Identifikasi vs Verifikasi vs Autentikasi: Lapisan Onboarding Digital

Identifikasi, verifikasi, dan autentikasi sama-sama berkaitan dengan identitas, tetapi fungsi ketiganya berbeda. Identifikasi menentukan identitas apa yang diklaim pengguna. Verifikasi membuktikan bahwa klaim tersebut sesuai dengan identitas yang sebenarnya. Autentikasi kemudian memastikan pihak yang mengakses akun menguasai faktor autentikasi yang terikat pada akun tersebut.

Perbedaannya terlihat jelas dalam proses onboarding digital. Saat calon nasabah memasukkan NIK dan mengunggah KTP, sistem sedang mengumpulkan informasi identitas. Saat sistem mengecek dokumen, mencocokkan wajah, dan melakukan liveness detection, sistem sedang membangun keyakinan bahwa identitas tersebut memang milik orang yang melakukan onboarding. Setelah akun aktif, PIN, passkey, OTP, atau biometrik dapat digunakan untuk autentikasi saat pengguna kembali mengakses akun.

Ketiganya tidak sebaiknya dipahami sebagai tiga fitur yang selalu berjalan dalam urutan linear yang sama. Masing-masing bekerja pada fungsi dan tahap yang berbeda dalam lifecycle identitas. Artikel ini membahas perbedaannya dan bagaimana ketiganya diterapkan dalam onboarding bank, fintech, dan layanan digital di Indonesia.

Tabel Perbandingan Identifikasi, Verifikasi, dan Autentikasi

Cara paling mudah membedakan ketiganya adalah melihat pertanyaan yang ingin dijawab oleh masing-masing proses.

Aspek	Identifikasi	Verifikasi	Autentikasi
Pertanyaan utama	Identitas apa yang diklaim?	Apakah klaim tersebut sesuai dengan identitas yang sebenarnya?	Apakah pihak yang mengakses menguasai authenticator yang terikat ke akun?
Fungsi	Mengumpulkan dan menetapkan atribut identitas yang diklaim	Membangun keyakinan bahwa klaim identitas benar dan terkait dengan orang yang melakukan proses	Membuktikan penguasaan faktor autentikasi untuk mengakses akun
Contoh input	NIK, nama, nomor ponsel, email, data KTP	KTP, selfie, data kependudukan, biometrik	PIN, password, OTP, passkey, perangkat, biometrik
Teknologi yang umum digunakan	OCR, document capture, identity data collection	Document validation, face matching, liveness detection, database check	PIN, MFA, OTP, passkey, face authentication, device-bound credentials
Contoh kegagalan	Data salah, tidak lengkap, atau identitas yang diklaim tidak jelas	Dokumen palsu, identitas milik orang lain, atau presentation attack	Akun diakses pihak yang menguasai atau mengambil alih authenticator

Dalam praktiknya, satu teknologi bisa mendukung lebih dari satu proses tergantung bagaimana sistem tersebut dirancang. Karena itu, yang perlu diperhatikan bukan hanya nama fiturnya, tetapi kontrol apa yang dilakukan dan risiko apa yang ingin ditutup.

Identifikasi Adalah Menentukan Identitas yang Diklaim

Identifikasi adalah tahap ketika pengguna menyampaikan siapa dirinya kepada sistem. Dalam onboarding bank digital, contohnya adalah ketika calon nasabah memasukkan NIK, nama, tanggal lahir, nomor ponsel, atau mengunggah KTP.

Pada tahap ini, sistem sedang mengumpulkan informasi untuk membentuk claimed identity. Data tersebut belum otomatis berarti identitas pengguna sudah terbukti benar.

Di sinilah OCR KTP banyak digunakan. OCR membaca informasi pada dokumen seperti NIK, nama, tempat lahir, dan tanggal lahir, kemudian mengubahnya menjadi data yang bisa diproses sistem. Manfaatnya adalah mempercepat onboarding dan mengurangi kesalahan input manual.

Namun, OCR bukan bukti bahwa orang di balik proses onboarding adalah pemilik KTP tersebut. Sistem bisa membaca teks dari foto KTP milik orang lain dengan sama baiknya seperti membaca KTP milik pengguna yang sah.

Karena itu, tim Product dan Risk perlu memisahkan dua pertanyaan:

• Data identitas apa yang diberikan pengguna?
• Apakah data dan dokumen tersebut benar-benar terkait dengan orang yang sedang melakukan onboarding?

