Vipengele viwili vya SCA. Gonga mara moja.

Didit ni miundombinu ya utambulisho na udanganyifu, jukwaa ambalo tulitamani lingekuwepo tulipokuwa tukijenga bidhaa sisi wenyewe: wazi, rahisi, na rafiki kwa waendelezaji, ili lifanye kazi kama sehemu halisi ya stack yako badala ya sanduku jeusi unalounganisha.

API moja inashughulikia kuthibitisha watu (KYC, mjue mteja wako), kuthibitisha biashara (KYB, mjue biashara yako), kuchunguza pochi za crypto (KYT, mjue muamala wako), na kufuatilia miamala kwa wakati halisi, kwenye stack iliyojengwa kuwa:

• Haraka, chini ya sekunde 2 p99 kwenye kila kipindi
• Inaaminika, katika uzalishaji na kampuni 1,500+ katika nchi 220+
• Salama, SOC 2 Type 1, ISO 27001, GDPR-native, na kuthibitishwa rasmi na mdhibiti wa kifedha wa Hispania kuwa salama zaidi kuliko kumthibitisha mtu ana kwa ana

Alama ya chini: aina 14,000+ za hati katika lugha 48+, vyanzo vya data 1,000+, na ishara 200+ za udanganyifu kwenye kila kipindi. Miundombinu ya Didit hujifunza kwa nguvu kutoka kila kipindi na inakuwa bora kila siku.

Uthibitishaji Thabiti wa Mteja (SCA) ni sheria kutoka kwa kanuni za malipo za EU zinazosema: mteja anapoingia kwenye akaunti yake au kuanzisha malipo, lazima umthibitishe kwa kutumia angalau vigezo viwili kati ya kategoria tatu huru.

Kategoria tatu:

• Maarifa, kitu ambacho mtumiaji pekee ndiye anajua (nenosiri, PIN, jibu la siri)
• Umiliki, kitu ambacho mtumiaji pekee ndiye anacho (simu, ufunguo wa vifaa, kifaa kilichounganishwa na SIM)
• Asili, kitu ambacho mtumiaji pekee ndiye (alama ya kidole, uso, muundo wa tabia)

Vigezo viwili lazima vitoke kwenye kategoria tofauti, nenosiri pamoja na swali la usalama si SCA, kwa sababu zote ni maarifa. Nenosiri pamoja na alama ya kidole ni, kwa sababu zinavuka kategoria.

Mahitaji ya tatu, kuunganisha kwa nguvu, inasema kigezo cha pili cha malipo lazima kiunganishwe kipekee na kiasi cha muamala na mpokeaji, ili code iliyoibiwa isiweze kutumika tena dhidi ya muamala tofauti.

PSD3, kifupi cha Payment Services Directive 3, ni uandishi upya wa EU wa 2026 wa kitabu cha sheria ambacho PSD2 ilianzisha mwaka 2018. Pamoja nayo kuna Payment Services Regulation (PSR) ambayo inatumika moja kwa moja katika nchi wanachama bila uhamishaji wa kitaifa.

Mabadiliko muhimu juu ya PSD2:

• Msamaha mdogo, misamaha ya malipo ya kampuni na mnufaika anayeaminika inaimarishwa
• SCA inayostahimili hadaa imetolewa agizo, nenosiri la mara moja la SMS linaondolewa hatua kwa hatua kama kigezo pekee cha pili; FIDO2, biometriki zilizounganishwa na kifaa, au push inayotegemea programu inakuwa chaguo-msingi mpya
• Ufikiaji wa benki wazi umeimarishwa, benki lazima zitoe API safi, iliyounganishwa; watoa huduma wa tatu walioruhusiwa wanapata masharti bora ya kiufundi
• Dhima ya udanganyifu imefafanuliwa, watoa huduma za malipo (PSPs) hubeba hasara zaidi ya udanganyifu wakati SCA yao ilikuwa dhaifu
• Wigo mpana, watoa pochi, taasisi za fedha za kielektroniki (EMIs), na baadhi ya watoa huduma za crypto wanaingia kwenye mfumo

Mpito unaendelea, mabadiliko mengi ya SCA yanatarajiwa kuanza kutumika miezi 18 hadi 24 baada ya kupitishwa rasmi.

