> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Obtenir la configuració de webhooks de l'API > Consulta a Didit la configuració de webhooks de la teva aplicació: URL i secret heretats, destinacions, esdeveniments, retenció de dades i hosts de cartera. Prompt de l'API per obtenir la configuració del webhook Copia el prompt al porta-retalls \

\`Read my Didit application's webhook configuration through the Management API.

Endpoint:
GET https://verification.didit.me/v3/webhook/

Authentication:
Use the x-api-key header with my Didit API key. A scoped API key needs webhooks: read.

Goal:
\- Get every setting that controls how Didit sends webhooks for my application, plus the data-retention policy and the Digital ID wallet return hosts, in one call. Use it to audit the setup or to show the current configuration in a back office.

Behavior:
\- Didit delivers webhooks to webhook destinations (/v3/webhook/destinations/). Each destination has its own url, webhook_version, secret_shared_key and subscribed_events.
\- webhook_url, webhook_version and secret_shared_key at the top level are the application-level (legacy) webhook. Didit uses them only while the application has no enabled destination, and then only for status.updated and data.updated.
\- Every create, update or delete of a destination sets webhook_url to the URL of the oldest enabled destination, or null when none is enabled.
\- API-key callers always receive the application secret and every destination secret in full.

Example call:
curl -X GET "https://verification.didit.me/v3/webhook/" \
-H "x-api-key: YOUR_API_KEY"

What to read from the response:
\- endpoints: every destination, oldest first, with uuid, label, url, enabled, webhook_version, secret_shared_key and subscribed_events. Verify each webhook with the secret of the destination it was sent to.
\- available_events: every event type you can subscribe a destination to ({ value, label }).
\- webhook_url, webhook_version, secret_shared_key: the legacy webhook, only relevant when no destination is enabled.
\- data_retention_months (null means no automatic deletion), face_retention_policy and face_retention_days: the retention policy.
\- allowed_return_hosts: hosts a Digital ID wallet verification may send the person back to.
\- allowed_domains: web origins the hosted verification flow may be embedded in and may send the user back to; empty means no restriction.
\- capture_method: MOBILE or MOBILE_AND_DESKTOP. A legacy setting with no effect; capture options are set per workflow.

Failure modes:
\- 401: { "detail": "This API key has expired." }
\- 403: { "detail": "You do not have permission to perform this action." } for a missing key (a wrong, revoked or expired key gets 401); { "detail": "This API key has no read access to webhooks." } for a scoped key without webhooks: read.
\- 429: more than 600 GET requests per minute with this key; wait for Retry-After.

Side effects: none. This is a pure read, and the response contains signing secrets: never log it.