Pertanyaan pertama masuk ke area identifikasi. Pertanyaan kedua masuk ke proses verifikasi.

Verifikasi Membuktikan Klaim Identitas

Verifikasi bertujuan memastikan bahwa identitas yang diklaim memang sesuai dengan identitas yang sebenarnya. Dalam proses e-KYC, hal ini dapat dilakukan dengan menggabungkan pemeriksaan dokumen, pencocokan data dengan sumber yang relevan, face matching, dan liveness detection.

Dalam konteks sektor jasa keuangan Indonesia, POJK Nomor 8 Tahun 2023 membedakan identifikasi dan verifikasi. PJK wajib meminta data, informasi, dan dokumen pendukung untuk mengetahui profil calon nasabah, kemudian melakukan verifikasi atas kebenaran dan kesesuaian data tersebut serta memastikan pemberi data merupakan calon nasabah yang bersangkutan.

Face matching membandingkan wajah pengguna dengan foto referensi dan menghasilkan tingkat kemiripan. Tetapi hasil face matching saja belum cukup untuk menjawab apakah wajah tersebut berasal dari orang yang benar-benar hadir di depan kamera.

Contohnya, seseorang bisa saja mengarahkan foto cetak, layar smartphone, atau media lain ke kamera. Jika sistem hanya melihat kemiripan wajah, serangan seperti ini berpotensi lolos.

Karena itu, liveness detection digunakan sebagai kontrol tambahan untuk mendeteksi presentation attack. Tujuannya bukan sekadar mencari wajah yang mirip, tetapi menilai apakah sumber wajah yang diperiksa berasal dari subjek yang benar-benar hadir dalam proses verifikasi.

Verifikasi juga tidak sama dengan validasi. Validasi lebih berfokus pada pemeriksaan apakah data atau evidence memenuhi kriteria tertentu dan dapat dianggap valid. Dalam identity proofing, validasi dan verifikasi dapat menjadi bagian dari proses yang berbeda tetapi saling melengkapi. NIST mendefinisikan identity verification sebagai proses memastikan bahwa pemohon yang menjalani identity proofing adalah pemegang identitas dunia nyata yang diklaim.

Jadi, data yang formatnya benar belum tentu membuktikan bahwa orang yang menggunakannya adalah pemilik identitas tersebut.

Penjelasan lebih lengkap mengenai konsep verifikasi identitas dan penerapannya dalam e-KYC dapat dibaca di artikel tentang verifikasi identitas.

Autentikasi Memastikan Penguasaan Akses ke Akun

Autentikasi terjadi ketika pengguna mencoba mengakses akun atau layanan dan sistem perlu memastikan bahwa pihak tersebut menguasai authenticator yang sudah terikat dengan akun.

Contohnya adalah ketika pengguna memasukkan PIN, password, OTP, menggunakan passkey, atau melakukan face authentication. Sistem tidak lagi hanya bertanya “siapa identitas ini?”, tetapi memeriksa apakah pihak yang mencoba mengakses akun memiliki faktor autentikasi yang valid.

NIST mendefinisikan authentication sebagai proses ketika claimant membuktikan possession dan control atas satu atau lebih authenticator yang terikat pada subscriber account.

Ini penting karena autentikasi tidak otomatis membuktikan bahwa identitas dunia nyata yang digunakan saat onboarding dulu benar. Autentikasi bekerja berdasarkan hubungan antara akun dan authenticator yang sudah terdaftar.

Misalnya, sebuah akun berhasil melalui proses onboarding enam bulan lalu. Identitas pemilik akun memang sudah diverifikasi. Namun, jika password atau authenticator kemudian dicuri, pihak lain bisa mencoba mengambil alih akses akun tersebut.

Di sinilah autentikasi menjadi lapisan pertahanan berikutnya.

Namun ada satu batas yang penting dipahami oleh tim Risk dan Product: autentikasi yang kuat tidak dapat memperbaiki identity proofing yang lemah.

Kalau identitas palsu sudah berhasil masuk sejak proses onboarding, authenticator yang kuat hanya akan melindungi akun tersebut sebagai sebuah akun. Sistem belum tentu menyadari bahwa orang yang berada di balik identitas tersebut sejak awal bukan pemilik identitas yang sebenarnya.

