DigiLocker API: как компании проверяют документы в Индии

Последняя проверка: 5 октября 2026 · Не является юридической консультацией

DigiLocker представляет собой государственный кошелек документов Индии. Это облачный аккаунт, в котором гражданин хранит документы, выданные в цифровом виде министерствами, штатами и советами (boards), и из которого он передает их с согласия.^[1] Для бизнеса одно перенаправление возвращает имя, дату рождения и документы с цифровой подписью, например запись PAN или водительское удостоверение.

Что такое API DigiLocker

DigiLocker описывает себя как защищенную облачную платформу для хранения, передачи и проверки документов и как флагманскую инициативу Министерства электроники и информационных технологий (MeitY).^[1] На платформе взаимодействуют три роли: выдающие организации (issuers) направляют документы в аккаунт, пользователь (в правилах он называется "subscriber") их хранит, а запрашивающие стороны (requesters) запрашивают доступ.^[4][9]

Интерфейс для запрашивающих сторон описан в Requester Meri Pehchaan API Specification, версия 2.4 от сентября 2026 года. Meri Pehchaan это национальная система единого входа (single sign-on) от DigiLocker.^[7] Это не электронное удостоверение личности (eID) в европейском понимании, а обмен документами с согласия пользователя после входа в систему.

Сколько людей пользуются DigiLocker

Главная страница DigiLocker показывает 70+ крор зарегистрированных пользователей и 900+ крор выданных документов. Один крор равен десяти миллионам: это более 700 млн аккаунтов и 9 млрд документов.^[1]

На прочитанных нами страницах не указаны ни доля взрослого населения, ни число транзакций запрашивающих сторон. Кроме того, в зарегистрированном аккаунте может не оказаться нужного вам документа: документ нельзя получить, если в базе данных выдающей организации нет записи о нем.^[3]

Что видит пользователь

Первый шаг не является вызовом API. Это веб-страница DigiLocker, на которой пользователь входит в систему и авторизует ваше приложение, а затем возвращается на ваш адрес перенаправления.^[7] Вы никогда не видите ни OTP, ни PIN-код.

Пользователи дают согласие отдельно по каждому документу или области доступа (scope) и могут отозвать его в любой момент.^[5] Спецификация описывает один сценарий: перенаправление в браузере. Вызовы device-code для устройств с ограниченными возможностями ввода удалены в версии 2.0 (15 сентября 2022 года), поэтому передача сценария между устройствами через QR-код не описана.^[7]

Код авторизации с PKCE, затем запросы к документам.^[7]

Что получает компания

Состав возвращаемых данных зависит от областей доступа (scopes), которые одобрил пользователь. Они перечислены в ответе с токеном.^[7]

Поля из спецификации для запрашивающих сторон, версия 2.4.^[7]

Постоянный идентификатор – это DigiLocker ID, а не национальный номер. Данные пользователя могут включать фото. Спецификация не перечисляет поля XML e-Aadhaar. Для справки: офлайн-XML, который выдает непосредственно Unique Identification Authority of India (UIDAI), содержит имя, дату рождения, пол, адрес и фото и подписан UIDAI.^[13]

Правовая основа DigiLocker

DigiLocker основан на Digital Locker Rules, 2016, принятых в соответствии с разделами 6A, 67C и 87 Information Technology Act, 2000.^[9] Эти правила определяют запрашивающую сторону как любой государственный или центральный департамент, ведомство «или юридическое лицо», запрашивающие доступ к записям абонента. Именно это открывает доступ частным компаниям.

Правило 9A(1)Digital Locker Rules, 2016, с изменениями от 8 февраля 2017 г.

«Эмитенты могут начать выдавать, а запрашивающие стороны могут начать принимать подписанные цифровой (или электронной) подписью сертификаты или документы, переданные из аккаунтов Digital Locker абонентов, наравне с бумажными документами в соответствии с положениями Закона и принятых на его основании правил».

