O utilizador encosta o passaporte ao telemóvel. A assinatura governamental é verificada, a fotografia do chip é comparada com a selfie. Qualidade bancária em menos de cinco segundos. 0,15 $ por leitura de chip.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
O que uma plataforma regulada oferece
Os dados num chip de e-passaporte são criptograficamente assinados pelo país emissor. A verificação dessa cadeia de assinaturas, e a comparação da selfie com a fotografia de alta resolução do chip, oferece uma garantia de qualidade bancária de que o documento é genuíno. O fluxo NFC da Didit funciona em menos de cinco segundos, recorre a OCR quando o NFC não está disponível e é fornecido com SDKs nativos para iOS, Android, React Native e Flutter.
Escolha as verificações que pretende, ID, prova de vida, correspondência facial, sanções, morada, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no dashboard ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, execute testes A/B, sem necessidade de código.
Integre nativamente com o nosso SDK Web, iOS, Android, React Native ou Flutter. Redirecione para uma página alojada. Ou simplesmente envie um link ao seu utilizador, por e-mail, SMS, WhatsApp, em qualquer lugar. Escolha o que melhor se adapta à sua stack.
A Didit aloja a câmara, as indicações de iluminação, a transição móvel e a acessibilidade. Enquanto o utilizador está no fluxo, avaliamos mais de 200 sinais de fraude em tempo real e verificamos cada campo em relação a fontes de dados autorizadas. Resultado em menos de dois segundos.
Webhooks assinados em tempo real mantêm a sua base de dados sincronizada no momento em que um utilizador é aprovado, recusado ou enviado para revisão. Consulte a API a pedido. Ou abra a consola para inspecionar cada sessão, cada sinal e gerir os casos à sua maneira.
Didit · Leitura NFC
Passo 2 / 4
Aproxime o passaporte do telemóvel
Didit · Cadeia ICAO 9303
Didit · Correspondência Facial 1:1
Retrato do chip · DG2
Alta resolução · assinado pelo governo
Selfie em direto
Pontuação 0.94 · iBeta L1
Didit · Prova de Vida Passiva
Didit · AML
Didit · Verificação de ID
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_nfc_onboarding",
"vendor_data": "user-42",
"expected_country": "ES"
}'abra o URL no SDK nativo · o toque NFC é ativado.$ curl https://verification.didit.me/v3/session/$SESSION/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Decision payload (excerpted):
{ "nfc_verification": { "passive_authentication": "Aprovado" },
"face": { "matched_against": "chip_portrait", "similarity_score": 0.94 } }matched_against chip_portrait → garantia de nível eIDAS.You are integrating Didit's NFC e-passport reading into a regulated onboarding flow (bank, fintech, crypto exchange, eIDAS-grade public service). NFC chip reading lifts onboarding from document-scan-grade to bank-grade in one extra step on the user's phone.
Five obligations on every onboarding:
1. Read the e-passport / e-ID chip via NFC — DG1 (MRZ), DG2 (portrait), DG11 (personal details).
2. Verify the government signature chain — Passive Authentication (PA) against the ICAO Public Key Directory, Chip Authentication (CA), Active Authentication (AA).
3. Match the live selfie to the high-resolution DG2 portrait extracted from the chip.
4. Run Passive Liveness on the selfie — iBeta Level 1 anti-spoof certified, defeats printed photos, screen replays, masks, and deepfakes.
5. Screen the chip-verified identity against sanctions, Politically Exposed Persons (PEP), and adverse-media lists.
Fallback automatically when NFC is unavailable (no chip, NFC blocked by iOS or by user permission, chip damaged): the workflow drops to high-accuracy MRZ + OCR on the visual page using ID Verification.
Pricing (verified live):
- NFC Reading: $0.15 per chip read
- ID Verification (fallback or always-on belt-and-braces): $0.15 per check
- Passive Liveness: $0.10 per check
- Face Match 1:1: $0.05 per match
- AML Screening: $0.20 per check
- Bundle (NFC + Liveness + Face Match + AML): $0.50 per onboarded user when NFC succeeds; $0.50 also when the workflow falls back to ID Verification
- First 500 KYC verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with HMAC SHA-256 verification using the X-Signature-V2 header and your webhook secret.
- A workflow_id from the Workflow Builder bundling NFC Reading + ID Verification (fallback) + Passive Liveness + Face Match 1:1 + AML Screening.
- The Didit hosted flow or the native SDKs (web SDK, iOS, Android, React Native, Flutter) — NFC chip reading requires the native NFC stack, so plain web-only deployments fall back to MRZ + OCR automatically.
STEP 1 — Create the NFC session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your nfc onboarding workflow id>",
"vendor_data": "<your user id, max 256 chars>",
"callback_url": "https://<your-app>/onboarding/kyc/callback",
"expected_country": "ES",
"metadata": {
"channel": "native_ios",
"purpose": "high_assurance_onboarding"
}
}
Response: 201 Created with the hosted session URL. Open it via the native SDK (iOS NFC requires CoreNFC entitlement) or in the hosted webview; the user taps the e-passport against the phone's NFC reader, the chip data is read in 2-4 seconds.
