Emita uma credencial assinada pela Didit após um KYC de $0.33. O utilizador apresenta-a em todas as outras plataformas Didit com divulgação seletiva, gratuito, para sempre, alinhado com o regulamento da carteira de identidade da UE.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
O que a identidade reutilizável permite
Cada KYC da Didit envia uma credencial de Identidade Reutilizável assinada para a carteira do utilizador. Cada plataforma recetora valida-a gratuitamente com divulgação seletiva. Uma verificação, para todas as empresas que aceitam Didit. 500 verificações gratuitas todos os meses.
Escolha as verificações que pretende, ID, prova de vida, correspondência facial, sanções, morada, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no dashboard, ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, execute testes A/B, sem necessidade de código.
Incorpore nativamente com os nossos SDKs Web, iOS, Android, React Native ou Flutter. Redirecione para uma página alojada. Ou simplesmente envie um link ao seu utilizador, por e-mail, SMS, WhatsApp, em qualquer lugar. Escolha o que melhor se adapta à sua stack.
A Didit aloja a câmara, as indicações de iluminação, a transição para o telemóvel e a acessibilidade. Enquanto o utilizador está no fluxo, pontuamos mais de 200 sinais de fraude em tempo real e verificamos cada campo em relação a fontes de dados autorizadas. Resultado em menos de dois segundos.
Webhooks assinados em tempo real mantêm a sua base de dados sincronizada no momento em que um utilizador é aprovado, recusado ou enviado para revisão. Consulte a API a pedido. Ou abra a consola para inspecionar cada sessão, cada sinal e gerir os casos à sua maneira.
Didit · Verificar uma vez
Passo 5 / 5
Adicionar à carteira
Didit · Divulgação seletiva
Didit · Interoperabilidade ARF
Didit · Triângulo de confiança
01
Emissor
Assina após KYC
02
Titular
Transporta na carteira
03
Verificador
Valida na utilização
Fluxo
O emissor assina a credencial → o titular guarda-a na carteira → o verificador solicita os campos → o titular aprova a divulgação → o verificador valida a assinatura apenas nos campos divulgados.
Didit · Atualização contínua
Didit · Modelo de custos
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_accept_reusable",
"vendor_data": "user-42",
"metadata": { "request_fields": ["full_name", "age_over_18"] }
}'o fluxo alojado deteta credencial ou executa KYC completo$ curl https://verification.didit.me/v3/session/$SID/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Devolve os campos revelados + cadeia do emissor
# quando reusable_identity.presented é verdadeiro.
# Devolve o pacote completo de evidências KYC
# quando um KYC novo foi executado.estado Aprovado · Em Revisão · Recusado · ExpiradoYou are integrating Didit's Reusable Identity / eIDAS 2.0 acceptance into your platform. Two flows:
1. Issue — when a new user runs a full KYC on your platform, they leave with a Didit-signed Reusable Identity credential in their wallet (the Didit app or any EU Digital Identity Wallet).
2. Accept — when a user arrives at your platform already holding a Didit-signed credential, the session detects it and short-circuits, returning Approved without re-running the full KYC.
Bundle pricing (verified live 2026-05-16):
- First verification (issuance side): $0.33 per user (Sessions API full KYC bundle)
- Issuance: free — the signed credential is included with every KYC
- Reuse on the verifying side: free, forever
- Selective disclosure: free
- Continuous Anti-Money Laundering (AML) refresh: $0.07 per user per year (automatic)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A workflow_id from the no-code Workflow Builder with:
* ID Verification + Passive Liveness + Face Match 1:1 + Device & IP Analysis + AML Screening (for issuance)
* Reusable Identity acceptance turned on (for acceptance — toggle in the Workflow Builder)
- Optional: the Didit mobile SDK (iOS / Android / React Native / Flutter) for native deep-link wallet handoff.
STEP 1 — Open a session that accepts a Reusable Identity if presented
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Reusable Identity acceptance on>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/onboarding/callback",
"metadata": {
"purpose": "platform_onboarding",
"request_fields": ["full_name", "age_over_18", "country_of_residence"]
}
}
Optional in body: declare the exact fields you need disclosed via metadata.request_fields. Didit's hosted flow will prompt the user to approve only those specific fields when they present a Reusable Identity credential.
Response: 201 Created with the hosted session URL. Redirect the user.
