O usuário encosta o passaporte no celular. A assinatura do governo é verificada, o retrato do chip supera a selfie. Identidade com nível bancário em menos de cinco segundos. $0.15 por leitura de chip.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
O que uma plataforma regulamentada oferece
Os dados de um chip de e-passaporte são criptograficamente assinados pelo país emissor. Verificar essa cadeia de assinatura, e comparar a selfie com o retrato de alta resolução do chip, oferece a você a garantia de nível bancário de que o documento é genuíno. O fluxo NFC da Didit funciona em menos de cinco segundos, retorna para OCR quando o NFC não está disponível e vem com SDKs nativos para iOS, Android, React Native e Flutter.
Escolha as verificações que você quer, ID, prova de vida, correspondência facial, sanções, endereço, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no painel ou publique o mesmo fluxo em nossa API. Crie ramificações com base em condições, execute testes A/B, sem necessidade de código.
Incorpore nativamente com nosso SDK para Web, iOS, Android, React Native ou Flutter. Redirecione para uma página hospedada. Ou simplesmente envie um link para seu usuário, por e-mail, SMS, WhatsApp, onde quiser. Escolha o que melhor se adapta à sua stack.
A Didit hospeda a câmera, as dicas de iluminação, a transição para celular e a acessibilidade. Enquanto o usuário está no fluxo, pontuamos mais de 200 sinais de fraude em tempo real e verificamos cada campo em relação a fontes de dados confiáveis. Resultado em menos de dois segundos.
Webhooks assinados em tempo real mantêm seu banco de dados sincronizado no momento em que um usuário é aprovado, recusado ou enviado para revisão. Consulte a API sob demanda. Ou abra o console para inspecionar cada sessão, cada sinal e gerenciar casos do seu jeito.
Didit · Leitura NFC
Passo 2 / 4
Aproxime o passaporte do celular
Didit · Cadeia ICAO 9303
Didit · Face Match 1:1
Retrato do chip · DG2
Alta resolução · assinado pelo governo
Selfie ao vivo
Pontuação 0.94 · iBeta L1
Didit · Prova de Vida Passiva
Didit · AML
Didit · Verificação de ID
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_nfc_onboarding",
"vendor_data": "user-42",
"expected_country": "ES"
}'abra a URL no SDK nativo · o toque NFC entra em ação.$ curl https://verification.didit.me/v3/session/$SESSION/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Decision payload (excerpted):
{ "nfc_verification": { "passive_authentication": "Aprovado" },
"face": { "matched_against": "chip_portrait", "similarity_score": 0.94 } }comparado com a foto do chip → garantia de nível eIDAS.You are integrating Didit's NFC e-passport reading into a regulated onboarding flow (bank, fintech, crypto exchange, eIDAS-grade public service). NFC chip reading lifts onboarding from document-scan-grade to bank-grade in one extra step on the user's phone.
Five obligations on every onboarding:
1. Read the e-passport / e-ID chip via NFC — DG1 (MRZ), DG2 (portrait), DG11 (personal details).
2. Verify the government signature chain — Passive Authentication (PA) against the ICAO Public Key Directory, Chip Authentication (CA), Active Authentication (AA).
3. Match the live selfie to the high-resolution DG2 portrait extracted from the chip.
4. Run Passive Liveness on the selfie — iBeta Level 1 anti-spoof certified, defeats printed photos, screen replays, masks, and deepfakes.
5. Screen the chip-verified identity against sanctions, Politically Exposed Persons (PEP), and adverse-media lists.
Fallback automatically when NFC is unavailable (no chip, NFC blocked by iOS or by user permission, chip damaged): the workflow drops to high-accuracy MRZ + OCR on the visual page using ID Verification.
Pricing (verified live):
- NFC Reading: $0.15 per chip read
- ID Verification (fallback or always-on belt-and-braces): $0.15 per check
- Passive Liveness: $0.10 per check
- Face Match 1:1: $0.05 per match
- AML Screening: $0.20 per check
- Bundle (NFC + Liveness + Face Match + AML): $0.50 per onboarded user when NFC succeeds; $0.50 also when the workflow falls back to ID Verification
- First 500 KYC verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header and your webhook secret.
- A workflow_id from the Workflow Builder bundling NFC Reading + ID Verification (fallback) + Passive Liveness + Face Match 1:1 + AML Screening.
- The Didit hosted flow or the native SDKs (web SDK, iOS, Android, React Native, Flutter) — NFC chip reading requires the native NFC stack, so plain web-only deployments fall back to MRZ + OCR automatically.
STEP 1 — Create the NFC session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your nfc onboarding workflow id>",
"vendor_data": "<your user id, max 256 chars>",
"callback_url": "https://<your-app>/onboarding/kyc/callback",
"expected_country": "ES",
"metadata": {
"channel": "native_ios",
"purpose": "high_assurance_onboarding"
}
}
Response: 201 Created with the hosted session URL. Open it via the native SDK (iOS NFC requires CoreNFC entitlement) or in the hosted webview; the user taps the e-passport against the phone's NFC reader, the chip data is read in 2-4 seconds.
