Erste Schritte
Integrieren / SDKs
Benutzerverifizierung
Unternehmensverifizierung
Transaktionsüberwachung
Changelogcurl -X PATCH 'https://verification.didit.me/v3/webhook/' \
-H 'x-api-key: YOUR_API_KEY' \
-H 'Content-Type: application/json' \
-d '{"face_retention_policy": "retain_until_user_deleted", "face_retention_days": 365}'from didit import Didit
# Reads DIDIT_API_KEY.
client = Didit()
result = client.webhooks.update_config(
face_retention_policy="retain_until_user_deleted",
face_retention_days=365,
biometric_consent_mode="auto",
)
print(result)import Didit from "@didit-protocol/sdk-node";
// Reads DIDIT_API_KEY.
const didit = new Didit();
const result = await didit.webhooks.updateConfig({
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto",
});
console.log(result);import me.didit.Didit;
import me.didit.types.WebhooksUpdateConfigParams;
// Reads DIDIT_API_KEY.
Didit client = new Didit();
var result = client.webhooks().updateConfig(WebhooksUpdateConfigParams.builder()
.faceRetentionPolicy(WebhooksUpdateConfigParams.FaceRetentionPolicy.of("retain_until_user_deleted"))
.faceRetentionDays(365L)
.biometricConsentMode(WebhooksUpdateConfigParams.BiometricConsentMode.of("auto"))
.build());
System.out.println(result);<?php
require 'vendor/autoload.php';
use Didit\DiditClient;
// Reads DIDIT_API_KEY.
$didit = new DiditClient();
$result = $didit->webhooks->updateConfig([
'face_retention_policy' => 'retain_until_user_deleted',
'face_retention_days' => 365,
'biometric_consent_mode' => 'auto',
]);
print_r($result->toArray());require "didit"
# Reads DIDIT_API_KEY.
didit = Didit::Client.new
result = didit.webhooks.update_config(
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto"
)
puts result.to_husing System;
using System.Text.Json;
using Didit;
// Reads DIDIT_API_KEY.
using var client = new DiditClient();
var result = await client.Webhooks.UpdateConfigAsync(new WebhooksUpdateConfigParams
{
FaceRetentionPolicy = new WebhooksUpdateConfigParamsFaceRetentionPolicy("retain_until_user_deleted"),
FaceRetentionDays = 365,
BiometricConsentMode = new WebhooksUpdateConfigParamsBiometricConsentMode("auto"),
});
Console.WriteLine(JsonSerializer.Serialize(result));package main
import (
"fmt"
"strings"
"net/http"
"io"
)
func main() {
url := "https://verification.didit.me/v3/webhook/"
payload := strings.NewReader("{\n \"face_retention_policy\": \"retain_until_user_deleted\",\n \"face_retention_days\": 365,\n \"biometric_consent_mode\": \"auto\"\n}")
req, _ := http.NewRequest("PATCH", url, payload)
req.Header.Add("x-api-key", "<api-key>")
req.Header.Add("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := io.ReadAll(res.Body)
fmt.Println(string(body))
}{
"webhook_url": "https://yourapp.com/webhooks/didit",
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA",
"capture_method": "MOBILE",
"data_retention_months": 24,
"face_retention_policy": "retain_until_user_deleted",
"face_retention_days": 365,
"biometric_consent_mode": "auto",
"available_events": [
{
"value": "status.updated",
"label": "Session status updated"
},
{
"value": "data.updated",
"label": "Session data updated"
},
{
"value": "user.status.updated",
"label": "User status updated"
},
{
"value": "user.data.updated",
"label": "User data updated"
},
{
"value": "business.status.updated",
"label": "Business status updated"
},
{
"value": "business.data.updated",
"label": "Business data updated"
},
{
"value": "activity.created",
"label": "Activity created"
},
{
"value": "transaction.created",
"label": "Transaction created"
},
{
"value": "transaction.status.updated",
"label": "Transaction status updated"
},
{
"value": "travel_rule.status.updated",
"label": "Travel Rule Status Updated"
},
{
"value": "workflow.compliance_changed",
"label": "Workflow Compliance Changed"
}
],
"allowed_return_hosts": [
"shop.example.com"
],
"endpoints": [
{
"uuid": "11111111-2222-3333-4444-555555555555",
"label": "Production session webhooks",
"url": "https://yourapp.com/webhooks/didit",
"enabled": true,
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA",
"subscribed_events": [
"status.updated",
"data.updated"
],
"created_at": "2026-01-04T08:00:00.000000Z",
"updated_at": "2026-04-22T14:09:11.523671Z"
}
]
}Webhook-Konfiguration aktualisieren: Management API
Aktualisieren Sie mit der Didit Management API Webhook, Secret, Datenaufbewahrung und Rückgabe-Hosts der Digital-ID-Wallet.