STEP 2 — The hosted flow detects (or runs) the verification
Two paths from this one endpoint:
Path A — User has a Didit-signed credential
- The hosted flow detects the credential via a wallet-handoff prompt (universal link on mobile, popup-bridge on desktop)
- The user approves the disclosure of the requested fields
- Didit validates the issuer signature + credential freshness server-side
- Session returns Approved with the disclosed fields populated on the decision payload
- Cost: $0 on the verifying side
Path B — User does NOT have a credential
- The hosted flow runs the full KYC bundle (ID + Liveness + Face Match + Device & IP + AML)
- At completion, Didit issues a Reusable Identity credential to the user's wallet
- Session returns Approved with the full decision payload
- Cost: $0.33 on the verifying-and-issuing side
Same endpoint, same webhook, same status enum. The path is transparent to your back-end.
STEP 3 — Read the signed webhook
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"id_verification": { "status": "Approved" },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved" },
"aml": { "status": "Approved", "hits": [] },
"reusable_identity": {
"presented": true,
"issuer": "<issuing-platform name>",
"issued_at": "<timestamp>",
"disclosed_fields": ["full_name", "age_over_18", "country_of_residence"]
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body.
When reusable_identity.presented is true, the user re-presented an existing credential and the verification was free; when false, a fresh KYC was run and billed at $0.33.
STEP 4 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload including: document scan + extracted Machine-Readable Zone (MRZ) data, biometric similarity, AML hits, device + IP risk signals, 200+ fraud signals, HMAC signature, and (if presented) the credential issuance chain.
Same evidence pack regardless of issuance vs reuse — the verifier never sees less than a fresh KYC would deliver.
STEP 5 — Continuous AML monitoring is automatic
Every approved user (issued OR presented) is re-screened daily against 1,300+ sanctions, PEP, and adverse-media lists at $0.07 per user per year on heavy-volume accounts. When a previously-clean user crosses an AML threshold, the credential's AML field is updated automatically; every receiving platform sees the refreshed status on next presentation.
When the user revokes a credential from their wallet, your receiving platform's webhook fires with status: Expired and the credential is dropped from the user's account.
STEP 6 — Selective disclosure at presentation time
Pass the exact fields you need via metadata.request_fields at session creation. Recommended minimum-disclosure patterns:
- Age-gate (UK Online Safety Act, France SREN): ["age_over_18"]
- Country-gate: ["country_of_residence"]
- Full name + verified-human: ["full_name", "verified_human"]
- AML-clear gate (lending): ["aml_clear", "full_name"]
- Full identity (banking, payments): ["full_name", "date_of_birth", "address", "document_number", "aml_clear"]
The user sees a single approval prompt listing the requested fields. Anything not listed is never disclosed to your platform.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook (verify X-Signature-V2 HMAC SHA-256).
- Credential lifecycle: status: Expired fires when a holder revokes the credential.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Don't UPPER_SNAKE_CASE them.
- Reusable Identity acceptance is OFF by default; turn it on in the Workflow Builder.
- Selective disclosure is the privacy default — fields not in metadata.request_fields are never returned, even if the credential carries them.
- Default record retention is 5 years post-relationship per the EU AML package.
- 200+ fraud signals are evaluated on every session, issued or presented, at no extra cost.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não é necessário cartão de crédito.
Pague apenas pelo que usa. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
A Didit é uma infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos a construir produtos: aberta, flexível e amigável para programadores, para que funcione como uma parte real da sua stack em vez de uma caixa preta que se integra à volta.
Uma API abrange a verificação de pessoas (KYC, know your customer), a verificação de empresas (KYB, know your business), o rastreio de carteiras de cripto (KYT, know your transaction), e a monitorização de transações em tempo real, numa stack construída para ser:
A base subjacente: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura Didit aprende dinamicamente com cada sessão e melhora a cada dia.
eIDAS 2.0, abreviatura de electronic IDentification, Authentication and trust Services, é a atualização de 2024 da UE ao seu regulamento de identidade. A principal alteração é a Carteira de Identidade Digital Europeia (muitas vezes abreviada para Carteira EUDI): uma aplicação para smartphone à qual todos os cidadãos e residentes da UE terão direito até ao final de 2026.
