Единая проверка Passive Liveness перед любым ценным действием. У ботов нет лица, они не пройдут. Вердикт менее чем за две секунды, $0.10 за проверку, 500 бесплатных проверок каждый месяц.
Robinhood Ventures
Нам доверяют более 2000 организаций по всему миру.
Почему CAPTCHA перестала работать
Коммерческие фермы по решению CAPTCHA обходят hCaptcha и reCAPTCHA Enterprise за доли цента. Passive Liveness требует то, чего нет у скрипта, реального человека перед реальной камерой. $0.10 за гейт, менее двух секунд, 500 бесплатных проверок каждый месяц.
Выберите нужные проверки, ID, Liveness, Face Match, санкции, адрес, возраст, телефон, email, кастомные вопросы. Перетащите их в рабочий процесс на дашборде или отправьте тот же процесс через наш API. Разветвляйте по условиям, проводите A/B-тесты, код не требуется.
Встраивайте нативно с помощью наших SDK для Web, iOS, Android, React Native или Flutter. Перенаправляйте на размещенную страницу. Или просто отправьте пользователю ссылку, по email, SMS, WhatsApp, куда угодно. Выберите то, что подходит вашему стеку.
Didit обеспечивает работу камеры, световых подсказок, мобильной передачи данных и доступности. Пока пользователь проходит проверку, мы в реальном времени оцениваем более 200 сигналов мошенничества и верифицируем каждое поле по авторитетным источникам данных. Результат менее чем за две секунды.
Подписанные вебхуки в реальном времени синхронизируют вашу базу данных в момент одобрения, отклонения или отправки пользователя на проверку. Опрашивайте API по запросу. Или откройте консоль, чтобы просмотреть каждую сессию, каждый сигнал и управлять кейсами по-своему.
Didit · Карта поверхности
Didit · Пассивная проверка живости
Не двигайтесь · 1 из 1
Посмотрите в камеру
Didit · Защита от ботов
Didit · Анализ устройства и IP
Didit · Многоразовый KYC
Первичная проверка
Повтор
Didit · Вебхук · X-Signature-V2
{
"session_id": "abc-…",
"vendor_data": "signup-918",
"status": "Approved",
"liveness": { "status": "Approved" }
}$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "wf_bot_gate",
"vendor_data": "signup-918",
"metadata": { "surface": "signup_form" }
}'{ "session_url": "verify.didit.me/..." }// X-Signature-V2 verified upstream
if (payload.status === "Approved") {
allowSignup(payload.vendor_data);
} else if (payload.status === "Отклонено") {
throttleIP(payload.ip_analysis.ip);
blockAndLog(payload.vendor_data);
}Статус: Одобрено · Отклонено · На рассмотрении · Не завершеноYou are integrating Didit Passive Liveness as a bot-gate on a high-value action — sign-up, leaderboard submission, airdrop / token claim, referral payout, comment, or ticket queue. Bots cannot pass Passive Liveness because they have no face to present to the camera. One API call. One signed webhook. One decision.
WHY THIS SHAPE
- Bots scale because they cost nothing per attempt. CAPTCHA stops the dumbest ones but commercial solver farms beat hCaptcha and reCAPTCHA Enterprise at fractions of a cent per solve.
- Passive Liveness asks for something a script does not have: a live human face in front of a real camera. The model decides on one frame, in under two seconds, with no user interaction beyond "hold still".
- $0.10 per check (Passive Liveness module). 500 verifications free every month. Combine with $0.03 IP / device pre-screen to keep the camera off the obvious bots and the budget on real candidates.
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- A webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header using your webhook secret.
- A Workflow Builder workflow containing the Passive Liveness module — optionally Device & IP Analysis pre-step.
- The high-value action wrapped in a server-side gate that defaults to BLOCK and only unblocks on a verified webhook with status: Approved.
STEP 1 — (Optional) Cheap IP / device pre-screen
Before opening a camera, score the network with Device & IP Analysis ($0.03 / call, under 100ms).
If the score is low and no datacenter / VPN / scripted-user-agent flags fire, run Step 2.
If the score is high or any of those flags fire, skip the liveness call and decline up-front — this saves the camera budget for plausible humans.
