Límit de freqüència de l'API: límits, capçaleres i 429

​

Identificador i excepcions

1. Capçalera x-api-key → comptador per clau.
2. Primer salt de X-Forwarded-For → comptador per IP.
3. REMOTE_ADDR → comptador per IP.

• La DIDIT_WEBAPP_API_KEY interna (utilitzada només per la consola de Didit).
• Els endpoints protegits pel permís IsValidSession (el trànsit de sessions incrustades i de l’SDK).
• GET /system/healthcheck (servit per HealthMiddleware abans d’aquesta pila).
• Els webhooks dels proveïdors: Stripe, cribratge AML, callbacks de verificació facial i modificacions de llistes KYC.

​

Límits globals

​

Límits específics dels endpoints

​

Forma de la resposta 429

HTTP/1.1 429 Too Many Requests
Content-Type: application/json
X-RateLimit-Limit: 600
X-RateLimit-Remaining: 0
X-RateLimit-Reset: 1762534870
Retry-After: 37

{
  "detail": "Session creation rate limit exceeded. You can make up to 600 requests per minute."
}

​

Orientació per al client

• Respecta Retry-After com a límit inferior del teu backoff. Per sobre, aplica un backoff exponencial amb variació aleatòria (jitter) (5s → 10s → 20s → 40s ± random), perquè dos clients que rebin un 429 al mateix temps no se sincronitzin.
• Atura els reintents després d’un límit petit (per exemple, 5 intents). Propaga l’error al codi que t’ha cridat i avisa el teu equip: els 429 sostinguts normalment indiquen un bucle descontrolat, no un pic puntual.
• Fes servir un identificador per càrrega de treball. Compartir un x-api-key entre molts backends fa que quedin agrupats en el mateix comptador, i un veí sorollós pot deixar la resta sense recursos. Crea una aplicació separada (i, per tant, un api_key separat) per entorn, marca o client; consulta Registre programàtic.
• Desa en memòria cau les lectures de decisió. Els endpoints /decision/ no estan pensats per a bucles de sondeig intensius. Si necessites actualitzacions en temps real, fes servir Webhooks i crida GET /v3/session/<id>/decision/ només per completar les dades que faltin o per auditoria.
• Genera els PDF fora de línia. La renderització de PDF requereix molta CPU (límit de 50 per minut). Activa-la des d’una cua quan la sessió arribi a un estat final, no en cada visualització de pàgina.

​

Exemple de client que gestiona el 429

async function postSession(body) {
  for (let attempt = 0; attempt < 5; attempt++) {
    const res = await fetch("https://verification.didit.me/v3/session/", {
      method: "POST",
      headers: {
        "x-api-key": process.env.DIDIT_API_KEY,
        "Content-Type": "application/json",
      },
      body: JSON.stringify(body),
    });

    if (res.status !== 429) return res;

    const retryAfter = Number(res.headers.get("Retry-After") ?? "1");
    const jitter = Math.random() * 1000;
    await new Promise((r) => setTimeout(r, retryAfter * 1000 + jitter));
  }
  throw new Error("Didit: too many 429s, giving up");
}

import os
import random
import time

import httpx

def post_session(body: dict) -> httpx.Response:
    with httpx.Client(timeout=15) as client:
        for _ in range(5):
            resp = client.post(
                "https://verification.didit.me/v3/session/",
                headers={
                    "x-api-key": os.environ["DIDIT_API_KEY"],
                    "Content-Type": "application/json",
                },
                json=body,
            )
            if resp.status_code != 429:
                return resp
            wait_s = float(resp.headers.get("Retry-After", "1")) + random.random()
            time.sleep(wait_s)
    raise RuntimeError("Didit: too many 429s, giving up")

​

Necessites més capacitat?