Mchakato mzima kwa kawaida huchukua chini ya sekunde 30 kuanzia mwanzo hadi mwisho, chukua kitambulisho, piga picha hati, piga selfie, umemaliza. Hiyo ndiyo kasi zaidi sokoni. Watoa huduma wa zamani wa KYC kwa kawaida huchukua zaidi ya sekunde 90 kwa mchakato huo huo.

Kwa upande wa nyuma, Didit inarudisha matokeo kwa chini ya sekunde mbili kwa p99, kipimo kutoka wakati mtumiaji anamaliza selfie hadi wakati webhook yako inawashwa. Upigaji picha wa simu umeboreshwa kwa simu za polepole na mitandao ya polepole: ukandamizaji wa picha unaoendelea, upakiaji wa polepole wa SDK, na uhamishaji wa kugusa mara moja kutoka kompyuta hadi simu kupitia QR code ikiwa mtumiaji anaanza kwenye wavuti.

Inahitaji SCA kwa chaguo-msingi:

• Kuingia kwa mteja kwenye akaunti ya malipo
• Kuanzisha malipo ya kielektroniki
• Kitendo chochote kinachoweza kutumiwa vibaya kufanya udanganyifu wa malipo

Imesamehewa (PSD3 inaweka misamaha mingi ya PSD2 lakini inaimarisha vizingiti):

• Miamala ya mbali ya thamani ndogo, chini ya €30 moja, na vikomo vya jumla kwa kila mteja
• Malipo ya pointi ya mauzo yasiyo na mawasiliano, chini ya €50 moja, na vikomo vya jumla
• Miamala inayorudiwa ya kiasi sawa na mpokeaji, SCA kwenye ya kwanza, imesamehewa baada ya hapo
• Wanufaika wanaoaminika, mtumiaji huweka waziwazi kwenye orodha nyeupe, lakini PSD3 inaimarisha mtiririko wa idhini
• Uchambuzi wa Hatari ya Muamala (TRA), chini ya vizingiti vilivyounganishwa na kiwango chako cha jumla cha udanganyifu (pointi 1, 5, 10, 25 za msingi)
• Vituo maalum vya kampuni, wakati pande zote mbili ni watumiaji wa kampuni kwenye mfumo uliofungwa

Kupata hesabu sahihi ya msamaha ndiyo kazi ya uboreshaji wa SCA yenye ufanisi zaidi ambayo timu nyingi hufanya, ikitumika vizuri hupunguza msuguano wa uthibitishaji bila kuongeza udanganyifu.

Kila kipindi huishia kwenye mojawapo ya hali saba zilizo wazi, hivyo code yako daima inajua nini cha kufanya:

• Approved, kila ukaguzi umefaulu. Mpeleke mtumiaji mbele.
• Declined, ukaguzi mmoja au zaidi umeshindwa. Unaweza kumruhusu mtumiaji kutuma tena hatua maalum iliyoshindwa (kwa mfano, kupiga selfie tena) bila kurudia mchakato mzima.
• In Review, imewekewa alama kwa ukaguzi wa kufuata sheria. Fungua kesi kwenye console, angalia kila ishara, amua kuidhinisha au kukataa.
• In Progress, mtumiaji yuko katikati ya mchakato.
• Not Started, kiungo kimetumwa, mtumiaji bado hajafungua. Tuma ukumbusho ikiwa itakaa muda mrefu.
• Abandoned, mtumiaji alifungua kiungo lakini hakumaliza kwa wakati. Mshirikishe tena au muda wake uishe.
• Expired, muda wa kiungo cha kipindi umeisha. Unda kipindi kipya.

Webhook iliyotiwa saini huwashwa kwenye kila mabadiliko ya hali, hivyo database yako daima inabaki sawa. Vipindi vilivyoachwa na vilivyokataliwa ni bure.

