Saltar al contenido principal
POST
Crear un token de monitorización
La autenticación es nueva y este endpoint permanece desactivado hasta que Didit lo active: hasta entonces responde 503 monitoring_unavailable.
Los SDK de navegador y nativos llaman a este endpoint desde el dispositivo de la persona; tu servidor no necesita hacerlo. Cada evento enviado con la credencial se registra en el vendor_data de la persona, independientemente de lo que declare el dispositivo.

Autorizaciones

Authorization
string
header
requerido

El token de acceso de la persona obtenido de POST /token/: un JWT ES256 con el encabezado typ: at+jwt, válido durante un máximo de 5 minutos. No es tu clave de API de Didit.

Cuerpo

application/json

Vacío: el token de acceso identifica a la persona.

Respuesta

Una credencial de dispositivo para la persona.

Una credencial de dispositivo de corta duración para enviar a la monitorización de transacciones los eventos de actividad de la persona desde su dispositivo. No está vinculada a la sesión: sigue siendo válida hasta expires_at, incluso después de cerrar la sesión.

monitoring_token
string
requerido

La credencial del dispositivo. Trátala como un secreto.

Ejemplo:

"mt_2f8c1d9e7b6a5f4e3d2c1b0a"

expires_at
string<date-time>
requerido

Como máximo 15 minutos después de su emisión.

Ejemplo:

"2026-10-17T10:56:14Z"

allowed_event_categories
string[]
requerido

Las categorías de eventos que puede enviar. Los eventos de autenticación y seguridad siempre provienen de Didit, nunca del dispositivo.

Ejemplo:
max_uses
integer
requerido
Ejemplo:

1000

bind_to_origin
string | null
requerido

El origen del navegador desde el que funciona la credencial: el Origin de la solicitud, o null cuando no había ninguno.

Ejemplo:

"https://app.example.com"

vendor_data
string
requerido

La persona para la que se registra cada evento, independientemente de lo que envíe el dispositivo.

Ejemplo:

"user-42"

Última modificación el 1 de noviembre de 2026