STEP 2 — Open a Passive Liveness session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body:
{
"workflow_id": "<wf id with the Passive Liveness module>",
"vendor_data": "<your action / user id, max 256 chars>",
"callback": "https://<your-app>/bot-gate/callback",
"metadata": {
"surface": "signup_form",
"action_id": "<your internal reference>"
}
}
Response: 201 Created with a hosted session URL. Redirect inline (web) or open in a Software Development Kit (SDK) webview (mobile). The action stays BLOCKED on your side until the signed webhook lands.
STEP 3 — Read the signed webhook
Didit POSTs the verdict. Verify X-Signature-V2 (HMAC SHA-256 of the raw body using your webhook secret) BEFORE reading the JSON.
Payload (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your action / user id>",
"status": "Approved",
"liveness": { "status": "Approved" }
}
Session status enum (exact case, Title Case With Spaces): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
STEP 4 — Branch the action
Approved → allow the sign-up / claim / submission.
Declined → block the action. Log liveness warnings (image-only / virtual-cam / replay / deepfake) and throttle the source IP.
Not Finished → invite the user to retry with a fresh session URL.
Expired → session timed out. Resend the link.
Abandoned → the user closed the flow before completing. Resend the link.
STEP 5 — (Optional) Replay Reusable Know Your Customer (KYC) for known humans
If a user has previously completed a Didit-verified session, a fresh liveness check is not required for re-entry — they can replay their verified credential at no cost via Didit Reusable KYC. Use the user's existing session_id to confirm enrollment and skip Step 2. Free forever.
WEBHOOK EVENT NAMES
- Sessions: standard session webhook. One endpoint, status field tells you where in the lifecycle.
- Verify X-Signature-V2 (HMAC SHA-256) on every payload.
WHAT GETS BLOCKED
- Headless Chrome with scripted form submission
- Browser-automation farms (Puppeteer, Playwright, Selenium)
- Image-only submissions (no camera attached)
- Virtual-camera AI face injectors
- Pre-recorded screen replays
- Print or paper attacks
- Silicone / latex masks
- AI-generated deepfake faces
All independently tested at iBeta and certified at Level 1 Presentation Attack Detection (PAD) against the full ISO/IEC 30107-3 catalogue. Re-tested every year.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never use UPPER_SNAKE_CASE for session verdicts — that's the Transactions API.
- Default to BLOCK on the server. Only unblock when the verified webhook says Approved.
- 200+ fraud signals are evaluated on every session at no extra cost — read them off the decision payload, don't re-query.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/core-technology/liveness/overview
- https://docs.didit.me/core-technology/ip-analysis/overview
- https://docs.didit.me/core-technology/reusable-kyc/overview
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / месяц. Кредитная карта не требуется.
Платите только за то, что используете. Более 25 модулей. Публичные цены за модуль, без минимальной ежемесячной платы.
Индивидуальные MSA и SLA. Для больших объемов и регулируемых программ.
Начните бесплатно → платите только за выполненные проверки → переходите на Enterprise для индивидуального контракта, SLA или размещения данных.
Didit, это инфраструктура для идентификации и борьбы с мошенничеством. Мы создали платформу, которую сами хотели бы иметь, когда разрабатывали продукты: открытую, гибкую и удобную для разработчиков. Она легко интегрируется в ваш стек, а не работает как "черный ящик", который приходится обходить.
Единый API позволяет проверять физических лиц (KYC, know your customer), юридических лиц (KYB, know your business), проверять криптокошельки (KYT, know your transaction) и мониторить транзакции в реальном времени. Наша платформа создана, чтобы быть:
В основе платформы: более 14 000 типов документов на 48+ языках, более 1000 источников данных и более 200 сигналов мошенничества для каждой сессии. Инфраструктура Didit динамически обучается на каждой сессии и становится лучше с каждым днем.
Все, что отправляет форму, запрашивает выплату, публикует комментарий или покупает билет без участия реального человека. Распространенные формы:
Определяющая черта одна и та же: никто не смотрит на экран, поэтому никто не находится перед камерой.
Фермы по решению CAPTCHA обходят hCaptcha и reCAPTCHA Enterprise за доли цента за решение. Экономика изменилась много лет назад, атака на 1000 аккаунтов обходится злоумышленнику дешевле, чем ваш ежемесячный счет за Software-as-a-Service (SaaS) для самой CAPTCHA.
Более глубокая проблема заключается в том, что CAPTCHA проверяет навык (распознавание изображений, распознавание символов, паттерны кликов), который машины теперь выполняют лучше людей. Защита от ботов должна проверять то, чего у машин нет. Живое человеческое лицо перед реальной камерой, это именно то, что нужно.
