> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# API para crear revisión de sesión: KYC manual

> Envía una nota de revisión manual o un cambio de estado a una sesión de Didit. Cumplimiento programático, registro de auditoría y pago por llamada.



Prompt para crear una revisión de sesión
        Copiar el prompt al portapapeles



      
      

\<pre>

\``Goal: Push a manual decision (Approve / Decline / mark In Review) onto a Didit verification session and write an immutable audit-trail row. Programmatic equivalent of the Console manual-review buttons.

Endpoint: POST https://verification.didit.me/v3/sessions/{session_id}/reviews/
Auth header: x-api-key: YOUR_API_KEY
Content-Type: application/json

Path param:
\- session_id (UUID, REQUIRED) — verification session UUID. Must belong to the same application as the API key (cross-application writes return 404).

Request body:
\- new_status (string, REQUIRED) — one of "Approved" | "Declined" | "In Review". Workflow-internal statuses ("In Progress", "Awaiting User", "Resubmitted", "Expired", "Kyc Expired", "Abandoned", "Not Started") are NOT accepted (400).
\- comment (string, optional, max 10,000 chars) — reviewer rationale. Supports @email mentions which trigger Console notifications.

curl:
curl -s -X POST 'https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/' \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{"new_status": "Approved", "comment": "POA cross-checked against utility bill; matches address on file."}'

Response 201 (compact ReviewSerializer shape — different from the GET response):
\{
"user": "API Client",                       // actor display label
"new_status": "Approved",
"comment": "POA cross-checked...",
"created_at": "2026-04-21T16:42:50.445Z"
}
To fetch the full activity row (uuid, activity_type, previous_status, ...) call GET /v3/sessions/{session_id}/reviews/ afterwards. See /reference/data-models for the full ReviewItem shape.

Side effects:
1\. Inserts a Review row with activity_type=STATUS_UPDATED, actor_type=API_KEY.
2\. Updates Session.status to new_status if it differs from the current status.
3\. Fires the status.updated webhook on configured destinations (see /integration/webhooks).
4\. Notifies previous reviewers and @email-mentioned Console users.
NOT idempotent — every call writes a new audit row. Re-posting the same new_status when it equals the current status is a no-op for Session.status but still writes an audit entry.

Failure modes (envelope {"detail": "..."} unless noted):
\- 400 — { "new_status": ["\\"Expired\\" is not a valid choice."] } (or missing new_status)
\- 401 — missing/invalid `x-api-key` header.
\- 403 — API key valid but wrong app or revoked.
\- 404 — session UUID not found / deleted / wrong app.
\- 429 — rate-limited.

For end-to-end Didit integration, paste in the full prompt at /integration/integration-prompt.``

\</pre>



      
      

