Zum Hauptinhalt springen
GET
Sitzung abrufen
Authentifizierung ist neu. Diese Endpoints werden vom Aussteller Ihrer Anwendung bereitgestellt, etwa https://<name>.auth.didit.me, und akzeptieren niemals Ihren Didit-API-Schlüssel.
Dies ist die sofortige Widerrufsprüfung. Sie erlaubt pro IP-Adresse 30 Anfragen pro Minute und 300 pro Stunde. Prüfen Sie Token daher bei jeder Anfrage offline und rufen Sie diesen Endpoint vor sensiblen Aktionen auf. Siehe Sitzung prüfen.

Autorisierungen

Authorization
string
header
erforderlich

Das Access Token der Person von POST /token/: ein ES256-JWT mit dem Header typ: at+jwt, gültig für maximal 5 Minuten. Nicht Ihr Didit-API-Schlüssel.

Antwort

Die Sitzung ist aktiv.

Die Live-Sitzung hinter einem Zugriffstoken.

sub
string<uuid>
erforderlich

Die Identitäts-ID.

Beispiel:

"1c9d8b88-1bff-43d1-ad7a-88b2bc0024e9"

sid
string<uuid>
erforderlich

Die Sitzungs-ID.

Beispiel:

"c9abf6cc-2d64-4bf2-b31e-a4d09a070ab1"

application_id
string<uuid>
erforderlich
Beispiel:

"7b0a6c2e-3f41-4c9a-8d55-1e2f3a4b5c6d"

vendor_data
string
erforderlich

Die Referenz der Person über Didit-Produkte hinweg, wie in den Tokens.

Beispiel:

"user-42"

amr
string[]
erforderlich

Welche Anmeldemethode die Sitzung verwendet hat, als einzelner Wert: beispielsweise password, code (E-Mail-Code), magic (Magic Link), passkey, phone, sso, wallet (Didit ID Wallet) oder der Name einer Social-Sign-in-Methode. Leer bei einem Agenten-Token.

Beispiel:
mfa_verified
boolean
erforderlich

Gibt an, ob die Sitzung einen zweiten Faktor bestanden hat. Bei einer Passkey-Anmeldung immer true.

Beispiel:

false

email
string<email> | null
erforderlich
Beispiel:

"person@example.com"

email_verified
boolean
erforderlich
Beispiel:

true

phone
string | null
erforderlich

Telefonnummer im Format E.164 oder null.

Beispiel:

null

verified_identity
object | null
erforderlich

Was die Didit ID Wallet bei der Anmeldung geteilt hat. null, wenn sich die Person auf andere Weise angemeldet hat.

verified
object | null
erforderlich

Verifizierungsstufe und ausgewählte Claims; dasselbe Objekt, das die Tokens als verified tragen, oder null, wenn keine vorhanden sind. Lesen Sie diesen Wert und nicht email_verified, um zu erfahren, ob die Person ihre Identität verifiziert hat.

expires_at
string<date-time>
erforderlich

Wann die Sitzung spätestens endet. Ein Inaktivitäts-Timeout kann sie früher beenden.

Beispiel:

"2026-11-16T10:41:14.347557Z"

post_logout_redirect_uri
string
erforderlich

Wohin Ihre Anwendung die Person nach der Abmeldung weiterleitet. Leere Zeichenfolge, wenn nicht festgelegt.

Beispiel:

"https://app.example.com/"

organizations
object[]
erforderlich

Jede Kundenorganisation, zu der die Person gehört, wenn Organisationen aktiviert sind. Andernfalls leer.

Zuletzt geändert am 7. November 2026