Autenticação Biométrica ($0.10) mais Análise de Dispositivo e IP ($0.03) entregam dois fatores SCA de nível PSD3 em um único prompt. Resistente a phishing. Substituição direta para senha de uso único por SMS.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
Por que o SMS OTP está com os dias contados
A PSD3 está aposentando o SMS one-time-password como fator de Strong Customer Authentication. A SCA biométrica vinculada a dispositivo da Didit bloqueia SIM-swap, phishing em tempo real e interceptação SS7, por $0.13 por autenticação, veredito em menos de dois segundos, pronta para dynamic-linking. 500 verificações gratuitas todo mês.
Escolha as verificações que você quer, ID, prova de vida, reconhecimento facial, sanções, endereço, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no painel, ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, faça testes A/B, sem precisar de código.
Incorpore nativamente com nossos SDKs para Web, iOS, Android, React Native ou Flutter. Redirecione para uma página hospedada. Ou simplesmente envie um link ao seu usuário, por e-mail, SMS, WhatsApp, onde quiser. Escolha o que melhor se adapta à sua stack.
A Didit hospeda a câmera, as dicas de iluminação, a transição para o celular e a acessibilidade. Enquanto o usuário está no fluxo, pontuamos mais de 200 sinais de fraude em tempo real e verificamos cada campo contra fontes de dados oficiais. Resultado em menos de dois segundos.
Webhooks assinados em tempo real mantêm seu banco de dados sincronizado no momento em que um usuário é aprovado, recusado ou enviado para revisão. Consulte a API sob demanda. Ou abra o console para inspecionar cada sessão, cada sinal e gerenciar casos do seu jeito.
Didit · Fatores SCA
Conhecimento
Senha · PIN
Opcional
Posse
Dispositivo vinculado
Didit ✓
Inerência
Rosto · prova de vida
Didit ✓
Didit · Vinculação dinâmica
Didit · Matriz de ataque
Didit · Motor de isenção
Didit · Análise de dispositivo e IP
Didit · Custo por autenticação
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "purpose": "login" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'status Aprovado · Recusado · Em Análise$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "amount": "247.50", "payee_account": "ES91…1332" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'webhook retorna valor + beneficiário para verificaçãoYou are integrating Didit's Strong Customer Authentication into a payment service provider, bank, EMI, or wallet to satisfy PSD3 / the Payment Services Regulation (PSR). Two factors in one prompt:
1. Inherence — Biometric Authentication: Passive Liveness + Face Match 1:1 against the user's previously-enrolled KYC selfie.
2. Possession — Device & IP Analysis: 200+ real-time fraud signals binding the auth to the user's known device.
Pricing (verified live 2026-05-16):
- Biometric Authentication: $0.10 per auth
- Device & IP Analysis: $0.03 per auth
- Total: $0.13 per Strong Customer Authentication
- First 500 verifications free every month, forever
- Re-uses the enrolled selfie from the original KYC — no re-enrolment
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
- A workflow_id from the no-code Workflow Builder configured as a Biometric Authentication workflow (Passive Liveness + Face Match 1:1 + Device & IP Analysis).
- The user has previously completed a Didit KYC (the same enrolled selfie backs every subsequent auth).
STEP 1 — Open an authentication session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (for login auth):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/auth/callback",
"metadata": {
"purpose": "login",
"session_id": "<your front-end session id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor; OMIT only if the workflow is liveness-only>"
}
Body (for payment with dynamic linking):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/payment/callback",
"metadata": {
"purpose": "payment",
"amount": "247.50",
"currency": "EUR",
"payee_account": "ES9121000418450200051332",
"payee_name": "<merchant or recipient>",
"transaction_reference": "<your internal transaction id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor>"
}
Response: 201 Created with the hosted session URL. Push the URL to the user via deep-link / push notification / in-app sheet.
STEP 2 — User completes the biometric auth
The user sees one prompt on their phone (or via the Didit SDK in your native app). Three things happen on the same screen:
1. The amount + payee are displayed (dynamic linking — the user explicitly approves THIS amount to THIS payee for payments).
2. Passive Liveness defeats screen replay, printed photo, mask, deepfake.
3. Face Match 1:1 matches the new selfie against the enrolled KYC selfie.
Device & IP Analysis runs server-side on the session. Sub-2-second median verdict.
STEP 3 — Read the signed webhook on the auth verdict
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "vpn_detected": false, "datacenter_ip": false },
"metadata_echo": {
"amount": "247.50",
"payee_account": "ES9121000418450200051332"
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
For payments, verify that metadata_echo.amount and metadata_echo.payee_account match the values you passed in. If they do not, REJECT the payment — it's a dynamic-linking violation.
STEP 4 — Branch on verdict
Approved → unlock the action (login, payment, account change).
In Review → hold the action, route to manual review queue.
Declined → block, log the attempt, surface a friendly "try again" to the user.
Resubmitted → the user re-submitted after a soft fail (poor lighting, occlusion); proceed if the latest status is Approved.
STEP 5 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload: liveness verdict (iBeta Level 1 anti-spoof certified), Face Match similarity score, device fingerprint, IP geolocation, VPN / proxy / datacenter flags, 200+ fraud-signal score, dynamic-linking echo, HMAC signature.
Use this for the audit-trail surface a regulator examines on Strong Customer Authentication coverage.
STEP 6 — Step up on risk
When Device & IP Analysis surfaces a high-risk signal (new device + high-value payment, VPN/proxy on a login, geolocation jump), your workflow can step up to:
- A separate hardware-key challenge (FIDO2 / WebAuthn)
- A trusted-beneficiary whitelist confirmation
- A manual-review hold
Encode the step-up policy in the no-code Workflow Builder — no redeploy required.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE on a session.
