Верифицируйте пользователя или компанию один раз. Поделитесь результатом с партнёром, он мгновенно подключит того же клиента. Никаких повторных проверок, никаких лишних селфи. Работает для KYC и KYB. Создано для Banking-as-a-Service, групп с несколькими брендами, встроенных финансовых сервисов и маркетплейсов с субплатформами.
Robinhood Ventures
Создано для партнёрских экосистем
Ваш пользователь проходит верификацию один раз в вашем приложении. Вашему партнёру, спонсору BaaS, дочернему бренду, нижестоящему маркетплейсу, нужны те же данные. Отправьте им одноразовый токен для обмена. Они активируют его и получают полную верификацию. Пользователю не нужно проходить проверку повторно.
Выберите любую завершённую верификацию, одобренную, отклонённую или на рассмотрении, и запросите у Didit токен для обмена. По умолчанию токен действует один час; вы можете продлить его от одной минуты до целого дня.
Передайте токен партнёру через свой бэкенд, вебхук, очередь, REST-вызов. Токен работает только для того партнёра, которого вы указали при его создании. Никто другой не сможет его активировать.
Ваш партнёр активирует токен и выбирает, как подключить пользователя, довериться вашему решению и одобрить мгновенно, или получить необработанные данные и позволить своей команде комплаенса принять решение.
Didit клонирует всю запись, документы, селфи, сравнение лиц, AML, данные реестров, бенефициаров, в рабочее пространство вашего партнёра. Формат такой же, как у новой верификации, с полным аудиторским следом до оригинала.
POST /v3/session/[id]/share/
POST /v3/session/import-shared/
Мгновенный онбординг · или ваша собственная проверка
session_kind: user | business
пользователь · KYC
бизнес · KYB
Одна проверка для многих целей
Только завершенные · идемпотентно · для аудита
$ curl -X POST https://verification.didit.me/v3/session/$SID/share/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"for_application_id": "partner-app-uuid",
"ttl_in_seconds": 3600
}'{ "share_token": "eyJhbGciOi…" }$ curl -X POST https://verification.didit.me/v3/session/import-shared/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"share_token": "eyJhbGciOi…",
"workflow_id": "wf_partner_kyc",
"vendor_data": "partner-user-42",
"trust_review": true
}'{ "status": "Одобрено", "session_kind": "user" }# Didit B2B Reusable KYC — partner-to-partner KYC sharing
You are integrating Didit's B2B Reusable Know Your Customer (KYC) into <my_stack>. The recipe is server-to-server: one Didit application (Service X) mints a short-lived JSON Web Token (JWT) share token for a finished session; a partner Didit application (Service Y) imports the token and Didit clones the full verified session into Service Y. Works for both KYC and Know Your Business (KYB) sessions.
Built for Banking-as-a-Service (BaaS) sponsor banks, multi-brand financial groups, embedded finance through partner banks, marketplaces with regional or vertical sub-platforms, on-ramp + exchange ecosystems, white-label resellers, and B2B KYB consortia where the same legal entity onboards once and serves many. Every URL, header, and enum value below is canonical — do not paraphrase or "improve" them.
## 1. Provision both applications
- Sign up: https://business.didit.me (no credit card required).
- Or provision programmatically: POST https://apx.didit.me/auth/v2/programmatic/register/
- Create TWO applications in your Didit organisation. One acts as Service X (mints share tokens), the other as Service Y (imports them). In production these will usually live in different organisations — one per partner.
- Each application has its own `x-api-key`. Service X uses its own key to mint; Service Y uses its own key to import.
## 2. Service X — mint a share token
Service X picks a finished session it owns and posts to the share endpoint:
POST https://verification.didit.me/v3/session/{sessionId}/share/
Headers:
x-api-key: <Service X api key>
Content-Type: application/json
Body:
{
"for_application_id": "<partner-application-uuid>",
"ttl_in_seconds": 3600
}
Bounds on `ttl_in_seconds`: min 60, max 86400, default 3600.
Requirements:
- The session must be in a FINISHED status: "Approved", "Declined", or "In Review".
- The API key must hold the `write:sessions` privilege.
- `for_application_id` must be a real Didit application uuid — usually the partner's app.
Response: 201 Created with the JWT in the `share_token` field plus `for_application_id` and `session_kind` ("user" or "business" — Didit detects this from the source session and embeds it in the token):
{
"share_token": "eyJhbGciOiJIUzI1NiJ9...",
"for_application_id": "partner-app-uuid",
"session_kind": "user"
}
## 3. Transmit the token to Service Y
Service X transmits the `share_token` to Service Y over a pre-arranged backend channel — REST, message queue, signed webhook, anything you control. The token is scoped to Service Y's application and useless to any other application.
## 4. Service Y — import the shared session
Service Y posts the token to the import endpoint:
POST https://verification.didit.me/v3/session/import-shared/
Headers:
x-api-key: <Service Y api key>
Content-Type: application/json
Body:
{
"share_token": "<jwt from step 2>",
"workflow_id": "<Service Y's own workflow id>",
"vendor_data": "<Service Y's internal user id>",
"trust_review": true
}
`trust_review`:
- `true` → the imported session preserves the original status ("Approved" / "Declined" / "In Review"). Service Y onboards the user instantly. Use when Service Y fully trusts Service X's decision (sister brand, regulated partner with a signed data-sharing agreement).
