> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# Obtener entrega de webhook de una sesión: API de Didit

> Consulta en Didit una entrega de webhook de una sesión: URL, respuesta HTTP de tu endpoint, encabezados de firma y cuerpo JSON enviados.



Prompt de la API para obtener la entrega del webhook de una sesión
        Copiar el prompt al portapapeles



      
      

\<pre>

\`Retrieve one webhook delivery of a Didit verification session through the API.

Endpoint:
GET https://verification.didit.me/v3/session/{session_id}/webhook/{webhook_uuid}
(no trailing slash)

Authentication:
Send my Didit API key in the x-api-key header. A scoped key needs sessions: read and decisions: read.

Goal:
\- Read exactly what Didit sent to my webhook endpoint for one delivery and what my endpoint answered, to debug a rejected or missing event.

Behavior:
\- {webhook_uuid} is the uuid of an entry from GET /v3/session/{session_id}/webhooks/. It must belong to the session in the path; a delivery of another session returns 404.
\- request_header and request_body are JSON-encoded strings. Parse them with a JSON parser.
\- To check my signature code, recompute X-Signature-V2 from the parsed request_body with my destination's secret (the application-level secret for a delivery sent to the legacy webhook_url) and compare it with the header. A scoped key without media: read or sessions: write receives a redacted body, which no longer matches the signatures.

Example call:
curl -X GET "https://verification.didit.me/v3/session/11111111-2222-3333-4444-555555555555/webhook/9f8e7d6c-5b4a-4321-8fed-cba987654321" \
-H "x-api-key: YOUR_API_KEY"

What to read from the response:
\- response_status: the HTTP status my endpoint returned (null while queued, 504 timeout, 503 connection failure, 400 URL refused as unsafe).
\- request_url: where it was sent.
\- request_header: the X-Signature, X-Signature-V2, X-Signature-Simple and X-Timestamp values sent.
\- request_body: the webhook payload (event_id, webhook_type, session_id, status, decision when present).
\- status, webhook_type, created_at.

Failure modes:
\- 401: the API key has expired.
\- 403: missing key (a wrong, revoked or expired key gets 401), a key of another application, a scoped key without the permissions above, or a request from outside the key's IP allowlist.
\- 404: the session does not exist, was deleted, or is outside a scoped key's limits, or the delivery does not belong to this session ({ "detail": "No WebhookLog matches the given query." }).
\- 429: more than 600 reads per minute for this API key; honor Retry-After.

Side effects: none. This is a pure read.

For the full integration shape, see /integration/integration-prompt.`

\</pre>



      
      

Pegar en

El payload dentro de `request_body` es el que se describe en [Webhooks](https://docs.didit.me/es/integration/webhooks.md#estructura-del-payload), y los encabezados son los que se explican en [verificación de firma](https://docs.didit.me/es/integration/webhooks.md#verificación-de-firma). Para enviar la entrega de nuevo, usa [Reenviar la entrega del webhook de una sesión](https://docs.didit.me/es/management-api/sessions/resend-webhook.md).