Data ya uzalishaji inachakatwa na kuhifadhiwa katika Umoja wa Ulaya kwa chaguo-msingi, kwenye Amazon Web Services. Mikataba ya biashara inaweza kuomba maeneo mbadala kwa mamlaka ambazo wadhibiti wao wanahitaji.

Usimbaji fiche kila mahali. AES-256 ikiwa imetulia kwenye kila database, hifadhi ya vitu, na backup. Transport Layer Security 1.3 ikiwa inahamishwa kwenye kila API call, webhook, na kipindi cha Business Console. Data ya kibayometriki imesimbwa kwa kutumia Customer Master Key tofauti.

Uhifadhi ni wako kudhibiti. Uhifadhi wa chaguo-msingi ni usio na kikomo (unlimited) isipokuwa ukisanidi muda mfupi zaidi, kati ya siku 30 na miaka 10 kwa kila programu, na unaweza kufuta kipindi chochote cha kibinafsi wakati wowote kutoka kwenye dashibodi au API.

Vyeti: SOC 2 Type 1 (Ukaguzi wa Type 2 unaendelea), ISO/IEC 27001:2022, iBeta Level 1 PAD, na uthibitisho wa umma kutoka Tesoro / SEPBLAC / CNMV ya Hispania kwamba uthibitishaji wa utambulisho wa mbali wa Didit ni salama zaidi kuliko kumthibitisha mtu ana kwa ana. Ripoti kamili inapatikana kwenye /security-compliance.

Didit inatii sheria kwa chaguo-msingi kwa wadhibiti muhimu kwa miundombinu ya utambulisho:

• GDPR + UK GDPR, mgawanyo wa mtawala / mchakataji, Mkataba kamili wa Uchakataji Data ulichapishwa, mamlaka kuu ya usimamizi imetajwa (AEPD ya Hispania).
• AMLD6 + EU AML Single Rulebook, vikwazo 1,300+, mtu mashuhuri kisiasa, na orodha za habari mbaya zimechunguzwa kwa wakati halisi.
• eIDAS 2.0, Inalingana na EU Digital Identity Wallet; tayari kwa utambulisho unaoweza kutumika tena.
• MiCA (Markets in Crypto-Assets), tayari kwa crypto on-ramps, exchanges, na walinzi.
• DORA, Digital Operational Resilience Act, uthabiti wa uendeshaji wa huduma za kifedha za EU.
• BIPA, CUBI, Washington HB 1493, CCPA / CPRA, faragha ya kibayometriki ya Marekani (Illinois, Texas, Washington) na faragha ya watumiaji wa California.
• UK Online Safety Act, udhibiti wa umri na majukumu ya usalama wa watoto.
• FATF Travel Rule, data ya mwanzilishi na mnufaika kwenye uhamisho wa crypto, IVMS-101 inayoweza kuingiliana.

Memo ya kina, kila cheti, kila barua ya mdhibiti: /security-compliance.

• Sekunde 60 hadi akaunti ya sandbox kwenye business.didit.me, hakuna kadi ya mkopo.
• Dakika 5 hadi uthibitishaji unaofanya kazi kupitia Claude Code, Cursor, au wakala yeyote wa kuweka code kupitia server yetu ya Model Context Protocol (MCP).
• Wikiendi moja hadi muunganisho tayari kwa uzalishaji na uthibitishaji wa webhook uliosainiwa, majaribio upya, na mtiririko wa kurekebisha mtumiaji anapokataliwa.

Njia tatu za kuunganisha, chagua inayofaa stack yako:

• Pachika moja kwa moja na SDK yetu ya Web, iOS, Android, React Native, au Flutter.
• Elekeza upya mtumiaji kwenye ukurasa wa uthibitishaji uliopangishwa, hakuna SDK.
• Tuma kiungo kwa barua pepe, SMS, WhatsApp, au chaneli yoyote, hakuna kazi ya front-end.

Dashboard moja, bili moja, bei sawa ya kulipa-kwa-mafanikio kwa zote tatu. Mwongozo wa hatua kwa hatua kwenye docs.didit.me/integration/integration-prompt.