- `false` → the imported session lands in "In Review" so Service Y's compliance team makes its own call. Safe default for new partner relationships.
Response: 201 Created with a brand-new session in Service Y's application:
{
"session_id": "<new uuid>",
"session_number": <int>,
"session_kind": "user" | "business",
"status": "Approved" | "In Review" | "Declined",
"shared_from_session": "<original session uuid in Service X>",
"vendor_data": "<Service Y's internal user id>",
"id_verifications": [...],
"liveness_checks": [...],
"face_matches": [...],
"aml_screenings": [...],
"database_validations": [...],
"proof_of_address": [...],
"phone_verifications": [...],
"email_verifications": [...]
}
For a `session_kind: "business"` token Didit clones the KYB shape instead. KYB session statuses are UPPER_SNAKE_CASE (not Title Case like KYC):
{
"session_id": "<new uuid>",
"session_kind": "business",
"status": "APPROVED",
"shared_from_session": "<original business session uuid>",
"vendor_data": "<Service Y's internal business id>",
"registry_checks": [...],
"key_people_checks": [...],
"document_verifications": [...],
"aml_screenings": [...],
"questionnaires": [...]
}
A new User or Business entity is auto-created in Service Y if one with the supplied `vendor_data` doesn't already exist.
## 5. Idempotency, expiration, errors
| Status | Reason |
|--------|--------|
| 401 | Share token invalid or past `exp` — request a new one. |
| 403 | Token not intended for your application, OR session already imported into your app. |
| 404 | Original session no longer exists. |
| 404 | `workflow_id` not found in your application. |
The duplicate-import check is enforced against the (share_token, partner application) pair.
## 6. Webhooks (optional, only when Service Y wants async updates)
Service Y can register a webhook destination once via:
POST https://verification.didit.me/v3/webhook/destinations/
Body: url, subscribed_events: ["status.updated"]
Every webhook delivery carries an `X-Signature-V2` header you MUST verify before trusting the payload. HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature.
Algorithm:
1. sortKeys(payload) recursively
2. shortenFloats (truncate trailing zeros after the decimal point)
3. JSON.stringify the result
4. HMAC-SHA256 with the secret_shared_key
5. Hex-encode, compare to the X-Signature-V2 header.
## 7. Hard rules — do not change
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: "Approved", "Declined", "In Review", "Not Finished" (Title Case With Spaces — KYC convention).
- session_kind is lowercase: "user" or "business".
- The share API is BUSINESS-to-BUSINESS sharing. Service X and Service Y are responsible for the data-sharing legal basis under General Data Protection Regulation (GDPR), UK GDPR, and any cross-border transfer rules. Didit ships the technical capability; you ship the data-sharing agreement.
## 8. Pricing reference (public)
- Service X already paid for the original verification (full KYC bundle is $0.30 or KYB session starts at $2.00; see didit.me/pricing).
- Service Y pays nothing on the import side — `POST /v3/session/import-shared/` is included with every plan.
- 500 free verifications every month on every account (applies to fresh captures, not imports).
## 9. Verify your integration
- Sandbox starts on signup at https://business.didit.me — no separate flag.
- Create two sandbox applications: one as Service X (issuer), the other as Service Y (importer). Use Service X's API key to mint a token for a finished sandbox session, hand the token off, use Service Y's API key to import.
- Switch to live: flip each application's environment toggle in console.
When in doubt:
- https://docs.didit.me/sessions-api/share-session/overview
- https://docs.didit.me/sessions-api/share-session/share
- https://docs.didit.me/sessions-api/share-session/import
- https://docs.didit.me/core-technology/reusable-kyc/share-kyc-via-api
$0 / месяц. Кредитная карта не требуется.
Платите только за то, что используете. Более 25 модулей. Публичные цены за модуль, без минимальной ежемесячной платы.
Индивидуальные MSA и SLA. Для больших объемов и регулируемых программ.
Начните бесплатно → платите только за выполненные проверки → переходите на Enterprise для индивидуального контракта, SLA или размещения данных.
Didit, это инфраструктура для идентификации и борьбы с мошенничеством. Это платформа, которую мы сами хотели бы иметь, когда создавали продукты: открытая, гибкая и удобная для разработчиков, чтобы она была полноценной частью вашего стека, а не чёрным ящиком, вокруг которого приходится строить интеграцию.
Один API охватывает верификацию физических лиц (KYC, know your customer), верификацию компаний (KYB, know your business), проверку криптокошельков (KYT, know your transaction) и мониторинг транзакций в реальном времени, на стеке, созданном для того, чтобы быть:
В основе: более 14 000 типов документов на более чем 48 языках, более 1000 источников данных и более 200 сигналов мошенничества для каждой сессии. Инфраструктура Didit динамически обучается на каждой сессии и становится лучше с каждым днём.
