A Autenticação Biométrica ($0.10) mais a Análise de Dispositivo e IP ($0.03) fornecem dois fatores SCA de nível PSD3 num único pedido. Resistente a phishing. Substituição direta para palavra-passe única por SMS.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
Porquê o SMS OTP está a ser descontinuado
A PSD3 está a descontinuar a palavra-passe única por SMS (OTP) como fator de Autenticação Forte de Cliente (SCA). A SCA biométrica ligada ao dispositivo da Didit bloqueia a troca de SIM, o phishing em tempo real e a interceção SS7, a 0,13 $ por autenticação, veredito em menos de dois segundos, pronta para ligação dinâmica. 500 verificações gratuitas todos os meses.
Escolha as verificações que pretende, ID, prova de vida, correspondência facial, sanções, morada, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no dashboard, ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, execute testes A/B, sem necessidade de código.
Integre nativamente com o nosso SDK para Web, iOS, Android, React Native ou Flutter. Redirecione para uma página alojada. Ou simplesmente envie ao seu utilizador um link, por e-mail, SMS, WhatsApp, onde quiser. Escolha o que melhor se adapta à sua stack.
A Didit aloja a câmara, as indicações de iluminação, a transição para o telemóvel e a acessibilidade. Enquanto o utilizador está no fluxo, pontuamos mais de 200 sinais de fraude em tempo real e verificamos cada campo em relação a fontes de dados autorizadas. Resultado em menos de dois segundos.
Webhooks assinados em tempo real mantêm a sua base de dados sincronizada no momento em que um utilizador é aprovado, recusado ou enviado para revisão. Consulte a API a pedido. Ou abra a consola para inspecionar cada sessão, cada sinal e gerir os casos à sua maneira.
Didit · Fatores SCA
Conhecimento
Palavra-passe · PIN
Opcional
Posse
Dispositivo associado
Didit ✓
Inerência
Rosto · prova de vida
Didit ✓
Didit · Ligação dinâmica
Didit · Matriz de ataque
Didit · Motor de isenção
Didit · Análise de dispositivo e IP
Didit · Custo por autenticação
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "purpose": "login" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'estado Aprovado · Recusado · Em Revisão$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "amount": "247.50", "payee_account": "ES91…1332" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'webhook devolve montante + beneficiário para verificaçãoYou are integrating Didit's Strong Customer Authentication into a payment service provider, bank, EMI, or wallet to satisfy PSD3 / the Payment Services Regulation (PSR). Two factors in one prompt:
1. Inherence — Biometric Authentication: Passive Liveness + Face Match 1:1 against the user's previously-enrolled KYC selfie.
2. Possession — Device & IP Analysis: 200+ real-time fraud signals binding the auth to the user's known device.
Pricing (verified live 2026-05-16):
- Biometric Authentication: $0.10 per auth
- Device & IP Analysis: $0.03 per auth
- Total: $0.13 per Strong Customer Authentication
- First 500 verifications free every month, forever
- Re-uses the enrolled selfie from the original KYC — no re-enrolment
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
- A workflow_id from the no-code Workflow Builder configured as a Biometric Authentication workflow (Passive Liveness + Face Match 1:1 + Device & IP Analysis).
- The user has previously completed a Didit KYC (the same enrolled selfie backs every subsequent auth).
STEP 1 — Open an authentication session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (for login auth):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/auth/callback",
"metadata": {
"purpose": "login",
"session_id": "<your front-end session id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor; OMIT only if the workflow is liveness-only>"
}
Body (for payment with dynamic linking):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/payment/callback",
"metadata": {
"purpose": "payment",
"amount": "247.50",
"currency": "EUR",
"payee_account": "ES9121000418450200051332",
"payee_name": "<merchant or recipient>",
"transaction_reference": "<your internal transaction id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor>"
}
Response: 201 Created with the hosted session URL. Push the URL to the user via deep-link / push notification / in-app sheet.