Pembahasan lebih lengkap mengenai autentikasi dapat dibaca di artikel tentang autentikasi.

Bagaimana Ketiganya Bekerja dalam Onboarding Digital

Supaya lebih mudah dipahami, lihat satu contoh sederhana dari pembukaan rekening bank digital.

1. Pengguna memasukkan data dan KTP

Calon nasabah memasukkan NIK, nama, tanggal lahir, nomor ponsel, lalu mengunggah KTP. OCR kemudian membaca data pada dokumen dan mengirimkannya ke sistem.

Pada titik ini, sistem sedang membangun identitas yang diklaim oleh pengguna. Ini adalah bagian dari proses identifikasi dan pengumpulan identity evidence.

2. Sistem memeriksa data dan dokumen

Sistem kemudian memeriksa apakah informasi pada dokumen dan atribut identitas dapat divalidasi. Jika tersedia, data juga dapat dicocokkan dengan sumber yang relevan.

Tujuannya adalah memastikan bahwa identity evidence dan atribut yang digunakan dalam proses onboarding dapat dipercaya.

3. Pengguna melakukan selfie

Pengguna mengambil selfie atau menjalani proses video. Sistem kemudian melakukan face matching terhadap foto referensi pada dokumen.

Jika sistem hanya melakukan face matching, yang diperiksa terutama adalah kemiripan dua wajah.

4. Sistem melakukan liveness detection

Liveness detection menambahkan kontrol untuk memastikan bahwa sumber wajah yang diperiksa bukan sekadar foto, video, atau media lain yang digunakan untuk melakukan presentation attack.

Gabungan pemeriksaan dokumen, atribut, face matching, dan liveness dapat digunakan untuk meningkatkan keyakinan bahwa orang yang melakukan onboarding memang terkait dengan identitas yang diklaim.

5. Akun aktif dan pengguna kembali login

Setelah akun aktif, kebutuhan sistem berubah. Pengguna tidak perlu mengulang seluruh proses onboarding setiap kali membuka aplikasi.

Sistem menggunakan authenticator yang sudah terikat dengan akun, seperti PIN, password, OTP, passkey, perangkat tertentu, atau biometrik.

Proses inilah yang masuk ke area autentikasi.

6. Transaksi berisiko tinggi membutuhkan kontrol tambahan

Untuk aktivitas tertentu, sistem dapat meminta autentikasi tambahan. Contohnya adalah face authentication, MFA, atau faktor lain yang sesuai dengan risk level transaksi.

Dengan demikian, identity control tidak berhenti ketika onboarding selesai. Identity proofing dan authentication memiliki fungsi berbeda dalam lifecycle akun.

3 Kesalahan yang Bisa Membuka Celah Fraud

1. Menganggap OTP sebagai bukti identitas

OTP membuktikan bahwa pengguna memiliki akses ke channel atau faktor tempat OTP dikirim. OTP bukan bukti bahwa orang tersebut adalah pemilik identitas dunia nyata yang tercantum pada KTP.

Contohnya, seseorang bisa menguasai nomor ponsel yang terdaftar tetapi bukan pemilik identitas yang digunakan saat onboarding.

Karena itu, OTP sebaiknya diposisikan sebagai salah satu faktor autentikasi, bukan sebagai pengganti identity verification.

2. Menganggap verifikasi onboarding menyelesaikan seluruh risiko identitas

Identity verification yang berhasil pada saat onboarding memberikan keyakinan terhadap identitas pada proses tersebut. Tetapi risiko dapat berubah setelah akun aktif.

Perangkat dapat berganti. Nomor ponsel dapat berubah. Credential dapat bocor. Akun dapat diambil alih. Bahkan perilaku transaksi dapat berubah jauh dari profil awal pengguna.

Karena itu, program identity dan fraud prevention perlu mempertimbangkan kontrol setelah onboarding, bukan hanya approval pada saat pendaftaran.

3. Mengandalkan face matching tanpa liveness

Face matching menjawab pertanyaan apakah dua wajah memiliki kemiripan. Liveness menjawab pertanyaan berbeda, yaitu apakah subjek yang diperiksa benar-benar hadir dan tidak sedang menggunakan media untuk mengelabui sistem.

Memakai face matching tanpa mempertimbangkan presentation attack dapat membuat dashboard terlihat aman karena skor kemiripan tinggi, sementara sumber wajah yang digunakan sebenarnya tidak berasal dari orang yang sah.