Pegar en



## OpenAPI

````yaml es/openapi-25.json POST /v3/sessions/{session_id}/reviews/
openapi: 3.0.0
info:
  version: 3.0.0
  title: Didit Verification API
  description: API de verificación de identidad. Autentícate con el encabezado x-api-key.
servers:
  - url: https://verification.didit.me
security: []
tags: []
paths:
  /v3/sessions/{session_id}/reviews/:
    post:
      tags:
        - Sessions
      summary: Añadir una nota de revisión al registro de auditoría de una sesión
      description: >-
        Añade una nota al registro de revisión y actividad de una sesión de
        Verificación de usuarios (KYC). **Este endpoint solo registra una
        entrada: nunca modifica la sesión.** El `status` de la sesión no cambia,
        no se ejecuta ninguna validación de transición de estado y no se dispara
        ningún webhook. Para aprobar, rechazar o reabrir realmente una sesión
        (lo que además escribe en este registro una entrada `STATUS_UPDATED` con
        autoría completa), usa `PATCH /v3/session/{session_id}/update-status/`.


        Ambos campos del cuerpo son opcionales y se acepta un objeto JSON vacío.
        `new_status` se guarda únicamente como etiqueta de la entrada y acepta
        cualquiera de los diez valores de estado de sesión (distingue mayúsculas
        y minúsculas). Las menciones `@email` dentro de `comment` se guardan
        solo como texto plano: en este endpoint no generan notificaciones y el
        campo `mentioned_emails` de la entrada queda vacío.


        Nota sobre la autoría: las entradas creadas aquí no incluyen información
        del autor. En el registro muestran `actor_display: "Unknown"`,
        `actor_type: "CONSOLE_USER"` y `activity_type: "STATUS_UPDATED"`
        (valores predeterminados de almacenamiento), y el campo `user` del
        cuerpo de la respuesta `201` es `"Unknown"`.
      operationId: create_session_review
      parameters:
        - name: Content-Type
          in: header
          required: false
          description: Establécelo en `application/json` cuando envíes un cuerpo JSON.
          schema:
            type: string
            example: application/json
        - name: session_id
          in: path
          required: true
          description: >-
            UUID de la sesión de Verificación de usuarios (KYC). Debe pertenecer
            a la misma aplicación que la clave de API: los UUID de otras
            aplicaciones, las sesiones eliminadas y los ID de sesión de
            Verificación de empresas (KYB) devuelven `404`.
          schema:
            type: string
            format: uuid
            example: 8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d
      requestBody:
        required: false
        content:
          application/json:
            schema:
              type: object
              properties:
                new_status:
                  type: string
                  nullable: true
                  enum:
                    - Not Started
                    - In Progress
                    - Approved
                    - Declined
                    - In Review
                    - Expired
                    - Abandoned
                    - Kyc Expired
                    - Resubmitted
                    - Awaiting User
                  description: >-
                    Etiqueta de estado opcional que se registra en la entrada.
                    Acepta cualquier valor de estado de sesión y distingue
                    mayúsculas de minúsculas (`"approved"` se rechaza con
                    `400`). Registrar un estado aquí **no** cambia el estado
                    real de la sesión: para eso, usa el endpoint de
                    actualización de estado.
                  example: In Review
                comment:
                  type: string
                  nullable: true
                  description: >-
                    Nota opcional en texto libre (sin límite de longitud
                    aplicado). Se guarda tal cual; en este endpoint no se
                    procesan las menciones `@email`.
                  example: Flagging for manual document re-check.
            examples:
              NoteWithStatusLabel:
                summary: >-
                  Nota con una etiqueta de estado (el estado de la sesión no
                  cambia)
                value:
                  new_status: In Review
                  comment: Flagging for manual document re-check.
              CommentOnly:
                summary: Nota simple sin etiqueta de estado
                value:
                  comment: Customer emailed an updated utility bill; awaiting upload.
      responses:
        '201':
          description: >-
            Entrada registrada en el historial de auditoría de la sesión. La
            sesión en sí no cambia: su `status` conserva el valor anterior y no
            se envía ningún webhook. La nueva entrada también aparece al
            principio de `GET …/reviews/` (con `actor_display: "Unknown"`).
          content:
            application/json:
              schema:
                type: object
                properties:
                  user:
                    type: string
                    description: >-
                      Nombre visible del autor de la entrada. Siempre es
                      `"Unknown"` en las entradas creadas mediante este
                      endpoint, porque no registra la atribución de ningún
                      actor.
                    example: Unknown
                  new_status:
                    type: string
                    nullable: true
                    enum:
                      - Not Started
                      - In Progress
                      - Approved
                      - Declined
                      - In Review
                      - Expired
                      - Abandoned
                      - Kyc Expired
                      - Resubmitted
                      - Awaiting User
                    description: >-
                      La etiqueta de estado registrada en la entrada, o `null`
                      si no se envió ninguna. El estado real de la sesión no se
                      ve afectado.
                    example: In Review
                  comment:
                    type: string
                    nullable: true
                    description: >-
                      La nota registrada en la entrada, o `null` si no se envió
                      ninguna.
                    example: Flagging for manual document re-check.
                  created_at:
                    type: string
                    format: date-time
                    description: Cuándo se escribió la entrada, en ISO 8601 UTC.
                    example: '2026-06-12T00:18:44.466537Z'
              examples:
                NoteWithStatusLabel:
                  summary: Nota con una etiqueta de estado
                  value:
                    user: Unknown
                    new_status: In Review
                    comment: Flagging for manual document re-check.
                    created_at: '2026-06-12T00:18:44.466537Z'
                CommentOnly:
                  summary: Nota simple
                  value:
                    user: Unknown
                    new_status: null
                    comment: Note without status.
                    created_at: '2026-06-12T00:18:44.504157Z'
        '400':
          description: >-
            Error de validación, devuelto como un mapa de mensajes por campo. La
            causa habitual es un valor de `new_status` que no es uno de los diez
            estados permitidos: la comprobación distingue entre mayúsculas y
            minúsculas.
          content:
            application/json:
              schema:
                type: object
