Биометрическая аутентификация ($0.10) плюс анализ устройств и IP ($0.03) обеспечивают два фактора SCA уровня PSD3 в одном запросе. Устойчиво к фишингу. Прямая замена одноразовых SMS-паролей.
Robinhood Ventures
Нам доверяют более 2000 организаций по всему миру.
Почему SMS OTP уходит в прошлое
PSD3 выводит из оборота одноразовые SMS-пароли как фактор усиленной аутентификации клиента (SCA). Биометрическая SCA от Didit, привязанная к устройству, блокирует SIM-свопинг, фишинг в реальном времени и перехват SS7. Стоимость, $0.13 за аутентификацию, результат менее чем за две секунды, поддержка динамического связывания. 500 бесплатных верификаций каждый месяц.
Выберите нужные проверки: ID, Liveness, Face Match, санкционные списки, адрес, возраст, телефон, email, кастомные вопросы. Перетащите их в рабочий процесс на дашборде или отправьте тот же процесс через наш API. Настраивайте ветвления по условиям, проводите A/B-тесты, код не требуется.
Встраивайте нативно с помощью наших SDK для Web, iOS, Android, React Native или Flutter. Перенаправляйте на размещенную страницу. Или просто отправьте пользователю ссылку, по email, SMS, WhatsApp, куда угодно. Выбирайте то, что подходит вашему стеку.
Didit управляет камерой, подсказками по освещению, передачей данных с мобильных устройств и доступностью. Пока пользователь проходит проверку, мы оцениваем более 200 сигналов мошенничества в реальном времени и верифицируем каждое поле по авторитетным источникам данных. Результат, менее чем за две секунды.
Подписанные вебхуки в реальном времени синхронизируют вашу базу данных в момент одобрения, отклонения или отправки пользователя на проверку. Опрашивайте API по запросу. Или откройте консоль, чтобы просмотреть каждую сессию, каждый сигнал и управлять кейсами по своему усмотрению.
Didit · Факторы SCA
Знание
Пароль · PIN
Опционально
Владение
Привязанное устройство
Didit ✓
Присущность
Лицо · проверка живости
Didit ✓
Didit · Динамическая привязка
Didit · Матрица атак
Didit · Механизм исключений
Didit · Анализ устройств и IP
Didit · Стоимость за аутентификацию
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "purpose": "login" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'статус Одобрено · Отклонено · На рассмотрении$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"workflow_id": "wf_sca_biometric",
"vendor_data": "user-42",
"metadata": { "amount": 247.50, "payee_account": "ES91…1332" },
// base64 KYC enrolment selfie, ≤ 1MB
"portrait_image": "/9j/4AAQSkZJRgABAQE..."
}'вебхук возвращает сумму + получателя для верификацииYou are integrating Didit's Strong Customer Authentication into a payment service provider, bank, EMI, or wallet to satisfy PSD3 / the Payment Services Regulation (PSR). Two factors in one prompt:
1. Inherence — Biometric Authentication: Passive Liveness + Face Match 1:1 against the user's previously-enrolled KYC selfie.
2. Possession — Device & IP Analysis: 200+ real-time fraud signals binding the auth to the user's known device.
Pricing (verified live 2026-05-16):
- Biometric Authentication: $0.10 per auth
- Device & IP Analysis: $0.03 per auth
- Total: $0.13 per Strong Customer Authentication
- First 500 verifications free every month, forever
- Re-uses the enrolled selfie from the original KYC — no re-enrolment
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
- A workflow_id from the no-code Workflow Builder configured as a Biometric Authentication workflow (Passive Liveness + Face Match 1:1 + Device & IP Analysis).
- The user has previously completed a Didit KYC (the same enrolled selfie backs every subsequent auth).
STEP 1 — Open an authentication session
POST https://verification.didit.me/v3/session/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (for login auth):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/auth/callback",
"metadata": {
"purpose": "login",
"session_id": "<your front-end session id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor; OMIT only if the workflow is liveness-only>"
}
Body (for payment with dynamic linking):
{
"workflow_id": "<wf id for SCA biometric auth>",
"vendor_data": "<your user id>",
"callback": "https://<your-app>/payment/callback",
"metadata": {
"purpose": "payment",
"amount": "247.50",
"currency": "EUR",
"payee_account": "ES9121000418450200051332",
"payee_name": "<merchant or recipient>",
"transaction_reference": "<your internal transaction id>"
},
"portrait_image": "<base64 JPEG of the user's KYC enrolment selfie, ≤ 1 MB — REQUIRED for SCA's inherence factor>"
}
Response: 201 Created with the hosted session URL. Push the URL to the user via deep-link / push notification / in-app sheet.
STEP 2 — User completes the biometric auth
The user sees one prompt on their phone (or via the Didit SDK in your native app). Three things happen on the same screen:
1. The amount + payee are displayed (dynamic linking — the user explicitly approves THIS amount to THIS payee for payments).