Untuk use case dengan risiko identity fraud tinggi, kedua kontrol tersebut sebaiknya dilihat sebagai bagian dari kontrol yang berbeda dan saling melengkapi.

Bagaimana Konsep Ini Berkaitan dengan KYC di Indonesia

Dalam sektor jasa keuangan, identifikasi dan verifikasi bukan hanya persoalan teknis. Keduanya menjadi bagian dari kewajiban Customer Due Diligence dan program APU, PPT, dan PPPSPM.

POJK Nomor 8 Tahun 2023 mengatur bahwa PJK wajib melakukan identifikasi dengan meminta data, informasi, dan dokumen pendukung calon nasabah. PJK juga wajib melakukan verifikasi terhadap kebenaran dan kesesuaian data tersebut serta memastikan bahwa pemberi data merupakan calon nasabah yang bersangkutan. Mekanisme verifikasi dapat dilakukan secara tatap muka maupun secara elektronik sesuai ketentuan yang berlaku.

Setelah hubungan usaha berjalan, kewajibannya tidak berhenti pada onboarding. POJK yang sama juga mengatur pengkinian dan pemantauan hubungan usaha, termasuk pemantauan transaksi serta pengkinian data ketika terdapat perubahan yang relevan.

Karena itu, arsitektur identity untuk bank dan fintech sebaiknya tidak dirancang hanya sebagai satu kali proses “lolos KYC”. Tim perlu melihat bagaimana identitas dikumpulkan, dibuktikan, dipelihara, dan digunakan kembali sepanjang lifecycle akun.

Untuk tim Product, ini berarti kontrol identity perlu dirancang sejak awal bersama Compliance, Risk, dan Fraud. Untuk tim Compliance, penting memastikan proses teknis mendukung kewajiban identifikasi, verifikasi, pengkinian, dan pemantauan. Sementara bagi tim Risk dan Fraud, setiap lapisan perlu dikaitkan dengan mode serangan yang ingin dicegah.

Bagaimana Verihubs Mendukung Kontrol Identitas

Verihubs menyediakan berbagai teknologi yang dapat digunakan untuk membangun kontrol identitas dari proses pengumpulan data sampai verifikasi biometrik.

Pada tahap pengumpulan identity evidence, OCR KTP dapat digunakan untuk membaca atribut dari dokumen dan mengurangi kebutuhan input manual.

Pada proses verifikasi, Face Recognition dapat digunakan untuk membandingkan wajah pengguna dengan foto referensi. Menurut data resmi Verihubs 2026, teknologi Face Recognition Verihubs memiliki akurasi 99,9%.

Liveness Detection kemudian dapat digunakan sebagai lapisan tambahan untuk mendeteksi presentation attack. Pendekatan ini penting karena face matching dan liveness menyelesaikan masalah yang berbeda.

Setelah akun aktif, teknologi biometrik juga dapat digunakan kembali sebagai bagian dari authentication flow untuk use case seperti login atau transaksi dengan risiko tertentu, sesuai desain keamanan dan risk appetite masing-masing perusahaan.

Verihubs telah digunakan oleh lebih dari 400 klien menurut data resmi perusahaan 2026, termasuk perusahaan di sektor perbankan, fintech, asuransi, dan bursa kripto.

Bagi perusahaan yang sedang merancang atau mengevaluasi identity stack, yang perlu dibandingkan bukan hanya apakah sebuah provider memiliki OCR, face recognition, atau liveness. Yang lebih penting adalah bagaimana setiap teknologi ditempatkan dalam alur dan risiko yang ingin dikendalikan.

Pertanyaan yang Sering Diajukan

Apa itu identifikasi dalam konteks e-KYC?

Identifikasi adalah proses mengumpulkan dan menetapkan identitas yang diklaim oleh pengguna, misalnya melalui NIK, nama, nomor ponsel, atau dokumen identitas. Identifikasi sendiri belum membuktikan bahwa orang tersebut benar-benar pemilik identitas yang diklaim.

Apa perbedaan identifikasi dan verifikasi?

Identifikasi berfokus pada identitas yang diklaim dan atribut yang dikumpulkan. Verifikasi berfokus pada pembuktian bahwa klaim tersebut benar dan terkait dengan orang yang sedang menjalani proses. Contohnya, membaca data KTP dengan OCR merupakan bagian dari pengumpulan data, sedangkan mencocokkan wajah pengguna dengan foto pada dokumen merupakan salah satu metode verifikasi.

