Биометрическая верификация в моменты, когда атакуют злоумышленники, переводы, сброс паролей, входы с новых устройств. Результат менее чем за две секунды, около $0.13 за событие. 500 бесплатных верификаций каждый месяц.
Robinhood Ventures
Нам доверяют более 2000 организаций по всему миру.
Как атакуют злоумышленники
Атаки с подбором учетных данных, SIM-свопом и кражей сессионных куки обходят пароли и одноразовые коды. Замените их на верификацию Didit в момент действия, $0.10 за вызов, результат менее чем за две секунды, 500 бесплатных каждый месяц.
Выберите нужные проверки, ID, живость, сравнение лиц, санкции, адрес, возраст, телефон, email, пользовательские вопросы. Перетащите их в рабочий процесс на дашборде или отправьте тот же процесс в наш API. Разветвляйте по условиям, проводите A/B-тесты, код не требуется.
Встраивайте нативно с помощью наших SDK для Web, iOS, Android, React Native или Flutter. Перенаправляйте на размещенную страницу. Или просто отправьте пользователю ссылку, по email, SMS, WhatsApp, куда угодно. Выберите то, что подходит вашему стеку.
Didit обеспечивает работу камеры, световые подсказки, мобильную передачу и доступность. Пока пользователь проходит процесс, мы оцениваем более 200 признаков мошенничества в реальном времени и проверяем каждое поле по авторитетным источникам данных. Результат менее чем за две секунды.
Подписанные вебхуки в реальном времени синхронизируют вашу базу данных в момент одобрения, отклонения или отправки пользователя на проверку. Опрашивайте API по запросу. Или откройте консоль, чтобы просмотреть каждую сессию, каждый сигнал и управлять кейсами так, как вам удобно.
Didit · Политика усиления аутентификации
Didit · Биометрическая аутентификация
Шаг 2 / 2
Не двигайтесь для проверки
Didit · Сравнение лиц 1:1
Регистрация
Повышение уровня
Didit · Пассивная проверка живости
Didit · Анализ устройств и IP
Didit · Вебхук · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "user-42",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved",
"similarity_score": 0.94 }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_ato_step_up",
"vendor_data": "user-42",
"metadata": { "trigger": "high_value_transfer" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
unblockAction(payload.vendor_data);
} else if (payload.status === "Declined") {
logWarnings(payload.liveness.warnings);
blockAndAlert(payload.vendor_data);
}статус Одобрено · Отклонено · На рассмотрении · Не завершеноYou are integrating Didit account-takeover defence into an application that already has the user signed in. Your job: when a sensitive action fires (large transfer, password reset, payout to a new destination, new-device login, geo anomaly), gate it on a Didit biometric step-up. One API call. One signed webhook. Three branches.
WHY THIS SHAPE
- Credential stuffing, SIM-swap, and stolen-session-cookie attacks all walk past passwords and SMS one-time codes. A face check at the moment of the sensitive action does not.
- Didit runs Passive Liveness (the user is alive, present, not a deepfake) plus 1:1 Face Match against the portrait captured at sign-up. A stolen selfie cannot pass — the comparison target is locked to the original enrollment.
- $0.10 per step-up (Biometric Authentication module) + $0.03 IP pre-check (optional) = around $0.13 per event. Sub-two-second verdict on entry-level Android. 500 verifications free every month.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A Workflow Builder workflow that bundles Passive Liveness + Face Match 1:1 (with the user's stored sign-up portrait as the comparison target). Optionally compose Device & IP Analysis ahead of the step-up to pre-gate the check.
- Persist the user's sign-up portrait — either base64 on your side, or rely on Didit's stored enrollment via vendor_data lookup.
STEP 1 — Decide WHEN to step up (your code, not Didit's)
Run your usual fraud signals. Common triggers worth a biometric step-up:
- Wire / crypto transfer above the user's daily limit
- Password / email reset on a session less than 24h old
- Payout to a bank account or wallet seen for the first time
- Login from a new device or new country
- Velocity anomaly — N actions of type T within window W
Cheap pre-check (optional, ~100ms, $0.03):
- Score the user's IP via Device & IP Analysis. If the IP is a residential trusted address with a low risk score AND the device fingerprint matches the user's trusted device, skip the step-up. Otherwise run Step 2.
