> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Claus d'API amb àmbit restringit - Accés restringit a l'API KYC > A Didit, dona a cada servei la seva clau d'API amb només l'accés necessari: lectura o escriptura, IP permeses, caducitat i revocació immediata. Prompt de claus d'API amb accés limitat Copia el prompt al porta-retalls \

\````# Goal - call Didit with a scoped API key

Every application has a primary secret with full access, and any number of named API keys.
A named key carries its own access: read or write per resource, optional limits, an optional IP allowlist and an optional expiry date.
Keys are created, edited, rotated and revoked in the Business Console (Developers -> API keys); there is no API to manage them.

\## Sending the key

\```bash
curl https://verification.didit.me/v3/session/$SESSION_ID/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
\```

Read the key from an environment variable or a secrets manager, never from source code.

\## What each answer means

\| Status | Meaning |
\|---|---|
\| 401 | The key is missing, wrong, revoked or expired |
\| 403 | The key has no access to this resource or action, or the request came from an address outside its IP list |
\| 404 | The session is outside the key's workflows or statuses, so to this key it does not exist |

A key without media access receives decisions with every image, video and PDF URL set to null, and gets 403 on PDF reports.
A key without sessions write receives session_url and session_token as null.

\## Resources

sessions, decisions, media (read only), users, businesses, transactions, workflows, webhooks, applications, analytics (read only), api-keys.
Read covers GET requests, write covers POST, PUT, PATCH and DELETE.
Standalone checks (face match, ID verification, AML screening and the other /v3 standalone APIs) need sessions write.
Creating a person with send_verification_link: true (POST /v3/users/create/) needs users write and sessions write; without sessions write it answers 403 and nothing is created.

\## Limits

\- workflow_ids: only sessions of these workflows are visible, and sessions can only be created with them.
\- approved sessions only: declined, in-review and unfinished sessions are hidden.
\- A key with either limit cannot have access to users, businesses, transactions or analytics.

\## Rotation

Rotating a key returns a new secret once; the previous secret keeps working for 24 hours.````

