Bloqueie agentes de IA, rostos gerados, deepfakes e contas duplicadas de superfícies exclusivas para humanos. Liveness passiva certificada iBeta Nível 1 PAD mais deduplicação 1:N gratuita. $0.10 por verificação, 500 gratuitas todo mês.
Confiado por mais de 2.000 organizações em todo o mundo.
Bloqueie agentes · Pare deepfakes · Deduplique Sybil
A Prova de Vida Passiva rejeita todas as categorias de Detecção de Ataque de Apresentação (PAD), impressão, tela, máscara, rosto gerado por IA. A Busca Facial 1:N então detecta a mesma pessoa tentando se registrar duas vezes. Veredito em menos de 2 segundos. $0.10 por verificação. 500 verificações gratuitas todo mês, para sempre.
Escolha as verificações que você quer, ID, prova de vida, correspondência facial, sanções, endereço, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no painel, ou publique o mesmo fluxo na nossa API. Crie ramificações com condições, faça testes A/B, sem precisar de código.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_proof_of_human",
"vendor_data": "user-42"
}'{ "session_url": "verify.didit.me/..." }$ curl https://verification.didit.me/v3/session/<id>/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Sample verdict
{
"status": "Approved",
"liveness": { "score": 96 }
}status Aprovado · Em Revisão · Recusado · Não FinalizadoYou are integrating Didit's Proof of Human gate into <my_stack>. Block AI agents, deepfakes, masks, and duplicate accounts from human-only surfaces — signup, voting, contests, marketplaces, dating. Two endpoints, one verdict.
1. Prove a real human is present (Liveness). ONE call to the Sessions API runs a Presentation Attack Detection (PAD)-certified passive selfie and returns a verdict in sub-2-seconds.
2. Prove the human is unique (Face Search 1:N). Same Sessions API workflow runs Face Search 1:N against your account's private face index.
Pricing (public):
- Passive Liveness: $0.10 per check
- Active 3D Liveness: $0.15 per check (motion challenge — use for high-sensitivity flows)
- Face Search 1:N: free, included
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- A workflow_id from the Workflow Builder that contains the LIVENESS feature, and (recommended) FACE_MATCH and IP_ANALYSIS so Sybil dedupe + agent / bot signals come in on the same verdict.
STEP 1 — Build the Proof of Human workflow once
POST https://verification.didit.me/v3/workflows/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_label": "proof_of_human",
"features": [
{ "feature": "LIVENESS", "config": { "method": "PASSIVE" } },
{ "feature": "FACE_MATCH" },
{ "feature": "IP_ANALYSIS" }
],
"face_liveness_score_decline_threshold": 30
}
Notes:
- LIVENESS, FACE_MATCH, IP_ANALYSIS are exact, case-sensitive feature names.
- method enum: PASSIVE (one frame) · FLASHING (3D flash) · ACTIVE_3D (action + flash). Use ACTIVE_3D for the highest-sensitivity surfaces (large-value account creation, voting, contest finals).
STEP 2 — Open a Proof of Human session per user
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<the workflow_id from step 1>",
"vendor_data": "<your internal user id>",
"callback": "https://<your-app>/proof-of-human/callback",
"metadata": {
"surface": "<signup | vote | contest | marketplace | dating>"
}
}
Response: 201 Created with the hosted session_url. Redirect the user. The hosted UI opens the front camera, captures one passive frame (or a short motion challenge for ACTIVE_3D), runs Liveness + Face Search 1:N, returns the verdict in sub-2-seconds.
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a clean human):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": {
"status": "Approved",
"method": "PASSIVE",
"score": 96,
"warnings": []
},
"face": {
"status": "Approved",
"similarity_score": null,
"matches": []
},
"ip_analysis": { "status": "Approved" }
}
Body (excerpted for a duplicate):
{
"status": "In Review",
"liveness": { "status": "Approved", "score": 94 },
"face": {
"status": "In Review",
"matches": [
{ "vendor_data": "user_8124", "similarity_score": 0.97 }
],
"warnings": [{ "code": "POSSIBLE_DUPLICATED_FACE" }]
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Liveness warning catalog:
- LIVENESS_FACE_ATTACK PAD attack suspected (print / replay / mask / GAN)
- LOW_LIVENESS_SCORE score below threshold
- NO_FACE_DETECTED no face in the capture
- AGE_NOT_DETECTED capture quality too low for age signal
- POSSIBLE_DUPLICATED_FACE same face previously verified on your account
STEP 4 — Branch your surface on the final verdict
Approved → grant access to the human-only surface.
Declined → block; log the rejected agent / spoof attempt.
In Review → hold; show a review-pending banner, route to ops queue.
Not Finished → user abandoned; safe to re-prompt.
STEP 5 — Alternate path (server-to-server, when you have the selfie)
POST https://verification.didit.me/v3/passive-liveness/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image <single front-camera selfie>
Then dedupe:
POST https://verification.didit.me/v3/face-search/
Body (multipart/form-data):
image <same selfie>
vendor_data <your user id>
Use the standalone path for native onboarding apps that capture the selfie locally. Active 3D liveness REQUIRES the hosted session — it needs the motion challenge to run.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, IP_ANALYSIS, ID_VERIFICATION, AML, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- 200+ fraud signals are evaluated on every session at no extra cost.
PRO TIP
- Bind a Reusable Credential to each approved user. The next Didit-powered surface that needs the same gate consumes the credential at zero cost — the Proof of Human "compounds" across the network.
