> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Webhook-Zustellung einer Sitzung abrufen – Didit API > Rufen Sie eine Webhook-Zustellung einer Sitzung ab: die URL, die HTTP-Antwort Ihres Endpoints sowie die exakten Signatur-Header und den JSON-Body von Didit. API-Prompt: Webhook-Zustellung einer Sitzung abrufen Prompt in die Zwischenablage kopieren \

\`Retrieve one webhook delivery of a Didit verification session through the API.

Endpoint:
GET https://verification.didit.me/v3/session/{session_id}/webhook/{webhook_uuid}
(no trailing slash)

Authentication:
Send my Didit API key in the x-api-key header. A scoped key needs sessions: read and decisions: read.

Goal:
\- Read exactly what Didit sent to my webhook endpoint for one delivery and what my endpoint answered, to debug a rejected or missing event.

Behavior:
\- {webhook_uuid} is the uuid of an entry from GET /v3/session/{session_id}/webhooks/. It must belong to the session in the path; a delivery of another session returns 404.
\- request_header and request_body are JSON-encoded strings. Parse them with a JSON parser.
\- To check my signature code, recompute X-Signature-V2 from the parsed request_body with my destination's secret (the application-level secret for a delivery sent to the legacy webhook_url) and compare it with the header. A scoped key without media: read or sessions: write receives a redacted body, which no longer matches the signatures.

Example call:
curl -X GET "https://verification.didit.me/v3/session/11111111-2222-3333-4444-555555555555/webhook/9f8e7d6c-5b4a-4321-8fed-cba987654321" \
-H "x-api-key: YOUR_API_KEY"

What to read from the response:
\- response_status: the HTTP status my endpoint returned (null while queued, 504 timeout, 503 connection failure, 400 URL refused as unsafe).
\- request_url: where it was sent.
\- request_header: the X-Signature, X-Signature-V2, X-Signature-Simple and X-Timestamp values sent.
\- request_body: the webhook payload (event_id, webhook_type, session_id, status, decision when present).
\- status, webhook_type, created_at.

Failure modes:
\- 401: the API key has expired.
\- 403: missing key (a wrong, revoked or expired key gets 401), a key of another application, a scoped key without the permissions above, or a request from outside the key's IP allowlist.
\- 404: the session does not exist, was deleted, or is outside a scoped key's limits, or the delivery does not belong to this session ({ "detail": "No WebhookLog matches the given query." }).
\- 429: more than 600 reads per minute for this API key; honor Retry-After.

Side effects: none. This is a pure read.