curl -X PATCH 'https://verification.didit.me/v3/webhook/' \
-H 'x-api-key: YOUR_API_KEY' \
-H 'Content-Type: application/json' \
-d '{"face_retention_policy": "retain_until_user_deleted", "face_retention_days": 365}'from didit import Didit
# Reads DIDIT_API_KEY.
client = Didit()
result = client.webhooks.update_config(
face_retention_policy="retain_until_user_deleted",
face_retention_days=365,
biometric_consent_mode="auto",
)
print(result)import Didit from "@didit-protocol/sdk-node";
// Reads DIDIT_API_KEY.
const didit = new Didit();
const result = await didit.webhooks.updateConfig({
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto",
});
console.log(result);import me.didit.Didit;
import me.didit.types.WebhooksUpdateConfigParams;
// Reads DIDIT_API_KEY.
Didit client = new Didit();
var result = client.webhooks().updateConfig(WebhooksUpdateConfigParams.builder()
.faceRetentionPolicy(WebhooksUpdateConfigParams.FaceRetentionPolicy.of("retain_until_user_deleted"))
.faceRetentionDays(365L)
.biometricConsentMode(WebhooksUpdateConfigParams.BiometricConsentMode.of("auto"))
.build());
System.out.println(result);<?php
require 'vendor/autoload.php';
use Didit\DiditClient;
// Reads DIDIT_API_KEY.
$didit = new DiditClient();
$result = $didit->webhooks->updateConfig([
'face_retention_policy' => 'retain_until_user_deleted',
'face_retention_days' => 365,
'biometric_consent_mode' => 'auto',
]);
print_r($result->toArray());require "didit"
# Reads DIDIT_API_KEY.
didit = Didit::Client.new
result = didit.webhooks.update_config(
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto"
)
puts result.to_husing System;
using System.Text.Json;
using Didit;
// Reads DIDIT_API_KEY.
using var client = new DiditClient();
var result = await client.Webhooks.UpdateConfigAsync(new WebhooksUpdateConfigParams
{
FaceRetentionPolicy = new WebhooksUpdateConfigParamsFaceRetentionPolicy("retain_until_user_deleted"),
FaceRetentionDays = 365,
BiometricConsentMode = new WebhooksUpdateConfigParamsBiometricConsentMode("auto"),
});
Console.WriteLine(JsonSerializer.Serialize(result));package main
import (
"fmt"
"strings"
"net/http"
"io"
)
func main() {
url := "https://verification.didit.me/v3/webhook/"
payload := strings.NewReader("{\n \"face_retention_policy\": \"retain_until_user_deleted\",\n \"face_retention_days\": 365,\n \"biometric_consent_mode\": \"auto\"\n}")
req, _ := http.NewRequest("PATCH", url, payload)
req.Header.Add("x-api-key", "<api-key>")
req.Header.Add("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := io.ReadAll(res.Body)
fmt.Println(string(body))
}{
"webhook_url": "https://yourapp.com/webhooks/didit",
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA",
"capture_method": "MOBILE",
"data_retention_months": 24,
"face_retention_policy": "retain_until_user_deleted",
"face_retention_days": 365,
"biometric_consent_mode": "auto",
"available_events": [
{
"value": "status.updated",
"label": "Session status updated"
},
{
"value": "data.updated",
"label": "Session data updated"
},
{
"value": "user.status.updated",
"label": "User status updated"