A carteira contém credenciais verificáveis, uma carta de condução digital, uma atestação de identidade verificada, um diploma académico, emitidas por partes fidedignas e apresentadas a partes dependentes com prova criptográfica, opcionalmente com divulgação seletiva (prove que tem mais de 18 anos sem revelar a sua data de nascimento completa).
Para as empresas, o eIDAS 2.0 trata tanto de aceitar credenciais apresentadas pela carteira como de emitir as credenciais que os seus utilizadores transportam.
A aceitação obrigatória está a ser implementada por setor:
Fora da lista obrigatória, todas as empresas da UE têm a opção de emitir e aceitar credenciais da carteira voluntariamente, e a maioria das empresas reguladas fá-lo-á, porque a experiência do utilizador é dramaticamente melhor do que refazer um KYC completo.
O processo completo geralmente demora menos de 30 segundos de ponta a ponta, pegar no documento de identificação, tirar a foto do documento, tirar a selfie, e está feito. É o mais rápido do mercado. Os prestadores de KYC legados geralmente demoram mais de 90 segundos para o mesmo processo.
No back-end, a Didit devolve o resultado em menos de dois segundos no p99, medido desde o momento em que o utilizador termina a selfie até ao momento em que o seu webhook é acionado. A captura móvel é otimizada para telemóveis e redes lentas: compressão progressiva de imagem, carregamento lazy do software development kit, e uma transição com um toque do desktop para o telemóvel via código QR, caso o utilizador comece na web.
O login federado prova que existe uma conta com o fornecedor de identidade, a empresa recetora obtém um endereço de e-mail e, talvez, um nome. Isso não é uma identidade com grau regulatório.
A identidade reutilizável inclui:
O verificador obtém o mesmo conforto regulatório que obteria ao executar o seu próprio KYC, sem o custo, o atrito e a queda na conversão.
Cada sessão tem um de sete estados claros, para que o seu código saiba sempre o que fazer:
Approved, todas as verificações foram aprovadas. Avance com o utilizador.Declined, uma ou mais verificações falharam. Pode permitir que o utilizador reenvie o passo específico que falhou (por exemplo, tirar novamente a selfie) sem ter de refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso na consola, veja todos os sinais, decida aprovar ou recusar.In Progress, o utilizador está a meio do fluxo.Not Started, link enviado, o utilizador ainda não o abriu. Envie um lembrete se demorar muito.Abandoned, o utilizador abriu o link, mas não terminou a tempo. Reative ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é acionado em cada mudança de estado, para que a sua base de dados esteja sempre sincronizada. As sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por predefinição, na Amazon Web Services. Os contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todo o lado. AES-256 em repouso em todas as bases de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão da Consola Empresarial. Os dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção predefinida é indefinida (ilimitada), a menos que configure um período mais curto, entre 30 dias e 10 anos por aplicação, e pode eliminar qualquer sessão individual a qualquer momento a partir do painel de controlo ou da API.
Certificações: SOC 2 Tipo 1 (auditoria Tipo 2 em curso), ISO/IEC 27001:2022, iBeta Nível 1 PAD, e uma atestação pública do Tesoro / SEPBLAC / CNMV de Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém presencialmente. Relatório completo em /security-compliance.
A Didit é, por predefinição, compatível com os reguladores relevantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo painel de controlo, mesma faturação, mesmo preço por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
A identidade reutilizável é uma melhoria de privacidade na stack KYC legada:
A base legal para o processamento no lado recetor é o interesse legítimo sob o GDPR, o utilizador apresentou explicitamente uma credencial para aceder ao serviço. O Acordo de Processamento de Dados (DPA) padrão da Didit cobre a relação de controlador conjunto.
Três tipos de acionadores:
A plataforma recetora nunca precisa de perseguir o utilizador para atualizações, a credencial carrega o seu próprio sinal de frescura, e as credenciais desatualizadas são rejeitadas no momento da apresentação.
O verificador (a plataforma recetora) obtém o mesmo pacote de evidências por apresentação que o verificador original obteve, mais a cadeia de emissão:
A Didit é a única plataforma KYC com uma atestação formal do governo de um estado membro da UE, o Tesouro de Espanha, o Banco de España e o SEPBLAC atestaram conjuntamente o serviço como mais seguro do que a verificação presencial. Essa atestação estende-se a todas as apresentações reutilizadas.
Uma API para KYC, KYB, Monitorização de Transações e Rastreio de Carteiras. Integre em 5 minutos.