2. Passive Liveness defeats screen replay, printed photo, mask, deepfake.
3. Face Match 1:1 matches the new selfie against the enrolled KYC selfie.
Device & IP Analysis runs server-side on the session. Sub-2-second median verdict.
STEP 3 — Read the signed webhook on the auth verdict
Didit POSTs to your callback. Session statuses (Title Case With Spaces):
Body (excerpted):
{
"session_id": "<uuid>",
"vendor_data": "<your user id>",
"status": "Approved",
"liveness": { "status": "Approved" },
"face": { "status": "Approved", "similarity_score": 0.94 },
"ip_analysis": { "status": "Approved", "vpn_detected": false, "datacenter_ip": false },
"metadata_echo": {
"amount": "247.50",
"payee_account": "ES9121000418450200051332"
}
}
Status enum (exact case): Approved | Declined | In Review | Resubmitted | Expired | Not Finished | Kyc Expired | Abandoned.
Verify the X-Signature-V2 header BEFORE reading the body — HMAC SHA-256 of the raw bytes with your webhook secret.
For payments, verify that metadata_echo.amount and metadata_echo.payee_account match the values you passed in. If they do not, REJECT the payment — it's a dynamic-linking violation.
STEP 4 — Branch on verdict
Approved → unlock the action (login, payment, account change).
In Review → hold the action, route to manual review queue.
Declined → block, log the attempt, surface a friendly "try again" to the user.
Resubmitted → the user re-submitted after a soft fail (poor lighting, occlusion); proceed if the latest status is Approved.
STEP 5 — Retrieve the full decision later
GET https://verification.didit.me/v3/session/{sessionId}/decision/
Headers:
x-api-key: <your api key>
Returns the full payload: liveness verdict (iBeta Level 1 anti-spoof certified), Face Match similarity score, device fingerprint, IP geolocation, VPN / proxy / datacenter flags, 200+ fraud-signal score, dynamic-linking echo, HMAC signature.
Use this for the audit-trail surface a regulator examines on Strong Customer Authentication coverage.
STEP 6 — Step up on risk
When Device & IP Analysis surfaces a high-risk signal (new device + high-value payment, VPN/proxy on a login, geolocation jump), your workflow can step up to:
- A separate hardware-key challenge (FIDO2 / WebAuthn)
- A trusted-beneficiary whitelist confirmation
- A manual-review hold
Encode the step-up policy in the no-code Workflow Builder — no redeploy required.
WEBHOOK EVENT NAMES
- Sessions: status changes flow through the standard session webhook.
Verify X-Signature-V2 on every payload.
CONSTRAINTS
- Session statuses use Title Case With Spaces. Never UPPER_SNAKE_CASE on a session.
- Dynamic linking is REQUIRED for payments — pass amount + payee in metadata, verify the echo on the webhook.
- The enrolled selfie that backs every SCA is the one captured during the user's original KYC — no separate enrolment step.
- PSD3 / PSR exemptions (low-value remote < EUR 30, contactless point-of-sale < EUR 50, recurring identical, trusted beneficiary, Transaction Risk Analysis tiers) are configured per workflow in the Business Console.
- Default record retention is 5 years per the EU AML and payments rules.
Read the docs:
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/sessions-api/retrieve-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / месяц. Кредитная карта не требуется.
Платите только за то, что используете. Более 25 модулей. Публичные цены за модуль, без минимальной ежемесячной платы.
Индивидуальные MSA и SLA. Для больших объемов и регулируемых программ.
Начните бесплатно → платите только за выполненные проверки → переходите на Enterprise для индивидуального контракта, SLA или размещения данных.
Didit, это инфраструктура для идентификации и борьбы с мошенничеством, платформа, которую мы сами хотели бы иметь, когда создавали продукты: открытая, гибкая и удобная для разработчиков, чтобы она работала как реальная часть вашего стека, а не как чёрный ящик, который вы интегрируете.
Один API охватывает верификацию людей (KYC, знай своего клиента), верификацию компаний (KYB, знай свой бизнес), проверку криптокошельков (KYT, знай свою транзакцию) и мониторинг транзакций в реальном времени, на стеке, созданном для того, чтобы быть:
В основе: более 14 000 типов документов на более чем 48 языках, более 1000 источников данных и более 200 сигналов мошенничества для каждой сессии. Инфраструктура Didit динамически обучается на каждой сессии и становится лучше с каждым днём.
Строгая аутентификация клиента (SCA), это правило из европейского регулирования платёжных услуг, которое гласит: когда клиент входит в свой аккаунт или инициирует платёж, вы должны верифицировать его, используя как минимум два из трёх независимых категорий факторов.
Три категории:
Два фактора должны быть из разных категорий, пароль плюс секретный вопрос не являются SCA, потому что оба относятся к знанию. Пароль плюс отпечаток пальца являются, потому что они пересекают категории.
Третье требование, динамическое связывание, гласит, что второй фактор для платежа должен быть уникально привязан к сумме транзакции и получателю, чтобы украденный код нельзя было повторно использовать для другой транзакции.