                properties:
                  new_status:
                    type: array
                    items:
                      type: string
                    example:
                      - '"approved" is not a valid choice.'
              examples:
                InvalidStatusChoice:
                  summary: Valor de estado en minúsculas o desconocido
                  value:
                    new_status:
                      - '"approved" is not a valid choice.'
        '403':
          description: >-
            Falta `x-api-key`, tiene un formato incorrecto, expiró o fue
            revocada. La autenticación se comprueba antes de buscar la sesión,
            por lo que si falta la clave se devuelve `403` incluso cuando el
            UUID de la sesión no existe.
          content:
            application/json:
              schema:
                type: object
                properties:
                  detail:
                    type: string
                    example: You do not have permission to perform this action.
              examples:
                InvalidKey:
                  summary: Encabezado x-api-key ausente o no válido
                  value:
                    detail: You do not have permission to perform this action.
        '404':
          description: >-
            Tu aplicación no puede ver ninguna sesión de Verificación de
            usuarios (KYC) con este UUID: el UUID no existe, la sesión se
            eliminó o pertenece a otra aplicación. Los ID de sesión de
            Verificación de empresas (KYB) también devuelven `404` aquí, ya que
            el feed de revisiones solo está disponible para sesiones KYC.
          content:
            application/json:
              schema:
                type: object
                properties:
                  detail:
                    type: string
                    example: Session not found.
              examples:
                NotFound:
                  summary: UUID de sesión desconocido, eliminado o de otra aplicación
                  value:
                    detail: Session not found.
        '429':
          description: >-
            Límite de solicitudes superado. Consulta los encabezados de
            respuesta `Retry-After` y `X-RateLimit-*`. Consulta [Límite de
            solicitudes](/es/integration/rate-limiting).
      security:
        - ApiKeyAuth: []
      x-codeSamples:
        - lang: curl
          label: curl
          source: >-
            # Records an audit-trail note only -- the session's status does NOT
            change.

            curl -s -X POST
            https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/
            \
              -H 'x-api-key: YOUR_API_KEY' \
              -H 'Content-Type: application/json' \
              -d '{
                "new_status": "In Review",
                "comment": "Flagging for manual document re-check."
              }'
        - lang: python
          label: Python
          source: |-
            from didit import Didit

            # Reads DIDIT_API_KEY.
            client = Didit()

            result = client.sessions.reviews.create(
                "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
                new_status="In Review",
                comment="Flagging for manual document re-check.",
            )
            print(result)
        - lang: javascript
          label: Node.js
          source: >-
            import Didit from "@didit-protocol/sdk-node";


            // Reads DIDIT_API_KEY.

            const didit = new Didit();


            const result = await
            didit.sessions.reviews.create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
            {
              new_status: "In Review",
              comment: "Flagging for manual document re-check.",
            });

            console.log(result);
        - lang: go
          label: Go
          source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Sessions.Reviews.Create(ctx, \"8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d\", didit.SessionsReviewsCreateParams{\n\tNewStatus: didit.Some(didit.SessionsReviewsCreateParamsNewStatus(\"In Review\")),\n\tComment:   didit.String(\"Flagging for manual document re-check.\"),\n})\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)"
        - lang: java
          label: Java
          source: >-
            import me.didit.Didit;

            import me.didit.types.SessionsReviewsCreateParams;


            // Reads DIDIT_API_KEY.

            Didit client = new Didit();


            var result =
            client.sessions().reviews().create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
            SessionsReviewsCreateParams.builder()
                    .newStatus(SessionsReviewsCreateParams.NewStatus.of("In Review"))
                    .comment("Flagging for manual document re-check.")
                    .build());
            System.out.println(result);
        - lang: php
          label: PHP
          source: >-
            <?php


            require 'vendor/autoload.php';


            use Didit\DiditClient;


            // Reads DIDIT_API_KEY.

            $didit = new DiditClient();


            $result =
            $didit->sessions->reviews->create('8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d',
            [
                'new_status' => 'In Review',
                'comment' => 'Flagging for manual document re-check.',
            ]);

            print_r($result->toArray());
        - lang: ruby
          label: Ruby
          source: |-
            require "didit"

            # Reads DIDIT_API_KEY.
            didit = Didit::Client.new

            result = didit.sessions.reviews.create(
              "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
              new_status: "In Review",
              comment: "Flagging for manual document re-check."
            )
            puts result.to_h
        - lang: csharp
          label: .NET
          source: >-
            using System;

            using System.Text.Json;

            using Didit;


            // Reads DIDIT_API_KEY.

            using var client = new DiditClient();


            var result = await
            client.Sessions.Reviews.CreateAsync("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
            new SessionsReviewsCreateParams

            {
                NewStatus = new SessionsReviewsCreateParamsNewStatus("In Review"),
                Comment = "Flagging for manual document re-check.",
            });

            Console.WriteLine(JsonSerializer.Serialize(result));
components:
  securitySchemes:
    ApiKeyAuth:
      type: apiKey
      in: header
      name: x-api-key
      description: >-
        La clave de API de tu aplicación, que encontrarás en Developers -> API
        keys en la Business Console. La clave principal tiene acceso completo.
        Una clave con nombre puede tener un alcance limitado: ninguno, lectura o
        escritura por recurso, limitada a algunos flujos o a sesiones aprobadas,
        a una lista de direcciones IP y a una fecha de caducidad. 401 significa
        que la clave es incorrecta, se revocó o expiró; 403 significa que no se
        envió ninguna clave, que la clave no tiene acceso a este recurso o
        acción, o que la solicitud provino de una dirección fuera de su lista de
        IP; 404 en una ruta de sesión significa que la sesión está fuera de los
        flujos o estados de la clave. Una clave sin acceso a contenido
        multimedia recibe las URL de imágenes, videos y PDF como null, y una
        clave sin permiso de escritura en sesiones recibe los enlaces y tokens
        de sesión como null. Consulta https://docs.didit.me/console/api-keys.

````

This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.