Integre um reconhecimento facial em menos de 2 segundos para utilizadores recorrentes. Evite a redefinição de palavra-passe. Evite o atraso do SMS. Evite o problema do magic link. $0.10 por reautenticação, 500 verificações gratuitas todos os meses.
Confiado por mais de 2.000 organizações em todo o mundo.
Sem palavra-passe · resistente a phishing
As redefinições de palavra-passe fazem com que ~30% dos utilizadores recorrentes desistam; os códigos de Serviço de Mensagens Curtas (SMS) podem demorar até 90 segundos. Uma selfie contra o retrato registado do utilizador é concluída em aproximadamente dois segundos, contrato de callback direto para qualquer fluxo OAuth / OpenID Connect existente. $0.10 por reautenticação. 500 verificações gratuitas todos os meses.
Escolha as verificações que pretende, ID, prova de vida, correspondência facial, sanções, morada, idade, telefone, e-mail, perguntas personalizadas. Arraste-as para um fluxo no dashboard ou publique o mesmo fluxo na nossa API. Crie ramificações com base em condições, execute testes A/B, sem necessidade de código.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_reauth",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 enrolment selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }$ curl https://verification.didit.me/v3/session/<id>/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
# Returns the re-auth verdict
{
"status": "Aprovado",
"face": { "similarity_score": 0.96 }
}estado Aprovado · Em Revisão · Recusado · Não ConcluídoYou are integrating Didit's selfie-only re-authentication into <my_stack>. Replace password, SMS one-time-password, or magic-link on returning-user surfaces with a sub-2-second face match against the enrolled portrait. Phishing-resistant, no carrier dependency, no SIM-swap surface, no email-delivery delay.
1. Enrol the user's portrait ONCE at sign-up (standard Know Your Customer (KYC) session).
2. On every returning-user sign-in, open a re-auth session that runs Passive Liveness + Face Match 1:1 against the stored portrait. ~2 seconds end-to-end.
Pricing (public):
- Selfie re-auth: $0.10 per authentication (Sessions API)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled via a Didit KYC session (the portrait captured during the liveness step is stored automatically, bound to vendor_data).
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session is opened with workflow_type = "biometric_authentication".
STEP 1 — Open a re-auth session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/reauth/callback",
"metadata": {
"purpose": "returning_user_signin",
"device_id": "<optional, your device fingerprint>",
"from_ip": "<optional, the request IP>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user. The hosted UI opens the front camera, captures one passive frame, runs Liveness + Face Match 1:1 against the user's enrolled portrait, returns the verdict in sub-2-seconds.
STEP 2 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": {
"status": "Approved",
"method": "PASSIVE",
"score": 96
},
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 3 — Branch your sign-in logic on the verdict
Approved → mint your session token, sign the user in.
Declined → block sign-in; fall back to a higher-friction recovery (support contact / full KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back to a backup factor.
STEP 4 — Adaptive step-up (recommended)
Pair the selfie with Device & IP Analysis (bundled into the 200+ fraud-signal stack at no extra cost). Adaptive rules to consider:
Known device + known Internet Protocol (IP) → skip the selfie, mint a session token.
Known device + new IP → run the selfie (passive).
New device + new IP → run the selfie (passive).
Tor / Virtual Private Network (VPN) exit +
new device → escalate to ACTIVE_3D method (motion challenge).
Implement the branching in your application or in the Workflow Builder via per-session overrides.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, IP_ANALYSIS, ID_VERIFICATION, AML, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The face template is irreversible (a one-way hash). The user can request deletion via the standard data-subject-request path.
PRO TIPS
- Bind a Reusable Credential to each enrolled user. The next Didit-powered surface that needs the same gate consumes the credential at zero cost.
- Keep a fallback factor (password, magic link, support recovery) for users who cannot complete the selfie — accessibility, device camera failure, religious head covering, etc.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.
Para construir, testar e para os seus primeiros utilizadores.
Mais de 25 módulos, preços públicos. Descontos automáticos por volume.
Para grandes volumes e programas regulados.
Os descontos por volume são aplicados automaticamente à medida que o uso aumenta — sem negociações, sem chamadas de vendas.
A Didit é a infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos a construir os nossos próprios produtos: aberta, flexível e amigável para programadores, para que funcione como uma parte real da sua stack em vez de uma caixa preta à qual se integra.
Uma única API abrange a verificação de pessoas (KYC, know your customer), a verificação de empresas (KYB, know your business), a triagem de carteiras de criptomoedas (KYT, know your transaction), e a monitorização de transações em tempo real, numa stack construída para ser:
A base subjacente: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura da Didit aprende dinamicamente com cada sessão e melhora a cada dia.
Três razões que não melhoraram:
O fluxo completo normalmente leva menos de 30 segundos de ponta a ponta, pegar no documento de identificação, tirar foto ao documento, tirar a selfie, pronto. É o mais rápido do mercado. Os fornecedores de KYC legados geralmente levam mais de 90 segundos para o mesmo fluxo.
