"action_type": "payment"
},
"subject": {
"entity_type": "individual",
"vendor_data": "<your user id>",
"full_name": "<user name from verified KYC>"
},
"counterparty": {
"entity_type": "individual",
"full_name": "<counterparty name if known>",
"payment_method": {
"method_type": "wire",
"account_id": "<counterparty account or routing reference>"
}
}
}
REQUIRED fields the API rejects if missing:
- subject.vendor_data + subject.full_name
- counterparty.full_name
- transaction_details.direction + currency + currency_kind + amount
Response shape (excerpted from a real successful 201):
{
"uuid": "<server transaction uuid>",
"txn_id": "<your transaction_id echoed back>",
"status": "APPROVED",
"score": 0,
"severity": null,
"cost_breakdown": {
"total_price": 0.02,
"items": [{ "usage_type": "transaction_monitoring", "price": 0.02 }]
}
}
Transaction status enum (exact case, UPPER_SNAKE_CASE): APPROVED | IN_REVIEW | DECLINED | AWAITING_USER.
STEP 2 — Branch on the verdict
APPROVED → clear the transaction. Webhook may still update later if Ongoing Monitoring catches a delayed signal.
IN_REVIEW → hold the transaction. Case opens automatically in the Business Console for analyst triage.
DECLINED → refuse the transaction. Case opens at SAR-candidate priority.
AWAITING_USER → the workflow needs more data from the customer (source of funds, updated address, refreshed selfie). The response includes a remediation verification URL — send it to the customer.
STEP 3 — Handle AWAITING_USER auto-remediation
Push the verification URL on the response to the customer (email, app deep-link, push notification). They complete the additional verification in hosted flow on their phone.
On completion:
- The remediation session is LINKED to the original transaction (you'll see the linkage in both webhooks).
- Didit re-runs the relevant rules with the new evidence.
- The transaction moves to APPROVED (clear) or DECLINED (case opens for SAR consideration).
The whole loop takes minutes for the user; your team only touches the cases that genuinely need human judgement.
STEP 4 — Case Management — every flagged transaction opens a case
Cases live in the Business Console with a state machine:
OPEN → alert fires, no reviewer yet
INVESTIGATING → reviewer assigned, gathering context
SAR_FILED → SAR exported and filed; case awaits regulator response
CLOSED → case resolved, no SAR (with reviewer notes explaining why)
Each transition is signed, timestamped, and attributed (analyst name + officer name).
Per case, you get:
- The flagged transaction(s) + the rule(s) that fired
- The subject's verified KYC bundle (document, biometric, AML, device + IP)
- The counterparty data (for crypto: wallet screen; for fiat: counterparty identity if known)
- Behavioural context (user's transaction history, baseline, velocity)
- Reviewer narrative (analyst notes, decisions, escalations)
STEP 5 — Export the SAR package
Two paths:
Path A — Direct from the Console
Click "Export SAR XML" on a case. You get a downloadable package matching the FinCEN SAR XML schema. Upload through the BSA E-Filing System manually.
Path B — Via API + your back-end
GET https://verification.didit.me/v3/transactions/{id}/
Headers:
x-api-key: <your api key>
The full case payload — every field above — is returned as JSON. Map to the FinCEN schema in your back-end and POST to the BSA E-Filing System programmatically.
STEP 6 — Webhook event names
Sessions: standard session webhook for remediation completions (verify X-Signature-V2).
Transactions:
- transaction.created
- transaction.updated
- transaction.status.changed
- transaction.alert.generated
Every payload signed with X-Signature-V2 HMAC SHA-256.
STEP 7 — Ongoing AML monitoring is automatic on every verified subject
Every approved user is re-screened daily against 1,300+ sanctions, PEP, and adverse-media lists at $0.07 per user per year on heavy-volume accounts. When a previously-clean subject crosses an AML threshold, a transaction.alert.generated webhook fires and a case opens automatically.
CONSTRAINTS
- Session statuses Title Case With Spaces; transaction statuses UPPER_SNAKE_CASE. Don't mix.
- SAR filing deadlines: 30 days from detection (extendable by 30 days for suspect identification).
- SAR thresholds: $5,000 aggregate transaction for banks; $2,000 for money services businesses.
- BSA retention: 5 years on every SAR + supporting documentation.
- Tipping-off: NEVER disclose the SAR filing to the subject. Encode this in your customer-comms workflow.
- Default record retention is indefinite while subscribed; configurable per workflow if your supervisor mandates a specific duration.
Read the docs:
- https://docs.didit.me/transaction-monitoring/overview
- https://docs.didit.me/transaction-monitoring/transactions
- https://docs.didit.me/transaction-monitoring/aml-screening
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não precisa de cartão de crédito.
Pague apenas pelo que usar. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulamentados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
Didit é infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos construindo produtos: aberta, flexível e amigável para desenvolvedores, para que funcione como uma parte real da sua stack, em vez de uma caixa preta que você integra por fora.
Uma API cobre a verificação de pessoas (KYC, know your customer), verificação de empresas (KYB, know your business), triagem de carteiras de cripto (KYT, know your transaction), e monitoramento de transações em tempo real, em uma stack construída para ser:
A base: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura Didit aprende dinamicamente de cada sessão e melhora a cada dia.