},
{
"value": "user.data.updated",
"label": "User data updated"
},
{
"value": "business.status.updated",
"label": "Business status updated"
},
{
"value": "business.data.updated",
"label": "Business data updated"
},
{
"value": "activity.created",
"label": "Activity created"
},
{
"value": "transaction.created",
"label": "Transaction created"
},
{
"value": "transaction.status.updated",
"label": "Transaction status updated"
},
{
"value": "travel_rule.status.updated",
"label": "Travel Rule Status Updated"
},
{
"value": "workflow.compliance_changed",
"label": "Workflow Compliance Changed"
}
],
"allowed_return_hosts": [
"shop.example.com"
],
"endpoints": [
{
"uuid": "11111111-2222-3333-4444-555555555555",
"label": "Production session webhooks",
"url": "https://yourapp.com/webhooks/didit",
"enabled": true,
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA",
"subscribed_events": [
"status.updated",
"data.updated"
],
"created_at": "2026-01-04T08:00:00.000000Z",
"updated_at": "2026-04-22T14:09:11.523671Z"
}
]
}rotate_secret_key rotiert nur das Geheimnis auf Anwendungsebene, das Zustellungen an den veralteten webhook_url signiert. Jedes Webhook-Ziel signiert mit seinem eigenen secret_shared_key, den dieser Aufruf nicht ändert.allowed_return_hosts wird unter Rückgabeziel registrieren beschrieben.
biometric_consent_mode (auto, always oder never) legt fest, wann der Verifizierungsablauf vor einer Gesichtsaufnahme eine ausdrückliche biometrische Einwilligung anfordert. Siehe Biometrische Einwilligung.
Um zuerst die aktuellen Werte abzurufen, rufen Sie Webhook-Konfiguration abrufen auf.Autorisierungen
Der API-Schlüssel Ihrer Anwendung, aus Entwickler -> API-Schlüssel in der Business Console. Der Primärschlüssel hat Vollzugriff. Ein benannter Schlüssel kann im Geltungsbereich eingeschränkt werden: keine, Lese- oder Schreibberechtigung pro Ressource, beschränkt auf bestimmte Workflows oder genehmigte Sitzungen, auf eine Liste von IP-Adressen und auf ein Ablaufdatum. 401 bedeutet, dass der Schlüssel falsch, widerrufen oder abgelaufen ist; 403 bedeutet, dass kein Schlüssel gesendet wurde, der Schlüssel keinen Zugriff auf diese Ressource oder Aktion hat oder die Anfrage von einer Adresse außerhalb seiner IP-Liste stammte; 404 bei einer Sitzungsroute bedeutet, dass die Sitzung außerhalb der Workflows oder Status des Schlüssels liegt. Ein Schlüssel ohne Medienzugriff erhält Bild-, Video- und PDF-URLs als null, und ein Schlüssel ohne Schreibberechtigung für Sitzungen erhält Sitzungslinks und Token als null. Siehe https://docs.didit.me/console/api-keys.
Body
Senden Sie nur die zu ändernden Felder. Webhook-Ziele werden hier nicht verwaltet.
Veraltete Webhook-URL auf Anwendungsebene. Didit verwendet diese nur, solange die Anwendung über kein aktiviertes Ziel verfügt, und auch dann nur für status.updated und data.updated. Sie erstellt kein Ziel, und das nächste Erstellen, Aktualisieren oder Löschen eines Ziels ersetzt sie. Um Webhooks zu empfangen, erstellen Sie stattdessen ein Ziel mit POST /v3/webhook/destinations/.