For the full integration shape, see /integration/integration-prompt.`

\
Einfügen in Der Payload in `request_body` entspricht der Beschreibung unter [Webhooks](https://docs.didit.me/de/integration/webhooks.md#payload-struktur), und die Header entsprechen denen unter [Signaturprüfung](https://docs.didit.me/de/integration/webhooks.md#signaturprüfung). Um die Zustellung erneut zu senden, verwenden Sie [Webhook-Zustellung der Sitzung erneut senden](https://docs.didit.me/de/management-api/sessions/resend-webhook.md). ## OpenAPI ````yaml de/openapi-25.json GET /v3/session/{sessionId}/webhook/{webhook_uuid} openapi: 3.0.0 info: version: 3.0.0 title: Didit Verification API description: API für Ausweisverifizierung. Authentifizierung über den x-api-key-Header. servers: - url: https://verification.didit.me security: [] tags: [] paths: /v3/session/{sessionId}/webhook/{webhook_uuid}: get: tags: - Sessions summary: Zustellung des Sitzungs-Webhooks abrufen description: >- Rufen Sie eine Webhook-Zustellung einer Verifizierungssitzung ab: die URL, an die sie ging, den von Ihrem Endpoint zurückgegebenen HTTP-Status sowie die exakten Header und den JSON-Body, die Didit gesendet hat. `request_header` und `request_body` sind JSON-Texte; um Ihre [Signaturprüfung](https://docs.didit.me/de/integration/webhooks#signaturprüfung) zu testen, berechnen Sie `X-Signature-V2` aus dem geparsten Body mit dem gemeinsamen Geheimnis des Ziel-Webhooks neu (oder dem Geheimnis auf Anwendungsebene bei einer Zustellung an die alte Webhook-URL). Der Pfad hat keinen abschließenden Schrägstrich: mit einem solchen wird `404` zurückgegeben. Ein berechtigungsbeschränkter API-Schlüssel benötigt `sessions: read` und `decisions: read`. operationId: get_v3_session_webhook parameters: - name: sessionId in: path required: true description: >- UUID der Verifizierungssitzung, Benutzer (KYC) oder Unternehmen (KYB): die von `POST /v3/session/` zurückgegebene `session_id`. Der Server löst sie für beide Sitzungstypen auf. **Muss eine gültige UUID sein.** Die Route stimmt nur mit wohlgeformten UUIDs überein, sodass ein fehlerhafter Wert vom URL-Router abgelehnt wird, bevor Anwendungscode ausgeführt wird, und die Antwort eine `404`-**HTML**-Seite anstelle des unten gezeigten JSON-Antwortobjekts `{"detail": ...}` ist. schema: type: string format: uuid example: 22222222-3333-4444-5555-666666666666 - name: webhook_uuid in: path required: true description: >- UUID der Zustellung: die `uuid` eines von `GET /v3/session/{sessionId}/webhooks/` zurückgegebenen Eintrags. Sie muss zu der Sitzung im Pfad gehören. schema: type: string format: uuid example: 66666666-7777-8888-9999-000000000001 responses: '200': description: Die Zustellung mit ihren Anfrage-Headern und ihrem Body. content: application/json: schema: $ref: '#/components/schemas/SessionWebhookDelivery' examples: Connection failure: value: uuid: 66666666-7777-8888-9999-000000000001 session_id: 22222222-3333-4444-5555-666666666666 request_url: https://yourapp.com/webhooks/didit response_status: 503 status: In Progress webhook_type: status.updated request_header: >- {"Content-Type": "application/json", "X-Signature": "a5e02a03404e1337a0198e6be15d34abbd053c658a0e51e5d0e78554213ef29b", "X-Signature-V2": "927e7cb770c94ce745939bff73f04aa200015f3bc64795ba46c2aaf78a6cedc5", "X-Signature-Simple": "e37b0d4c716c72bb5ae7127b9cc455d28ab4686e9e22312b4ec2327409a73302", "X-Timestamp": "1792056078", "User-Agent": "DiditWebhook/2.0 +https://didit.me"} request_body: >- {"application_id":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee","created_at":1792056057,"environment":"live","event_id":"33333333-4444-5555-6666-777777777777","sandbox_scenario":null,"session_id":"22222222-3333-4444-5555-666666666666","status":"In Progress","timestamp":1792056078,"vendor_data":"user-123","webhook_type":"status.updated","workflow_id":"44444444-5555-6666-7777-888888888888","workflow_version":3} created_at: '2026-10-15T09:21:18.412345Z' '401': description: >- Der API-Schlüssel ist abgelaufen: Er wurde mit einem Ablaufdatum erstellt, das verstrichen ist. Ein falscher oder widerrufener Schlüssel erhält ebenfalls `401`; ein fehlender Schlüssel erhält `403`. content: application/json: schema: type: object properties: detail: type: string description: Lesbare Fehlermeldung. examples: Expired key: value: detail: This API key has expired. '403': description: >- Die Anfrage ist nicht zulässig. Wenn kein `x-api-key` angegeben ist oder der Schlüssel ungültig oder widerrufen wurde, erhalten Sie `Authentication credentials were not provided or are invalid.` Ein Schlüssel einer anderen Anwendung erhält `You do not have permission to perform this action.