STEP 2 — The chip-read sequence (handled by the SDK / hosted flow)
Inside the hosted flow, in this order:
a. The user presents the data page so the device camera reads the Machine-Readable Zone (MRZ). The MRZ provides the BAC / PACE key needed to handshake with the chip.
b. The user taps the passport to the phone. PACE (preferred) or BAC handshake establishes a secure session with the chip.
c. The chip returns Data Group 1 (MRZ data — name, DOB, expiry, document number), Data Group 2 (the high-resolution portrait), and Data Group 11 (personal details where available).
d. Passive Authentication verifies the Document Signer Certificate against the country's Country Signing CA via the ICAO Public Key Directory. Chip Authentication and Active Authentication run if supported by the issuing country.
e. The user takes a single selfie (Passive Liveness, no challenge prompts).
f. The selfie is matched 1:1 against the DG2 portrait.
STEP 3 — Read the signed webhook on completion
Didit POSTs to your callback. Session statuses are Title Case With Spaces:
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"nfc_verification": {
"status": "Approved",
"passive_authentication": "Approved",
"chip_authentication": "Approved",
"active_authentication": "Approved",
"data_groups_read": [1, 2, 11]
},
"id_verification": { "status": "Approved", "document_type": "passport", "country_code": "ES" },
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94, "matched_against": "chip_portrait" },
"aml": { "status": "Approved", "hits": [] }
}
Session status enum (exact case):
Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
STEP 4 — Decide
Branch logic:
Approved → onboard the user with bank-grade assurance.
In Review → hold the account, wait for analyst webhook update.
Declined → refuse onboarding, log the decline reason.
Resubmitted → user updated something; re-read the decision.
When face.matched_against === "chip_portrait", you can mark the identity as eIDAS High-grade (Substantial / High depending on your local regulator's reading). When it falls back to "id_document_portrait" (the visual page), it's still bank-grade by document-scan standards but not chip-anchored.
STEP 5 — Fallback paths
iPhones below iPhone 7, or any phone with NFC disabled, or a document without a chip (pre-2014 in some countries) → the workflow surfaces "NFC unavailable" and routes to the ID Verification + MRZ + OCR path. Same hosted URL, same webhook, same statuses. The fallback is configured in the Workflow Builder, not in your code.
Some Android devices won't read every chip due to NFC antenna placement — Didit's iOS / Android SDKs surface a graceful retry hint before failing over to OCR.
STEP 6 — Ongoing monitoring
Enable Ongoing AML at $0.07/user/year to keep the identity fresh. NFC re-reads aren't required for ongoing — the chip data was captured at onboarding and the binding is permanent for the document's validity period.
WEBHOOK EVENT NAMES
- status.updated — session status changed.
- data.updated — session data changed (resubmission, NFC retry, ongoing AML hit).
Verify X-Signature-V2 on every payload. The webhook secret is per-environment — sandbox key is separate from production.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review).
- NFC chip reading requires the native NFC stack — iOS, Android, React Native, Flutter SDKs handle it; pure web falls back to MRZ + OCR.
- The chip portrait (DG2) is far higher-resolution than the visual page — matching the selfie to it is meaningfully more accurate than matching to a phone-camera-captured ID photo.
- Document Signer Certificate trust is anchored to the ICAO Public Key Directory; some countries (eg. small island states) do not publish to the PKD and will return a Passive Authentication warning rather than Approved.
- Default record retention is 5 years post-relationship per the EU AML package.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/core-technology/nfc-verification/overview
- https://docs.didit.me/core-technology/face-match/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não é necessário cartão de crédito.
Pague apenas pelo que usa. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
A Didit é uma infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos a construir os nossos próprios produtos: aberta, flexível e amigável para programadores, para que funcione como uma parte real da sua stack em vez de uma caixa preta que integra à volta.
Uma única API abrange a verificação de pessoas (KYC, know your customer), verificação de empresas (KYB, know your business), rastreio de carteiras de criptomoedas (KYT, know your transaction), e monitorização de transações em tempo real, numa stack construída para ser:
A base subjacente: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura Didit aprende dinamicamente com cada sessão e melhora a cada dia.
Os passaportes modernos (e cada vez mais os cartões de identificação nacionais modernos na UE) contêm um pequeno chip sem contacto, o mesmo tipo de chip que usa para pagar com um cartão. O chip contém:
Essa última parte é a magia. O chip está criptograficamente ligado ao país emissor, o que significa que um atacante não pode falsificar ou adulterar o que ele retorna, teriam de falsificar uma assinatura governamental. A Didit lê o chip via NFC no telemóvel do utilizador em 2-4 segundos por $0.15 por leitura.
Três razões, por ordem de importância:
Para a maioria dos fluxos de onboarding, a digitalização de documentos é suficiente. Para bancos, fintech, serviços públicos de nível eIDAS, e qualquer fluxo onde um único falso positivo custa dinheiro real, a leitura de chip NFC é o controlo padrão.
