प्रमाणीकरण इवेंट और webhooks

प्रमाणीकरण एक नई सुविधा है। Didit आपके एप्लिकेशन के लिए इवेंट डिलीवरी चालू करता है। जो नियम कार्रवाइयाँ किसी व्यक्ति को साइन आउट करती हैं या ब्लॉक करती हैं, वे अभी सक्रिय नहीं हैं। ऐसा नियम जो इन कार्रवाइयों का उपयोग करता है, कार्रवाई को रिकॉर्ड करता है लेकिन उसे लागू नहीं करता।

Didit Authentication अपनी गतिविधि Didit को अपने आप भेजता है। साइन-इन इवेंट आपको स्वयं सबमिट करने नहीं पड़ते। हर इवेंट उसी vendor_data वाले व्यक्ति से जुड़ता है, उसके सत्यापनों और लेन-देन के साथ। उन्हीं साइन-इन के लिए अपने auth.login इवेंट /v3/events/ पर न भेजें। वे दो बार संग्रहीत होंगे, और वे व्यक्ति का साइन-इन सारांश अपडेट नहीं करेंगे और न ही auth.* webhooks भेजेंगे।

क्या भेजा जाता है

साइन-इन गतिविधि	इस रूप में संग्रहीत	Webhook
साइन-अप	`auth.signup`	`auth.signup`
साइन-इन	`auth.login`	`auth.login`
विफल साइन-इन	`auth.login_failed`	`auth.login_failed`
साइन-आउट, या सत्र रद्द	`auth.logout`	कोई नहीं
पासवर्ड भूलना	`auth.password_forgot`	`auth.password_reset_requested`
पासवर्ड रीसेट	`auth.password_reset`	`auth.password_reset_completed`
पासवर्ड बदला गया	`security.password_changed`	कोई नहीं
ऑथेंटिकेटर जोड़ा या बदला गया	`security.mfa_changed`	`auth.mfa_changed`
नए डिवाइस से साइन-इन	`security.device_changed`	`auth.new_device`
खाता लॉक या ब्लॉक	`security.account_locked`	`auth.account_locked`
एजेंट एक्सेस स्वीकृत या रद्द	`security.agent_access_approved`, `security.agent_access_revoked`	कोई नहीं

बॉट सुरक्षा के निर्णय (attempt_challenged, attempt_blocked और अन्य) भी auth.* इवेंट के रूप में संग्रहीत होते हैं, ताकि वे टाइमलाइन पर दिखें। नया डिवाइस वह डिवाइस है जो न तो डिवाइस ID से मेल खाता है और न ही उस फ़िंगरप्रिंट से, जिससे व्यक्ति ने पहले साइन-इन किया हो। हर इवेंट में ये होते हैं:

साइन-इन की method (उदाहरण के लिए password या passkey) और विफलताओं व लॉक के लिए reason,
IP पता, और डिवाइस का संदर्भ: एक स्थायी डिवाइस ID, एक फ़िंगरप्रिंट, यूज़र एजेंट, और जब क्लाइंट ने भेजा हो तो बॉट स्कोर,
सत्र ID।

किसी अज्ञात या अप्रमाणित पहचानकर्ता के लिए विफल साइन-इन में vendor_data नहीं होता। Didit को पहचानकर्ता स्वयं कभी नहीं मिलता, केवल उसका कुंजी-आधारित हैश मिलता है। ये प्रयास कभी किसी व्यक्ति से नहीं जोड़े जाते, लेकिन नीचे दिए गए फ़्रॉड दृश्य फिर भी हर खाते के हिसाब से इन्हें गिनते हैं।

ये कहाँ दिखते हैं

व्यक्ति की प्रोफ़ाइल

हर व्यक्ति को एक साइन-इन सारांश मिलता है, जो लोग सूची और प्रोफ़ाइल पर दिखता है और /v3/users/ पर authentication के रूप में लौटाया जाता है:

{
  "authentication": {
    "status": "ACTIVE",
    "methods": ["password", "passkey"],
    "mfa_enabled": true,
    "last_sign_in_at": "2026-10-14T09:12:44Z"
  }
}

status ACTIVE, LOCKED (सुरक्षा नीति द्वारा लॉक) या BLOCKED (आपकी टीम द्वारा ब्लॉक) होता है।
जिस व्यक्ति की कोई साइन-इन पहचान नहीं है, उसके लिए authentication null होता है।
आप लोग को साइन-इन स्थिति, साइन-इन विधि (जिसमें “none” भी शामिल है) और MFA के आधार पर फ़िल्टर कर सकते हैं।

इवेंट और टाइमलाइन

साइन-इन इवेंट कंसोल के इवेंट पेज पर और हर व्यक्ति के इवेंट टैब में दिखते हैं। इन्हें पढ़ने के लिए list:transactions या read:authentication अनुमति चाहिए। किसी साइन-इन इवेंट को खोलने पर उसका डिवाइस और नेटवर्क दिखता है, कोई सुरक्षा कारण (उदाहरण के लिए bots, stuffing, brute, vpn, travel या attack_mode), और वे नियम जो उससे मेल खाते हैं।

फ़्रॉड दृश्य

इवेंट पेज पर तैयार दृश्य हैं, जो साइन-इन को व्यक्ति की बाकी गतिविधि के साथ जोड़कर दिखाते हैं:

दृश्य	क्या खोजता है
एक डिवाइस, कई लोग	7 दिनों के भीतर एक ही डिवाइस फ़िंगरप्रिंट पर 3 या अधिक लोग।
विफल साइन-इन में उछाल	एक सार्वजनिक IP से 3 या अधिक खातों पर 10 या अधिक विफल साइन-इन (डिफ़ॉल्ट रूप से 24 घंटे), उसके सबसे व्यस्त 30 मिनट के साथ।
नया डिवाइस, फिर पेआउट	ऐसे डिवाइस से साइन-इन जो 90 दिनों में नहीं देखा गया, उसके 15 मिनट के भीतर निकासी या बहिर्गामी लेन-देन।
पासवर्ड बदला, फिर लेन-देन	पासवर्ड बदलने के 30 मिनट के भीतर एक बहिर्गामी लेन-देन।
एक IP से कई सत्र	48 घंटों में 3 या अधिक लोगों के लिए 3 या अधिक सत्यापन सत्र।

दृश्य अधिकतम 31 दिन पीछे तक देखते हैं।

इवेंट नियम

साइन-इन इवेंट भी आपके बाकी इवेंट की तरह उन्हीं इवेंट नियमों से गुज़रते हैं। Authentication fraud बंडल में चार प्रीसेट हैं:

प्रीसेट	किससे मेल खाता है	कार्रवाई
खाता अधिग्रहण	1 घंटे के भीतर 3 या अधिक विफल साइन-इन और नए डिवाइस के बाद पासवर्ड या MFA में बदलाव।	अस्वीकार करें (स्कोर 90), टैग, साइन आउट करें, ब्लॉक करें
क्रेडेंशियल स्टफ़िंग	1 घंटे के भीतर 3 या अधिक खातों पर 10 या अधिक विफलताओं वाले IP से सफल साइन-इन।	समीक्षा (स्कोर 60), टैग, साइन आउट करें
नया डिवाइस, फिर पेआउट	नए डिवाइस के 15 मिनट के भीतर निकासी।	समीक्षा (स्कोर 60), टैग, साइन आउट करें
असंभव यात्रा	1,000 km/h से अधिक गति पर साइन-इन के बीच 500 km से अधिक दूरी।	समीक्षा (स्कोर 50), टैग, साइन आउट करें

आपके अपने नियमों के लिए उपयोगी फ़ील्ड हैं event.category, event.action_type, event.payload.method, event.payload.reason, event.security.changed_field, event.device.fingerprint, event.device.persistent_device_id, event.device.bot_score, event.ip.is_vpn_or_tor, event.ip.is_data_center, event.ip.country, event.ip.travel_distance_km और event.ip.travel_speed_kmh। केवल साइन-इन इवेंट के लिए इवेंट नियमों में दो कार्रवाइयाँ हैं: Sign the person out of every session और Block the person from signing in। ये अभी सक्रिय नहीं हैं। जब तक ये सक्रिय नहीं होतीं, कोई नियम इन्हें DISABLED स्थिति के साथ रिकॉर्ड करता है और लागू नहीं करता। बाकी कार्रवाइयाँ (स्कोर, स्थिति, टैग, नोट, सूचियाँ और केस) हमेशा की तरह काम करती हैं।

Webhooks

webhook गंतव्य को उन auth.* प्रकारों की सदस्यता दें जिनकी आपको ज़रूरत है। केवल सदस्यता वाले गंतव्य इन्हें प्राप्त करते हैं। हर प्रकार का नमूना भेजने के लिए कंसोल में Try Webhook का उपयोग करें।

auth.new_device

{
  "webhook_type": "auth.new_device",
  "event_id": "0b6f2a71-3c4d-4e5f-8a9b-0c1d2e3f4a5b",
  "application_id": "11111111-2222-3333-4444-555555555555",
  "environment": "live",
  "timestamp": 1760433164,
  "created_at": 1760433164,
  "vendor_user_id": "8f0c3a52-4b7e-4a51-9a56-1f2d3c4b5a69",
  "vendor_data": "user-1234",
  "auth_event": {
    "event_id": "auth:3d0f1c2e-7a8b-4c5d-9e0f-1a2b3c4d5e6f",
    "event_uuid": "5b6c7d8e-9f01-4a2b-8c3d-4e5f60718293",
    "type": "security.device_changed",
    "method": "passkey",
    "reason": null,
    "occurred_at": "2026-10-14T09:12:44+00:00",
    "ip_address": "203.0.113.10",
    "device": {
      "fingerprint": "fp_7f3a",
      "label": "Chrome on Android",
      "persistent_device_id": "dev_4c21"
    }
  },
  "authentication": {
    "status": "ACTIVE",
    "methods": ["passkey"],
    "mfa_enabled": true,
    "last_sign_in_at": "2026-10-14T09:12:44Z"
  }
}

auth_event.event_id पर डुप्लिकेट हटाएँ, जो साइन-इन इवेंट का अपना ID है: यह उस इवेंट की हर डिलीवरी में एक ही रहता है। auth_event.event_uuid से GET /v3/events/{event_uuid}/ पर संग्रहीत इवेंट वापस पढ़ा जा सकता है।
जब प्रयास किसी ज्ञात व्यक्ति का नाम न ले, तब vendor_data, vendor_user_id और authentication null होते हैं।
हर Didit webhook की तरह हस्ताक्षर सत्यापित करें (देखें webhooks)।

बिलिंग

प्रमाणीकरण इवेंट के लिए प्रति इवेंट शुल्क नहीं लिया जाता। प्रमाणीकरण की बिलिंग मासिक सक्रिय उपयोगकर्ता के आधार पर होती है।

आपके एप्लिकेशन के स्वामित्व वाले इवेंट

आपके अपने प्रोडक्ट में होने वाली क्रियाओं के लिए, जैसे प्रोफ़ाइल में बदलाव या भुगतान अनुरोध, इवेंट आप खुद अपने सर्वर से (POST /v3/events/ के साथ x-api-key) या स्कोप्ड निगरानी token के साथ डिवाइस से भेज सकते हैं। इवेंट और SDK इवेंट सबमिशन देखें। व्यक्ति का vendor_data उसके access token से लें।

गाइड