O Bank Secrecy Act (BSA) é a lei fundamental de combate à lavagem de dinheiro dos EUA, aprovada em 1970 e emendada muitas vezes desde então. Ela exige que as instituições financeiras dos EUA ajudem o governo a detectar e prevenir a lavagem de dinheiro mantendo registros, relatando atividades suspeitas e relatando grandes transações em dinheiro.
O conjunto de regras é aplicado pela Financial Crimes Enforcement Network (FinCEN), um departamento do Tesouro dos EUA. As fiscalizações são realizadas pelo regulador federal primário da instituição, o OCC para bancos nacionais, o Federal Reserve para bancos membros estaduais, a Federal Deposit Insurance Corporation (FDIC) para bancos estaduais não membros, a National Credit Union Administration (NCUA) para cooperativas de crédito, e a SEC + FINRA para corretoras.
Em 2020, o Anti-Money Laundering Act de 2020 modernizou o regime, relatórios de propriedade beneficiária, expansão regulatória para cobrir negociantes de antiguidades, e o Corporate Transparency Act adicionado.
Um Relatório de Atividade Suspeita (SAR) é um registro confidencial que uma instituição financeira dos EUA envia ao FinCEN sempre que detecta uma transação ou padrão que possa indicar lavagem de dinheiro, fraude, financiamento de terrorismo ou outra atividade criminosa.
Regras de registro:
O FinCEN usa os SARs para construir pistas investigativas; agências como o FBI, IRS-Criminal Investigation e DEA consultam o banco de dados constantemente.
O fluxo completo normalmente leva menos de 30 segundos de ponta a ponta, pegar o documento de identidade, tirar a foto do documento, tirar a selfie, pronto. Essa é a velocidade mais rápida do mercado. Provedores de KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, Didit retorna o resultado em menos de dois segundos no p99, medido desde o momento em que o usuário termina a selfie até o momento em que seu webhook é acionado. A captura móvel é otimizada para telefones lentos e redes lentas: compressão progressiva de imagem, carregamento preguiçoso do kit de desenvolvimento de software e uma transferência com um toque do desktop para o telefone via código QR se o usuário começar na web.
A orientação do FinCEN para SARs abrange muitas categorias; as mais comuns:
O FinCEN espera detecção baseada em regras e comportamental, não apenas uma lista de verificação. Um programa real de Monitoramento de Transações ajusta as regras à base de clientes e ao perfil de risco da instituição.
Cada sessão chega a um dos sete status claros, para que seu código sempre saiba o que fazer:
Approved, todas as verificações aprovadas. Avance o usuário.Declined, uma ou mais verificações falharam. Você pode permitir que o usuário reenvie a etapa específica que falhou (por exemplo, tire a selfie novamente) sem refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso no console, veja todos os sinais, decida aprovar ou recusar.In Progress, usuário está no meio do fluxo.Not Started, link enviado, usuário ainda não abriu. Envie um lembrete se demorar muito.Abandoned, usuário abriu o link, mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é acionado em cada mudança de status, para que seu banco de dados esteja sempre sincronizado. Sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por padrão, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todos os lugares. AES-256 em repouso em todos os bancos de dados, armazenamento de objetos e backup. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão do Business Console. Dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que você configure um período menor, entre 30 dias e 10 anos por aplicativo, e você pode excluir qualquer sessão individual a qualquer momento do dashboard ou da API.
Certificações: SOC 2 Tipo 1 (auditoria Tipo 2 em andamento), ISO/IEC 27001:2022, iBeta Nível 1 PAD, e uma atestação pública do Tesoro / SEPBLAC / CNMV da Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém pessoalmente. Relatório completo em /security-compliance.
Didit é compatível por padrão com os reguladores que importam para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo dashboard, mesma cobrança, mesmo preço de pagamento por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
Um resultado comum de monitoramento é precisamos de mais informações do cliente antes de liberar esta transação, prova de origem dos fundos, um endereço atualizado, uma selfie verificada novamente.
Stacks legadas forçam sua equipe de operações a lidar com isso manualmente: enviar e-mail ao cliente, esperar, cobrar, reavaliar. A auto-remediação AWAITING_USER fecha o ciclo automaticamente:
AWAITING_USER com uma URL de verificação de remediação na resposta.APPROVED; se não, muda para DECLINED e um caso é aberto para consideração de SAR.Efeito líquido: um ciclo de remediação que costumava levar dias agora leva minutos, o rastro de auditoria está completo e sua equipe só lida com os casos que realmente precisam de julgamento humano.
Didit produz evidências prontas para SAR; você usa as ferramentas de registro e investigação que já possui.
Padrões de integração:
A superfície da Didit é intencionalmente restrita: ela captura, pontua, monitora, abre casos e armazena evidências. Se o arquivo SAR sai da Didit ou do seu sistema downstream, a decisão é sua.
A BSA exige 5 anos de registros para cada SAR, além da documentação de suporte. Os padrões do Didit:
O Didit é certificado SOC 2 Tipo 1 e ISO/IEC 27001, com os relatórios de auditoria e catálogo de controles disponíveis sob NDA em /security-compliance. Para instituições dos EUA especificamente, a separação de funções da plataforma, a criptografia em repouso e o registro de acesso atendem aos padrões que os examinadores procuram sob a orientação de Tecnologia da Informação do FFIEC.
Uma API para KYC, KYB, Monitoramento de Transações e Análise de Carteiras. Integre em 5 minutos.