Усильте защиту критичных операций с помощью распознавания лица за 2 секунды. Защита от фишинга и SIM-свопинга. $0.10 за аутентификацию. 500 проверок бесплатно каждый месяц.
Нам доверяют более 2000 организаций по всему миру.
Защита от фишинга · Защита от SIM-свопинга
Второй фактор, это лицо пользователя, сопоставленное 1:1 с портретом, который он зарегистрировал при входе. Проверка на живость блокирует атаки с использованием печати / повторного воспроизведения / маски / генеративно-состязательной сети (GAN) на одном кадре. Результат менее чем за 2 секунды на бюджетных Android-устройствах. $0.10 за аутентификацию. 500 проверок бесплатно каждый месяц.
Выберите нужные проверки, ID, живость, сопоставление лиц, санкции, адрес, возраст, телефон, email, пользовательские вопросы. Перетащите их в рабочий процесс на дашборде или отправьте тот же процесс через наш API. Разветвляйте по условиям, проводите A/B-тесты, код не требуется.
Встраивайте нативно с помощью наших SDK для Web, iOS, Android, React Native или Flutter. Перенаправляйте на размещенную страницу. Или просто отправьте пользователю ссылку, по email, SMS, WhatsApp, куда угодно. Выберите то, что подходит вашему стеку.
Didit обеспечивает работу камеры, подсказки по освещению, передачу данных с мобильных устройств и доступность. Пока пользователь проходит проверку, мы оцениваем более 200 признаков мошенничества в реальном времени и проверяем каждое поле по авторитетным источникам данных. Результат менее чем за две секунды.
Подписанные вебхуки в реальном времени синхронизируют вашу базу данных в момент одобрения, отклонения или отправки пользователя на проверку. Опрашивайте API по запросу. Или откройте консоль, чтобы просмотреть каждую сессию, каждый сигнал и управлять кейсами по-своему.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_bio_2fa",
"workflow_type": "biometric_authentication",
"vendor_data": "user-42",
// base64 reference selfie, ≤ 1MB (omit for liveness-only)
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'{ "session_url": "verify.didit.me/..." }$ curl -X POST https://verification.didit.me/v3/face-match/ \
-H "x-api-key: $DIDIT_API_KEY" \
-F "image_a=@live.jpg" \
-F "image_b=@enrolled.jpg"{ "status": "Одобрено", "similarity_score": 0.96 }You are integrating Didit's Biometric 2FA into <my_stack>. Replace SMS one-time-password (OTP) on sensitive flows — login from a new device, large-value transfer, settings change, account recovery — with a sub-2-second face match against the user's enrolled portrait. Cheaper than SMS. Phishing-resistant. SIM-swap-proof.
1. Enrol the user's portrait ONCE at sign-up via the standard Know Your Customer (KYC) session.
2. On every sensitive action, open a Biometric Authentication session that runs Passive Liveness + Face Match 1:1 against the stored portrait. Verdict in sub-2-seconds.
Pricing (public):
- Biometric Authentication: $0.10 per authentication (Sessions API)
- Standalone Face Match 1:1: $0.05 per match (server-to-server)
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60s, no card).
- Webhook endpoint with Hash-based Message Authentication Code (HMAC) SHA-256 verification using the X-Signature-V2 header.
- The user has previously enrolled — either via a full KYC session (recommended; the portrait is stored automatically and never leaves Didit) or via a portrait you supply on each re-auth.
- A workflow_id from the Workflow Builder. The workflow MUST contain LIVENESS, and the session must be opened with workflow_type = "biometric_authentication" (or use a workflow that has FACE_MATCH and pass a portrait_image at session creation).
STEP 1 — Enrolment (one-time, at user sign-up)
Run a standard KYC session at sign-up. Didit stores the portrait (the face captured during the liveness step) as the user's enrolled template, bound to vendor_data.
POST https://verification.didit.me/v3/session/
Body:
{
"workflow_id": "<your KYC workflow>",
"vendor_data": "<your user id>"
}
No additional code — once the user passes KYC, their enrolled portrait is ready for every future re-auth.
STEP 2 — Re-authentication (on every sensitive action)
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<your biometric_authentication workflow>",
"workflow_type": "biometric_authentication",
"vendor_data": "<the same user id used at enrolment>",
"callback": "https://<your-app>/2fa/callback",
"metadata": {
"reason": "<login_new_device | high_value_txn | settings_change | account_recovery>",
"amount": "<optional, for large-value transfers>"
},
"portrait_image": "<base64 JPEG of the user's enrolment selfie, ≤ 1 MB — REQUIRED when the workflow has FACE_MATCH active; OMIT for liveness-only mode>"
}
Response: 201 Created with the hosted session_url. Redirect the user to it. The hosted UI:
- Opens the front camera
- Captures one passive frame
- Runs Liveness + Face Match 1:1 against the user's enrolled portrait
- Returns the verdict in sub-2-seconds
STEP 3 — Read the signed verdict on the webhook
Body (excerpted for a passing re-auth):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved", "method": "PASSIVE", "score": 96 },
"face": {
"status": "Approved",
"similarity_score": 0.96
}
}
Verify X-Signature-V2 BEFORE trusting the body — HMAC SHA-256 of the raw bytes with your webhook secret.