For the full integration shape, see /integration/integration-prompt.`

\
Enganxa a Aquest endpoint retorna el webhook a nivell d'aplicació que existia abans de les destinacions, juntament amb la llista de [destinacions del webhook](https://docs.didit.me/ca/management-api/webhook/list-destinations.md). Didit envia els webhooks a les teves destinacions del webhook, cadascuna signada amb el seu propi `secret_shared_key`. Els camps de nivell superior `webhook_url`, `webhook_version` i `secret_shared_key` només s'utilitzen mentre cap destinació estigui habilitada, i en aquest cas només per a `status.updated` i `data.updated`.> [!WARNING] > > La resposta conté tots els secrets de signatura de la teva aplicació. Mantén-los fora dels registres i del codi del client.Per canviar aquesta configuració, fes servir [Actualitza la configuració del webhook](https://docs.didit.me/ca/management-api/webhook/update-config.md). Per a la verificació de la signatura i els payloads, consulta la [guia de webhooks](https://docs.didit.me/ca/integration/webhooks.md). Per als camps de conservació de dades, consulta [Conservació de dades](https://docs.didit.me/ca/console/data-retention.md). ## OpenAPI ````yaml ca/openapi-25.json GET /v3/webhook/ openapi: 3.0.0 info: version: 3.0.0 title: Didit Verification API description: API de verificació d'identitat. Autentica't amb la capçalera x-api-key. servers: - url: https://verification.didit.me security: [] tags: [] paths: /v3/webhook/: get: tags: - Webhook summary: Obtenir la configuració del webhook description: >- Retorna la configuració de webhooks de l'aplicació en una sola crida: cada [destinació del webhook](https://docs.didit.me/ca/management-api/webhook/list-destinations) amb el seu secret de signatura, els tipus d'esdeveniment als quals es pot subscriure una destinació, l'URL, la versió i el secret de webhook a nivell d'aplicació (antics), la política de conservació de dades i plantilles biomètriques, i els amfitrions de retorn de la cartera de Digital ID. Didit lliura webhooks a les destinacions, cadascun signat amb el seu propi `secret_shared_key`; els paràmetres de nivell superior `webhook_url`, `webhook_version` i `secret_shared_key` només s'utilitzen mentre no hi hagi cap destinació habilitada, i només per a `status.updated` i `data.updated`. La resposta conté secrets de signatura, així que mantén-la fora dels registres i del codi del client. Una clau d'API amb àmbit restringit necessita `webhooks: read`. operationId: get_webhook_config parameters: [] responses: '200': description: La configuració del webhook. content: application/json: schema: $ref: '#/components/schemas/WebhookConfig' examples: One destination: value: webhook_url: https://yourapp.com/webhooks/didit webhook_version: v3 secret_shared_key: dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA capture_method: MOBILE data_retention_months: 24 face_retention_policy: delete_with_session face_retention_days: null biometric_consent_mode: auto available_events: - value: status.updated label: Session status updated - value: data.updated label: Session data updated - value: user.status.updated label: User status updated - value: user.data.updated label: User data updated - value: business.status.updated label: Business status updated - value: business.data.updated label: Business data updated - value: activity.created label: Activity created - value: transaction.created label: Transaction created - value: transaction.status.updated label: Transaction status updated - value: travel_rule.status.updated label: Travel Rule Status Updated - value: workflow.compliance_changed label: Workflow Compliance Changed allowed_return_hosts: - shop.example.com endpoints: - uuid: 11111111-2222-3333-4444-555555555555 label: Production session webhooks url: https://yourapp.com/webhooks/didit enabled: true webhook_version: v3 secret_shared_key: dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA subscribed_events: - status.updated - data.updated created_at: '2026-01-04T08:00:00.000000Z' updated_at: '2026-04-22T14:09:11.523671Z' '401': description: >- La clau d'API ha caducat: es va crear amb una data de caducitat que ja ha passat. Una clau incorrecta o revocada també rep `401`; si falta la clau, es rep `403`. content: application/json: schema: type: object properties: detail: type: string description: Missatge d'error fàcil de llegir. examples: Expired key: value: detail: This API key has expired. '403': description: >- La sol·licitud no està permesa. Si falta la `x-api-key`, o bé és invàlida o revocada, es rep `You do not have permission to perform this action.` Una clau amb àmbit que no tingui l'accés que aquest endpoint necessita rep un missatge indicant l'accés que falta, i una clau utilitzada des de fora de la seva llista d'adreces IP permeses rep `This API key can't be used from this IP address.