STEP 2 — Create a biometric step-up session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id bundling Passive Liveness + Face Match 1:1>",
"vendor_data": "<your user id, max 256 chars>",
"callback": "https://<your-app>/ato/step-up/callback",
"metadata": {
"trigger": "high_value_transfer",
"action_id": "<your internal action reference>"
},
"portrait_image": "<base64 JPEG of the user's stored sign-up portrait, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; the step-up matches the new live selfie against this stored reference>"
}
Response: 201 Created with a hosted session URL. Redirect the user there inline (or open it in a webview / Didit mobile SDK). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook on completion
Didit POSTs the decision to your callback. Verify X-Signature-V2 (HMAC SHA-256 of the raw request body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "score": 11 }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the original action on status
Approved → unblock the sensitive action. Log session_id + similarity score on the audit trail.
In Review → hold the action, route to a human review queue.
Declined → block the action, log liveness warnings (mask / deepfake / replay / morph), alert the user.
Not Finished → invite the user to retry with a fresh session URL.
Expired → resend the link; the original session has timed out.
Abandoned → the user closed the flow before completing; resend the link.
STEP 5 — (Optional) Pull the full decision payload
GET https://verification.didit.me/v3/session/{session_id}/decision/
Headers:
x-api-key: <your api key>
Returns the same payload as the webhook plus the structured signals (liveness warnings, face-match similarity, IP / device flags). Use for analyst review.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook (one endpoint, status field tells you where in the lifecycle).
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces (Approved, In Review). Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API and lives in a different surface.
- 1:1 face match's comparison target is the user's STORED sign-up portrait, not a freshly captured one. A stolen selfie cannot pass.
- iBeta Level 1 Presentation Attack Detection (PAD) certified against the full ISO/IEC 30107-3 catalogue — print, replay, paper / silicone / latex mask, deepfake, morph.
- The Workflow Builder is where you choose the modules in the step-up — change them in the console without redeploying.
- 200+ fraud signals are surfaced on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / месяц. Кредитная карта не требуется.
Платите только за то, что используете. Более 25 модулей. Публичные цены за модуль, без минимальной ежемесячной платы.
Индивидуальные MSA и SLA. Для больших объемов и регулируемых программ.
Начните бесплатно → платите только за выполненные проверки → переходите на Enterprise для индивидуального контракта, SLA или размещения данных.
Didit, это инфраструктура для идентификации и борьбы с мошенничеством. Это платформа, которую мы сами хотели бы иметь, когда создавали продукты: открытая, гибкая и удобная для разработчиков, чтобы она была полноценной частью вашего стека, а не «черным ящиком», который приходится обходить.
Единый API охватывает проверку физических лиц (KYC, знай своего клиента), проверку компаний (KYB, знай свой бизнес), проверку криптокошельков (KYT, знай свою транзакцию) и мониторинг транзакций в реальном времени. Все это на стеке, созданном для:
В основе: более 14 000 типов документов на 48+ языках, более 1000 источников данных и более 200 сигналов мошенничества для каждой сессии. Инфраструктура Didit динамически обучается на каждой сессии и становится лучше с каждым днем.
Захват аккаунта (ATO) происходит, когда злоумышленник получает контроль над легитимным аккаунтом пользователя, обычно с помощью украденных учетных данных, перехваченного сессионного файла cookie или SIM-свопа, который перехватывает одноразовый пароль (OTP). После этого они опустошают кошельки, переводят средства, меняют платежные реквизиты или сбрасывают электронную почту, блокируя доступ настоящему владельцу.
Атака обходит пароль, потому что пароль уже правильный. Она обходит код SMS, потому что злоумышленник контролирует номер телефона. Защита заключается в прерывании действия с помощью того, чего у злоумышленника нет, лица законного пользователя.
Потому что мошенничество с SIM-свопом помещает код SMS в карман злоумышленника. Злоумышленник убеждает оператора перенести номер жертвы на новую SIM-карту; с этого момента каждый код, отправленный банком, приходит на телефон злоумышленника.
Фишинговые наборы в 2026 году также проксируют код в реальном времени, пользователь вводит его на поддельной странице, набор воспроизводит его на реальном сайте, сессия открывается. SMS предоставляет один общий секрет на канал; биометрия предоставляет доказательство для каждого действия, привязанное к человеку перед камерой.
Полный процесс обычно занимает менее 30 секунд от начала до конца, взять удостоверение личности, сфотографировать документ, сделать селфи, готово. Это самый быстрый показатель на рынке. Устаревшие KYC-провайдеры обычно тратят более 90 секунд на тот же процесс.