Read the docs:
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/core-technology/face-search/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.
Para construir, testar e para seus primeiros usuários.
Mais de 25 módulos, preços públicos. Descontos automáticos por volume.
Para grandes volumes e programas regulamentados.
Descontos por volume são aplicados automaticamente conforme o uso aumenta — sem negociação, sem ligação de vendas.
A Didit é a infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos construindo nossos próprios produtos: aberta, flexível e amigável para desenvolvedores, para que funcione como uma parte real da sua stack, em vez de uma caixa preta que você integra por fora.
Uma única API cobre a verificação de pessoas (KYC, know your customer), verificação de empresas (KYB, know your business), triagem de carteiras de cripto (KYT, know your transaction), e monitoramento de transações em tempo real, em uma stack construída para ser:
A base por baixo: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura da Didit aprende dinamicamente de cada sessão e melhora a cada dia.
Um desafio rápido que prova três coisas ao mesmo tempo:
Os dois primeiros são chamados de vivacidade e Detecção de Ataque de Apresentação (PAD). O terceiro é a deduplicação facial 1:N. Juntos, eles são o que a maioria das plataformas agora quer dizer quando falam em "prova de humanidade".
Por duas razões.
O fluxo completo normalmente leva menos de 30 segundos do início ao fim, pegar o documento, tirar a foto do documento, tirar a selfie, pronto. Essa é a velocidade mais rápida do mercado. Provedores de KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, o Didit retorna o resultado em menos de dois segundos no p99, medido desde o momento em que o usuário termina a selfie até o momento em que seu webhook é acionado. A captura móvel é otimizada para telefones e redes lentas: compressão progressiva de imagem, carregamento preguiçoso do SDK e uma transição com um toque do desktop para o telefone via QR code, caso o usuário comece na web.
O modelo é treinado em capturas reais versus todas as classes de spoofing conhecidas, impressão, replay de tela, máscara, morph, retrato de Rede Generativa Adversarial (GAN), renderização por difusão. Capturas reais carregam pequenos artefatos que nenhum spoofing possui: micromovimento da cabeça, textura da pele subpixel, reflexos que correspondem ao espectro do flash do dispositivo, e pistas de profundidade de um único quadro passivo.
A certificação iBeta Level 1 PAD, o padrão citado pelo Instituto Nacional de Padrões e Tecnologia dos EUA, mede exatamente esse desempenho, e o Didit a mantém em todas as sessões de vivacidade passiva.
Cada sessão chega a um de sete status claros, para que seu código sempre saiba o que fazer:
Approved, todas as verificações aprovadas. Siga com o usuário.Declined, uma ou mais verificações falharam. Você pode permitir que o usuário reenvie a etapa específica que falhou (por exemplo, tire a selfie novamente) sem precisar refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso no console, veja todos os sinais, decida aprovar ou recusar.In Progress, o usuário está no meio do fluxo.Not Started, link enviado, o usuário ainda não abriu. Envie um lembrete se demorar muito.Abandoned, o usuário abriu o link, mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é disparado a cada mudança de status, para que seu banco de dados esteja sempre sincronizado. Sessões abandonadas e recusadas são gratuitas.
Por padrão, os dados de produção são processados e armazenados na União Europeia, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores exijam.
Criptografia em todos os lugares. AES-256 em repouso em todos os bancos de dados, armazenamentos de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão do Business Console. Dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que você configure um período menor, entre 30 dias e 10 anos por aplicação, e você pode excluir qualquer sessão individual a qualquer momento do painel ou da API.
Certificações: SOC 2 Type 1 & Type 2, ISO/IEC 27001:2022, iBeta Level 1 PAD, e uma declaração pública do Tesoro / SEPBLAC / CNMV da Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém pessoalmente. Relatório completo em /security-compliance.
A Didit já vem em conformidade por padrão com os reguladores importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo painel, mesma cobrança, mesmo preço por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
Dois caminhos.
POST /v3/session/ com o workflow_id que você criou no Business Console. Nós hospedamos a UI de captura, executamos Liveness + Face Search 1:N, e retornamos um veredito assinado para o seu webhook. Integração em cinco minutos.POST /v3/passive-liveness/ com a selfie que você já capturou localmente, depois POST /v3/face-search/ para deduplicação Sybil.Exemplo completo de cURL, formato de resposta e o prompt que pode ser colado no agente estão acima. O servidor Model Context Protocol (MCP) se comunica com Claude, Cursor e qualquer outro agente em ambas as interfaces.
Minimização de dados por padrão. A selfie é processada em memória; o veredito, a pontuação de vivacidade e um template facial irreversível são persistidos; a imagem bruta é excluída, a menos que a retenção seja explicitamente ativada. O template facial é um hash unidirecional, você não consegue reconstruir o rosto original a partir dele.
Nunca vendemos, compartilhamos ou treinamos modelos de terceiros com dados biométricos de clientes. Os termos completos de processamento de dados estão em didit.me/terms/business; o aviso de privacidade que o usuário final vê está em didit.me/terms/verification-privacy-notice.
A sessão retorna um de quatro resultados:
Um webhook assinado é enviado a cada mudança de estado, então você só renderiza com base no veredito mais recente.
Uma API para KYC, KYB, Monitoramento de Transações e Análise de Carteiras. Integre em 5 minutos.