Источник: Digital Locker Rules and Amendment, G.S.R. 711(E) и G.S.R. 111(E)^[9]

Правило разрешает запрашивающим сторонам принимать такие документы, но не обязывает их это делать.^[9]

Отвечает ли DigiLocker требованиям ПОД/ФТ к надлежащей проверке клиентов

Для отчитывающихся организаций по Prevention of Money-laundering Act ответ содержится в Maintenance of Records Rules, 2005 (PML Rules). В них цифровой сейф (digital locker) прямо назван в одном из определений.

Правило 2(1)(cb)Prevention of Money-laundering (Maintenance of Records) Rules, 2005

«„равнозначный электронный документ“ означает электронный эквивалент документа, выданный органом, выдающим такой документ, с его действительной цифровой подписью, включая документы, выданные в аккаунт digital locker клиента в соответствии с правилом 9 Information Technology (Preservation and Retention of Information by Intermediaries Providing Digital Locker Facilities) Rules, 2016;»

Источник: PML (Maintenance of Records) Rules, 2005, Financial Intelligence Unit India^[10]

Правило 9(4) позволяет клиенту-физическому лицу представить официально действительный документ «или равнозначный ему электронный документ». Та же формулировка распространяется на Permanent Account Number (PAN). Правило 9(15)(c) устанавливает условие: отчитывающаяся организация «обязана проверить цифровую подпись» и «сделать живую фотографию», как указано в Приложении 1 (Annexure 1).^[10] Таким образом, документ из DigiLocker является принимаемым документом, удостоверяющим личность, но не полным досье надлежащей проверки.

Reserve Bank of India (RBI) в своих FAQ по Know Your Customer (KYC) от 9 июня 2025 г. включает DigiLocker в перечень цифровых каналов для дистанционного онбординга без личного присутствия.^[11]

Как бизнесу подключиться к API DigiLocker

Здесь нет категории лицензий, как для аутентификации через Aadhaar, которую мы разбираем в руководстве по Aadhaar eKYC. Компания регистрируется как запрашивающая сторона, а решение принимает NeGD.

По процедуре онбординга партнеров от 5 июня 2024 г.^[6]

Учетные данные выдаются через государственный партнерский портал API Setu.^[5][8] В изученных нами документах не опубликованы три вещи: тарифы, сроки подключения и тестовая среда (sandbox). Комитет заседает еженедельно, «запросы на временный доступ для любых целей тестирования» не рассматриваются, а в FAQ для партнеров указано, что отдельной тестовой среды нет.^[6][8]

Второй путь: проверка DigiLocker от провайдера. Мы не нашли публичных правил о сублицензировании доступа запрашивающей организации, поэтому письменно уточните у любого провайдера, как одобрен его доступ для вашего сценария. См. также, что такое верификация eID, и схемы eID по странам.

Сценарии использования и отраслевые правила

DigiLocker называет типичными запрашивающими организациями банки, государственные органы и образовательные учреждения.^[5]

• Онбординг KYC и AML: выданный документ является равнозначным электронным документом согласно PML Rules.^[10]
• Проверки водителей: министерство автомобильного транспорта признало DigiLocker для цифровых водительских удостоверений и свидетельств о регистрации 8 августа 2018 года.^[3]
• Проверка возраста: данные пользователя включают дату рождения.^[7] По данным dpdpa.com, Правило 10 Digital Personal Data Protection Rules 2025 допускает использование виртуального токена, привязанного к данным о возрасте, например через DigiLocker, для согласия родителей.
• Подписание: загруженные документы можно подписать цифровой подписью с помощью сервиса eSign.^[7]

В этих источниках мы не нашли специальных правил DigiLocker для азартных игр или телекома. Aadhaar and Other Laws (Amendment) Act, 2019 допускает добровольное использование Aadhaar для SIM-карт и банковского KYC, но это касается Aadhaar, а не DigiLocker.^[14]

Ограничения и резервные варианты

DigiLocker распространён широко, но не повсеместно.

