API-Authentifizierung: Sichere KYC-API-Anfragen

API-Schlüssel finden

In Didit sind API-Schlüssel auf eine bestimmte Anwendung innerhalb Ihres Kontos beschränkt. Eine Anwendung ist ein Arbeitsbereich, in dem Sie Workflows konfigurieren und Verifizierungen für ein bestimmtes Projekt oder eine bestimmte Umgebung verwalten können. Jede Anwendung erhält bei ihrer Erstellung einen primären API-Schlüssel mit vollem Zugriff. Sie können daneben weitere Schlüssel hinzufügen, jeweils mit genau den Zugriffsrechten, die ein Dienst oder Partner benötigt. So finden Sie Ihre Schlüssel:

In der Business Console anmelden

Gehen Sie zur Didit Business Console und melden Sie sich an.

Anwendung auswählen

Wählen Sie die Anwendung, mit der Sie arbeiten möchten, aus dem Dropdown-Menü oben aus.

API-Schlüssel öffnen

Navigieren Sie in der linken Seitenleiste zu Entwickler -> API-Schlüssel.

Schlüssel kopieren oder erstellen

Der primäre Schlüssel ist das Geheimnis der Anwendung. Erstellen Sie einen neuen Schlüssel, um einem Dienst oder Partner ein eigenes Geheimnis mit den erforderlichen Berechtigungen zuzuweisen.

Ihr API-Schlüssel ist ein Geheimnis – behandeln Sie ihn wie ein Passwort.Der primäre Schlüssel bietet vollen Zugriff auf die API im Namen Ihrer Anwendung. Machen Sie ihn niemals im Frontend-Code, in öffentlichen Repositories oder clientseitigen Bundles öffentlich zugänglich. Bewahren Sie ihn stets ausschließlich serverseitig auf.

Format des API-Schlüssels

Neue API-Schlüssel beginnen mit sk_live_ für eine Live-Anwendung oder sk_test_ für eine Sandbox-Anwendung, gefolgt von 43 URL-sicheren Zeichen (Buchstaben, Ziffern, - und _). Schlüssel, die vor diesem Format erstellt wurden, haben kein Präfix und funktionieren weiterhin unverändert. Senden Sie den gesamten Schlüssel einschließlich Präfix im Header x-api-key, und weisen Sie einen Schlüssel nicht ab, weil er kein Präfix hat.

Organisations-ID finden

Ihre Organisations-ID ist die UUID, die Ihre Organisation identifiziert. Sie verwenden sie in organisationsbezogenen API-Pfaden wie /auth/v2/organizations/me/{org_id}/applications/. Sie können sie direkt aus der Business Console kopieren, ganz ohne API-Aufruf:

Organisationseinstellungen öffnen

Gehen Sie in der Didit Business Console zu Organisationseinstellungen.

Organisations-ID kopieren

Das Feld Organisations-ID zeigt die UUID Ihrer Organisation neben dem Organisationsnamen an, zusammen mit einer Schaltfläche zum Kopieren in die Zwischenablage.

Authentifizierte Anfragen senden

Um eine API-Anfrage zu authentifizieren, fügen Sie Ihren geheimen API-Schlüssel in den HTTP-Header x-api-key ein. Hier ist ein Beispiel für eine authentifizierte Anfrage an den Endpoint Create Session:

cURL

curl --request POST \
     --url https://verification.didit.me/v3/session/ \
     --header 'accept: application/json' \
     --header 'content-type: application/json' \
     --header 'x-api-key: YOUR_API_KEY' \
     --data '
{
  "workflow_id": "WORKFLOW_ID",
  "vendor_data": "USER_ID",
  "callback": "CALLBACK_URL"
}
'

Fehlerbehandlung

Wenn Ihr API-Schlüssel falsch, fehlerhaft formatiert oder widerrufen ist, gibt die API 401 Unauthorized zurück:

{
  "detail": "Authentication credentials were not provided or are invalid."
}

Ein abgelaufener Schlüssel gibt ebenfalls 401 zurück, mit "detail": "This API key has expired.". Eine Anfrage ohne Schlüssel gibt 403 zurück mit "detail": "You do not have permission to perform this action.".

Statuscode	Bedeutung
401	Der API-Schlüssel ist falsch, fehlerhaft formatiert, widerrufen oder abgelaufen
403	Es wurde kein API-Schlüssel gesendet, der Schlüssel hat keinen Zugriff auf die angeforderte Ressource oder Aktion, oder die Anfrage kam von einer Adresse außerhalb der IP-Liste des Schlüssels
403 mit `"code": "application_deleted"`	Der Schlüssel gehört zu einer Anwendung, die gelöscht wurde. Die API gibt dies für einige Minuten nach der Löschung zurück und weist den Schlüssel danach wie jeden ungültigen Schlüssel ab. Führen Sie keinen Wiederholungsversuch durch: Die Anwendung und ihre Schlüssel existieren nicht mehr.
404	Bei einer Sitzungs-Route: Die Sitzung liegt außerhalb der für den Schlüssel konfigurierten Workflows oder Status

Auf der Seite API-Fehler sind alle Statuscodes, Bodys und Codes aufgeführt.

API-Schlüssel mit eingeschränktem Zugriff

Geben Sie jedem Dienst oder Partner einen eigenen Schlüssel, anstatt den primären Schlüssel zu teilen. Jeder Schlüssel verfügt für jede Ressource über eigene Zugriffsberechtigungen: keine, Lese- oder Schreibberechtigung (Sitzungen, Entscheidungen, Medien, Personen, Unternehmen, Transaktionen, Workflows, Webhooks, Anwendungseinstellungen, Analysen) sowie optionale Einschränkungen auf bestimmte Workflows, nur genehmigte Sitzungen, eine Liste von IP-Adressen und ein Ablaufdatum. Sie können einen Schlüssel mit einer 24-stündigen Überschneidung rotieren und ihn sofort widerrufen. Schlüssel, die vor der Einführung eingeschränkten Zugriffs erstellt wurden, behalten vollen Zugriff. Unter API-Schlüssel finden Sie die Voreinstellungen, die jeweils abgedeckten Ressourcen und Informationen dazu, wie die API auf einen Schlüssel mit eingeschränktem Zugriff reagiert.

Wenn Sie einen 401-Fehler erhalten, prüfen Sie sorgfältig, ob Sie den richtigen API-Schlüssel für die richtige Anwendung verwenden und ob er nicht neu generiert wurde.

Übersicht

Preise

Workflows & Verifizierung

Prüfung & Betrieb

Entitäten (Benutzer & Unternehmen)

Einstellungen & Anpassung

Sicherheit & Compliance

Didit Academy

Ressourcen

API-Authentifizierung: Sichere KYC-API-Anfragen

API-Schlüssel finden

Format des API-Schlüssels

Organisations-ID finden

Authentifizierte Anfragen senden

Fehlerbehandlung

API-Schlüssel mit eingeschränktem Zugriff

​API-Schlüssel finden

​Format des API-Schlüssels

​Organisations-ID finden

​Authentifizierte Anfragen senden

​Fehlerbehandlung

​API-Schlüssel mit eingeschränktem Zugriff

API-Schlüssel finden

Format des API-Schlüssels

Organisations-ID finden

Authentifizierte Anfragen senden

Fehlerbehandlung

API-Schlüssel mit eingeschränktem Zugriff