No back-end, a Didit devolve o resultado em menos de dois segundos no p99, medido desde o momento em que o utilizador termina a selfie até ao momento em que o seu webhook é acionado. A captura móvel é otimizada para telemóveis e redes lentas: compressão progressiva de imagem, carregamento lazy do software development kit, e uma transição com um toque do desktop para o telemóvel via código QR se o utilizador começar na web.
A palavra-passe de uso único por SMS tem um tempo de entrega de 5 a 90 segundos, dependendo da operadora, país e hora do dia. Mesmo no melhor cenário, o utilizador espera, muda de aplicação, copia um número de 6 dígitos, volta, cola-o e clica em enviar, o tempo total até iniciar sessão é de 15 a 120 segundos.
Uma selfie é um toque, um enquadramento da câmara, um veredito, aproximadamente 2 segundos de ponta a ponta, sem mudança de aplicação, sem copiar/colar, sem mensagem que nunca chega.
Cada sessão termina num de sete estados claros, para que o seu código saiba sempre o que fazer:
Approved, todas as verificações passaram. Avance com o utilizador.Declined, uma ou mais verificações falharam. Pode permitir que o utilizador reenvie o passo específico que falhou (por exemplo, tirar novamente a selfie) sem repetir todo o fluxo.In Review, sinalizado para revisão de conformidade. Abra o caso na consola, veja todos os sinais, decida aprovar ou recusar.In Progress, o utilizador está a meio do fluxo.Not Started, link enviado, o utilizador ainda não o abriu. Envie um lembrete se demorar muito.Abandoned, o utilizador abriu o link mas não terminou a tempo. Reengaje ou expire.Expired, o link da sessão expirou. Crie uma nova sessão.*Um webhook assinado é acionado em cada mudança de estado*, para que a sua base de dados esteja sempre sincronizada. As sessões abandonadas e recusadas são gratuitas.
Os dados de produção são processados e armazenados na União Europeia por predefinição, nos Amazon Web Services. Contratos empresariais podem solicitar regiões alternativas para jurisdições cujos reguladores o exijam.
Criptografia em todo o lado. AES-256 em repouso em todas as bases de dados, armazenamento de objetos e backups. Transport Layer Security 1.3 em trânsito em cada chamada de API, webhook e sessão da Consola Empresarial. Os dados biométricos são encriptados sob uma Customer Master Key separada.
A retenção é sua para controlar. A retenção predefinida é indefinida (ilimitada), a menos que configure um período mais curto, entre 30 dias e 10 anos por aplicação, e pode eliminar qualquer sessão individual a qualquer momento a partir do dashboard ou da API.
Certificações: SOC 2 Type 1 & Type 2, ISO/IEC 27001:2022, iBeta Level 1 PAD, e uma declaração pública do Tesoro / SEPBLAC / CNMV de Espanha de que a verificação remota de identidade da Didit é mais segura do que verificar alguém presencialmente. Relatório completo em /security-compliance.
A Didit é compatível por padrão com os reguladores importantes para a infraestrutura de identidade:
Memorando detalhado, todos os certificados, todas as cartas regulatórias: /security-compliance.
Três caminhos de integração, escolha o que melhor se adapta à sua stack:
O mesmo dashboard, a mesma faturação, o mesmo preço por sucesso para todos os três. Guia passo a passo em docs.didit.me/integration/integration-prompt.
É uma integração simples para qualquer contrato de callback de utilizador recorrente existente.
POST /v3/session/ com workflow_type: "biometric_authentication" e os mesmos vendor_data que usou no registo.session_url devolvido.X-Signature-V2 no webhook.status, Approved emite o seu token, Declined bloqueia e recua, In Review encaminha para operações, Not Finished solicita novamente.A maioria das equipas implementa-o num fim de semana. O prompt completo que pode ser colado por um agente está acima; o servidor Model Context Protocol (MCP) funciona em ambas as interfaces.
Minimização de dados por padrão. A selfie é processada em memória, o veredito e a similarity_score persistem, e a imagem original é eliminada, a menos que a retenção seja explicitamente ativada. O retrato registado é armazenado como um modelo facial irreversível, um hash unidirecional a partir do qual não é possível reconstruir o rosto original.
Nunca vendemos, partilhamos ou treinamos modelos de terceiros com dados biométricos de clientes. Os utilizadores finais podem solicitar a eliminação do seu modelo a qualquer momento através do caminho padrão de solicitação de dados do titular.
A Correspondência Facial 1:1 é robusta a alterações moderadas na aparência, corte de cabelo, barba, óculos, iluminação, maquilhagem, envelhecimento modesto. A pontuação de similaridade devolvida por cada reautenticação reflete a confiança do modelo.
Para utilizadores que ficam fora do limiar de aprovação automática (mudança drástica de peso, cirurgia, envelhecimento de vários anos sem uma atualização), o veredito retorna In Review e é encaminhado para a sua fila de operações. Uma sessão de re-registo de 10 segundos atualiza o modelo, e a próxima reautenticação usa o novo retrato.
Uma API para KYC, KYB, Monitorização de Transações e Rastreio de Carteiras. Integre em 5 minutos.