Saltar al contenido principal
Authentication es una novedad: DiditAuth para Android depende de la versión. Aquí no se confirman las coordenadas de distribución, las versiones ni las firmas de las funciones invocables. No instales un paquete que hayas supuesto ni uses el SDK de Verificación de identidad como SDK de autenticación.

​
Prepara la aplicación

  1. Confirma que Authentication está habilitado para tu aplicación de Didit y copia desde la consola su origen de inicio de sesión (https://<slug>.auth.didit.me, o <slug>.sandbox.auth.didit.me para sandbox).
  2. Registra una URL de callback exacta que admitan tu aplicación y el entorno de ejecución. Valida la propiedad del app link; no des por hecho que se aceptan esquemas de URL personalizados arbitrarios.
  3. Mantén separadas la configuración de sandbox y la de producción, incluidos el manejo del callback y las credenciales almacenadas.
  4. Elige tu mapeo estable de personas antes de conectar la verificación o la monitorización.
Usa una pestaña del navegador del sistema para el inicio de sesión alojado y valida el app link de retorno. Las passkeys nativas requieren el dominio de la relying party configurado y el flujo de credenciales de la plataforma.

​
Implementa el flujo alojado

Abre una pestaña del navegador del sistema con la URL {origin}/sign-in. Proporciona un state aleatorio y nuevo, un challenge PKCE S256 y tu redirect_uri registrada. Conserva el verifier en tu app solo para ese intento. La guía de inicio rápido de JavaScript muestra el protocolo subyacente; en código nativo, usa la criptografía y el manejo de URL de la plataforma en lugar de los objetos globales del navegador. En el callback, verifica el state, la vigencia de la transacción y el destino del callback antes de intercambiar el código de un solo uso en token/. Usa el verifier original y la URI de redirección exacta. Cancelar o cerrar el navegador no es un inicio de sesión exitoso. Guarda los refresh tokens en un almacenamiento cifrado protegido por la plataforma; nunca en un archivo de preferencias sin cifrar, en analíticas ni en registros de fallos. Valida la sesión actual con GET session/ y el token Bearer del usuario final. Serializa la renovación, reemplaza ambos tokens a la vez y borra el estado específico del usuario después de cerrar sesión. Consulta tokens y JWKS para ver el contrato de la solicitud y el comportamiento ante la reutilización del refresh token.

​
Versión preliminar del SDK nativo

Está previsto que los módulos nativos de Authentication ofrezcan inicio de sesión, acceso a la sesión actual, obtención de tokens, cierre de sesión y step-up, con señales automáticas del dispositivo. Las passkeys nativas y el almacenamiento protegido de tokens forman parte de ese lanzamiento. Las API de los wrappers seguirán los contratos publicados de su plataforma; no copies argumentos de constructores ni firmas de métodos supuestos a partir de un ejemplo de diseño. Hasta que se lance el módulo, mantén su adaptador desactivado o usa una implementación revisada del protocolo alojado para tu aplicación habilitada. No anuncies una guía de inicio rápido de Authentication nativa funcional basándote solo en la instalación del paquete.

​
Conecta la verificación y la monitorización

Tu backend deriva vendor_data de la persona autenticada. Crea sesiones de verificación o emite tokens de monitorización con alcance limitado para esa persona. Devuelve a tu app solo la credencial de la sesión o el token con alcance limitado; la clave de API se queda en el servidor. Usa el SDK de verificación para Android cuando necesites Verificación de identidad. Sigue envío de transacciones desde el SDK para implementar la monitorización en tu plataforma. Trata por separado las decisiones de inicio de sesión, de verificación y de transacciones.

​
Verifica la integración

Prueba el retorno a una app iniciada en frío, las transiciones a segundo y primer plano, la cancelación del navegador, un callback que no coincide, la reutilización del código, la expiración del token, la renovación concurrente, MFA, el cierre de sesión y el inicio de sesión como otro usuario. Prueba el registro y el inicio de sesión con passkeys en dispositivos compatibles cuando esa versión esté disponible. Una comprobación exclusiva del dispositivo se considera no verificada hasta que se ejecute en la plataforma de destino.
Última modificación el 1 de noviembre de 2026