PSD3, сокращение от Payment Services Directive 3, это пересмотр правил ЕС 2026 года, которые были введены PSD2 в 2018 году. Наряду с ней действует Payment Services Regulation (PSR), которая напрямую применима в государствах-членах без национальной транспозиции.
Ключевые изменения по сравнению с PSD2:
Переход происходит постепенно, большинство изменений SCA, как ожидается, вступят в силу через 18-24 месяца после окончательного принятия.
Полный процесс обычно занимает менее 30 секунд от начала до конца, взять удостоверение личности, сфотографировать документ, сделать селфи, готово. Это самый быстрый показатель на рынке. Устаревшие провайдеры KYC обычно тратят более 90 секунд на тот же процесс.
На бэкенде Didit возвращает результат менее чем за две секунды при p99, измеренный с момента завершения пользователем селфи до момента срабатывания вашего вебхука. Мобильный захват оптимизирован для медленных телефонов и медленных сетей: прогрессивное сжатие изображений, ленивая загрузка SDK и передача в одно касание с десктопа на телефон через QR-код, если пользователь начинает работу в вебе.
Требуют SCA по умолчанию:
Освобождены (PSD3 сохраняет большинство исключений PSD2, но ужесточает пороги):
Правильный расчёт исключений, это наиболее эффективная работа по оптимизации SCA, которую выполняют большинство команд, при правильном применении она снижает трение при аутентификации, не увеличивая мошенничество.
Каждая сессия получает один из семи понятных статусов, поэтому ваш код всегда знает, что делать:
Approved, все проверки пройдены. Переведите пользователя дальше.Declined, одна или несколько проверок не пройдены. Вы можете разрешить пользователю повторно отправить конкретный неудавшийся шаг (например, повторно сделать селфи), не перезапуская весь процесс.In Review, помечено для проверки комплаенс-отделом. Откройте кейс в консоли, просмотрите все сигналы, примите решение об одобрении или отклонении.In Progress, пользователь находится в процессе прохождения.Not Started, ссылка отправлена, пользователь ещё не открыл её. Отправьте напоминание, если она долго остаётся без внимания.Abandoned, пользователь открыл ссылку, но не завершил процесс вовремя. Повторно вовлеките или аннулируйте.Expired, срок действия ссылки на сессию истёк. Создайте новую сессию.Подписанный вебхук срабатывает при каждом изменении статуса, поэтому ваша база данных всегда остаётся синхронизированной. Отменённые и отклонённые сессии бесплатны.
Производственные данные по умолчанию обрабатываются и хранятся в Европейском Союзе на Amazon Web Services. В рамках корпоративных контрактов можно запросить альтернативные регионы для юрисдикций, регуляторы которых этого требуют.
Шифрование повсюду. AES-256 в состоянии покоя для каждой базы данных, объектного хранилища и резервной копии. Transport Layer Security 1.3 при передаче для каждого вызова API, вебхука и сессии Business Console. Биометрические данные шифруются отдельным Customer Master Key.
Срок хранения контролируете вы. По умолчанию срок хранения неограничен (indefinite), если вы не настроите более короткий, от 30 дней до 10 лет для каждого приложения, и вы можете удалить любую отдельную сессию в любое время из дашборда или через API.
Сертификаты: SOC 2 Type 1 (аудит Type 2 в процессе), ISO/IEC 27001:2022, iBeta Level 1 PAD, и публичное подтверждение от Tesoro / SEPBLAC / CNMV Испании о том, что удалённая верификация личности Didit безопаснее, чем личная верификация. Полный отчёт доступен по ссылке /security-compliance.
Didit по умолчанию соответствует требованиям регуляторов, важных для инфраструктуры идентификации:
Подробное описание, каждый сертификат, каждое письмо регулятора: /security-compliance.
Три пути интеграции, выберите тот, что подходит вашему стеку:
Одна и та же панель управления, один и тот же биллинг, одна и та же цена за успешную верификацию для всех трех вариантов. Пошаговое руководство на docs.didit.me/integration/integration-prompt.
Один и тот же API POST /v3/session/ на всех платформах, отличается только пользовательский интерфейс для сбора данных:
Каждая аутентификация использует тот же биометрический шаблон, который пользователь зарегистрировал при прохождении KYC, без повторной регистрации, без отдельного процесса.
Да, наш пакет аутентификации соответствует большинству аналогичных мировых правил:
Один API, один пакет аутентификации, любая юрисдикция. Расчет исключений меняется; технический контракт, нет.
Каждая аутентификация генерирует подписанную запись доказательств, которую можно экспортировать из Business Console:
Pending до Approved или Declined, с заметками рецензента в случае эскалации.Все записи хранятся в Европейском Союзе (дата-центры ЕС) и сохраняются бессрочно, пока ваша подписка активна. Стандартный срок хранения записей составляет 5 лет согласно правилам ЕС по AML и платежам, может быть продлен по указанию вашего надзорного органа.
Единый API для KYC, KYB, мониторинга транзакций и проверки кошельков. Интеграция за 5 минут.