Apa perbedaan verifikasi dan autentikasi?

Verifikasi digunakan untuk membangun keyakinan bahwa seseorang terkait dengan identitas yang diklaim, terutama dalam proses identity proofing. Autentikasi digunakan setelahnya untuk memeriksa apakah pihak yang mencoba mengakses akun menguasai authenticator yang terikat pada akun tersebut.

Apakah OTP termasuk verifikasi identitas?

OTP pada dasarnya merupakan faktor autentikasi. OTP membuktikan kontrol atas channel atau faktor tempat kode dikirim, bukan membuktikan identitas dunia nyata pengguna. Karena itu, OTP tidak sebaiknya digunakan sebagai pengganti proses identity verification.

Apakah face recognition sama dengan autentikasi?

Tidak selalu. Face recognition atau face matching dapat digunakan dalam identity verification ketika wajah pengguna dibandingkan dengan foto pada dokumen atau sumber referensi. Teknologi biometrik yang sama juga dapat digunakan dalam authentication ketika wajah digunakan sebagai authenticator untuk mengakses akun. Fungsinya bergantung pada bagaimana sistem tersebut diimplementasikan.

Apakah verifikasi identitas perlu dilakukan kembali setelah onboarding?

Kebutuhan untuk melakukan pemeriksaan kembali bergantung pada proses, regulasi, perubahan data, dan tingkat risiko. Dalam konteks sektor jasa keuangan, PJK memiliki kewajiban melakukan pengkinian dan pemantauan hubungan usaha sesuai ketentuan yang berlaku. POJK Nomor 8 Tahun 2023 mengatur pengkinian data ketika terdapat perubahan yang diketahui dari pemantauan atau informasi lain yang dapat dipertanggungjawabkan.

Apa bedanya autentikasi dan otorisasi?

Autentikasi memeriksa apakah pihak yang mengakses dapat membuktikan penguasaan authenticator yang terkait dengan akun. Otorisasi menentukan tindakan atau resource apa yang boleh diakses setelah proses autentikasi berhasil. Jadi, autentikasi menjawab “siapa atau akun mana yang sedang mengakses?”, sedangkan otorisasi menjawab “apa yang boleh dilakukan?”.

Pembahasan lebih lengkap mengenai otorisasi dapat dibaca di artikel tentang otorisasi.

Identifikasi, Verifikasi, dan Autentikasi Tidak Bisa Saling Menggantikan

Identifikasi, verifikasi, dan autentikasi sering disebut bersamaan karena ketiganya sama-sama berkaitan dengan identity. Tetapi untuk membangun sistem yang aman, ketiganya perlu dipisahkan berdasarkan fungsi.

Identifikasi membantu sistem memahami identitas yang diklaim. Verifikasi membangun keyakinan bahwa klaim tersebut benar dan terkait dengan orang yang menjalani proses. Autentikasi kemudian digunakan untuk memastikan pihak yang kembali mengakses akun menguasai authenticator yang terikat dengan akun tersebut.

Kesalahan dalam membedakan ketiganya dapat menghasilkan kontrol yang terlihat lengkap tetapi sebenarnya tidak menutup risiko yang tepat. OTP tidak menggantikan identity verification. Face matching tidak otomatis memberikan liveness. Dan authentication yang kuat tidak dapat memperbaiki identity proofing yang lemah.

Cara sederhana untuk mengevaluasi identity flow yang sedang berjalan adalah mengambil satu perjalanan pengguna dari pendaftaran sampai transaksi. Tandai tiga hal: identitas apa yang diklaim, kapan identitas tersebut dibuktikan, dan bagaimana sistem memastikan akses berikutnya tetap berada pada pihak yang memiliki authenticator yang sah.

Jika salah satu pertanyaan tersebut tidak memiliki kontrol yang jelas, di situlah tim Product, Compliance, Risk, dan Fraud perlu melakukan review lebih lanjut.

Jika Anda sedang merancang atau mengevaluasi alur e-KYC, identity verification, atau authentication untuk produk digital, diskusikan kebutuhan identity flow Anda dengan tim Verihubs untuk menentukan kontrol yang sesuai di setiap tahap.