Busque cada nova selfie de cadastro na galeria de selfies aprovadas anteriormente. Uma correspondência significa que a mesma pessoa já tem uma conta. A busca facial é gratuita; 500 verificações gratuitas todo mês.
Confiado por mais de 2.000 organizações em todo o mundo.
O que e-mail e telefone não conseguem pegar
Aliases de e-mail e SIMs descartáveis custam centavos. Um rosto humano é o único identificador que o fraudador de sybils não consegue mudar. O Face Search 1:N contra sua galeria de selfies anteriores torna impossível para a mesma pessoa se esconder. Gratuito por busca, 500 verificações gratuitas todo mês.
Escolha as verificações que você quer, ID, prova de vida, correspondência facial, sanções, endereço, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no painel, ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, faça testes A/B, sem precisar de código.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_sybil_gate",
"vendor_data": "signup-A4",
"metadata": { "surface": "airdrop_claim" }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Recusado") {
logCluster(payload.face_search.matches);
blockSignup(payload.vendor_data);
} else if (payload.status === "Em Análise") {
queueForAnalyst(payload);
}status Aprovado · Recusado · Em Análise · Não FinalizadoYou are integrating Didit Face Search 1:N to catch the same human opening many accounts on your platform — sybil airdrops, referral payout cycles, sign-up bonus stacking, iGaming multi-accounting that bypasses self-exclusion, marketplace fake-review clusters. One API call. One signed webhook. One decision.
WHY THIS SHAPE
- Email, phone, device, IP can all be rotated cheaply. A human face cannot.
- Every new sign-up captures one Passive Liveness selfie. Didit searches that selfie against the gallery of prior approved selfies under your account. A high-similarity match means the same person already has an account.
- Face Search 1:N itself is FREE on every session — no per-search fee. Only the surrounding bundle (ID + Passive Liveness + AML) carries the usual cost. Use the full Know Your Customer (KYC) bundle on sign-up or the Passive Liveness + Face Search subset, depending on what the product needs.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow that contains the Face Search 1:N module. Compose it with Passive Liveness so an attacker cannot upload a still photo of the target.
- Define what a "match" means for your product. Default: similarity ≥ 0.85 = Declined. 0.75–0.85 = In Review. < 0.75 = Approved.
STEP 1 — Open the sign-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Face Search 1:N + Passive Liveness>",
"vendor_data": "<your new-account id, max 256 chars>",
"callback": "https://<your-app>/sybil-gate/callback",
"metadata": {
"surface": "airdrop_claim",
"campaign": "<your campaign id>"
}
}
Response: 201 Created with a hosted session URL. Redirect inline (web) or open in a Software Development Kit (SDK) webview (mobile). The new account stays UNCREATED on your side until the signed webhook lands.
STEP 2 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body) BEFORE reading the JSON.
Payload (excerpted, match case):
{
"session_id": "<uuid>",
"vendor_data": "<your new-account id>",
"status": "Declined",
"face_search": {
"matches": [
{ "session_id": "sess-9182", "similarity": 0.96, "vendor_data": "user-A1" },
{ "session_id": "sess-7733", "similarity": 0.94, "vendor_data": "user-A2" }
]
}
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 3 — Branch the sign-up
Approved → no gallery match. Create the account.
In Review → soft match (similarity in your grey-zone band). Queue for human review.
Declined → hard match (similarity above your hard threshold). Block, log the matched session_id list as the audit trail.
STEP 4 — Cross-account link signals (optional but cheap)
Compose Device & IP Analysis ($0.03 / call) in the same workflow. The decision payload surfaces device fingerprint, IP, Autonomous System Number (ASN), country, and city. Combine with your own payment-instrument hash and you can cluster sybils even before the face search confirms.
STEP 5 — Reusable KYC for legitimate cross-product re-entry
If the user is supposed to reuse one identity across multiple products you own, Reusable KYC lets them replay a previously verified credential at no cost. That is different from sybil abuse — reuse is intentional and you control the issuance.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT IT BLOCKS
- Sybil airdrop / token claims (one person · many wallets)
- Self-referral payout cycles (sign-up bonus farms)
- iGaming multi-accounting that bypasses self-exclusion
- Marketplace fake-review clusters from a single human
- DAO and community-vote stuffing
- Welcome-bonus stacking on neobank / brokerage sign-ups
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE for session verdicts — that's the Transactions API.
- Face Search 1:N WITHOUT Passive Liveness lets an attacker upload a still photo of the target. Always compose them together.
- Thresholds are tunable per workflow. Start at 0.85 hard / 0.75 soft and adjust based on your false-positive tolerance.
- The gallery is scoped to your account — no cross-customer leakage by design.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/face-search/overview
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.
Para construir, testar e para seus primeiros usuários.
Mais de 25 módulos, preços públicos. Descontos automáticos por volume.