STEP 2 — User completes the biometric auth
The user sees one prompt on their phone (or via the Didit SDK in your native app). Three things happen on the same screen:
1. The amount + payee are displayed (dynamic linking — the user explicitly approves THIS amount to THIS payee for payments).
2. Passive Liveness defeats screen replay, printed photo, mask, deepfake.
3. Face Match 1:1 matches the new selfie against the enrolled KYC selfie.
Device & IP Analysis runs server-side on the session. Sub-2-second median verdict.
STEP 3 — Read the signed webhook on the auth verdict
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "vpn_detected": false, "datacenter_ip": false },
"metadata_echo": {
"amount": "247.50",
"payee_account": "ES9121000418450200051332"
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
For payments, verify that metadata_echo.amount and metadata_echo.payee_account match the values you passed in. If they do not, REJECT the payment — it's a dynamic-linking violation.
STEP 4 — Branch on verdict
Approved → unlock the action (login, payment, account change).
In Review → hold the action, route to manual review queue.
Declined → block, log the attempt, surface a friendly "try again" to the user.
Resubmitted → the user re-submitted after a soft fail (poor lighting, occlusion); proceed if the latest status is Approved.
STEP 5 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload: liveness verdict (iBeta Level 1 anti-spoof certified), Face Match similarity score, device fingerprint, IP geolocation, VPN / proxy / datacenter flags, 200+ fraud-signal score, dynamic-linking echo, HMAC signature.
Use this for the audit-trail surface a regulator examines on Strong Customer Authentication coverage.
STEP 6 — Step up on risk
When Device & IP Analysis surfaces a high-risk signal (new device + high-value payment, VPN/proxy on a login, geolocation jump), your workflow can step up to:
- A separate hardware-key challenge (FIDO2 / WebAuthn)
- A trusted-beneficiary whitelist confirmation
- A manual-review hold
Encode the step-up policy in the no-code Workflow Builder — no redeploy required.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE on a session.
- Dynamic linking is REQUIRED for payments — pass amount + payee in metadata, verify the echo on the webhook.
- The enrolled selfie that backs every SCA is the one captured during the user's original KYC — no separate enrolment step.
- PSD3 / PSR exemptions (low-value remote < EUR 30, contactless point-of-sale < EUR 50, recurring identical, trusted beneficiary, Transaction Risk Analysis tiers) are configured per workflow in the Business Console.
- Default record retention is 5 years per the EU AML and payments rules.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não é necessário cartão de crédito.
Pague apenas pelo que usa. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
A Didit é uma infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos a construir produtos: aberta, flexível e amigável para programadores, para que funcione como uma parte real da sua stack, em vez de uma caixa preta que integra à volta.
Uma API cobre a verificação de pessoas (KYC, know your customer), a verificação de empresas (KYB, know your business), a triagem de carteiras de cripto (KYT, know your transaction), e a monitorização de transações em tempo real, numa stack construída para ser:
A base subjacente: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados, e mais de 200 sinais de fraude em cada sessão. A infraestrutura da Didit aprende dinamicamente com cada sessão e melhora a cada dia.
A Autenticação Forte de Cliente (SCA) é uma regra da regulamentação de serviços de pagamento da UE que diz: quando um cliente inicia sessão na sua conta ou efetua um pagamento, deve verificá-lo utilizando pelo menos dois de três categorias de fatores independentes.
As três categorias:
Os dois fatores devem vir de categorias diferentes, uma palavra-passe mais uma pergunta de segurança não é SCA, porque ambos são conhecimento. Uma palavra-passe mais uma impressão digital é, porque cruzam categorias.
Um terceiro requisito, a ligação dinâmica, diz que o segundo fator para um pagamento deve estar unicamente ligado ao valor da transação e ao beneficiário, para que um código roubado não possa ser reutilizado numa transação diferente.
