Integre um reconhecimento facial em menos de 2 segundos para utilizadores recorrentes. Evite a redefinição de palavra-passe. Evite o atraso do SMS. Evite o problema do magic link. $0.10 por reautenticação, 500 verificações gratuitas todos os meses.
Robinhood Ventures
Confiado por mais de 2.000 organizações em todo o mundo.
Sem palavra-passe · resistente a phishing
As redefinições de palavra-passe fazem com que ~30% dos utilizadores recorrentes desistam; os códigos de Serviço de Mensagens Curtas (SMS) podem demorar até 90 segundos. Uma selfie contra o retrato registado do utilizador é concluída em aproximadamente dois segundos, contrato de callback direto para qualquer fluxo OAuth / OpenID Connect existente. $0.10 por reautenticação. 500 verificações gratuitas todos os meses.
Escolha as verificações que pretende, ID, prova de vida, correspondência facial, sanções, morada, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no dashboard ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, execute testes A/B, sem necessidade de código.
Integre de forma nativa com os nossos SDKs para Web, iOS, Android, React Native ou Flutter. Redirecione para uma página alojada. Ou simplesmente envie um link ao seu utilizador, por e-mail, SMS, WhatsApp, onde quiser. Escolha o que melhor se adapta à sua stack.
A Didit gere a câmara, as indicações de iluminação, a transição para o telemóvel e a acessibilidade. Enquanto o utilizador está no fluxo, avaliamos mais de 200 sinais de fraude em tempo real e verificamos cada campo em relação a fontes de dados fidedignas. Resultados em menos de dois segundos.
Webhooks assinados em tempo real mantêm a sua base de dados sincronizada no momento em que um utilizador é aprovado, recusado ou enviado para revisão. Consulte a API a pedido. Ou abra a consola para inspecionar cada sessão, cada sinal e gerir os casos à sua maneira.
Didit · Reautenticação de utilizador recorrente
Bem-vindo de volta
Uma selfie para iniciar sessão
Didit · Matriz de métodos
Didit · Conversão de utilizador recorrente
Didit · KYC reutilizável
Didit · Análise de dispositivo e IP
Didit · Preços públicos
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_reauth",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 enrolment selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }$ curl https://verification.didit.me/v3/session/<id>/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Returns the re-auth verdict
{
"status": "Aprovado",
"face": { "similarity_score": 0.96 }
}estado Aprovado · Em Revisão · Recusado · Não ConcluídoYou are integrating Didit's selfie-only re-authentication into <my_stack>. Replace password, SMS one-time-password, or magic-link on returning-user surfaces with a sub-2-second face match against the enrolled portrait. Phishing-resistant, no carrier dependency, no SIM-swap surface, no email-delivery delay.
1. Enrol the user's portrait ONCE at sign-up (standard Know Your Customer (KYC) session).
2. On every returning-user sign-in, open a re-auth session that runs Passive Liveness + Face Match 1:1 against the stored portrait. ~2 seconds end-to-end.
Pricing (public):
- Selfie re-auth: $0.10 per authentication (Sessions API)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled via a Didit KYC session (the portrait captured during the liveness step is stored automatically, bound to vendor_data).
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session is opened with workflow_type = "biometric_authentication".
STEP 1 — Open a re-auth session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/reauth/callback",
"metadata": {
"purpose": "returning_user_signin",
"device_id": "<optional, your device fingerprint>",
"from_ip": "<optional, the request IP>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user. The hosted UI opens the front camera, captures one passive frame, runs Liveness + Face Match 1:1 against the user's enrolled portrait, returns the verdict in sub-2-seconds.
STEP 2 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": {
"status": "Approved",
"method": "PASSIVE",
"score": 96
},
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 3 — Branch your sign-in logic on the verdict
Approved → mint your session token, sign the user in.
Declined → block sign-in; fall back to a higher-friction recovery (support contact / full KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back to a backup factor.
STEP 4 — Adaptive step-up (recommended)
Pair the selfie with Device & IP Analysis (bundled into the 200+ fraud-signal stack at no extra cost). Adaptive rules to consider:
Known device + known Internet Protocol (IP) → skip the selfie, mint a session token.
Known device + new IP → run the selfie (passive).
New device + new IP → run the selfie (passive).
Tor / Virtual Private Network (VPN) exit +
new device → escalate to ACTIVE_3D method (motion challenge).
Implement the branching in your application or in the Workflow Builder via per-session overrides.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, IP_ANALYSIS, ID_VERIFICATION, AML, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The face template is irreversible (a one-way hash). The user can request deletion via the standard data-subject-request path.
PRO TIPS
- Bind a Reusable Credential to each enrolled user. The next Didit-powered surface that needs the same gate consumes the credential at zero cost.
- Keep a fallback factor (password, magic link, support recovery) for users who cannot complete the selfie — accessibility, device camera failure, religious head covering, etc.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / mês. Não é necessário cartão de crédito.
Pague apenas pelo que usa. Mais de 25 módulos. Preços públicos por módulo, sem taxa mínima mensal.
MSA e SLA personalizados. Para grandes volumes e programas regulados.