## OpenAPI

````yaml es/openapi-25.json GET /v3/session/{sessionId}/webhook/{webhook_uuid}
openapi: 3.0.0
info:
  version: 3.0.0
  title: Didit Verification API
  description: API de verificación de identidad. Autentícate con el encabezado x-api-key.
servers:
  - url: https://verification.didit.me
security: []
tags: []
paths:
  /v3/session/{sessionId}/webhook/{webhook_uuid}:
    get:
      tags:
        - Sessions
      summary: Obtener una entrega de webhook de una sesión
      description: >-
        Obtén una entrega de webhook de una sesión de verificación: la URL a la
        que se envió, el código de estado HTTP que devolvió tu endpoint y los
        encabezados exactos y el cuerpo JSON que envió Didit. `request_header` y
        `request_body` son texto JSON; para comprobar tu [verificación de
        firma](https://docs.didit.me/es/integration/webhooks#verificación-de-firma),
        vuelve a calcular `X-Signature-V2` a partir del cuerpo analizado con el
        secreto del destino al que se envió (o con el secreto a nivel de
        aplicación en el caso de una entrega a la URL de webhook heredada). La
        ruta no termina en barra: si la incluyes, devuelve `404`. Una clave de
        API con alcance limitado necesita `sessions: read` y `decisions: read`.
      operationId: get_v3_session_webhook
      parameters:
        - name: sessionId
          in: path
          required: true
          description: >-
            UUID de la sesión de verificación, de usuario (KYC) o de empresa
            (KYB): el `session_id` que devuelve `POST /v3/session/`. El servidor
            lo resuelve en ambos tipos de sesión.


            **Debe ser un UUID válido.** La ruta solo coincide con UUID bien
            formados, por lo que el enrutador de URL rechaza un valor mal
            formado antes de que se ejecute el código de la aplicación, y la
            respuesta es una página **HTML** `404` en lugar del envoltorio JSON
            `{"detail": ...}` que se muestra a continuación.
          schema:
            type: string
            format: uuid
          example: 22222222-3333-4444-5555-666666666666
        - name: webhook_uuid
          in: path
          required: true
          description: >-
            UUID de la entrega: el `uuid` de una entrada devuelta por `GET
            /v3/session/{sessionId}/webhooks/`. Debe pertenecer a la sesión
            indicada en la ruta.
          schema:
            type: string
            format: uuid
          example: 66666666-7777-8888-9999-000000000001
      responses:
        '200':
          description: La entrega, con los encabezados y el cuerpo de su solicitud.
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/SessionWebhookDelivery'
              examples:
                Connection failure:
                  value:
                    uuid: 66666666-7777-8888-9999-000000000001
                    session_id: 22222222-3333-4444-5555-666666666666
                    request_url: https://yourapp.com/webhooks/didit
                    response_status: 503
                    status: In Progress
                    webhook_type: status.updated
                    request_header: >-
                      {"Content-Type": "application/json", "X-Signature":
                      "a5e02a03404e1337a0198e6be15d34abbd053c658a0e51e5d0e78554213ef29b",
                      "X-Signature-V2":
                      "927e7cb770c94ce745939bff73f04aa200015f3bc64795ba46c2aaf78a6cedc5",
                      "X-Signature-Simple":
                      "e37b0d4c716c72bb5ae7127b9cc455d28ab4686e9e22312b4ec2327409a73302",
                      "X-Timestamp": "1792056078", "User-Agent":
                      "DiditWebhook/2.0 +https://didit.me"}
                    request_body: >-
                      {"application_id":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee","created_at":1792056057,"environment":"live","event_id":"33333333-4444-5555-6666-777777777777","sandbox_scenario":null,"session_id":"22222222-3333-4444-5555-666666666666","status":"In
                      Progress","timestamp":1792056078,"vendor_data":"user-123","webhook_type":"status.updated","workflow_id":"44444444-5555-6666-7777-888888888888","workflow_version":3}
                    created_at: '2026-10-15T09:21:18.412345Z'
        '401':
          description: >-
            La clave de API ha expirado: se creó con una fecha de caducidad que
            ya pasó. Una clave incorrecta o revocada también recibe `401`; si
            falta la clave, se recibe `403`.
          content:
            application/json:
              schema:
                type: object
                properties:
                  detail:
                    type: string
                    description: Mensaje de error legible.
              examples:
                Expired key:
                  value:
                    detail: This API key has expired.
        '403':
          description: >-
            La solicitud no está permitida. Si no se envía `x-api-key`, o la
            clave no es válida o está revocada, se recibe `Authentication
            credentials were not provided or are invalid.` Una clave de otra