` content: application/json: schema: type: object properties: detail: type: string description: Missatge d'error fàcil de llegir. examples: Missing or invalid key: value: detail: You do not have permission to perform this action. Scoped key without webhooks read: value: detail: This API key has no read access to webhooks. Outside the IP allowlist: value: detail: This API key can't be used from this IP address. '429': description: >- S'ha superat el límit de freqüència: més de 600 sol·licituds GET en la finestra d'un minut actual per a aquesta clau d'API. Espera els segons indicats a `Retry-After` abans de reintentar. headers: Retry-After: description: Segons que cal esperar abans de reintentar. schema: type: integer minimum: 1 example: 30 X-RateLimit-Limit: description: Sol·licituds permeses a la finestra d'un minut (600). schema: type: integer example: 600 X-RateLimit-Remaining: description: Sol·licituds restants a la finestra actual. schema: type: integer example: 0 X-RateLimit-Reset: description: Temps Unix (segons) en què es reinicia la finestra actual. schema: type: integer example: 1792056120 X-RateLimit-Scope: description: Nom del pressupost que s'ha superat. schema: type: string example: generic-get content: application/json: schema: type: object properties: detail: type: string description: Missatge d'error fàcil de llegir. examples: Throttled: value: detail: >- GET request rate limit exceeded. You can make up to 600 requests per minute. security: - ApiKeyAuth: [] x-codeSamples: - lang: curl label: curl source: |- curl -X GET 'https://verification.didit.me/v3/webhook/' \ -H 'x-api-key: YOUR_API_KEY' - lang: python label: Python source: |- from didit import Didit # Reads DIDIT_API_KEY. client = Didit() result = client.webhooks.retrieve_config() print(result) - lang: javascript label: Node.js source: |- import Didit from "@didit-protocol/sdk-node"; // Reads DIDIT_API_KEY. const didit = new Didit(); const result = await didit.webhooks.retrieveConfig(); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Webhooks.RetrieveConfig(ctx)\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: |- import me.didit.Didit; // Reads DIDIT_API_KEY. Didit client = new Didit(); var result = client.webhooks().retrieveConfig(); System.out.println(result); - lang: php label: PHP source: |- webhooks->retrieveConfig(); print_r($result->toArray()); - lang: ruby label: Ruby source: |- require "didit" # Reads DIDIT_API_KEY. didit = Didit::Client.new result = didit.webhooks.retrieve_config puts result.to_h - lang: csharp label: .NET source: |- using System; using System.Text.Json; using Didit; // Reads DIDIT_API_KEY. using var client = new DiditClient(); var result = await client.Webhooks.RetrieveConfigAsync(); Console.WriteLine(JsonSerializer.Serialize(result)); components: schemas: WebhookConfig: type: object description: >- Configuració de webhook a nivell d'aplicació, política de conservació i amfitrions de retorn de la cartera de Digital ID, amb totes les destinacions de webhook. required: - webhook_url - webhook_version - secret_shared_key - capture_method - data_retention_months - face_retention_policy - face_retention_days - available_events - allowed_return_hosts - endpoints properties: webhook_url: type: string format: uri nullable: true description: >- URL de webhook a nivell d'aplicació (heretada). Didit només hi fa enviaments mentre l'aplicació no tingui cap destinació activada, i en aquest cas només envia `status.updated` i `data.updated`. Cada creació, actualització o eliminació d'una destinació l'estableix a la URL de la destinació activada més antiga, o a `null` si no n'hi ha cap d'activada. webhook_version: type: string enum: - v1 - v2 - v3 description: >- Versió del payload de la `webhook_url` heretada. Cada destinació té la seva pròpia `webhook_version`. secret_shared_key: type: string description: >- Secret de signatura a nivell d'aplicació (token de 43 caràcters segur per a URL). Només signa els lliuraments a la `webhook_url` heretada; cada destinació signa amb la seva pròpia `secret_shared_key`. Els clients que cridin amb clau d'API sempre el reben complet; els usuaris de la consola sense `read:webhooks` reben una cadena buida. capture_method: type: string enum: - MOBILE - MOBILE_AND_DESKTOP description: >- Configuració antiga de l'aplicació. El flux de verificació no la llegeix: les opcions de captura es configuren per flux de treball. data_retention_months: type: integer nullable: true minimum: 1 maximum: 120 description: >- Finestra d'eliminació automàtica. Les sessions de verificació d'usuaris creades fa més d'aquest nombre de mesos (un mes compta com a 30 dies) s'eliminen automàticament, i aquesta eliminació és irreversible. `null` significa que les sessions no s'eliminen mai automàticament. Consulta [Conservació de dades](https://docs.didit.me/ca/console/data-retention). face_retention_policy: type: string enum: - delete_with_session - retain_until_user_deleted description: >- Què passa amb l'embedding facial d'una sessió quan se suprimeix la sessió. `delete_with_session` (per defecte) el suprimeix amb la sessió. `retain_until_user_deleted` és la [conservació de la plantilla biomètrica](https://docs.didit.me/ca/console/data-retention#conservació-de-plantilles-biomètriques) opcional: una plantilla biomètrica sense imatges vinculada a l'usuari es gestiona per separat fins que finalitza el seu període de conservació, se suprimeix l'usuari o bé la purges. face_retention_days: type: integer nullable: true minimum: 1 maximum: 3650 description: >- Període de conservació de dades, en dies, de les plantilles biomètriques sota `retain_until_user_deleted`. Obligatori quan s'estableix aquesta política. biometric_consent_mode: type: string enum: - auto - always - never description: >- Quan el flux allotjat i els SDK natius demanen a la persona el consentiment biomètric explícit abans d'una captura facial. `auto` (per defecte) només el demana quan s'aplica un activador: un estat declarat, la IP de la persona o l'emissor del document d'identitat es troba a Illinois, Texas o Colorado, o la persona sembla ser als EUA sense un estat conegut. `always` el demana a cada persona el flux