2000Payload-Version der Legacy-webhook_url.
v1, v2, v3 true ersetzt den secret_shared_key auf Anwendungsebene sofort durch einen neuen Zufallswert; der neue Wert ist in der Antwort enthalten. Ziel-Geheimnisse werden nicht geändert. Jeder Aufruf mit true generiert ein neues Geheimnis und ist daher nicht idempotent.
Veraltete Anwendungseinstellung. Der Verifizierungsablauf liest diesen Wert nicht aus.
MOBILE, MOBILE_AND_DESKTOP Automatisches Löschzeitfenster in Monaten (ein Monat zählt als 30 Tage) oder null für keine automatische Löschung. Eine Änderung gilt auch für bestehende Sitzungen: Jede Benutzerverifizierungssitzung, die älter als das neue Zeitfenster ist, wird automatisch gelöscht, und diese Löschung ist unwiderruflich.
1 <= x <= 120Was mit dem Gesichts-Embedding einer Sitzung passiert, wenn die Sitzung gelöscht wird. retain_until_user_deleted erfordert face_retention_days in derselben Anfrage oder dass der Wert bereits festgelegt ist. Eine Änderung gilt für Sitzungslöschungen ab diesem Zeitpunkt; sie erstellt oder bereinigt kein bestehendes biometrisches Template.
delete_with_session, retain_until_user_deleted Aufbewahrungsfrist in Tagen für biometrische Templates unter retain_until_user_deleted.
1 <= x <= 3650Wann der gehostete Ablauf und die nativen SDKs die Person vor einer Gesichtserfassung um eine ausdrückliche biometrische Einwilligung bitten. auto (Standard) fragt nur ab, wenn ein Auslöser zutrifft: Ein angegebener Bundesstaat, die IP-Adresse der Person oder der Aussteller des Ausweisdokuments liegt in Illinois, Texas oder Colorado, oder die Person scheint sich ohne bekannten Bundesstaat in den USA zu befinden. always fragt jede Person ab, deren Workflow ein Gesicht erfasst. never zeigt den Schritt nie an, und Sie holen die Einwilligung vor dem Selfie selbst ein. Jede Änderung wird im Audit-Log protokolliert. Siehe Biometrische Einwilligung.
auto, always, never Ersetzt die gesamte Liste der Rückkehr-Hosts für Digital-ID-Wallets. Nur reine Hostnamen wie shop.example.com: kein Schema, Port, Pfad oder Wildcard. Werte werden in Kleinbuchstaben umgewandelt und Duplikate entfernt. Senden Sie [], um die Liste zu leeren.
20253Ersetzt die gesamte Liste der zulässigen Origins. Origins (z. B. https://app.example.com; http nur für localhost), in die der gehostete Verifizierungs-Workflow eingebettet werden darf und an die der Benutzer mit einem Sitzungs-Callback zurückgesendet werden darf. Server-zu-Server-Aufrufe sind nicht betroffen. Eine leere Liste bedeutet keine Einschränkung. Didit speichert jeden Origin in Kleinbuchstaben ohne Standard-Port. Ein ungültiger Eintrag schlägt mit 400 für allowed_domains fehl. Senden Sie [], um die Einschränkung aufzuheben.
50300["https://app.example.com"]
Antwort
Die vollständige Konfiguration nach der Aktualisierung, in derselben Struktur wie GET /v3/webhook/. Wenn Sie das Geheimnis rotiert haben, speichern Sie den neuen secret_shared_key, bevor Sie die Antwort verwerfen.
Webhook-Konfiguration auf Anwendungsebene, Aufbewahrungsrichtlinie und Hosts für die Rückgabe der Digital-ID-Wallet sowie alle Webhook-Ziele.
Webhook-URL auf Anwendungsebene (Legacy). Didit sendet nur daran, solange die Anwendung kein aktiviertes Ziel hat, und dann nur status.updated und data.updated. Jedes Erstellen, Aktualisieren oder Löschen eines Ziels setzt sie auf die URL des ältesten aktivierten Ziels bzw. auf null, wenn keines aktiviert ist.
