Avalie a rede e o dispositivo em cada carrinho de alto risco por $0.03. Aumente a verificação biométrica apenas nos casos em que os sinais por si só não são suficientes. 500 verificações gratuitas todos os meses.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
Porque a maioria dos checkouts não precisa de fricção
90% das encomendas são de compradores habituais em dispositivos fidedignos, devem passar sem problemas. Os 10% com um pico de risco são rastreados: $0.03 IP + dispositivo nos casos de baixo valor, $0.10 autenticação biométrica nos de alto valor. 500 verificações gratuitas todos os meses.
Escolha as verificações que pretende, ID, prova de vida, correspondência facial, sanções, morada, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no dashboard, ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, execute testes A/B, sem necessidade de código.
Incorpore nativamente com os nossos SDKs Web, iOS, Android, React Native ou Flutter. Redirecione para uma página alojada. Ou simplesmente envie ao seu utilizador um link, por e-mail, SMS, WhatsApp, em qualquer lugar. Escolha o que melhor se adapta à sua stack.
A Didit aloja a câmara, as indicações de iluminação, a transição móvel e a acessibilidade. Enquanto o utilizador está no fluxo, pontuamos mais de 200 sinais de fraude em tempo real e verificamos cada campo em relação a fontes de dados autorizadas. Resultado em menos de dois segundos.
Webhooks assinados em tempo real mantêm a sua base de dados sincronizada no momento em que um utilizador é aprovado, recusado ou enviado para revisão. Consulte a API sob demanda. Ou abra a consola para inspecionar cada sessão, cada sinal e gerir os casos à sua maneira.
Didit · Política de acionamento de risco
Didit · Análise de dispositivo e IP
Didit · Autenticação biométrica
Confirmar · 1 de 1
Mantenha-se imóvel para a verificação
Didit · Prova de estorno
pedido-A4421 · pacote de evidências
Didit · KYC Reutilizável
Primeira passagem
Checkout
Didit · Webhook · X-Signature-V2
{
"session_id": "order-A4421",
"vendor_data": "order-A4421",
"status": "Approved",
"ip_analysis": { "score": 11 },
"liveness": { "status": "Approved" }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_buyer_screen",
"vendor_data": "order-A4421",
"metadata": { "cart_total_cents": 78500 }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
shipOrder(payload.vendor_data);
} else if (payload.status === "Declined") {
cancelAndRefund(payload.vendor_data);
}{ estado Aprovado · Recusado · Em Revisão · Não Concluído }You are integrating a Didit buyer-side fraud screen on a marketplace / e-commerce checkout. Goal: catch stolen-card use, account takeover, gift-card stack abuse, geo-mismatch friendly fraud, and bot scalping on high-value carts. Two stages — cheap signals first, biometric step-up only when signals aren't enough.
WHY THIS SHAPE
- Most checkouts don't need any friction. Day-to-day buyers on trusted devices from residential networks should sail through.
- A small percentage are high-value or high-risk — cart over a threshold, gift-card stack, payout to a new card, geo mismatch, new device, velocity anomaly. On those, run a screen.
- Two stages keep the cost and the friction proportional to the risk. Cheap IP + device check ($0.03) is decisive on the obvious cases. Biometric step-up ($0.10) only fires when the cheap signals are inconclusive AND the order is high-value.
- 500 verifications free every month. The screen runs inside the free tier for most teams while they tune the thresholds.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow with Device & IP Analysis and optionally Passive Liveness + Face Match 1:1 against the stored buyer portrait.
- A server-side cart-gate that defaults to BLOCK on the high-risk path and only unblocks on a verified webhook with status: Approved.
STEP 1 — Decide WHEN to screen (your code, not Didit's)
Run your usual checkout signals. Default triggers worth a screen:
- Cart total above your account-level tier (e.g. > $500)
- Gift-card stack of three or more cards in one order
- Shipping country that doesn't match the billing-card country
- First buy from a new device
- Velocity anomaly — N orders within window W from the same buyer
- Payout / refund destination changed mid-flow
Day-to-day reads from trusted-device + residential-network buyers do NOT need a screen.
STEP 2 — Open the screen session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with Device & IP Analysis + optional Passive Liveness + Face Match 1:1>",
"vendor_data": "<your order id, max 256 chars>",
"callback": "https://<your-app>/checkout/screen/callback",
"metadata": {
"cart_total_cents": 78500,
"currency": "EUR",
"trigger": "high_value_cart"
}
}
Response: 201 Created with a hosted session URL. Show inline at checkout (web), or open in a Software Development Kit (SDK) webview (mobile). The order stays in HOLD on your side until the signed webhook lands.
STEP 3 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your order id>",
"status": "Approved",
"ip_analysis": { "status": "Approved", "score": 11 },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.93 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the cart action
Approved → ship the order, capture the auth, send the confirmation.
In Review → hold the order. Route to manual review with the per-module signals as the case file.
Declined → cancel the order, refund the auth, log warnings (liveness / face-match / ip flags), throttle the source IP.
Not Finished → invite the buyer to retry the screen with a fresh session URL. Don't ship.
STEP 5 — (Optional) Reusable Know Your Customer (KYC) for returning trusted buyers
Once a buyer has passed identity once on the platform, the credential can replay on future checkouts at no cost via Reusable KYC. Look up the buyer's prior session_id; if the credential is valid and recent, skip the live screen.
That keeps the friction on the unknown traffic only. Free forever.