\
Enganxa a Cada aplicació comença amb un **secret primari** que té accés complet a tot el que l'aplicació pot fer. Hi pots afegir **claus d'API amb nom** al costat, una per servei o per soci, cadascuna només amb l'accés que necessita. Dona al teu proveïdor de pagaments una clau que llegeixi les sessions aprovades d'un únic flux de treball i que no pugui canviar res, mantén una clau separada per al teu backend, i revoca'n qualsevol de les dues sense tocar l'altra.> [!NOTE] > > Les claus creades abans que existís l'accés limitat conserven accés complet. > No canvia res per a elles fins que n'edites l'accés.***## On trobar-lesA la [**Consola empresarial**](https://business.didit.me), selecciona la teva aplicació i obre **Developers -> API keys**.La llista mostra totes les claus de l'aplicació amb el seu estat, les sol·licituds dels últims 30 dies, qui l'ha creada, el seu accés i la darrera vegada que s'ha fet servir. Fes clic a una clau per previsualitzar-la a la dreta, o obre la seva pàgina completa per veure'n l'ús, l'accés, les sol·licituds recents, un fragment d'inici ràpid i la seva activitat.Les claus pertanyen a una sola aplicació i només funcionen amb aquesta. Una clau té l'entorn de l'aplicació: les claus d'una aplicació sandbox mai creen verificacions facturades.***## URL de redirecció i dominis permesosObre **Developers > API keys > Redirects and domains** per configurar dues llistes per a l'aplicació i l'entorn que has seleccionat.| Llista | Què controla | | - | - | | **URL de redirecció** | On envia Didit el navegador quan acaba una verificació allotjada. Una URL ha de coincidir exactament, incloent-hi el camí. | | **Dominis permesos** | Els orígens (l'esquema, l'host i el port opcional, com ara `https://app.example.com`) on es pot incrustar el flux de verificació allotjat i des d'on el flux pot tornar a enviar l'usuari. |Quan la llista **Dominis permesos** té entrades, [Crear sessió](https://docs.didit.me/ca/sessions-api/create-session.md) rebutja un `callback` que no sigui en cap d'aquests orígens amb un error `400`. Una llista buida significa que no hi ha cap restricció. Les crides de servidor a servidor no es veuen afectades.***## Crear una clau**1. Detall**Posa a la clau el nom del servei que la farà servir, i tria quan caduca: mai, en 30 dies, en 90 dies, en un any o en una data que triïs. Una clau caducada deixa de funcionar al final d'aquell dia, en UTC.**2. Accés**Parteix d'un predefinit i després ajusta'l per recurs. La clau no podrà fer mai més que això.**3. Revisió**La consola detalla què pot fer la clau i què no pot fer, abans de lliurar-la.**4. Secret de la clau**Copia el secret i guarda'l al teu gestor de secrets. Aquesta és l'única vegada que es mostra el secret complet. Si el perds, rota la clau per obtenir-ne un de nou.### Predefinits| Predefinit | Accés | | - | - | | **Accés total** | Tots els recursos, lectura i escriptura, incloses altres claus d'API. Per al teu propi backend. | | **Només lectura** | Sessions i decisions, amb accés opcional als mitjans. No pot crear, canviar ni eliminar res. Per a un soci que necessita resultats. | | **Personalitzat** | Tries Cap, Lectura o Escriptura per a cada recurs. |### RecursosLectura cobreix les sol·licituds `GET` sobre un recurs; escriptura també cobreix `POST`, `PUT`, `PATCH` i `DELETE`.| Recurs | Lectura | Escriptura | | - | - | - | | **Sessions** | Llistar i obrir sessions | Crear, actualitzar i eliminar sessions, importar sessions i executar comprovacions independents (coincidència facial, verificació d'identitat, cribratge AML i la resta d'APIs independents) | | **Decisions** | Resultats, puntuacions de risc, dades extretes i historial de cribratge AML | Aprovar, rebutjar o enviar a revisió, i canviar l'estat de les funcionalitats i de les coincidències AML | | **Mitjans** | Imatges del document d'identitat, selfies, vídeos i informes PDF | - | | **Persones** (`users`) | Usuaris finals i tot el que s'ha verificat sobre ells | Crear, actualitzar i eliminar usuaris, i el seu monitoratge. Crear un usuari amb un enllaç de verificació també requereix escriptura de **Sessions** | | **Empreses** (`businesses`) | Perfils d'empresa, els seus documents i propietaris | Crear, actualitzar i eliminar empreses, i el seu monitoratge | | **Transaccions** | Transaccions, alertes, regles, esdeveniments de monitoratge, dades de Travel Rule i cribratge de carteres | Enviar transaccions i esdeveniments, canviar-ne l'estat, i gestionar la configuració de Travel Rule, la llibreta d'adreces de carteres i les transferències | | **Fluxos de treball** | **Fluxos de treball**, qüestionaris, llistes i llistes de bloqueig | Crear-los i editar-los | | **Webhooks** | Endpoints i lliuraments (amb lectura de **Decisions**, ja que un lliurament porta el payload de la sessió que va enviar) | Afegir, editar i eliminar endpoints, i tornar a enviar lliuraments | | **Configuració de l'aplicació** (`applications`) | Personalització i saldo | Canviar la personalització i recarregar el saldo | | **Analítiques** | Mètriques i exportacions d'informes | - | | **Claus d'API** | Reservades a la gestió de claus | Reservades a la gestió de claus |Una clau amb accés personalitzat funciona a l'API pública: els endpoints de sessió, usuari, empresa, transacció, flux de treball i webhook, i les comprovacions independents. Els endpoints que només utilitza la Business Console responen `403` a aquesta clau; necessiten una clau d'accés total.Una clau sense lectura de **Mitjans** rep les decisions de sessió amb cada URL d'imatge, vídeo i PDF establerta a `null`, i els endpoints d'informes PDF responen `403`. Una clau sense escriptura de **Sessions** no rep mai l'enllaç de verificació ni el token de sessió d'una sessió, ja que qui els té pot completar la verificació com a usuari final: aquests camps es retornen com a `null`. Pel mateix motiu, crear una persona amb `send_verification_link: true` requereix escriptura de **Sessions** a més d'escriptura de **Persones**, perquè crea una sessió i n'envia l'enllaç per correu electrònic. Sense això, la crida respon `403` i no crea res.### Límits| Límit | Què fa | | - | - | | **Fluxos de treball** | La clau només veu les sessions dels fluxos de treball que triïs, i només pot crear sessions amb ells. Qualsevol altra sessió respon `404`, com si no existís. | | **Només sessions aprovades** | Les sessions rebutjades, en revisió i sense acabar continuen ocultes per a la clau. | | **Adreces IP** | La clau només funciona des de les adreces o rangs CIDR que indiquis (fins a 20, IPv4 o IPv6). Les sol·licituds des de qualsevol altra adreça responen `403`. | | **Caduca** | Després d'aquesta data, cada sol·licitud amb la clau respon `401`. |Una clau limitada a alguns fluxos de treball o a sessions aprovades funciona als endpoints de sessió, on es pot aplicar el límit. No pot tenir accés a persones, empreses, transaccions o analítiques, ni executar comprovacions independents.***## Com respon l'API a una clau amb accés limitat| Estat | Significat | | - | - | | **401** | La clau falta, és incorrecta, s'ha revocat o ha caducat. | | **403** | La clau no té accés a aquest recurs o acció, o la sol·licitud arriba d'una adreça fora de la seva llista d'IP. | | **404** | La sessió és fora dels fluxos de treball o dels estats de les sessions. |Les llistes de sessions només retornen les sessions que permeten els límits de la clau.***## Editar l'accésObre el menú d'una clau, la seva vista prèvia o la seva pàgina i tria **Edita l'accés**. Canvia el predefinit, els recursos, els límits o la caducitat, i revisa només el que canvia, abans i després. El secret no canvia, així que no cal tornar a desplegar res, i el nou accés s'aplica en un minut.El secret principal sempre té accés total i no es pot editar.***## Rotar una clauRotar substitueix el secret d'una clau. El nou secret es mostra una sola vegada, i el secret actual continua funcionant durant **24 hores** perquè puguis desplegar el nou sense interrupcions. Després, cada sol·licitud amb el secret antic respon `401`.El secret principal es rota de la mateixa manera, amb el mateix solapament de 24 hores.***## Revocar una clauRevocar una clau la desactiva de seguida: cada sol·licitud feta amb ella respon `401`. No es pot desfer. El secret principal no es pot revocar; en lloc d'això, rota'l.***## Ús i registre d'auditoriaCada clau mostra les seves sol·licituds dels últims 30 dies, la seva taxa d'error i la latència, i les darreres sol·licituds amb els seus codis d'estat, incloses les que els seus límits han rebutjat.Cada crida feta amb una clau d'API apareix als [registres d'auditoria](https://docs.didit.me/ca/console/audit-logs.md) de l'organització amb el nom de la clau que l'ha fet.***## Qui pot gestionar les clausGestionar les claus d'API requereix el permís **Claus d'API**: lectura per veure-les, escriptura per crear-les, editar-les, rotar-les i revocar-les. Consulta [Rols i permisos](https://docs.didit.me/ca/console/roles-permissions.md). This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.