            aplicación recibe `You do not have permission to perform this
            action.` Una clave con alcance limitado que no tiene el acceso que
            necesita este endpoint recibe un mensaje que indica el acceso que
            falta, y una clave usada desde fuera de su lista de IP permitidas
            recibe `This API key can't be used from this IP address.` Un
            `sessionId` desconocido devuelve `404` antes de que se compruebe la
            credencial.
          content:
            application/json:
              schema:
                type: object
                properties:
                  detail:
                    type: string
                    description: Mensaje de error legible.
              examples:
                Missing or invalid key:
                  value:
                    detail: >-
                      Authentication credentials were not provided or are
                      invalid.
                Key of another application:
                  value:
                    detail: You do not have permission to perform this action.
                Scoped key without sessions read:
                  value:
                    detail: This API key has no read access to sessions.
                Scoped key without decisions read:
                  value:
                    detail: This API key has no read access to decisions.
                Outside the IP allowlist:
                  value:
                    detail: This API key can't be used from this IP address.
        '404':
          description: >-
            La sesión no existe o se ha eliminado (`Not found.`, que se devuelve
            antes de comprobar la credencial), o está fuera de los límites de
            flujo o de estado de una clave con alcance restringido (`Session not
            found.`). Una entrega que no existe, pertenece a otra sesión o ya no
            está disponible devuelve `No WebhookLog matches the given query.`
          content:
            application/json:
              schema:
                type: object
                properties:
                  detail:
                    type: string
                    description: Mensaje de error legible.
              examples:
                Unknown session:
                  value:
                    detail: Not found.
                Outside the key's limits:
                  value:
                    detail: Session not found.
                Delivery not in this session:
                  value:
                    detail: No WebhookLog matches the given query.
        '429':
          description: >-
            Límite de solicitudes superado: más de 600 solicitudes GET en la
            ventana actual de un minuto para esta clave de API. Espera
            `Retry-After` segundos antes de reintentar.
          headers:
            Retry-After:
              description: Segundos que hay que esperar antes de reintentar.
              schema:
                type: integer
                minimum: 1
                example: 30
            X-RateLimit-Limit:
              description: Solicitudes permitidas en la ventana de un minuto (600).
              schema:
                type: integer
                example: 600
            X-RateLimit-Remaining:
              description: Solicitudes restantes en la ventana actual.
              schema:
                type: integer
                example: 0
            X-RateLimit-Reset:
              description: Tiempo Unix (segundos) en que se restablece la ventana actual.
              schema:
                type: integer
                example: 1792056120
            X-RateLimit-Scope:
              description: Nombre del presupuesto que se superó.
              schema:
                type: string
                example: generic-get
          content:
            application/json:
              schema:
                type: object
                properties:
                  detail:
                    type: string
                    description: Mensaje de error legible.
              examples:
                Throttled:
                  value:
                    detail: >-
                      GET request rate limit exceeded. You can make up to 600
                      requests per minute.
      security:
        - ApiKeyAuth: []
      x-codeSamples:
        - lang: curl
          label: curl
          source: >-
            curl -X GET
            'https://verification.didit.me/v3/session/22222222-3333-4444-5555-666666666666/webhook/66666666-7777-8888-9999-000000000001'
            \
              -H 'x-api-key: YOUR_API_KEY'
        - lang: python
          label: Python
          source: |-
            from didit import Didit

            # Reads DIDIT_API_KEY.
            client = Didit()

            result = client.sessions.webhooks.retrieve(
                "22222222-3333-4444-5555-666666666666",
                "66666666-7777-8888-9999-000000000001",
            )
            print(result)
        - lang: javascript
          label: Node.js
          source: |-
            import Didit from "@didit-protocol/sdk-node";