- Dynamic linking is REQUIRED for payments — pass amount + payee in metadata, verify the echo on the webhook.
- The enrolled selfie that backs every SCA is the one captured during the user's original KYC — no separate enrolment step.
- PSD3 / PSR exemptions (low-value remote < EUR 30, contactless point-of-sale < EUR 50, recurring identical, trusted beneficiary, Transaction Risk Analysis tiers) are configured per workflow in the Business Console.
- Default record retention is 5 years per the EU AML and payments rules.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não precisa de cartão de crédito.
Pague apenas pelo que usar. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulamentados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
A Didit é uma infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos construindo produtos: aberta, flexível e amigável para desenvolvedores, para que funcione como uma parte real da sua stack, em vez de uma caixa preta que você integra por fora.
Uma API cobre a verificação de pessoas (KYC, know your customer), verificação de empresas (KYB, know your business), rastreamento de carteiras de cripto (KYT, know your transaction), e monitoramento de transações em tempo real, em uma stack construída para ser:
A base por trás: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura da Didit aprende dinamicamente com cada sessão e melhora a cada dia.
A Autenticação Forte de Cliente (SCA) é uma regra da regulamentação de serviços de pagamento da UE que diz: quando um cliente faz login em sua conta ou inicia um pagamento, você deve verificá-lo usando pelo menos dois de três categorias de fatores independentes.
As três categorias:
Os dois fatores devem vir de categorias diferentes, uma senha mais uma pergunta de segurança não é SCA, porque ambos são conhecimento. Uma senha mais uma impressão digital é, porque cruzam categorias.
Um terceiro requisito, vinculação dinâmica, diz que o segundo fator para um pagamento deve ser vinculado de forma única ao valor da transação e ao beneficiário, para que um código roubado não possa ser reutilizado em uma transação diferente.
PSD3, abreviação de Payment Services Directive 3, é a reescrita da UE de 2026 do livro de regras que a PSD2 introduziu em 2018. Junto a ela, está o Payment Services Regulation (PSR), que é diretamente aplicável em todos os estados membros sem transposição nacional.
Principais mudanças em relação à PSD2:
A transição está em andamento, a maioria das mudanças na SCA deve entrar em vigor de 18 a 24 meses após a adoção final.
O fluxo completo normalmente leva menos de 30 segundos do início ao fim, pegar o documento, tirar a foto do documento, tirar a selfie, pronto. Essa é a velocidade mais rápida do mercado. Provedores KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, a Didit retorna o resultado em menos de dois segundos no p99, medido desde o momento em que o usuário termina a selfie até o momento em que seu webhook é disparado. A captura móvel é otimizada para telefones e redes lentas: compressão progressiva de imagem, carregamento lento do kit de desenvolvimento de software e uma transferência com um toque do desktop para o telefone via código QR se o usuário começar na web.
Precisam de SCA por padrão:
Isentas (a PSD3 mantém a maioria das isenções da PSD2, mas aperta os limites):
Acertar o cálculo das isenções é o trabalho de otimização de SCA de maior alavancagem que a maioria das equipes faz, bem aplicado, reduz o atrito da autenticação sem aumentar a fraude.
Cada sessão tem um dos sete status claros, para que seu código sempre saiba o que fazer:
Approved, todas as verificações aprovadas. Prossiga com o usuário.Declined, uma ou mais verificações falharam. Você pode permitir que o usuário reenvie a etapa específica que falhou (por exemplo, tire a selfie novamente) sem refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso no console, veja todos os sinais, decida aprovar ou recusar.In Progress, o usuário está no meio do fluxo.Not Started, link enviado, o usuário ainda não abriu. Envie um lembrete se demorar muito.Abandoned, o usuário abriu o link, mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é disparado a cada mudança de status, para que seu banco de dados esteja sempre sincronizado. Sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por padrão, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todos os lugares. AES-256 em repouso em todos os bancos de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão do Business Console. Dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que você configure um período menor, entre 30 dias e 10 anos por aplicativo, e você pode excluir qualquer sessão individual a qualquer momento no painel ou na API.
Certificações: SOC 2 Type 1 (auditoria Type 2 em andamento), ISO/IEC 27001:2022, iBeta Level 1 PAD, e uma declaração pública do Tesoro / SEPBLAC / CNMV da Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém pessoalmente. Relatório completo em /security-compliance.
A Didit já vem em conformidade por padrão com os reguladores importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo dashboard, mesma cobrança, mesmo preço de pagamento por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
A mesma API POST /v3/session/ em todas as plataformas, a captura voltada para o usuário difere:
O mesmo template biométrico que o usuário cadastrou no momento do KYC suporta cada autenticação, sem novo cadastro, sem fluxo separado.
Sim, o mesmo pacote de autenticação atende à maioria das regras globais equivalentes:
Uma API, um pacote de autenticação, todas as jurisdições. A matemática da isenção muda; o contrato técnico não.
Cada autenticação produz um registro de evidência assinado, exportável do Business Console:
Pending para Approved ou Declined, com notas do revisor se escalado.Todos os registros são armazenados na União Europeia (data centers da UE), retidos indefinidamente enquanto sua assinatura estiver ativa. A retenção padrão de registros é de 5 anos, conforme as regras de AML e pagamentos da UE, extensível de acordo com a orientação do seu supervisor.
Uma API para KYC, KYB, Monitoramento de Transações e Análise de Carteiras. Integre em 5 minutos.