• Нерезиденты и иностранцы. Для регистрации нужен номер мобильного телефона или Aadhaar, а зарегистрироваться можно только с индийским номером мобильного, поэтому индиец-нерезидент с иностранным номером зарегистрироваться не сможет.^[3]
• Несовершеннолетние. Минимальный возраст не указан. Учётные записи учащихся создавались по номерам мобильных телефонов, переданным школьным советом, поэтому не исходите из того, что владелец совершеннолетний.^[3]
• Отсутствующие документы. Если записи нет в базе данных эмитента, документ получить нельзя.^[3]
• Сбои. В FAQ признаются задержки OTP и ошибка "UID service temporarily unavailable".^[3]
• Защита данных. PDF Aadhaar не предоставляется в соответствии с правилами защиты данных, а лимиты запросов действуют без опубликованных значений.^[3][8]

В части безопасности DigiLocker указывает шифрование при передаче, многофакторный вход, хостинг с сертификацией ISO 27001 и аудиты агентствами, аккредитованными CERT-In.^[3] Для всех остальных резервный вариант: проверка по документу. Это съёмка паспорта или национального удостоверения личности, считывание чипа Near Field Communication (NFC), если он есть в документе, проверка liveness и сравнение лиц.

Сначала DigiLocker, для всех остальных документ.

Чек-лист интеграции DigiLocker

• Убедитесь, что ваше юрлицо зарегистрировано в Индии и может размещать систему на сервере в Индии.^[6][8]
• Опишите сценарий использования ровно так, как будете его реализовывать: «отклонения не допускаются».
• Получите цифровую подпись для организации.^[6]
• Зарегистрируйтесь на партнерском портале API Setu и укажите точный адрес перенаправления.^[5][8]
• Генерируйте новый PKCE code verifier для каждого запроса авторизации.^[7][8]
• Запрашивайте только те типы документов, которые вам нужны.^[7]
• Сверяйте HMAC каждого загруженного файла со значением в заголовке.
• Храните не более чем DigiLocker ID и последние четыре цифры Aadhaar, никогда не храните полный номер.^[8][14]
• Подготовьте резервный сценарий с документом до запуска.

Как Didit помогает с проверкой через DigiLocker и eID

Didit подключает DigiLocker по запросу. Сегодня в Индии Didit работает по документальному маршруту: проверка ID индийских и иностранных документов, считывание NFC-чипа, если в документе есть чип, проверка живости и сравнение лиц, а также AML-скрининг. Полная проверка KYC стоит $0.33, AML-скрининг $0.20, NFC-верификация $0.15.

Этот маршрут также охватывает нерезидентов и иностранцев. Для eID, которые Didit использует в Европе, в документации показано, какие данные попадают в сессию.^[15] Проверку номера описывает наша статья о проверке Aadhaar по базе данных.

Часто задаваемые вопросы

Источники

1. Главная страница DigiLocker, National e-Governance Division, счетчики пользователей и документов по состоянию на октябрь 2026 года.
2. О DigiLocker, National e-Governance Division.
3. Частые вопросы о DigiLocker, National e-Governance Division.
4. Интеграция партнеров DigiLocker, введение, National e-Governance Division.
5. Интеграция партнеров DigiLocker, запрашивающая сторона, National e-Governance Division.
6. Стандартная операционная процедура подключения организаций-партнеров к DigiLocker, NeGD, 5 июня 2024 года.
7. Спецификация API Meri Pehchaan для запрашивающей стороны, версия 2.4, NeGD, сентябрь 2026 года.
8. Частые вопросы, заданные на видеоконференции с организациями, партнерами и учреждениями, DigiLocker, в редакции по состоянию на 24 марта 2025 года.
9. Digital Locker Rules, 2016 (G.S.R. 711(E)) и Amendment Rules, 2017 (G.S.R. 111(E)), Gazette of India.
10. Prevention of Money-laundering (Maintenance of Records) Rules, 2005, Financial Intelligence Unit India.
11. Частые вопросы о Master Direction on KYC, Reserve Bank of India, 9 июня 2025 года.
12. Рамочная модель совместимости цифровых кошельков с суверенными государствами мира, концептуальная записка, опубликована на digilocker.gov.in, 29 июля 2026 года.
13. Aadhaar Paperless Offline e-KYC, Unique Identification Authority of India.
14. Aadhaar and Other Laws (Amendment) Act, 2019, Gazette of India.
15. Цифровые кошельки удостоверений личности, документация Didit.

Сравните DigiLocker с другими национальными схемами на странице проверки eID.