> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Webhook-Konfiguration abrufen – Didit Management API > Didit Webhook-Einstellungen abrufen: Legacy-URL und Secret, Ziele, verfügbare Ereignisse, Datenaufbewahrung und Wallet-Rückgabe-Hosts. Webhook-Konfiguration abrufen – API-Prompt Prompt in die Zwischenablage kopieren \

\`Read my Didit application's webhook configuration through the Management API.

Endpoint:
GET https://verification.didit.me/v3/webhook/

Authentication:
Use the x-api-key header with my Didit API key. A scoped API key needs webhooks: read.

Goal:
\- Get every setting that controls how Didit sends webhooks for my application, plus the data-retention policy and the Digital ID wallet return hosts, in one call. Use it to audit the setup or to show the current configuration in a back office.

Behavior:
\- Didit delivers webhooks to webhook destinations (/v3/webhook/destinations/). Each destination has its own url, webhook_version, secret_shared_key and subscribed_events.
\- webhook_url, webhook_version and secret_shared_key at the top level are the application-level (legacy) webhook. Didit uses them only while the application has no enabled destination, and then only for status.updated and data.updated.
\- Every create, update or delete of a destination sets webhook_url to the URL of the oldest enabled destination, or null when none is enabled.
\- API-key callers always receive the application secret and every destination secret in full.

Example call:
curl -X GET "https://verification.didit.me/v3/webhook/" \
-H "x-api-key: YOUR_API_KEY"

What to read from the response:
\- endpoints: every destination, oldest first, with uuid, label, url, enabled, webhook_version, secret_shared_key and subscribed_events. Verify each webhook with the secret of the destination it was sent to.
\- available_events: every event type you can subscribe a destination to ({ value, label }).
\- webhook_url, webhook_version, secret_shared_key: the legacy webhook, only relevant when no destination is enabled.
\- data_retention_months (null means no automatic deletion), face_retention_policy and face_retention_days: the retention policy.
\- allowed_return_hosts: hosts a Digital ID wallet verification may send the person back to.
\- allowed_domains: web origins the hosted verification flow may be embedded in and may send the user back to; empty means no restriction.
\- capture_method: MOBILE or MOBILE_AND_DESKTOP. A legacy setting with no effect; capture options are set per workflow.

Failure modes:
\- 401: { "detail": "This API key has expired." }
\- 403: { "detail": "You do not have permission to perform this action." } for a missing key (a wrong, revoked or expired key gets 401); { "detail": "This API key has no read access to webhooks." } for a scoped key without webhooks: read.
\- 429: more than 600 GET requests per minute with this key; wait for Retry-After.

Side effects: none. This is a pure read, and the response contains signing secrets: never log it.

