शुरू करें
इंटीग्रेट करें / SDK
उपयोगकर्ता सत्यापन
व्यवसाय सत्यापन
लेन-देन निगरानी
चेंजलॉगसुरक्षा कॉन्फ़िगर करें
protection/ पर GET और PATCH के साथ अपने एप्लिकेशन के प्रमाणीकरण प्रबंधन API में सेटिंग्स पढ़ें और बदलें, या कंसोल से।
enabled और breached_password_check डिफ़ॉल्ट रूप से false होते हैं। सुरक्षा चालू करने के बाद ऊपर दिए गए मोड डिफ़ॉल्ट होते हैं।
नीतियाँ
vpn और travel नीतियाँ Didit के IP विश्लेषण का उपयोग करती हैं। यदि वह लुकअप उपलब्ध नहीं है, तो प्रयास जारी रहता है; किसी साइन-इन की विफलता इसके कारण कभी नहीं होती। travel के लिए स्थान केवल साइन-इन पूरा होने के बाद अपडेट होता है।
ब्रूट फ़ोर्स और लॉकआउट
brute मोड तय करता है कि 5 विफलताओं के बाद क्या होता है:
- ब्लॉक करें: व्यक्ति को दोबारा साइन-इन करने से पहले अपना पासवर्ड रीसेट करना होगा।
- चुनौती: खाता 15 मिनट के लिए लॉक हो जाता है, और अगले प्रयास को एक अतिरिक्त प्रमाण चाहिए।
- बंद या लॉग: कोई लॉक नहीं।
बॉट स्कोर और डिवाइस सिग्नल
रनटाइम कॉल पर इन हेडर के साथ डिवाइस सिग्नल भेजें। होस्टेड पेज ये हेडर आपके लिए भेजते हैं।
ये सिग्नल निर्णय के लिए संदर्भ हैं, पहचान का प्रमाण नहीं। ये हर साइन-इन इवेंट के साथ भी जाते हैं, जहाँ नियम
event.device.bot_score पढ़ सकते हैं।
AUTOMATION_FRAMEWORK_DETECTED एक अलग जाँच है। यह सत्यापन सत्र पर IP और डिवाइस विश्लेषण चेतावनी है, जो तब उठती है जब सत्यापन SDK ब्राउज़र ऑटोमेशन फ़्रेमवर्क की रिपोर्ट करता है। यह साइन-इन पर नहीं चलती। साइन-इन पर स्वचालन को ऊपर दी गई bots नीति पकड़ती है।चुनौतियाँ
चुनौती वाला प्रयास साइन-इन कोड के बजाय यह लौटाता है:POST protection/complete/ से पूरा करें:
{"challenge", "method": "email_code", "code"}के साथ, व्यक्ति के ईमेल पर भेजा गया 6-अंकों का कोड, या{"challenge", "method": "passkey", "response"}के साथ, WebAuthn रिस्पॉन्स।
403 {"error": "protection_factor_unavailable"} लौटाती है।
लीक हुए पासवर्ड
breached_password_check: true के साथ, Didit नए और रीसेट किए गए पासवर्ड की जाँच ज्ञात लीक पासवर्ड से करता है। पासवर्ड स्वयं कहीं भी नहीं भेजा जाता। लीक पासवर्ड password_breached के साथ अस्वीकार किया जाता है। साइन-इन पर, लीक पासवर्ड stuffing मिलान गिना जाता है। यदि जाँच उपलब्ध नहीं है, तो पासवर्ड स्वीकार कर लिया जाता है।
अटैक मोड
सक्रिय हमले के दौरान अटैक मोड चालू करें:POST protection/attack-mode/{"duration_hours": 1}के साथ (या6या24)201लौटाता है।DELETE protection/attack-mode/इसे समय से पहले समाप्त करता है। अवधि के बाद यह अपने आप भी समाप्त हो जाता है।
- हर साइन-अप और साइन-इन को पासकी चुनौती पास करनी होगी। ईमेल कोड स्वीकार नहीं होता। नए साइन-अप और जिन लोगों के पास पासकी नहीं है, वे अटैक मोड समाप्त होने तक पूरा नहीं कर सकते।
- VPN, Tor या डेटा-सेंटर नेटवर्क से साइन-अप ब्लॉक कर दिया जाता है।
रेट लिमिट
हर रनटाइम रूट IP और एप्लिकेशन के अनुसार सीमित है:
सीमा से अधिक होने पर, कॉल
429 लौटाती है। जब Retry-After हेडर भेजा जाए, तो उसका पालन करें। साइन-इन प्रयास भी प्रति मिनट सीमित हैं: प्रति IP 60, प्रति खाता 15, प्रति डिवाइस 30, प्रति एप्लिकेशन 3,000, और प्रति फ़ोन-नंबर प्रीफ़िक्स 20 SMS या WhatsApp कोड अनुरोध। टोकन रीफ़्रेश की एप्लिकेशन बकेट अलग है, प्रति मिनट 6,000, ताकि रीफ़्रेश कभी आपके साइन-इन का उपयोग न करें।
इवेंट
हर निर्णय एक प्रमाणीकरण इवेंट के रूप में दर्ज होता है:risk_logged, attempt_challenged, attempt_blocked, challenge_passed, challenge_failed, attack_mode_started और attack_mode_ended। इवेंट दिखाता है कि कौन सी नीति मेल खाई।