API ileile ya POST /v3/session/ kwenye kila sehemu, upigaji picha unaoonekana kwa mtumiaji unatofautiana:

• Wavuti (desktop browser), Didit inazindua mtiririko wa uthibitishaji katika pop-up; simu ya mtumiaji inapokea arifa ya kushinikiza, inakamilisha biometriska kwenye simu, na pop-up inafungwa na uamuzi uliokubaliwa. Universal-link handoff ikiwa mtumiaji yuko kwenye mobile web.
• Native iOS / Android, weka Didit iOS au Android SDK, piga njia ya uthibitishaji, kidokezo cha biometriska cha OS-native kinaonekana (Face ID, Touch ID, fingerprint) kinachoungwa mkono na secure enclave
• React Native / Flutter / Cordova, SDK rasmi zinafunga modules asili; API surface inayofanana
• MCP server, ikiwa uthibitishaji unaishi nyuma ya wakala wa AI, wakala anaita zana ya uthibitishaji, mtumiaji anapokea push kwenye simu yake, anakubali, na uamuzi unarudi

Template ileile ya biometriska ambayo mtumiaji alijiandikisha wakati wa KYC inasaidia kila uthibitishaji, hakuna kujiandikisha upya, hakuna mtiririko tofauti.

Ndiyo, kifurushi kilekile cha uthibitishaji kinakidhi sheria nyingi sawa za kimataifa:

• Uingereza, sheria za FCA za Strong Customer Authentication zinaakisi PSD2/PSD3 kimsingi; kifurushi cha uthibitishaji cha Didit kinakidhi vigezo
• Marekani, hakuna agizo la kitaifa la SCA, lakini wadhibiti wa benki (OCC, Federal Reserve) na Federal Financial Institutions Examination Council (FFIEC) wanapendekeza uthibitishaji wa mambo mengi kwa miamala ya thamani kubwa; Didit inafaa
• Singapore, Monetary Authority of Singapore (MAS) Notisi 644 inaagiza SCA kwenye huduma za benki za mtandaoni
• India, Uthibitishaji wa mambo mawili wa Reserve Bank of India ni lazima kwenye kila muamala wa kadi ya ndani
• Brazil, Sheria za Banco Central zinaendana na SCA ya mtindo wa PSD2 kwenye malipo ya papo hapo
• Australia, Japan, Korea Kusini, mahitaji sawa ya uthibitishaji wa mambo mengi kwa huduma za benki na e-commerce ya thamani kubwa

API moja, kifurushi kimoja cha uthibitishaji, kila mamlaka. Hesabu ya msamaha inabadilika; mkataba wa kiufundi haubadiliki.

Kila uthibitishaji hutoa rekodi ya ushahidi iliyosainiwa inayoweza kusafirishwa kutoka Business Console:

• Changamoto ya uthibitishaji, timestamp, session ID, mambo yaliyoombwa
• Uamuzi wa biometriska, Passive Liveness pass/fail, Face Match similarity score (iliyounganishwa na selfie ya marejeleo ya KYC ya mtumiaji), iBeta Level 1 anti-spoof claim
• Uamuzi wa kifaa, device fingerprint, IP geolocation, VPN/proxy/datacenter flags, alama 200+ za ishara za udanganyifu
• Payload ya dynamic-linking, kiasi, mpokeaji, timestamp, iliyosainiwa mwisho hadi mwisho
• Njia kamili ya ukaguzi, kila hatua iliyopangwa kutoka Pending hadi Approved au Declined, na maelezo ya mkaguzi ikiwa imepandishwa ngazi
• Saini ya HMAC SHA-256 kwenye payload ili mnyororo wa ulinzi uweze kuthibitishwa

Rekodi zote zimehifadhiwa katika Umoja wa Ulaya (vituo vya data vya EU), zimehifadhiwa kwa muda usiojulikana wakati usajili wako unatumika. Uhifadhi wa rekodi chaguomsingi ni miaka 5 kulingana na sheria za EU AML na malipo, inaweza kupanuliwa kulingana na mwongozo wa msimamizi wako.