For the full integration shape, see /integration/integration-prompt.`

\
Einfügen in Dieser Endpoint gibt den Webhook auf Anwendungsebene zurück, der vor der Einführung von Zielen bestand, zusammen mit der Liste Ihrer Ziele. Didit stellt Webhooks an Ihre [Webhook-Ziele](https://docs.didit.me/de/management-api/webhook/list-destinations.md) zu, und jeder Webhook ist mit dem eigenen `secret_shared_key` des jeweiligen Ziels signiert. Die Felder `webhook_url`, `webhook_version` und `secret_shared_key` auf oberster Ebene werden nur verwendet, solange kein Ziel aktiviert ist, und dann nur für `status.updated` und `data.updated`.> [!WARNING] > > Die Antwort enthält alle Signatur-Geheimnisse Ihrer Anwendung. Halten Sie sie aus Logs und clientseitigem Code fern.Um diese Einstellungen zu ändern, verwenden Sie [Webhook-Konfiguration aktualisieren](https://docs.didit.me/de/management-api/webhook/update-config.md). Informationen zur Signaturprüfung und zu den Payloads finden Sie im [Webhook-Leitfaden](https://docs.didit.me/de/integration/webhooks.md). Zu den Feldern der Datenaufbewahrung siehe [Datenaufbewahrung](https://docs.didit.me/de/console/data-retention.md). ## OpenAPI ````yaml de/openapi-25.json GET /v3/webhook/ openapi: 3.0.0 info: version: 3.0.0 title: Didit Verification API description: API für Ausweisverifizierung. Authentifizierung über den x-api-key-Header. servers: - url: https://verification.didit.me security: [] tags: [] paths: /v3/webhook/: get: tags: - Webhook summary: Webhook-Konfiguration abrufen description: >- Gibt die Webhook-Einstellungen der Anwendung in einem einzigen Aufruf zurück: jedes [Webhook-Ziel](https://docs.didit.me/de/management-api/webhook/list-destinations) mit seinem Signatur-Geheimnis, die Ereignistypen, die ein Ziel abonnieren kann, die (Legacy-)Webhook-URL, Version und das Geheimnis auf Anwendungsebene, die Aufbewahrungsrichtlinie für Daten und biometrische Templates sowie die Return-Hosts der Digital ID Wallet. Didit stellt Webhooks an Ziele zu, die jeweils mit ihrem eigenen `secret_shared_key` signiert sind; die übergeordneten Felder `webhook_url`, `webhook_version` und `secret_shared_key` werden nur verwendet, solange kein Ziel aktiviert ist, und dann nur für `status.updated` und `data.updated`. Die Antwort enthält Signatur-Geheimnisse, halten Sie sie daher von Logs und clientseitigem Code fern. Ein API-Schlüssel mit eingeschränktem Geltungsbereich benötigt `webhooks: read`. operationId: get_webhook_config parameters: [] responses: '200': description: Die Webhook-Konfiguration. content: application/json: schema: $ref: '#/components/schemas/WebhookConfig' examples: One destination: value: webhook_url: https://yourapp.com/webhooks/didit webhook_version: v3 secret_shared_key: dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA capture_method: MOBILE data_retention_months: 24 face_retention_policy: delete_with_session face_retention_days: null biometric_consent_mode: auto available_events: - value: status.updated label: Session status updated - value: data.updated label: Session data updated - value: user.status.updated label: User status updated - value: user.data.updated label: User data updated - value: business.status.updated label: Business status updated - value: business.data.updated label: Business data updated - value: activity.created label: Activity created - value: transaction.created label: Transaction created - value: transaction.status.updated label: Transaction status updated - value: travel_rule.status.updated label: Travel Rule Status Updated - value: workflow.compliance_changed label: Workflow Compliance Changed allowed_return_hosts: - shop.example.com endpoints: - uuid: 11111111-2222-3333-4444-555555555555 label: Production session webhooks url: https://yourapp.com/webhooks/didit enabled: true webhook_version: v3 secret_shared_key: dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA subscribed_events: - status.updated - data.updated created_at: '2026-01-04T08:00:00.000000Z' updated_at: '2026-04-22T14:09:11.523671Z' '401': description: >- Der API-Schlüssel ist abgelaufen: Er wurde mit einem Ablaufdatum erstellt, das verstrichen ist. Ein falscher oder widerrufener Schlüssel erhält ebenfalls `401`; ein fehlender Schlüssel erhält `403`. content: application/json: schema: type: object properties: detail: type: string description: Lesbare Fehlermeldung. examples: Expired key: value: detail: This API key has expired. '403': description: >- Die Anfrage ist nicht zulässig. Bei einem fehlenden, ungültigen oder widerrufenen `x-api-key` erhalten Sie `You do not have permission to perform this action.