PSD3, abreviatura de Payment Services Directive 3, é a reescrita da UE de 2026 do livro de regras que a PSD2 introduziu em 2018. Juntamente com ela, está o Regulamento de Serviços de Pagamento (PSR), que é diretamente aplicável em todos os estados membros sem transposição nacional.
Principais alterações em relação à PSD2:
A transição está em curso, a maioria das alterações da SCA deverá entrar em vigor 18 a 24 meses após a adoção final.
O fluxo completo normalmente leva menos de 30 segundos de ponta a ponta, pegar no documento de identificação, tirar a foto do documento, tirar a selfie, pronto. É o mais rápido do mercado. Os fornecedores de KYC legados geralmente demoram mais de 90 segundos para o mesmo fluxo.
No back-end, a Didit devolve o resultado em menos de dois segundos no p99, medido desde o momento em que o utilizador termina a selfie até ao momento em que o seu webhook é acionado. A captura móvel é otimizada para telemóveis lentos e redes lentas: compressão progressiva de imagem, carregamento lento do kit de desenvolvimento de software e uma transição com um toque do desktop para o telemóvel via código QR se o utilizador começar na web.
Precisam de SCA por predefinição:
Isentas (a PSD3 mantém a maioria das isenções da PSD2, mas aperta os limites):
Acertar nas isenções é o trabalho de otimização de SCA de maior alavancagem que a maioria das equipas faz, bem aplicado, reduz o atrito de autenticação sem aumentar a fraude.
Cada sessão tem um de sete estados claros, para que o seu código saiba sempre o que fazer:
Approved, todas as verificações foram aprovadas. Avance com o utilizador.Declined, uma ou mais verificações falharam. Pode permitir que o utilizador reenvie o passo específico que falhou (por exemplo, tirar novamente a selfie) sem ter de refazer todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso na consola, veja todos os sinais, decida aprovar ou recusar.In Progress, o utilizador está a meio do fluxo.Not Started, link enviado, o utilizador ainda não o abriu. Envie um lembrete se demorar muito.Abandoned, o utilizador abriu o link, mas não terminou a tempo. Reative ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.Um webhook assinado é acionado em cada mudança de estado, para que a sua base de dados esteja sempre sincronizada. As sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por predefinição, na Amazon Web Services. Os contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todo o lado. AES-256 em repouso em todas as bases de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão da Consola Empresarial. Os dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção predefinida é indefinida (ilimitada), a menos que configure um período mais curto, entre 30 dias e 10 anos por aplicação, e pode eliminar qualquer sessão individual a qualquer momento a partir do painel de controlo ou da API.
Certificações: SOC 2 Tipo 1 (auditoria Tipo 2 em curso), ISO/IEC 27001:2022, iBeta Nível 1 PAD, e uma atestação pública do Tesoro / SEPBLAC / CNMV de Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém presencialmente. Relatório completo em /security-compliance.
A Didit é, por predefinição, compatível com os reguladores relevantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
Mesmo dashboard, mesma faturação, mesmo preço pay-per-success para os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
A mesma API POST /v3/session/ em todas as plataformas, a captura voltada para o utilizador difere:
O mesmo modelo biométrico que o utilizador registou no momento do KYC suporta cada autenticação, sem novo registo, sem fluxo separado.
Sim, o mesmo pacote de autenticação satisfaz a maioria das regras globais equivalentes:
Uma API, um pacote de autenticação, todas as jurisdições. A matemática da isenção muda; o contrato técnico não.
Cada autenticação produz um registo de evidência assinado, exportável da Consola de Negócios:
Pendente para Aprovado ou Recusado, com notas do revisor se escalado.Todos os registos são armazenados na União Europeia (centros de dados da UE), retidos indefinidamente enquanto a sua subscrição estiver ativa. A retenção padrão de registos é de 5 anos, de acordo com as regras de AML e pagamentos da UE, extensível conforme a orientação do seu supervisor.
Uma API para KYC, KYB, Monitorização de Transações e Rastreio de Carteiras. Integre em 5 minutos.