` Ein berechtigungsbeschränkter Schlüssel ohne den für diesen Endpoint erforderlichen Zugriff erhält eine Meldung mit dem fehlenden Zugriff, und ein Schlüssel, der außerhalb seiner IP-Allowlist verwendet wird, erhält `This API key can't be used from this IP address.` Eine unbekannte `sessionId` gibt `404` zurück, bevor die Anmeldedaten überprüft werden. content: application/json: schema: type: object properties: detail: type: string description: Lesbare Fehlermeldung. examples: Missing or invalid key: value: detail: >- Authentication credentials were not provided or are invalid. Key of another application: value: detail: You do not have permission to perform this action. Scoped key without sessions read: value: detail: This API key has no read access to sessions. Scoped key without decisions read: value: detail: This API key has no read access to decisions. Outside the IP allowlist: value: detail: This API key can't be used from this IP address. '404': description: >- Die Sitzung existiert nicht oder wurde gelöscht (`Not found.`, Rückgabe vor Prüfung der Anmeldedaten), oder sie liegt außerhalb der Workflow- oder Statusbeschränkungen eines Scoped Keys (`Session not found.`). Eine Zustellung, die nicht existiert, zu einer anderen Sitzung gehört oder nicht mehr verfügbar ist, gibt `No WebhookLog matches the given query.` zurück. content: application/json: schema: type: object properties: detail: type: string description: Lesbare Fehlermeldung. examples: Unknown session: value: detail: Not found. Outside the key's limits: value: detail: Session not found. Delivery not in this session: value: detail: No WebhookLog matches the given query. '429': description: >- Rate-Limit überschritten: Mehr als 600 GET-Anfragen im aktuellen Ein-Minuten-Fenster für diesen API-Schlüssel. Warten Sie `Retry-After` Sekunden vor einem Wiederholungsversuch. headers: Retry-After: description: >- Sekunden, die vor einem Wiederholungsversuch gewartet werden müssen. schema: type: integer minimum: 1 example: 30 X-RateLimit-Limit: description: Im einminütigen Zeitfenster zulässige Anfragen (600). schema: type: integer example: 600 X-RateLimit-Remaining: description: Im aktuellen Zeitfenster verbleibende Anfragen. schema: type: integer example: 0 X-RateLimit-Reset: description: >- Unix-Zeit (Sekunden), zu der das aktuelle Zeitfenster zurückgesetzt wird. schema: type: integer example: 1792056120 X-RateLimit-Scope: description: Name des Budgets, das überschritten wurde. schema: type: string example: generic-get content: application/json: schema: type: object properties: detail: type: string description: Lesbare Fehlermeldung. examples: Throttled: value: detail: >- GET request rate limit exceeded. You can make up to 600 requests per minute. security: - ApiKeyAuth: [] x-codeSamples: - lang: curl label: curl source: >- curl -X GET 'https://verification.didit.me/v3/session/22222222-3333-4444-5555-666666666666/webhook/66666666-7777-8888-9999-000000000001' \ -H 'x-api-key: YOUR_API_KEY' - lang: python label: Python source: |- from didit import Didit # Reads DIDIT_API_KEY. client = Didit() result = client.sessions.webhooks.retrieve( "22222222-3333-4444-5555-666666666666", "66666666-7777-8888-9999-000000000001", ) print(result) - lang: javascript label: Node.js source: |- import Didit from "@didit-protocol/sdk-node"; // Reads DIDIT_API_KEY. const didit = new Didit(); const result = await didit.sessions.webhooks.retrieve( "22222222-3333-4444-5555-666666666666", "66666666-7777-8888-9999-000000000001", ); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Sessions.Webhooks.Retrieve(ctx, \"22222222-3333-4444-5555-666666666666\", \"66666666-7777-8888-9999-000000000001\")\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: >- import me.didit.Didit; // Reads DIDIT_API_KEY. Didit client = new Didit(); var result = client.sessions().webhooks().retrieve("22222222-3333-4444-5555-666666666666", "66666666-7777-8888-9999-000000000001"); System.out.println(result); - lang: php label: PHP source: >- sessions->webhooks->retrieve('22222222-3333-4444-5555-666666666666', '66666666-7777-8888-9999-000000000001'); print_r($result->toArray()); - lang: ruby label: Ruby source: |- require "didit" # Reads DIDIT_API_KEY. didit = Didit::Client.new result = didit.sessions.webhooks.retrieve( "22222222-3333-4444-5555-666666666666", "66666666-7777-8888-9999-000000000001" ) puts result.to_h - lang: csharp label: .NET source: >- using System; using System.Text.Json; using Didit; // Reads DIDIT_API_KEY. using var client = new DiditClient(); var result = await client.Sessions.Webhooks.RetrieveAsync("22222222-3333-4444-5555-666666666666", "66666666-7777-8888-9999-000000000001"); Console.WriteLine(JsonSerializer.Serialize(result)); components: schemas: SessionWebhookDelivery: type: object description: >- Ein für eine Verifizierungssitzung aufgezeichneter Webhook-Zustellversuch mit den exakten Anfrage-Headern und dem Body, die Didit gesendet hat. required: - uuid - session_id - request_url - response_status - status - webhook_type - request_header - request_body - created_at properties: uuid: type: string format: uuid description: >- Zustellungs-ID. Verwenden Sie diese als `{webhook_uuid}`, um diese Zustellung abzurufen oder erneut zu senden. session_id: type: string format: uuid description: Die Sitzung, zu der die Zustellung gehört (die Sitzung im Pfad). request_url: type: string format: uri nullable: true description: URL, an die die Zustellung gesendet wurde. response_status: type: integer nullable: true description: >- HTTP-Status, den Ihr Endpoint zurückgegeben hat. `null`, solange die Zustellung in der Warteschlange steht und noch nicht versucht wurde. Wenn keine HTTP-Antwort empfangen wurde, erfasst Didit einen eigenen Status: `504`, wenn Ihr Endpoint nicht innerhalb von 5 Sekunden geantwortet hat, `503` bei einem Verbindungsfehler, `400`, wenn die URL als unsicher abgelehnt wurde (z. B. eine private oder interne Adresse), und `404` bei jedem anderen Anfragefehler. `400` oder höher gilt als fehlgeschlagene Zustellung. status: type: string nullable: true description: >- Sitzungsstatus zum Zeitpunkt der Ereigniserstellung, beispielsweise `In Progress`, `Approved` oder `Declined`. webhook_type: $ref: '#/components/schemas/WebhookEvent' request_header: type: string description: >- JSON-Text (ein String) der von Didit gesendeten Anfrage-Header: `Content-Type`, `X-Signature`, `X-Signature-V2`, `X-Signature-Simple`, `X-Timestamp` und `User-Agent`. Parsen Sie ihn mit einem JSON-Parser. Er enthält Signaturen, niemals das Signiergeheimnis. request_body: type: string description: >- JSON-Text (ein String) der exakten Payload, die Didit gesendet hat, mit sortierten Schlüsseln, einschließlich `event_id` und `timestamp`. Parsen Sie ihn mit einem JSON-Parser; siehe [Payload-Struktur](https://docs.didit.me/de/integration/webhooks#payload-struktur). Bei einem berechtigungseingeschränkten Schlüssel ohne `media: read` sind Medien-URLs darin `null`; ohne `sessions: write` sind Sitzungs-Token und Links zur gehosteten Verifizierungsseite `null`. Ein auf diese Weise veränderter Body stimmt nicht mehr mit seinen Signaturen überein. Didit speichert den von Ihrem Endpoint zurückgegebenen Antwort-Body nicht. created_at: type: string format: date-time description: Wann die Zustellung erstellt wurde. WebhookEvent: type: string description: >- Name des unterstützten Webhook-Ereignisses. Verwenden Sie genau diese Zeichenfolgen in `subscribed_events`; nicht unterstützte Werte werden abgelehnt. enum: - status.updated - data.updated - user.status.updated - user.data.updated - business.status.updated - business.data.updated - activity.created - transaction.created - transaction.status.updated - travel_rule.status.updated - workflow.compliance_changed - transaction_rule_suggestions.created - auth.signup - auth.login - auth.login_failed - auth.password_reset_requested - auth.password_reset_completed - auth.mfa_changed - auth.new_device - auth.account_locked - investigator.report.ready - investigator.decision.automated - investigator.decision.overridden - investigator.decision.contested - investigator.question.raised - investigator.automation.paused - investigator.rfi.answered - investigator.rfi.overdue - investigator.drift.detected - investigator.sla.breached - investigator.qa.failed - investigator.external.report.ready securitySchemes: ApiKeyAuth: type: apiKey in: header name: x-api-key description: >- Der API-Schlüssel Ihrer Anwendung, aus Entwickler -> API-Schlüssel in der Business Console. Der Primärschlüssel hat Vollzugriff. Ein benannter Schlüssel kann im Geltungsbereich eingeschränkt werden: keine, Lese- oder Schreibberechtigung pro Ressource, beschränkt auf bestimmte Workflows oder genehmigte Sitzungen, auf eine Liste von IP-Adressen und auf ein Ablaufdatum. 401 bedeutet, dass der Schlüssel falsch, widerrufen oder abgelaufen ist; 403 bedeutet, dass kein Schlüssel gesendet wurde, der Schlüssel keinen Zugriff auf diese Ressource oder Aktion hat oder die Anfrage von einer Adresse außerhalb seiner IP-Liste stammte; 404 bei einer Sitzungsroute bedeutet, dass die Sitzung außerhalb der Workflows oder Status des Schlüssels liegt. Ein Schlüssel ohne Medienzugriff erhält Bild-, Video- und PDF-URLs als null, und ein Schlüssel ohne Schreibberechtigung für Sitzungen erhält Sitzungslinks und Token als null. Siehe https://docs.didit.me/console/api-keys. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.