de treball de la qual captura una cara. `never` no mostra mai el pas, i recopiles el consentiment pel teu compte abans de la selfie. Cada canvi es registra al registre d'auditoria. Consulta [Consentiment biomètric](https://docs.didit.me/ca/getting-started/biometric-consent). available_events: type: array description: >- Tots els tipus d'esdeveniments als quals es pot subscriure una destinació, amb una etiqueta que es mostra. items: type: object required: - value - label properties: value: $ref: '#/components/schemas/WebhookEvent' label: type: string description: Etiqueta visible, per exemple `Session status updated`. allowed_return_hosts: type: array maxItems: 20 description: >- Noms d'amfitrió (coincidència exacta, només HTTPS) als quals una verificació independent de cartera de Digital ID pot retornar l'usuari amb el seu `return_url`. El teu domini de marca blanca també està permès sempre. Consulta [Registra la teva destinació de retorn](https://docs.didit.me/ca/standalone-apis/digital-id-wallets#registra-la-teva-destinació-de-retorn). items: type: string maxLength: 253 endpoints: type: array description: >- Totes les destinacions del webhook de l'aplicació, de la més antiga a la més recent, cadascuna amb el seu secret de signatura. Aquí només es poden consultar: gestiona les destinacions amb els endpoints `/v3/webhook/destinations/`. items: $ref: '#/components/schemas/WebhookConfigDestination' allowed_domains: type: array maxItems: 50 items: type: string maxLength: 300 description: >- Orígens (per exemple `https://app.example.com`; `http` només per a `localhost`) on es pot incrustar el flux de verificació allotjat i als quals es pot redirigir l'usuari amb un callback de sessió. Les crides de servidor a servidor no es veuen afectades. Una llista buida significa sense restriccions. Didit emmagatzema cada origen en minúscules sense cap port per defecte. Una entrada no vàlida falla amb `400` a `allowed_domains`. example: - https://app.example.com WebhookEvent: type: string description: >- Nom d'esdeveniment de webhook admès. Utilitza aquestes cadenes exactes a `subscribed_events`; els valors no admesos es rebutgen. enum: - status.updated - data.updated - user.status.updated - user.data.updated - business.status.updated - business.data.updated - activity.created - transaction.created - transaction.status.updated - travel_rule.status.updated - workflow.compliance_changed - transaction_rule_suggestions.created - auth.signup - auth.login - auth.login_failed - auth.password_reset_requested - auth.password_reset_completed - auth.mfa_changed - auth.new_device - auth.account_locked - investigator.report.ready - investigator.decision.automated - investigator.decision.overridden - investigator.decision.contested - investigator.question.raised - investigator.automation.paused - investigator.rfi.answered - investigator.rfi.overdue - investigator.drift.detected - investigator.sla.breached - investigator.qa.failed - investigator.external.report.ready WebhookConfigDestination: type: object description: >- Una destinació del webhook tal com apareix a la configuració del webhook, sense mètriques de lliurament. `GET /v3/webhook/destinations/{destination_uuid}/` afegeix el seu resum de lliurament. required: - uuid - label - url - enabled - webhook_version - secret_shared_key - subscribed_events - created_at - updated_at properties: uuid: type: string format: uuid description: ID de la destinació. label: type: string maxLength: 255 description: Nom llegible per a humans. url: type: string format: uri maxLength: 2000 description: Endpoint HTTPS on Didit envia els esdeveniments. enabled: type: boolean description: '`false` posa en pausa els lliuraments a aquesta destinació.' webhook_version: type: string enum: - v1 - v2 - v3 description: Versió del payload enviat a aquesta destinació. secret_shared_key: type: string description: >- El secret de signatura d'aquesta destinació (token de 43 caràcters segur per a URL). Verifica cada webhook amb el secret de la destinació a la qual s'ha enviat. Les crides amb clau d'API sempre el reben complet; els usuaris de la consola sense `read:webhooks` reben una cadena buida. subscribed_events: type: array uniqueItems: true description: >- Tipus d'esdeveniments lliurats a aquesta destinació. Buit quan la destinació es va crear sense esdeveniments, cas en què no rep res. items: $ref: '#/components/schemas/WebhookEvent' created_at: type: string format: date-time updated_at: type: string format: date-time securitySchemes: ApiKeyAuth: type: apiKey in: header name: x-api-key description: >- La clau d'API de la teva aplicació, des de Developers -> API keys a la Business Console. La clau primària té accés complet. Una clau amb nom pot tenir l'abast limitat: cap, lectura o escriptura per recurs, limitada a determinats fluxos de treball o a sessions aprovades, a una llista d'adreces IP i a una data de caducitat. 401 significa que la clau és incorrecta, revocada o caducada; 403 significa que no s'ha enviat cap clau, que la clau no té accés a aquest recurs o acció, o que la sol·licitud prové d'una adreça fora de la seva llista d'IP; 404 en una ruta de sessió significa que la sessió està fora dels fluxos de treball o estats de la clau. Una clau sense accés a fitxers multimèdia rep els URL d'imatge, vídeo i PDF com a null, i una clau sense permís d'escriptura de sessions rep els enllaços de sessió i els tokens com a null. Consulta https://docs.didit.me/console/api-keys. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.