STEP 2 — The chip-read sequence (handled by the SDK / hosted flow)
Inside the hosted flow, in this order:
a. The user presents the data page so the device camera reads the Machine-Readable Zone (MRZ). The MRZ provides the BAC / PACE key needed to handshake with the chip.
b. The user taps the passport to the phone. PACE (preferred) or BAC handshake establishes a secure session with the chip.
c. The chip returns Data Group 1 (MRZ data — name, DOB, expiry, document number), Data Group 2 (the high-resolution portrait), and Data Group 11 (personal details where available).
d. Passive Authentication verifies the Document Signer Certificate against the country's Country Signing CA via the ICAO Public Key Directory. Chip Authentication and Active Authentication run if supported by the issuing country.
e. The user takes a single selfie (Passive Liveness, no challenge prompts).
f. The selfie is matched 1:1 against the DG2 portrait.
STEP 3 — Read the signed webhook on completion
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"nfc_verification": {
"status": "Approved",
"passive_authentication": "Approved",
"chip_authentication": "Approved",
"active_authentication": "Approved",
"data_groups_read": [1, 2, 11]
},
"id_verification": { "status": "Approved", "document_type": "passport", "country_code": "ES" },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94, "matched_against": "chip_portrait" },
"aml": { "status": "Approved", "hits": [] }
}
Session status enum (exact case):
Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Decide
Branch logic:
Approved → onboard the user with bank-grade assurance.
In Review → hold the account, wait for analyst webhook update.
Declined → refuse onboarding, log the decline reason.
Resubmitted → user updated something; re-read the decision.
When face.matched_against === "chip_portrait", you can mark the identity as eIDAS High-grade (Substantial / High depending on your local regulator's reading). When it falls back to "id_document_portrait" (the visual page), it's still bank-grade by document-scan standards but not chip-anchored.
STEP 5 — Fallback paths
iPhones below iPhone 7, or any phone with NFC disabled, or a document without a chip (pre-2014 in some countries) → the workflow surfaces "NFC unavailable" and routes to the ID Verification + MRZ + OCR path. Same hosted URL, same webhook, same statuses. The fallback is configured in the Workflow Builder, not in your code.
Some Android devices won't read every chip due to NFC antenna placement — Didit's iOS / Android SDKs surface a graceful retry hint before failing over to OCR.
STEP 6 — Ongoing monitoring
Enable Ongoing AML at $0.07/user/year to keep the identity fresh. NFC re-reads aren't required for ongoing — the chip data was captured at onboarding and the binding is permanent for the document's validity period.
WEBHOOK EVENT NAMES
- status.updated — session status changed.
- data.updated — session data changed (resubmission, NFC retry, ongoing AML hit).
Verify X-Signature-V2 on every payload. The webhook secret is per-environment — sandbox key is separate from production.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review).
- NFC chip reading requires the native NFC stack — iOS, Android, React Native, Flutter SDKs handle it; pure web falls back to MRZ + OCR.
- The chip portrait (DG2) is far higher-resolution than the visual page — matching the selfie to it is meaningfully more accurate than matching to a phone-camera-captured ID photo.
- Document Signer Certificate trust is anchored to the ICAO Public Key Directory; some countries (eg. small island states) do not publish to the PKD and will return a Passive Authentication warning rather than Approved.
- Default record retention is 5 years post-relationship per the EU AML package.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/core-technology/nfc-verification/overview
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não precisa de cartão de crédito.
Pague apenas pelo que usar. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulamentados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
Didit é a infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos construindo produtos: aberta, flexível e amigável para desenvolvedores, para que funcione como uma parte real da sua stack, e não como uma caixa preta que você integra por fora.
Uma única API cobre a verificação de pessoas (KYC, know your customer), verificação de empresas (KYB, know your business), triagem de carteiras de cripto (KYT, know your transaction) e monitoramento de transações em tempo real, em uma stack construída para ser:
A base: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura Didit aprende dinamicamente com cada sessão e melhora a cada dia.
Passaportes modernos (e cada vez mais carteiras de identidade nacionais modernas na UE) carregam um pequeno chip sem contato, o mesmo tipo de chip que você usa para pagar com cartão. O chip contém:
Essa última parte é a mágica. O chip é criptograficamente vinculado ao país emissor, o que significa que um invasor não pode forjar ou adulterar o que ele retorna, eles teriam que forjar uma assinatura governamental. O Didit lê o chip via NFC no telefone do usuário em 2-4 segundos por $0.15 por leitura.