Payload-Version der Legacy-webhook_url. Jedes Ziel hat eine eigene webhook_version.
v1, v2, v3 Signaturgeheimnis auf Anwendungsebene (43 Zeichen langes URL-sicheres Token). Es signiert ausschließlich Zustellungen an die Legacy-webhook_url; jedes Ziel signiert mit seinem eigenen secret_shared_key. Aufrufer mit API-Schlüssel erhalten es immer vollständig; Console-Benutzer ohne read:webhooks erhalten eine leere Zeichenfolge.
Veraltete Anwendungseinstellung. Der Verifizierungsablauf liest diesen Wert nicht aus: Erfassungsoptionen werden pro Workflow konfiguriert.
MOBILE, MOBILE_AND_DESKTOP Automatisches Löschfenster. Sitzungen zur Benutzerverifizierung, die vor mehr als der angegebenen Anzahl von Monaten erstellt wurden (ein Monat entspricht 30 Tagen), werden automatisch gelöscht, und diese Löschung ist unwiderruflich. null bedeutet, dass Sitzungen niemals automatisch gelöscht werden. Siehe Datenaufbewahrung.
1 <= x <= 120Was mit dem Gesichts-Embedding einer Sitzung passiert, wenn die Sitzung gelöscht wird. delete_with_session (Standard) löscht es mit der Sitzung. retain_until_user_deleted ist das Opt-in für die Aufbewahrung biometrischer Templates: Ein mit dem Benutzer verknüpftes bildfreies biometrisches Template wird separat verwaltet, bis seine Aufbewahrungsfrist endet, der Benutzer gelöscht wird oder Sie es bereinigen.
delete_with_session, retain_until_user_deleted Aufbewahrungsfrist in Tagen für biometrische Templates unter retain_until_user_deleted. Erforderlich, wenn diese Richtlinie festgelegt ist.
1 <= x <= 3650Jeder Ereignistyp, den ein Ziel abonnieren kann, mit einer Anzeigebezeichnung.
Show child attributes
Show child attributes
Hostnamen (exakte Übereinstimmung, nur HTTPS), zu denen eine eigenständige Digital-ID-Wallet-Verifizierung den Benutzer mit ihrer return_url zurücksenden darf. Ihre White-Label-Domain ist ebenfalls stets zulässig. Siehe Registrieren Sie Ihr Rückkehrziel.
20253Jedes Webhook-Ziel der Anwendung, das älteste zuerst, jeweils mit seinem Signaturgeheimnis. Hier schreibgeschützt: Verwalten Sie Ziele über die /v3/webhook/destinations/-Endpoints.
Show child attributes
Show child attributes
Wann der gehostete Ablauf und die nativen SDKs die Person vor einer Gesichtserfassung um eine ausdrückliche biometrische Einwilligung bitten. auto (Standard) fragt nur ab, wenn ein Auslöser zutrifft: Ein angegebener Bundesstaat, die IP-Adresse der Person oder der Aussteller des Ausweisdokuments liegt in Illinois, Texas oder Colorado, oder die Person scheint sich ohne bekannten Bundesstaat in den USA zu befinden. always fragt jede Person ab, deren Workflow ein Gesicht erfasst. never zeigt den Schritt nie an, und Sie holen die Einwilligung vor dem Selfie selbst ein. Jede Änderung wird im Audit-Log protokolliert. Siehe Biometrische Einwilligung.
auto, always, never Origins (zum Beispiel https://app.example.com; http nur für localhost), in die der gehostete Verifizierungs-Workflow eingebettet werden darf und an die der Benutzer mit einem Sitzungs-Callback zurückgeleitet werden darf. Server-zu-Server-Aufrufe sind davon nicht betroffen. Eine leere Liste bedeutet keine Einschränkung. Didit speichert jeden Origin in Kleinbuchstaben ohne Standard-Port. Ein ungültiger Eintrag schlägt mit 400 bei allowed_domains fehl.
50300["https://app.example.com"]