Session status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Branch your application:
Approved → execute the action (sign in, release the transfer, save settings).
Declined → block the action, re-prompt with a higher-friction recovery path (support contact / KYC re-do).
In Review → hold; route to your operations queue.
Not Finished → user abandoned the capture; safe to re-prompt or fall back.
STEP 4 — Alternate path (server-to-server, when you already have the selfie)
If you already captured the selfie locally (native mobile SDK, in-app camera):
POST https://verification.didit.me/v3/face-match/
Headers:
x-api-key: <your api key>
Body (multipart/form-data):
image_a <the live selfie>
image_b <the enrolled portrait>
Response: similarity_score (0-1), status (Approved | Declined | In Review).
Use the standalone path only when you trust your client-side capture pipeline. For browser flows or any surface where the SDK is not embedded, always prefer the hosted session — Didit's liveness check is harder to defeat than a raw camera grab.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
- Always verify X-Signature-V2 on every payload.
CONSTRAINTS
- Base URL for /v3/* endpoints is verification.didit.me (NOT apx.didit.me).
- Feature enum is UPPERCASE: LIVENESS, FACE_MATCH, ID_VERIFICATION, AML, IP_ANALYSIS, AGE_ESTIMATION.
- Method enum is UPPERCASE: PASSIVE, FLASHING, ACTIVE_3D.
- Auth header is x-api-key (lowercase, hyphenated).
- Webhook signature header is X-Signature-V2 (NOT X-Signature).
- Status casing matches exactly: Approved, Declined, In Review, Expired, Not Finished, Resubmitted, Kyc Expired, Abandoned.
- The biometric template is irreversible (a one-way hash) and stored on Didit's infrastructure. You never receive the raw template. Standard data-subject-deletion rules apply.
PRO TIPS
- Pair Biometric 2FA with Device & IP Analysis (bundled into the 200+ fraud-signal stack). A re-auth that originates from a brand-new device + a brand-new IP should always step up to face.
- For the strongest possible surface, swap method PASSIVE for ACTIVE_3D — a short motion challenge — on transfers above your operational risk threshold.
Read the docs:
- https://docs.didit.me/core-technology/biometric-auth/overview
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / месяц. Кредитная карта не требуется.
Платите только за то, что используете. Более 25 модулей. Публичные цены за модуль, без минимальной ежемесячной платы.
Индивидуальные MSA и SLA. Для больших объемов и регулируемых программ.
Начните бесплатно → платите только за выполненные проверки → переходите на Enterprise для индивидуального контракта, SLA или размещения данных.
Didit — это инфраструктура для идентификации и борьбы с мошенничеством, платформа, которую мы сами хотели бы иметь, когда создавали продукты: открытая, гибкая и удобная для разработчиков. Она становится полноценной частью вашего стека, а не "черным ящиком", который приходится обходить.
Единый API позволяет верифицировать людей (KYC, знай своего клиента), компании (KYB, знай свой бизнес), проверять криптокошельки (KYT, знай свою транзакцию) и мониторить транзакции в реальном времени. Наш стек создан, чтобы быть:
В основе: 14 000+ типов документов на 48+ языках, 1000+ источников данных и 200+ сигналов мошенничества для каждой сессии. Инфраструктура Didit динамически обучается на каждой сессии и становится лучше с каждым днем.
Двухфакторная аутентификация с использованием лица пользователя, а не кода, отправленного по сети. Первый фактор, это то, что пользователь знает (пароль, ключ доступа, магическая ссылка). Второй фактор, это то, кем пользователь является, живое селфи, сопоставленное 1:1 с портретом, который пользователь зарегистрировал ранее.
Она занимает то же место, что и одноразовый SMS-пароль (OTP) в вашем приложении, но с другими затратами, безопасностью и профилем конверсии.
Его обходят четыре хорошо задокументированных класса атак. Федеральное бюро расследований США (ФБР) и Национальный центр кибербезопасности Великобритании (NCSC) опубликовали рекомендации, призывающие организации отказаться от SMS для чувствительных операций.
Полный процесс обычно занимает менее 30 секунд от начала до конца, взять удостоверение личности, сфотографировать документ, сделать селфи, готово. Это самый быстрый показатель на рынке. Устаревшие KYC-провайдеры обычно тратят более 90 секунд на тот же процесс.
На бэкенде Didit возвращает результат менее чем за две секунды при p99, измеренный с момента завершения селфи пользователем до момента срабатывания вашего вебхука. Мобильный захват настроен для медленных телефонов и медленных сетей: прогрессивное сжатие изображений, ленивая загрузка SDK и передача в одно касание с десктопа на телефон через QR-код, если пользователь начинает работу в вебе.