` Ein berechtigungsbeschränkter Schlüssel ohne den für diesen Endpoint erforderlichen Zugriff erhält eine Meldung mit dem fehlenden Zugriff, und ein Schlüssel, der außerhalb seiner IP-Allowlist verwendet wird, erhält `This API key can't be used from this IP address.` content: application/json: schema: type: object properties: detail: type: string description: Lesbare Fehlermeldung. examples: Missing or invalid key: value: detail: You do not have permission to perform this action. Scoped key without webhooks read: value: detail: This API key has no read access to webhooks. Outside the IP allowlist: value: detail: This API key can't be used from this IP address. '429': description: >- Rate-Limit überschritten: Mehr als 600 GET-Anfragen im aktuellen Ein-Minuten-Fenster für diesen API-Schlüssel. Warten Sie `Retry-After` Sekunden vor einem Wiederholungsversuch. headers: Retry-After: description: >- Sekunden, die vor einem Wiederholungsversuch gewartet werden müssen. schema: type: integer minimum: 1 example: 30 X-RateLimit-Limit: description: Im einminütigen Zeitfenster zulässige Anfragen (600). schema: type: integer example: 600 X-RateLimit-Remaining: description: Im aktuellen Zeitfenster verbleibende Anfragen. schema: type: integer example: 0 X-RateLimit-Reset: description: >- Unix-Zeit (Sekunden), zu der das aktuelle Zeitfenster zurückgesetzt wird. schema: type: integer example: 1792056120 X-RateLimit-Scope: description: Name des Budgets, das überschritten wurde. schema: type: string example: generic-get content: application/json: schema: type: object properties: detail: type: string description: Lesbare Fehlermeldung. examples: Throttled: value: detail: >- GET request rate limit exceeded. You can make up to 600 requests per minute. security: - ApiKeyAuth: [] x-codeSamples: - lang: curl label: curl source: |- curl -X GET 'https://verification.didit.me/v3/webhook/' \ -H 'x-api-key: YOUR_API_KEY' - lang: python label: Python source: |- from didit import Didit # Reads DIDIT_API_KEY. client = Didit() result = client.webhooks.retrieve_config() print(result) - lang: javascript label: Node.js source: |- import Didit from "@didit-protocol/sdk-node"; // Reads DIDIT_API_KEY. const didit = new Didit(); const result = await didit.webhooks.retrieveConfig(); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Webhooks.RetrieveConfig(ctx)\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: |- import me.didit.Didit; // Reads DIDIT_API_KEY. Didit client = new Didit(); var result = client.webhooks().retrieveConfig(); System.out.println(result); - lang: php label: PHP source: |- webhooks->retrieveConfig(); print_r($result->toArray()); - lang: ruby label: Ruby source: |- require "didit" # Reads DIDIT_API_KEY. didit = Didit::Client.new result = didit.webhooks.retrieve_config puts result.to_h - lang: csharp label: .NET source: |- using System; using System.Text.Json; using Didit; // Reads DIDIT_API_KEY. using var client = new DiditClient(); var result = await client.Webhooks.RetrieveConfigAsync(); Console.WriteLine(JsonSerializer.Serialize(result)); components: schemas: WebhookConfig: type: object description: >- Webhook-Konfiguration auf Anwendungsebene, Aufbewahrungsrichtlinie und Hosts für die Rückgabe der Digital-ID-Wallet sowie alle Webhook-Ziele. required: - webhook_url - webhook_version - secret_shared_key - capture_method - data_retention_months - face_retention_policy - face_retention_days - available_events - allowed_return_hosts - endpoints properties: webhook_url: type: string format: uri nullable: true description: >- Webhook-URL auf Anwendungsebene (Legacy). Didit sendet nur daran, solange die Anwendung kein aktiviertes Ziel hat, und dann nur `status.updated` und `data.updated`. Jedes Erstellen, Aktualisieren oder Löschen eines Ziels setzt sie auf die URL des ältesten aktivierten Ziels bzw. auf `null`, wenn keines aktiviert ist. webhook_version: type: string enum: - v1 - v2 - v3 description: >- Payload-Version der Legacy-`webhook_url`. Jedes Ziel hat eine eigene `webhook_version`. secret_shared_key: type: string description: >- Signaturgeheimnis auf Anwendungsebene (43 Zeichen langes URL-sicheres Token). Es signiert ausschließlich Zustellungen an die Legacy-`webhook_url`; jedes Ziel signiert mit seinem eigenen `secret_shared_key`. Aufrufer mit API-Schlüssel erhalten es immer vollständig; Console-Benutzer ohne `read:webhooks` erhalten eine leere Zeichenfolge. capture_method: type: string enum: - MOBILE - MOBILE_AND_DESKTOP description: >- Veraltete Anwendungseinstellung. Der Verifizierungsablauf liest diesen Wert nicht aus: Erfassungsoptionen werden pro Workflow konfiguriert. data_retention_months: type: integer nullable: true minimum: 1 maximum: 120 description: >- Automatisches Löschfenster. Sitzungen zur Benutzerverifizierung, die vor mehr als der angegebenen Anzahl von Monaten erstellt wurden (ein Monat entspricht 30 Tagen), werden automatisch gelöscht, und diese Löschung ist unwiderruflich. `null` bedeutet, dass Sitzungen niemals automatisch gelöscht werden. Siehe [Datenaufbewahrung](https://docs.didit.me/de/console/data-retention). face_retention_policy: type: string enum: - delete_with_session - retain_until_user_deleted description: >- Was mit dem Gesichts-Embedding einer Sitzung passiert, wenn die Sitzung gelöscht wird. `delete_with_session` (Standard) löscht es mit der Sitzung. `retain_until_user_deleted` ist das Opt-in für die [Aufbewahrung biometrischer Templates](https://docs.didit.me/de/console/data-retention#aufbewahrung-biometrischer-templates): Ein mit dem Benutzer verknüpftes bildfreies biometrisches Template wird separat verwaltet, bis seine Aufbewahrungsfrist endet, der Benutzer gelöscht wird oder Sie es bereinigen. face_retention_days: type: integer nullable: true minimum: 1 maximum: 3650 description: >- Aufbewahrungsfrist in Tagen für biometrische Templates unter `retain_until_user_deleted`. Erforderlich, wenn diese Richtlinie festgelegt ist. biometric_consent_mode: type: string enum: - auto - always - never description: >- Wann der gehostete Ablauf und die nativen SDKs die Person vor einer Gesichtserfassung um eine ausdrückliche biometrische Einwilligung bitten. `auto` (Standard) fragt nur ab, wenn ein Auslöser zutrifft: Ein angegebener Bundesstaat, die IP-Adresse der Person oder der Aussteller des Ausweisdokuments liegt in Illinois, Texas oder Colorado, oder die Person scheint sich ohne bekannten Bundesstaat in den USA zu befinden. `always` fragt jede Person ab, deren Workflow ein Gesicht erfasst. `never` zeigt den Schritt nie an, und Sie holen die Einwilligung vor dem Selfie selbst ein. Jede Änderung wird im Audit-Log protokolliert. Siehe [Biometrische Einwilligung](https://docs.didit.me/de/getting-started/biometric-consent). available_events: type: array description: >- Jeder Ereignistyp, den ein Ziel abonnieren kann, mit einer Anzeigebezeichnung. items: type: object required: - value - label properties: value: $ref: '#/components/schemas/WebhookEvent' label: type: string description: Anzeigebezeichnung, zum Beispiel `Session status updated`. allowed_return_hosts: type: array maxItems: 20 description: >- Hostnamen (exakte Übereinstimmung, nur HTTPS), zu denen eine eigenständige Digital-ID-Wallet-Verifizierung den Benutzer mit ihrer `return_url` zurücksenden darf. Ihre White-Label-Domain ist ebenfalls stets zulässig. Siehe [Registrieren Sie Ihr Rückkehrziel](https://docs.didit.me/de/standalone-apis/digital-id-wallets#ihr-rückgabeziel-registrieren). items: type: string maxLength: 253 endpoints: type: array description: >- Jedes Webhook-Ziel der Anwendung, das älteste zuerst, jeweils mit seinem Signaturgeheimnis. Hier schreibgeschützt: Verwalten Sie Ziele über die `/v3/webhook/destinations/`-Endpoints. items: $ref: '#/components/schemas/WebhookConfigDestination' allowed_domains: type: array maxItems: 50 