Autenticación de la API: solicitudes seguras a la API KYC

Dónde encontrar tu clave de API

En Didit, las claves de API están asociadas a una Application concreta de tu cuenta. Una Aplicación es un espacio de trabajo donde puedes configurar flujos de trabajo y gestionar las verificaciones de un proyecto o entorno determinado. Cada Aplicación recibe al crearse una clave de API principal con acceso completo. Puedes añadir más claves junto a ella, cada una con solo el acceso que necesita un servicio o un socio. Para encontrar tus claves:

Inicia sesión en la Business Console

Ve a la Didit Business Console e inicia sesión.

Selecciona tu Aplicación

Elige la Application con la que quieres trabajar en el menú desplegable de la parte superior.

Abre las claves de API

Ve a Developers -> API keys en la barra lateral izquierda.

Copia o crea una clave

La clave Primary es el secreto propio de la Aplicación. Crea una clave nueva para darle a un servicio o a un socio su propio secreto, con el acceso que necesita.

Tu clave de API es un secreto: trátala como una contraseña.La clave principal da acceso completo a la API en nombre de tu Aplicación. Nunca la expongas en código frontend, repositorios públicos ni bundles del lado del cliente. Guárdala siempre solo en el servidor.

Formato de la clave de API

Las claves de API nuevas empiezan por sk_live_ en una aplicación de producción o por sk_test_ en una aplicación de sandbox, seguidas de 43 caracteres aptos para URL (letras, dígitos, - y _). Las claves creadas antes de este formato no tienen prefijo y siguen funcionando sin cambios. Envía la clave completa, con el prefijo incluido, en el encabezado x-api-key, y no rechaces una clave por no tener prefijo.

Dónde encontrar el ID de tu organización

El ID de la organización es el UUID que identifica a tu organización. Lo usas en rutas de la API asociadas a la organización, como /auth/v2/organizations/me/{org_id}/applications/. Puedes copiarlo directamente desde la Business Console, sin necesidad de llamar a la API:

Abre la configuración de la organización

En la Didit Business Console, ve a Configuración de la organización.

Copia el ID de la organización

El campo ID de la organización muestra el UUID de tu organización junto a su nombre, con un botón para copiarlo al portapapeles.

Cómo hacer solicitudes autenticadas

Para autenticar una solicitud a la API, incluye tu clave de API secreta en el encabezado HTTP x-api-key. Este es un ejemplo de solicitud autenticada al endpoint Create Session:

cURL

curl --request POST \
     --url https://verification.didit.me/v3/session/ \
     --header 'accept: application/json' \
     --header 'content-type: application/json' \
     --header 'x-api-key: YOUR_API_KEY' \
     --data '
{
  "workflow_id": "WORKFLOW_ID",
  "vendor_data": "USER_ID",
  "callback": "CALLBACK_URL"
}
'

Gestión de errores

Si tu clave de API es incorrecta, tiene un formato no válido o ha sido revocada, la API devuelve 401 Unauthorized:

{
  "detail": "Authentication credentials were not provided or are invalid."
}

Una clave expirada también devuelve 401, con "detail": "This API key has expired.". Una solicitud sin clave devuelve 403 con "detail": "You do not have permission to perform this action.".

Código de estado	Significado
401	La clave de API es incorrecta, tiene un formato no válido, ha sido revocada o ha expirado
403	No se envió ninguna clave de API, la clave no tiene acceso al recurso o a la acción solicitados, o la solicitud procede de una dirección fuera de la lista de IP de la clave
403 con `"code": "application_deleted"`	La clave pertenece a una aplicación que se ha eliminado. La API devuelve esta respuesta durante unos minutos tras la eliminación y después rechaza la clave como cualquier clave no válida. No reintentes: la aplicación y sus claves ya no existen.
404	En una ruta de sesión: la sesión está fuera de los flujos o estados de la clave

La página de errores de la API recoge todos los estados, cuerpos y códigos.

Claves de API con alcance limitado

Da a cada servicio o socio su propia clave en lugar de compartir la principal. Cada clave tiene su propio acceso: ninguno, lectura o escritura para cada recurso (sesiones, decisiones, archivos multimedia, personas, empresas, transacciones, flujos, webhooks, configuración de la aplicación, analíticas), y límites opcionales a algunos flujos, solo a sesiones aprobadas, a una lista de direcciones IP y a una fecha de caducidad. Puedes rotar una clave con un solapamiento de 24 horas y revocarla al instante. Las claves creadas antes de que existiera el acceso con alcance limitado conservan el acceso completo. Consulta Claves de API para ver los ajustes predefinidos, los recursos que cubre cada uno y cómo responde la API cuando se usa una clave con alcance limitado.

Si recibes un error 401, comprueba que estás usando la clave de API correcta para la aplicación adecuada y que no se ha regenerado.

Visión general

Precios

Flujos y verificación

Revisión y operaciones

Entidades (usuarios y empresas)

Ajustes y personalización

Seguridad y cumplimiento

Didit Academy

Recursos

Autenticación de la API: solicitudes seguras a la API KYC

Dónde encontrar tu clave de API

Formato de la clave de API

Dónde encontrar el ID de tu organización

Cómo hacer solicitudes autenticadas

Gestión de errores

Claves de API con alcance limitado

​Dónde encontrar tu clave de API

​Formato de la clave de API

​Dónde encontrar el ID de tu organización

​Cómo hacer solicitudes autenticadas

​Gestión de errores

​Claves de API con alcance limitado

Dónde encontrar tu clave de API

Formato de la clave de API

Dónde encontrar el ID de tu organización

Cómo hacer solicitudes autenticadas

Gestión de errores

Claves de API con alcance limitado