Большинство команд регистрируют пользователя во время его первоначальной сессии Know Your Customer (KYC). Портрет, полученный на этапе проверки живости, сохраняется и привязывается к вашим vendor_data, а затем используется в качестве шаблона для каждой последующей повторной аутентификации.
Если вы не проводите KYC при регистрации, вы можете запустить одноразовую сессию регистрации с помощью рабочего процесса Didit, который содержит только LIVENESS + FACE_MATCH. Любой из этих путей стоит $0.10 один раз, и полученный шаблон можно использовать для каждой будущей аутентификации.
Каждая сессия получает один из семи чётких статусов, поэтому ваш код всегда знает, что делать:
Approved, все проверки пройдены. Пользователь может продолжить.Declined, одна или несколько проверок не пройдены. Вы можете разрешить пользователю повторно пройти конкретный неудачный шаг (например, сделать новое селфи), не запуская весь процесс заново.In Review, помечено для проверки комплаенс-отделом. Откройте кейс в консоли, просмотрите все сигналы, примите решение об одобрении или отклонении.In Progress, пользователь находится в процессе прохождения.Not Started, ссылка отправлена, пользователь ещё не открыл её. Отправьте напоминание, если она долго остаётся без внимания.Abandoned, пользователь открыл ссылку, но не завершил проверку вовремя. Повторно привлеките его или аннулируйте сессию.Expired, срок действия ссылки на сессию истёк. Создайте новую сессию.При каждом изменении статуса срабатывает подписанный вебхук, поэтому ваша база данных всегда остаётся синхронизированной. Заброшенные и отклонённые сессии бесплатны.
По умолчанию производственные данные обрабатываются и хранятся в Европейском Союзе на Amazon Web Services. В рамках корпоративных контрактов можно запросить альтернативные регионы для юрисдикций, где это требуется регуляторами.
Шифрование повсюду. AES-256 для данных в состоянии покоя во всех базах данных, объектных хранилищах и резервных копиях. Transport Layer Security 1.3 для данных в пути при каждом вызове API, вебхуке и сессии Business Console. Биометрические данные шифруются отдельным ключом Customer Master Key.
Срок хранения данных под вашим контролем. По умолчанию срок хранения неограничен, если вы не настроите более короткий — от 30 дней до 10 лет для каждого приложения. Вы можете удалить любую отдельную сессию в любое время из дашборда или через API.
Сертификаты: SOC 2 Type 1 & Type 2, ISO/IEC 27001:2022, iBeta Level 1 PAD, а также официальное подтверждение от Tesoro / SEPBLAC / CNMV Испании о том, что удаленная верификация личности Didit безопаснее, чем личная верификация. Полный отчет доступен по ссылке /security-compliance.
Didit по умолчанию соответствует требованиям регуляторов, важных для инфраструктуры идентификации:
Подробное описание, все сертификаты, все письма регуляторов: /security-compliance.
Три пути интеграции, выбирайте тот, что подходит вашему стеку:
Единая панель управления, единый биллинг, единая цена за успешную верификацию для всех трех вариантов. Пошаговое руководство: docs.didit.me/integration/integration-prompt.
Это готовое решение для вашего существующего колбэка одноразового пароля.
POST /v3/session/ с workflow_type: "biometric_authentication" и теми же vendor_data, что вы использовали при регистрации.session_url.X-Signature-V2 в вебхуке, прежде чем доверять телу запроса.status, Approved (выполнить действие), Declined (заблокировать), In Review (поставить в очередь), Not Finished (повторный запрос).Большинство команд заменяют SMS на распознавание лица за выходные. Полный промпт для агента выше; сервер Model Context Protocol (MCP) поддерживает оба интерфейса.
Сравнение лиц 1:1 устойчиво к умеренным изменениям внешности, растительность на лице, очки, цвет волос, освещение. Показатель схожести, возвращаемый при каждой аутентификации, отражает уверенность модели.
Для пользователей, которые выходят за пределы порога автоматического одобрения (типичные случаи: резкое изменение веса, операция, старение в течение многих лет), вердикт возвращается как In Review и направляется в вашу операционную очередь. Стандартный путь восстановления, это сессия повторной регистрации: один KYC-звонок обновляет портрет, и следующая аутентификация использует новый шаблон.
Да, для категории inherence (присущность). Регуляторные технические стандарты Европейского банковского управления по строгой аутентификации клиентов признают биометрические атрибуты (то, чем вы являетесь) в качестве действительного второго фактора в сочетании с одной из двух других категорий (знание или владение).
Для полного процесса строгой аутентификации клиентов по PSD2, объедините биометрическую 2FA с паролем пользователя (знание) или сессией, привязанной к устройству (владение). Подписанный вердикт Didit является аудиторским доказательством фактора присущности.
Единый API для KYC, KYB, мониторинга транзакций и проверки кошельков. Интеграция за 5 минут.