items: type: string maxLength: 300 description: >- Origins (zum Beispiel `https://app.example.com`; `http` nur für `localhost`), in die der gehostete Verifizierungs-Workflow eingebettet werden darf und an die der Benutzer mit einem Sitzungs-Callback zurückgeleitet werden darf. Server-zu-Server-Aufrufe sind davon nicht betroffen. Eine leere Liste bedeutet keine Einschränkung. Didit speichert jeden Origin in Kleinbuchstaben ohne Standard-Port. Ein ungültiger Eintrag schlägt mit `400` bei `allowed_domains` fehl. example: - https://app.example.com WebhookEvent: type: string description: >- Name des unterstützten Webhook-Ereignisses. Verwenden Sie genau diese Zeichenfolgen in `subscribed_events`; nicht unterstützte Werte werden abgelehnt. enum: - status.updated - data.updated - user.status.updated - user.data.updated - business.status.updated - business.data.updated - activity.created - transaction.created - transaction.status.updated - travel_rule.status.updated - workflow.compliance_changed - transaction_rule_suggestions.created - auth.signup - auth.login - auth.login_failed - auth.password_reset_requested - auth.password_reset_completed - auth.mfa_changed - auth.new_device - auth.account_locked - investigator.report.ready - investigator.decision.automated - investigator.decision.overridden - investigator.decision.contested - investigator.question.raised - investigator.automation.paused - investigator.rfi.answered - investigator.rfi.overdue - investigator.drift.detected - investigator.sla.breached - investigator.qa.failed - investigator.external.report.ready WebhookConfigDestination: type: object description: >- Ein Webhook-Ziel wie in der Webhook-Konfiguration aufgeführt, ohne Zustellungsmetriken. `GET /v3/webhook/destinations/{destination_uuid}/` fügt dessen Zustellungsübersicht hinzu. required: - uuid - label - url - enabled - webhook_version - secret_shared_key - subscribed_events - created_at - updated_at properties: uuid: type: string format: uuid description: Ziel-ID. label: type: string maxLength: 255 description: Für Menschen lesbarer Name. url: type: string format: uri maxLength: 2000 description: HTTPS-Endpoint, an den Didit Ereignisse sendet. enabled: type: boolean description: '`false` pausiert Zustellungen an dieses Ziel.' webhook_version: type: string enum: - v1 - v2 - v3 description: Payload-Version, die an dieses Ziel gesendet wird. secret_shared_key: type: string description: >- Das Signaturgeheimnis dieses Ziels (URL-sicherer Token mit 43 Zeichen). Verifizieren Sie jeden Webhook mit dem Geheimnis des Ziels, an das er gesendet wurde. Aufrufer mit API-Schlüssel erhalten es immer vollständig; Console-Benutzer ohne `read:webhooks` erhalten eine leere Zeichenfolge. subscribed_events: type: array uniqueItems: true description: >- Ereignistypen, die an dieses Ziel zugestellt werden. Leer, wenn das Ziel ohne Ereignisse erstellt wurde; in diesem Fall empfängt es nichts. items: $ref: '#/components/schemas/WebhookEvent' created_at: type: string format: date-time updated_at: type: string format: date-time securitySchemes: ApiKeyAuth: type: apiKey in: header name: x-api-key description: >- Der API-Schlüssel Ihrer Anwendung, aus Entwickler -> API-Schlüssel in der Business Console. Der Primärschlüssel hat Vollzugriff. Ein benannter Schlüssel kann im Geltungsbereich eingeschränkt werden: keine, Lese- oder Schreibberechtigung pro Ressource, beschränkt auf bestimmte Workflows oder genehmigte Sitzungen, auf eine Liste von IP-Adressen und auf ein Ablaufdatum. 401 bedeutet, dass der Schlüssel falsch, widerrufen oder abgelaufen ist; 403 bedeutet, dass kein Schlüssel gesendet wurde, der Schlüssel keinen Zugriff auf diese Ressource oder Aktion hat oder die Anfrage von einer Adresse außerhalb seiner IP-Liste stammte; 404 bei einer Sitzungsroute bedeutet, dass die Sitzung außerhalb der Workflows oder Status des Schlüssels liegt. Ein Schlüssel ohne Medienzugriff erhält Bild-, Video- und PDF-URLs als null, und ein Schlüssel ohne Schreibberechtigung für Sitzungen erhält Sitzungslinks und Token als null. Siehe https://docs.didit.me/console/api-keys. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.