Comece grátis → pague apenas quando uma verificação for executada → desbloqueie o Enterprise para um contrato personalizado, SLA ou residência de dados.
A Didit é uma infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos a desenvolver os nossos próprios produtos: aberta, flexível e amigável para programadores, para que funcione como uma parte real da sua stack em vez de uma caixa preta à qual se integra.
Uma única API abrange a verificação de pessoas (KYC, know your customer), a verificação de empresas (KYB, know your business), a triagem de carteiras de criptomoedas (KYT, know your transaction), e a monitorização de transações em tempo real, numa stack construída para ser:
A base subjacente: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura Didit aprende dinamicamente com cada sessão e melhora a cada dia.
Três razões que não melhoraram:
O fluxo completo normalmente leva menos de 30 segundos de ponta a ponta, pegar no documento de identificação, tirar foto ao documento, tirar a selfie, pronto. É o mais rápido do mercado. Os fornecedores de KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, a Didit devolve o resultado em menos de dois segundos no p99, medido desde o momento em que o utilizador termina a selfie até ao momento em que o seu webhook é acionado. A captura móvel é otimizada para telemóveis e redes lentas: compressão progressiva de imagem, carregamento lazy do software development kit, e uma transição com um toque do desktop para o telemóvel via código QR se o utilizador começar na web.
A palavra-passe de uso único por SMS tem um tempo de entrega de 5 a 90 segundos, dependendo da operadora, país e hora do dia. Mesmo no melhor cenário, o utilizador espera, muda de aplicação, copia um número de 6 dígitos, volta, cola-o e clica em enviar, o tempo total até iniciar sessão é de 15 a 120 segundos.
Uma selfie é um toque, um enquadramento da câmara, um veredito, aproximadamente 2 segundos de ponta a ponta, sem mudança de aplicação, sem copiar/colar, sem mensagem que nunca chega.
Cada sessão termina num de sete estados claros, para que o seu código saiba sempre o que fazer:
Approved, todas as verificações passaram. Avance com o utilizador.Declined, uma ou mais verificações falharam. Pode permitir que o utilizador reenvie o passo específico que falhou (por exemplo, tirar novamente a selfie) sem repetir todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso na consola, veja todos os sinais, decida aprovar ou recusar.In Progress, o utilizador está a meio do fluxo.Not Started, link enviado, o utilizador ainda não o abriu. Envie um lembrete se demorar muito.Abandoned, o utilizador abriu o link mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.*Um webhook assinado é acionado em cada mudança de estado*, para que a sua base de dados esteja sempre sincronizada. As sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por padrão, na Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todo o lado. AES-256 em repouso em todas as bases de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão da Consola de Negócios. Os dados biométricos são criptografados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção padrão é indefinida (ilimitada), a menos que configure um período mais curto, entre 30 dias e 10 anos por aplicação, e pode eliminar qualquer sessão individual a qualquer momento a partir do painel de controlo ou da API.
Certificações: SOC 2 Tipo 1 (auditoria Tipo 2 em curso), ISO/IEC 27001:2022, iBeta Nível 1 PAD, e uma atestação pública do Tesoro / SEPBLAC / CNMV de Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém presencialmente. Relatório completo em /security-compliance.
A Didit é compatível por padrão com os reguladores importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
O mesmo dashboard, a mesma faturação, o mesmo preço por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
É uma integração simples para qualquer contrato de callback de utilizador recorrente existente.
POST /v3/session/ com workflow_type: "biometric_authentication" e os mesmos vendor_data que usou no registo.session_url devolvido.X-Signature-V2 no webhook.status, Approved emite o seu token, Declined bloqueia e recua, In Review encaminha para operações, Not Finished solicita novamente.A maioria das equipas implementa-o num fim de semana. O prompt completo que pode ser colado por um agente está acima; o servidor Model Context Protocol (MCP) funciona em ambas as interfaces.
Minimização de dados por padrão. A selfie é processada em memória, o veredito e a similarity_score persistem, e a imagem original é eliminada, a menos que a retenção seja explicitamente ativada. O retrato registado é armazenado como um modelo facial irreversível, um hash unidirecional a partir do qual não é possível reconstruir o rosto original.
Nunca vendemos, partilhamos ou treinamos modelos de terceiros com dados biométricos de clientes. Os utilizadores finais podem solicitar a eliminação do seu modelo a qualquer momento através do caminho padrão de solicitação de dados do titular.
A Correspondência Facial 1:1 é robusta a alterações moderadas na aparência, corte de cabelo, barba, óculos, iluminação, maquilhagem, envelhecimento modesto. A pontuação de similaridade devolvida por cada reautenticação reflete a confiança do modelo.
Para utilizadores que ficam fora do limiar de aprovação automática (mudança drástica de peso, cirurgia, envelhecimento de vários anos sem uma atualização), o veredito retorna In Review e é encaminhado para a sua fila de operações. Uma sessão de re-registo de 10 segundos atualiza o modelo, e a próxima reautenticação usa o novo retrato.
Uma API para KYC, KYB, Monitorização de Transações e Rastreio de Carteiras. Integre em 5 minutos.