Três motivos, em ordem de importância:
Para a maioria dos fluxos de onboarding, a leitura de documentos é suficiente. Para bancos, fintechs, serviços públicos de nível eIDAS e qualquer fluxo onde um único falso positivo custa dinheiro real, a leitura de chip NFC é o controle padrão.
O fluxo completo geralmente leva menos de 30 segundos do início ao fim, pegar o documento, tirar a foto, tirar a selfie, pronto. Essa é a velocidade mais rápida do mercado. Provedores KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, o Didit retorna o resultado em menos de dois segundos no p99, medido do momento em que o usuário termina a selfie até o momento em que seu webhook é acionado. A captura móvel é otimizada para telefones e redes lentas: compressão progressiva de imagem, carregamento preguiçoso do SDK e uma transferência com um toque do desktop para o telefone via QR code se o usuário começar na web.
ICAO Doc 9303 é a especificação internacional para documentos de viagem legíveis por máquina (MRTDs), todo passaporte moderno no mundo é construído de acordo com esta especificação. Três pontos são importantes para a verificação NFC:
O Didit executa todos os três e expõe cada veredito separadamente no payload de decisão. Estar em conformidade com o ICAO Doc 9303 significa que o caminho de leitura do chip é o mesmo que os agentes de fronteira usam nos e-gates dos aeroportos.
Cada sessão chega a um dos sete status claros, para que seu código sempre saiba o que fazer:
Approved, todas as verificações passaram. Avance o usuário.Declined, uma ou mais verificações falharam. Você pode permitir que o usuário reenvie a etapa específica que falhou (por exemplo, refazer a selfie) sem refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso no console, veja todos os sinais, decida aprovar ou recusar.In Progress, usuário está no meio do fluxo.Not Started, link enviado, usuário ainda não abriu. Envie um lembrete se demorar muito.Abandoned, usuário abriu o link, mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é acionado em cada mudança de status, para que seu banco de dados esteja sempre sincronizado. Sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por padrão, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todos os lugares. AES-256 em repouso em todos os bancos de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão do Business Console. Dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que você configure um período menor, entre 30 dias e 10 anos por aplicativo, e você pode excluir qualquer sessão individual a qualquer momento do painel ou da API.
Certificações: SOC 2 Tipo 1 (auditoria Tipo 2 em andamento), ISO/IEC 27001:2022, iBeta Nível 1 PAD, e uma atestação pública do Tesoro / SEPBLAC / CNMV da Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém pessoalmente. Relatório completo em /security-compliance.
O Didit já vem em conformidade por padrão com os reguladores importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo dashboard, mesma cobrança, mesmo preço por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
Três modos de falha comuns, todos tratados pelo fluxo de trabalho:
O caminho de fallback é o mesmo /v3/session/, mesmo webhook, mesmos status. O payload de decisão informa qual caminho foi bem-sucedido para que você possa rotear com base nele, face.matched_against === "chip_portrait" para o caminho NFC, "id_document_portrait" para o fallback OCR. Fluxos de trabalho de nível bancário podem rejeitar o fallback OCR e exigir uma nova tentativa em um dispositivo diferente.
Sob o eIDAS 2, a estrutura de identificação eletrônica da UE, um e-passaporte verificado por chip com correspondência biométrica pode suportar garantia Substantial ou High, dependendo dos controles que cercam o fluxo de trabalho.
O papel do Didit é fornecer a evidência subjacente de vinculação de identidade:
Se o fluxo completo atinge Substantial ou High depende da carteira consumidora, da estrutura de confiança e da interpretação do regulador em seu país. O Didit é a única plataforma KYC com uma atestação formal do governo da UE, o Tesouro da Espanha, o Banco de España e o SEPBLAC atestaram conjuntamente o serviço como mais seguro do que a verificação presencial. Esse relatório é o ponto de partida mais citado para uma discussão sobre eIDAS High.
A maioria dos provedores de NFC cobra entre $1.50 e $5.00 por leitura de chip, muitas vezes com mínimos de milhares de euros por mês e sobretaxas por país para assinaturas de certificados de assinatura de chip. O arquétipo Onfido / Jumio / Veriff.
O preço publicado do Didit é de $0.15 por leitura de chip NFC + $0.50 pelo pacote completo (NFC + Liveness + Face Match + AML). Sem piso, sem mínimo, sem sobretaxa por país. As primeiras 500 verificações gratuitas todo mês absorvem a maioria dos pilotos por completo.
Isso é aproximadamente 10-30 vezes mais barato do que a stack existente para o mesmo resultado regulatório. Em um mês com 10.000 usuários, a economia em relação a um provedor que cobra $2.00 por chip é de cerca de $18.500. Em volumes de bancos europeus (mais de 100.000 KYCs/mês), a economia se acumula em centenas de milhares anualmente. Preços completos em /pricing.
Uma API para KYC, KYB, Monitoramento de Transações e Análise de Carteiras. Integre em 5 minutos.