Весь процесс обычно занимает менее 30 секунд от начала до конца, взять документ, сфотографировать его, сделать селфи, готово. Это самый быстрый показатель на рынке. Традиционные KYC-провайдеры обычно тратят более 90 секунд на тот же процесс.
На бэкенде Didit возвращает результат менее чем за две секунды (p99), отсчитывая от момента завершения селфи пользователем до срабатывания вашего вебхука. Мобильный захват оптимизирован для медленных телефонов и сетей: прогрессивное сжатие изображений, отложенная загрузка SDK и передача в одно касание с десктопа на телефон через QR-код, если пользователь начал работу в вебе.
Все распространённые бот-векторы:
Всё это перехватывается на уровне Passive Liveness. Боту нечего подсунуть.
Каждая сессия получает один из семи чётких статусов, поэтому ваш код всегда знает, что делать:
Approved, все проверки пройдены. Пользователь может продолжить.Declined, одна или несколько проверок не пройдены. Вы можете разрешить пользователю повторно отправить конкретный неудавшийся шаг (например, переделать селфи), не запуская весь процесс заново.In Review, помечено для проверки комплаенс-отделом. Откройте кейс в консоли, просмотрите все сигналы, примите решение об одобрении или отклонении.In Progress, пользователь находится в процессе прохождения.Not Started, ссылка отправлена, пользователь ещё не открыл её. Отправьте напоминание, если она долго остаётся без внимания.Abandoned, пользователь открыл ссылку, но не завершил процесс вовремя. Повторно вовлеките или аннулируйте.Expired, срок действия ссылки на сессию истёк. Создайте новую сессию.Подписанный вебхук срабатывает при каждом изменении статуса, поэтому ваша база данных всегда остаётся синхронизированной. Заброшенные и отклонённые сессии бесплатны.
По умолчанию производственные данные обрабатываются и хранятся в Европейском Союзе, на Amazon Web Services. В рамках корпоративных контрактов можно запросить альтернативные регионы для юрисдикций, регуляторы которых этого требуют.
Шифрование повсюду. AES-256 в состоянии покоя для каждой базы данных, объектного хранилища и резервной копии. Transport Layer Security 1.3 при передаче для каждого вызова API, вебхука и сессии Business Console. Биометрические данные шифруются отдельным Customer Master Key.
Срок хранения контролируете вы. По умолчанию срок хранения бессрочный (неограниченный), если вы не настроите более короткий, от 30 дней до 10 лет для каждого приложения, и вы можете удалить любую отдельную сессию в любое время с панели управления или через API.
Сертификаты: SOC 2 Type 1 (аудит Type 2 в процессе), ISO/IEC 27001:2022, iBeta Level 1 PAD, и публичное подтверждение от Tesoro / SEPBLAC / CNMV Испании о том, что удалённая верификация личности Didit безопаснее, чем личная проверка. Полный отчёт доступен по ссылке /security-compliance.
Didit по умолчанию соответствует требованиям регуляторов, важных для инфраструктуры идентификации:
Подробное описание, каждый сертификат, каждое письмо регулятора: /security-compliance.
Три пути интеграции, выберите тот, который подходит вашему стеку:
Одна и та же панель управления, один и тот же биллинг, одна и та же цена за успешную верификацию для всех трёх. Пошаговое руководство на docs.didit.me/integration/integration-prompt.
Нет. Пользователи, которые уже прошли верифицированную Didit сессию, могут повторно использовать свои учётные данные бесплатно через Reusable KYC, это навсегда бесплатно. Найдите предыдущий session_id пользователя; если учётные данные действительны, пропустите живую проверку.
Это снижает трение (и стоимость) для трафика, который вы никогда раньше не видели. Возвращающиеся люди проходят проверку мгновенно.
Две позиции:
500 бесплатных верификаций каждый месяц на каждом аккаунте, большинство команд остаются в бесплатном тарифе неделями. Возвращающиеся пользователи через Reusable KYC бесплатны навсегда. Без минимумов, без годовых обязательств, без оплаты за место.
Везде, где одна бот-отправка обходится команде в деньги или репутацию:
Один рабочий процесс, все поверхности.
Единый API для KYC, KYB, мониторинга транзакций и проверки кошельков. Интеграция за 5 минут.