STEP 6 — Use the decision payload as the chargeback evidence pack
When a dispute lands, pull the full decision payload via:
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Pairs naturally with:
- 3-D Secure 2.x (3DS2) liability shift on EU cards
- Visa Compelling Evidence 3.0 (CE3.0) — biometric + IP + device fingerprint + prior-order history meets the "trusted customer" bar
- Mastercard Identity Check chargeback dispute kit
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT IT BLOCKS
- Stolen-card use on first-time-buy + geo mismatch
- Account takeover on a previously-verified buyer (the step-up is the second-factor)
- Friendly fraud where the cardholder disputes a charge they actually authorised
- Bot scalpers running multi-item carts from datacenter Internet Protocol (IP) addresses
- Gift-card stack drains funded by a stolen card
- Reshipper / mule patterns (ship-to address inconsistent with prior orders)
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE — that's the Transactions API.
- Start with IP-only on the cheap cases. Add the biometric step-up only on high-value carts or when IP alone is inconclusive — keeps cost down and friction proportional.
- 200+ fraud signals are evaluated on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não é necessário cartão de crédito.
Pague apenas pelo que usa. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
A Didit é a infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos a construir os nossos próprios produtos: aberta, flexível e amigável para programadores, para que funcione como uma parte real da sua stack, em vez de uma caixa preta que integra à volta.
Uma única API abrange a verificação de pessoas (KYC, know your customer), a verificação de empresas (KYB, know your business), a análise de carteiras de criptomoedas (KYT, know your transaction) e a monitorização de transações em tempo real, numa stack construída para ser:
A base subjacente: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura Didit aprende dinamicamente com cada sessão e melhora a cada dia.
Qualquer padrão em que a pessoa que paga não tem o direito de pagar com esse instrumento, ou em que a transação é estruturada para desencadear um chargeback posterior.
Formas comuns:
A fricção tem um custo. A conversão diminui visivelmente a cada passo extra no checkout. A maioria dos compradores, dispositivo conhecido, rede residencial, valor de carrinho normal, deve passar sem qualquer verificação.
Duas fases mantêm a fricção proporcional ao risco:
$0.03), A Análise de Dispositivo e IP é barata e silenciosa. Decisiva nos casos óbvios (VPN + Protocolo de Internet (IP) de datacenter + headless browser = bloqueio imediato; dispositivo fidedigno + ISP residencial = aprovação imediata).$0.10), O Passive Liveness step-up é acionado apenas na pequena parcela onde a fase 1 é inconclusiva E o valor total do carrinho está acima do limiar que justifica o custo.O resultado: o checkout mediano não adiciona fricção, e a parcela de alto risco obtém uma verificação decisiva.
O fluxo completo normalmente leva menos de 30 segundos de ponta a ponta, pegar no documento de identificação, tirar foto ao documento, tirar foto à selfie, feito. É o mais rápido do mercado. Os fornecedores de KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, a Didit devolve o resultado em menos de dois segundos no p99, medido desde o momento em que o utilizador termina a selfie até ao momento em que o seu webhook é acionado. A captura móvel é otimizada para telemóveis lentos e redes lentas: compressão progressiva de imagem, carregamento preguiçoso do Software Development Kit (SDK) e uma transição com um toque do desktop para o telemóvel via código QR, caso o utilizador comece na web.
Apenas quando a fase 1 é inconclusiva E a encomenda tem valor suficiente para justificar a fricção. Exemplos:
O step-up é Passive Liveness a $0.10, opcionalmente com um Face Match 1:1 contra o retrato armazenado do comprador por um custo adicional de $0.05. Veredito em menos de dois segundos em Android de nível básico.
Cada sessão termina num de sete estados claros, para que o seu código saiba sempre o que fazer:
Approved, todas as verificações passaram. Avance com o utilizador.Declined, uma ou mais verificações falharam. Pode permitir que o utilizador reenvie o passo específico que falhou (por exemplo, tirar novamente a selfie) sem ter de refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso na consola, veja todos os sinais, decida aprovar ou recusar.In Progress, o utilizador está a meio do fluxo.Not Started, link enviado, o utilizador ainda não o abriu. Envie um lembrete se demorar muito.Abandoned, o utilizador abriu o link, mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.*Um webhook assinado é acionado em cada mudança de estado*, para que a sua base de dados esteja sempre sincronizada. As sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por defeito, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todo o lado. AES-256 em repouso em todas as bases de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão da Business Console. Os dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que configure um período mais curto, entre 30 dias e 10 anos por aplicação, e pode eliminar qualquer sessão individual a qualquer momento a partir do painel de controlo ou da API.
Certificações: SOC 2 Tipo 1 (auditoria Tipo 2 em curso), ISO/IEC 27001:2022, iBeta Nível 1 PAD, e uma atestação pública do Tesoro / SEPBLAC / CNMV de Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém presencialmente. Relatório completo em /security-compliance.
A Didit é, por defeito, compatível com os reguladores que são importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo painel de controlo, mesma faturação, mesmo preço por sucesso para os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
Sim. O mesmo POST /v3/session/ alimenta ambos. Na web, renderize o session_url retornado inline no checkout. No telemóvel, abra-o na webview do Software Development Kit (SDK) da Didit, cinco SDKs disponíveis: Web, iOS, Android, React Native, Flutter, todos gratuitos.
O veredito chega através do mesmo webhook assinado, independentemente da plataforma. Uma integração, todas as plataformas.
Dois itens na pior das hipóteses:
Checkout protegido mediano que necessita de ambas as fases: ~ $0.13. A maioria dos checkouts executa apenas a fase 1 a $0.03. Compradores fidedignos que regressam via Reusable KYC são gratuitos para sempre.
As primeiras 500 verificações por mês são gratuitas em todas as contas.
Em qualquer lugar onde o valor do carrinho seja suficientemente grande para que uma compra com cartão roubado cause prejuízo:
Um fluxo de trabalho, todas as formas de carrinho.
Uma API para KYC, KYB, Monitorização de Transações e Rastreio de Carteiras. Integre em 5 minutos.