O fluxo completo normalmente leva menos de 30 segundos do início ao fim, pegar no ID, digitalizar o documento, tirar a selfie, feito. É o mais rápido do mercado. Os fornecedores de KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No backend, a Didit devolve o resultado em menos de dois segundos no p99, medido desde o momento em que o utilizador termina a selfie até ao momento em que o seu webhook é acionado. A captura móvel é otimizada para telemóveis lentos e redes lentas: compressão progressiva de imagem, carregamento preguiçoso do kit de desenvolvimento de software e uma transição com um toque do desktop para o telemóvel via código QR se o utilizador começar na web.
ICAO Doc 9303 é a especificação internacional para documentos de viagem legíveis por máquina (MRTDs), todos os passaportes modernos do mundo são construídos de acordo com esta especificação. Três pontos são importantes para a verificação NFC:
A Didit executa os três e expõe cada veredito separadamente no payload de decisão. A conformidade com o ICAO Doc 9303 significa que o caminho de leitura do chip é o mesmo que os agentes de fronteira usam nos e-gates dos aeroportos.
Cada sessão termina num de sete estados claros, para que o seu código saiba sempre o que fazer:
Approved, todas as verificações passaram. Avance com o utilizador.Declined, uma ou mais verificações falharam. Pode permitir que o utilizador reenvie o passo específico que falhou (por exemplo, tirar a selfie novamente) sem ter de refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso na consola, veja todos os sinais, decida aprovar ou recusar.In Progress, o utilizador está a meio do fluxo.Not Started, link enviado, o utilizador ainda não o abriu. Envie um lembrete se demorar muito.Abandoned, o utilizador abriu o link mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é acionado em cada mudança de estado, para que a sua base de dados esteja sempre sincronizada. As sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por defeito, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todo o lado. AES-256 em repouso em todas as bases de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão da Consola de Negócios. Os dados biométricos são criptografados sob uma Chave Mestra de Cliente separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que configure um período mais curto, entre 30 dias e 10 anos por aplicação, e pode eliminar qualquer sessão individual a qualquer momento a partir do painel de controlo ou da API.
Certificações: SOC 2 Tipo 1 (auditoria Tipo 2 em curso), ISO/IEC 27001:2022, iBeta Nível 1 PAD, e uma atestação pública do Tesoro / SEPBLAC / CNMV de Espanha de que a verificação de identidade remota da Didit é mais segura do que verificar alguém presencialmente. Relatório completo em /security-compliance.
A Didit é fornecida em conformidade por defeito para os reguladores importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo dashboard, mesma faturação, mesmo preço de pagamento por sucesso para os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
Três modos de falha comuns, todos tratados pelo workflow:
O caminho de fallback é o mesmo /v3/session/, o mesmo webhook, os mesmos estados. O payload de decisão informa qual caminho foi bem-sucedido para que possa rotear com base nele, face.matched_against === "chip_portrait" para o caminho NFC, "id_document_portrait" para o fallback OCR. Workflows de nível bancário podem rejeitar o fallback OCR e exigir uma nova tentativa num dispositivo diferente.
De acordo com o eIDAS 2, o quadro de identificação eletrónica da UE, um e-passaporte verificado por chip com correspondência biométrica pode suportar uma garantia Substancial ou Elevada, dependendo dos controlos envolventes do workflow.
O papel da Didit é fornecer a evidência subjacente de ligação de identidade:
Se o fluxo completo atinge o nível Substancial ou Elevado depende da carteira consumidora, do quadro de confiança e da interpretação do regulador no seu país. A Didit é a única plataforma KYC com uma atestação formal do governo da UE, o Tesouro de Espanha, o Banco de España e o SEPBLAC atestaram conjuntamente o serviço como mais seguro do que a verificação presencial. Esse relatório é o ponto de partida mais citado para uma discussão sobre o eIDAS Elevado.
A maioria dos fornecedores de NFC cobra entre $1.50 e $5.00 por leitura de chip, muitas vezes com mínimos de milhares de euros por mês e sobretaxas por país para subscrições de certificados de assinatura de chip. O arquétipo Onfido / Jumio / Veriff.
A Didit tem um preço publicado de $0.15 por leitura de chip NFC + $0.50 pelo pacote completo (NFC + Liveness + Face Match + AML). Sem limite mínimo, sem mínimo, sem sobretaxa por país. As primeiras 500 verificações gratuitas todos os meses absorvem a maioria dos pilotos na totalidade.
Isso é aproximadamente 10-30 vezes mais barato do que a stack existente com o mesmo resultado regulatório. Com 10.000 utilizadores por mês, a poupança em relação a um concorrente de $2.00 por chip é de cerca de $18.500. Em volumes de bancos europeus (mais de 100.000 KYCs/mês), a poupança acumula-se em seis dígitos anualmente. Preços completos em /pricing.
Uma API para KYC, KYB, Monitorização de Transações e Rastreio de Carteiras. Integre em 5 minutos.