B2B Reusable KYC позволяет одной компании передавать верифицированного пользователя или компанию другой компании, таким образом, партнёр регистрирует того же человека без повторной верификации.
Это работает в два этапа:
Ваш партнёр выбирает скорость онбординга. Доверьтесь своему решению и мгновенно одобрите пользователя, или получите необработанные данные и позвольте их команде комплаенса принять решение.
Работает как для Know Your Customer (KYC), так и для Know Your Business (KYB), один и тот же вызов, оба формата.
Полная справка: docs.didit.me/sessions-api/share-session.
Для любой бизнес-модели, где одна платформа регистрирует пользователя один раз, а нескольким партнёрским платформам нужна та же верификация:
Если вы можете заключить соглашение об обмене данными с вашим партнёром, этот API обеспечит техническую часть.
Полный процесс обычно занимает менее 30 секунд от начала до конца, взять удостоверение личности, сфотографировать документ, сделать селфи, готово. Это самый быстрый показатель на рынке. Устаревшие KYC-провайдеры обычно тратят более 90 секунд на тот же процесс.
На бэкенде Didit возвращает результат менее чем за две секунды (p99), от момента завершения селфи пользователем до момента срабатывания вашего вебхука. Мобильный захват оптимизирован для медленных телефонов и медленных сетей: прогрессивное сжатие изображений, ленивая загрузка SDK и передача в один клик с десктопа на телефон через QR-код, если пользователь начинает на вебе.
POST /v3/session/import-shared/ возвращает 201 Created с совершенно новой сессией в вашем приложении, новый session_id и session_number, полная полезная нагрузка клонирована из источника.
Ключевые поля:
status, Approved / Declined / In Review (сохраняется, если trust_review: true, принудительно устанавливается In Review, если trust_review: false).session_kind, user (KYC) или business (KYB).shared_from_session, указывает на исходную сессию в исходном приложении. Канонический сигнал о том, что эта сессия была импортирована, а не создана заново.vendor_data, внутренний идентификатор пользователя / бизнеса, который ВЫ передали при вызове импорта.id_verifications, liveness_checks, face_matches, aml_screenings, database_validations, proof_of_address, location_checks, phone_verifications, email_verifications.registry_checks, key_people_checks (с их вложенными KYC), document_verifications, aml_screenings, questionnaires.Идентичный формат новой сессии, ваш существующий обработчик вебхуков читает её так же.
Каждая сессия получает один из семи чётких статусов, поэтому ваш код всегда знает, что делать:
Approved, все проверки пройдены. Переведите пользователя дальше.Declined, одна или несколько проверок не пройдены. Вы можете разрешить пользователю повторно отправить конкретный неудачный шаг (например, повторно сделать селфи), не запуская весь процесс заново.In Review, помечено для проверки комплаенс-отделом. Откройте кейс в консоли, просмотрите все сигналы, примите решение об одобрении или отклонении.In Progress, пользователь находится в процессе.Not Started, ссылка отправлена, пользователь ещё не открыл её. Отправьте напоминание, если она долго остаётся без внимания.Abandoned, пользователь открыл ссылку, но не завершил процесс вовремя. Повторно вовлеките или аннулируйте.Expired, срок действия ссылки на сессию истёк. Создайте новую сессию.Подписанный вебхук срабатывает при каждом изменении статуса, поэтому ваша база данных всегда остаётся синхронизированной. Заброшенные и отклонённые сессии бесплатны.
Производственные данные по умолчанию обрабатываются и хранятся в Европейском Союзе на Amazon Web Services. Корпоративные контракты могут предусматривать альтернативные регионы для юрисдикций, регуляторы которых этого требуют.
Шифрование повсюду. AES-256 в состоянии покоя для каждой базы данных, объектного хранилища и резервной копии. Transport Layer Security 1.3 при передаче для каждого вызова API, вебхука и сессии Business Console. Биометрические данные шифруются с помощью отдельного Customer Master Key.
Срок хранения контролируете вы. Срок хранения по умолчанию, бессрочный (неограниченный), если вы не настроите более короткий, от 30 дней до 10 лет для каждого приложения, и вы можете удалить любую отдельную сессию в любое время из панели управления или через API.
Сертификаты: SOC 2 Type 1 (аудит Type 2 в процессе), ISO/IEC 27001:2022, iBeta Level 1 PAD, и публичное подтверждение от Tesoro / SEPBLAC / CNMV Испании о том, что удалённая верификация личности Didit безопаснее, чем личная верификация. Полный отчёт: /security-compliance.
Didit по умолчанию соответствует требованиям регуляторов, которые важны для инфраструктуры идентификации:
Подробное описание, все сертификаты, все письма регуляторов: /security-compliance.
Три пути интеграции, выбирайте тот, что подходит вашему стеку:
Единая панель управления, единый биллинг, единая цена за успешную верификацию для всех трех вариантов. Пошаговое руководство: docs.didit.me/integration/integration-prompt.
Единый API для KYC, KYB, мониторинга транзакций и проверки кошельков. Интеграция за 5 минут.