Para grandes volumes e programas regulamentados.
Descontos por volume são aplicados automaticamente conforme o uso aumenta — sem negociação, sem ligação de vendas.
Didit é a infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos construindo nossos próprios produtos: aberta, flexível e amigável para desenvolvedores, para que funcione como uma parte real da sua stack, em vez de uma caixa preta que você integra por fora.
Uma única API cobre a verificação de pessoas (KYC, know your customer), verificação de empresas (KYB, know your business), triagem de carteiras de cripto (KYT, know your transaction) e monitoramento de transações em tempo real, em uma stack construída para ser:
A base por trás: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura Didit aprende dinamicamente de cada sessão e melhora a cada dia.
Um ataque sybil ocorre quando um humano cria várias contas para se passar por várias pessoas. O nome vem de um estudo de caso de 1973 sobre um paciente com transtorno dissociativo de identidade. Em termos de produto, aparece como uma pessoa reivindicando um airdrop dez vezes, acumulando dez bônus de inscrição ou preenchendo um ranking com dez vitórias "diferentes".
O ataque funciona porque qualquer outro identificador, e-mail, telefone, dispositivo, endereço de Internet Protocol (IP), pode ser trocado por centavos. O único identificador que não pode ser trocado a baixo custo é o próprio rosto do atacante.
Um sybil farmer em 2026 pode comprar:
A operação toda se paga se um único airdrop ou bônus sybilado valer mais do que o kit. O Face Search 1:N pega o rosto, a única coisa que o farmer não consegue duplicar a baixo custo, e o transforma na chave única.
O fluxo completo geralmente leva menos de 30 segundos do início ao fim, pegar o documento, tirar a foto do documento, tirar a selfie, pronto. Essa é a velocidade mais rápida do mercado. Provedores de KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, a Didit retorna o resultado em menos de dois segundos no p99, medido desde o momento em que o usuário termina a selfie até o momento em que seu webhook é acionado. A captura móvel é otimizada para telefones e redes lentas: compressão progressiva de imagem, carregamento preguiçoso do Software Development Kit (SDK) e uma transferência com um toque do desktop para o telefone via QR code, caso o usuário comece na web.
Perguntas diferentes, cálculos diferentes.
A verificação 1:1 custa \$0.05 por correspondência. O Face Search 1:N é gratuito por pesquisa, apenas o pacote que o acompanha (ID Verification, Passive Liveness) tem custo.
Cada sessão chega a um dos sete status claros, para que seu código sempre saiba o que fazer:
Approved, todas as verificações aprovadas. Avance o usuário.Declined, uma ou mais verificações falharam. Você pode permitir que o usuário reenvie a etapa específica que falhou (por exemplo, tire a selfie novamente) sem refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso no console, veja todos os sinais, decida aprovar ou recusar.In Progress, usuário está no meio do fluxo.Not Started, link enviado, usuário ainda não abriu. Envie um lembrete se demorar muito.Abandoned, usuário abriu o link, mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é acionado a cada mudança de status, para que seu banco de dados esteja sempre sincronizado. Sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por padrão, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todos os lugares. AES-256 em repouso em todos os bancos de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão do Business Console. Dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que você configure um período menor, entre 30 dias e 10 anos por aplicação, e você pode excluir qualquer sessão individual a qualquer momento do painel ou da API.
Certificações: SOC 2 Tipo 1 e Tipo 2, ISO/IEC 27001:2022, iBeta Nível 1 PAD, e uma atestação pública do Tesoro / SEPBLAC / CNMV da Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém pessoalmente. Relatório completo em /security-compliance.
A Didit já vem em conformidade por padrão com os reguladores importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo painel, mesma cobrança, mesmo preço de pagamento por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
O Face Search 1:N retorna uma pontuação de similaridade entre 0 e 1 por correspondência. Você define dois limites por fluxo de trabalho:
Declined. Bloqueia automaticamente a inscrição.In Review. Fila para análise.Approved. Nenhuma duplicata encontrada.Comece com os padrões. Se você vir muitos falsos positivos (gêmeos reais, forte semelhança familiar), aumente o limite rígido. Se duplicatas passarem, diminua-o. Ajuste no Workflow Builder, sem necessidade de reimplantar.
Duas linhas de custo por nova inscrição:
Cerca de \$0.10 por inscrição protegida. Adicione Device & IP Analysis por \$0.03 se quiser sinais de link de dispositivo + IP para agrupamento. As primeiras 500 verificações todo mês são gratuitas em todas as contas.
Sem mínimos, sem compromisso anual, sem preço por assento.
Onde quer que a multiplicação de contas tenha valor econômico:
Uma integração, todas as superfícies.
Uma API para KYC, KYB, Monitoramento de Transações e Análise de Carteiras. Integre em 5 minutos.