На бэкенде Didit возвращает результат менее чем за две секунды при p99, от момента, когда пользователь заканчивает селфи, до момента срабатывания вашего вебхука. Мобильный захват оптимизирован для медленных телефонов и медленных сетей: прогрессивное сжатие изображений, отложенная загрузка SDK, и передача в одно касание с десктопа на телефон через QR-код, если пользователь начинает на вебе.
Регистрация впервые фиксирует личность пользователя, государственный документ, оптическое распознавание символов (OCR), пассивная проверка живости и портрет, который становится базовым для последующих сравнений. Это одноразовый, ресурсоемкий процесс.
Верификация при входе, это облегченная, повторяемая версия. Тот же движок проверки живости работает с новым селфи; Face Match 1:1 сравнивает новое селфи с сохраненным портретом при регистрации. Без документа, без OCR. Менее двух секунд, $0.10 за сессию.
Каждая сессия получает один из семи четких статусов, поэтому ваш код всегда знает, что делать:
Approved, все проверки пройдены. Переведите пользователя дальше.Declined, одна или несколько проверок не пройдены. Вы можете разрешить пользователю повторно отправить конкретный неудавшийся шаг (например, переделать селфи), не запуская весь процесс заново.In Review, помечено для проверки соответствия. Откройте кейс в консоли, просмотрите все сигналы, решите одобрить или отклонить.In Progress, пользователь находится в процессе.Not Started, ссылка отправлена, пользователь еще не открыл ее. Отправьте напоминание, если она долго не открывается.Abandoned, пользователь открыл ссылку, но не завершил вовремя. Повторно вовлеките или аннулируйте.Expired, срок действия ссылки на сессию истек. Создайте новую сессию.Подписанный вебхук срабатывает при каждом изменении статуса, поэтому ваша база данных всегда остается синхронизированной. Заброшенные и отклоненные сессии бесплатны.
Производственные данные по умолчанию обрабатываются и хранятся в Европейском Союзе на Amazon Web Services. Корпоративные контракты могут запрашивать альтернативные регионы для юрисдикций, регуляторы которых этого требуют.
Шифрование повсюду. AES-256 в состоянии покоя для каждой базы данных, объектного хранилища и резервной копии. Transport Layer Security 1.3 при передаче для каждого вызова API, вебхука и сессии Business Console. Биометрические данные шифруются отдельным Customer Master Key.
Срок хранения контролируете вы. По умолчанию срок хранения неограничен (бессрочно), если вы не настроите более короткий, от 30 дней до 10 лет для каждого приложения, и вы можете удалить любую отдельную сессию в любое время из дашборда или API.
Сертификаты: SOC 2 Type 1 (аудит Type 2 в процессе), ISO/IEC 27001:2022, iBeta Level 1 PAD, и публичное подтверждение от Tesoro / SEPBLAC / CNMV Испании о том, что удаленная верификация личности Didit безопаснее, чем личная проверка. Полный отчет по адресу /security-compliance.
Didit по умолчанию соответствует требованиям регуляторов, важных для инфраструктуры идентификации:
Подробное описание, каждый сертификат, каждое письмо регулятора: /security-compliance.
Три пути интеграции, выберите тот, который подходит вашему стеку:
Одна и та же панель управления, одна и та же система выставления счетов, одна и та же цена за успешную верификацию для всех трех. Пошаговое руководство на docs.didit.me/integration/integration-prompt.
Используйте анализ устройства и IP-адреса перед верификацией. $0.03 за проверку, менее 100 мс, возвращает оценку риска от 0 до 100, а также флаги VPN, прокси, Tor, датацентра, страны и номера автономной системы (ASN).
Если сеть выглядит чистой (домашний интернет-провайдер (ISP), доверенный отпечаток устройства, без смены страны), пропустите проверку лица. Если оценка высокая или срабатывает какой-либо флаг, запустите верификацию. Это позволяет использовать биометрический бюджет только для тех событий, которые действительно в этом нуждаются.
Две статьи расходов:
Около $0.13 за полностью проверенное чувствительное действие. Первые 500 верификаций каждый месяц бесплатны для каждого аккаунта, большинство команд обнаруживают, что их объем верификаций укладывается в этот лимит в течение первых нескольких недель.
Без минимальных платежей, без годовых обязательств, без ценообразования за место.
Этот подход применим к любой команде, работающей с высокоценными действиями. Распространенные сценарии:
Один и тот же Workflow Builder, разные триггеры, одна интеграция, одна ценовая линия.
Единый API для KYC, KYB, мониторинга транзакций и проверки кошельков. Интеграция за 5 минут.