            // Reads DIDIT_API_KEY.
            const didit = new Didit();

            const result = await didit.sessions.webhooks.retrieve(
              "22222222-3333-4444-5555-666666666666",
              "66666666-7777-8888-9999-000000000001",
            );
            console.log(result);
        - lang: go
          label: Go
          source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Sessions.Webhooks.Retrieve(ctx, \"22222222-3333-4444-5555-666666666666\", \"66666666-7777-8888-9999-000000000001\")\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)"
        - lang: java
          label: Java
          source: >-
            import me.didit.Didit;


            // Reads DIDIT_API_KEY.

            Didit client = new Didit();


            var result =
            client.sessions().webhooks().retrieve("22222222-3333-4444-5555-666666666666",
            "66666666-7777-8888-9999-000000000001");

            System.out.println(result);
        - lang: php
          label: PHP
          source: >-
            <?php


            require 'vendor/autoload.php';


            use Didit\DiditClient;


            // Reads DIDIT_API_KEY.

            $didit = new DiditClient();


            $result =
            $didit->sessions->webhooks->retrieve('22222222-3333-4444-5555-666666666666',
            '66666666-7777-8888-9999-000000000001');

            print_r($result->toArray());
        - lang: ruby
          label: Ruby
          source: |-
            require "didit"

            # Reads DIDIT_API_KEY.
            didit = Didit::Client.new

            result = didit.sessions.webhooks.retrieve(
              "22222222-3333-4444-5555-666666666666",
              "66666666-7777-8888-9999-000000000001"
            )
            puts result.to_h
        - lang: csharp
          label: .NET
          source: >-
            using System;

            using System.Text.Json;

            using Didit;


            // Reads DIDIT_API_KEY.

            using var client = new DiditClient();


            var result = await
            client.Sessions.Webhooks.RetrieveAsync("22222222-3333-4444-5555-666666666666",
            "66666666-7777-8888-9999-000000000001");

            Console.WriteLine(JsonSerializer.Serialize(result));
components:
  schemas:
    SessionWebhookDelivery:
      type: object
      description: >-
        Un intento de entrega de webhook registrado para una sesión de
        verificación, con los encabezados y el cuerpo exactos de la solicitud
        que envió Didit.
      required:
        - uuid
        - session_id
        - request_url
        - response_status
        - status
        - webhook_type
        - request_header
        - request_body
        - created_at
      properties:
        uuid:
          type: string
          format: uuid
          description: >-
            ID de entrega. Úsalo como `{webhook_uuid}` para obtener o reenviar
            esta entrega.
        session_id:
          type: string
          format: uuid
          description: La sesión a la que pertenece la entrega (la sesión de la ruta).
        request_url:
          type: string
          format: uri
          nullable: true
          description: URL a la que se envió la entrega.
        response_status:
          type: integer
          nullable: true
          description: >-
            Estado HTTP que devolvió tu endpoint. `null` mientras la entrega
            está en cola y aún no se ha intentado. Cuando no se recibe ninguna
            respuesta HTTP, Didit registra un estado propio: `504` cuando tu
            endpoint no respondió en 5 segundos, `503` para un fallo de
            conexión, `400` cuando la URL se rechazó por no ser segura (por
            ejemplo, una dirección privada o interna) y `404` para cualquier
            otro error de la solicitud. `400` o superior cuenta como entrega
            fallida.
        status:
          type: string
          nullable: true
          description: >-
            Estado de la sesión cuando se generó el evento, por ejemplo `In
            Progress`, `Approved` o `Declined`.
        webhook_type:
          $ref: '#/components/schemas/WebhookEvent'
        request_header:
          type: string
          description: >-
            Texto JSON (una cadena) de los encabezados de la solicitud que envió
            Didit: `Content-Type`, `X-Signature`, `X-Signature-V2`,
            `X-Signature-Simple`, `X-Timestamp` y `User-Agent`. Analízalo con un
            parser JSON. Contiene firmas, nunca el secreto de firma.
        request_body:
          type: string
          description: >-
            Texto JSON (una cadena) del payload exacto que envió Didit, con las
            claves ordenadas, incluidos `event_id` y `timestamp`. Analízalo con
            un parser JSON; consulta [Estructura del
            payload](https://docs.didit.me/es/integration/webhooks#estructura-del-payload).
            Para una clave con alcance limitado sin `media: read`, las URL de
            medios que contiene son `null`; sin `sessions: write`, los tokens de
            sesión y los enlaces de verificación alojados son `null`. Un cuerpo
            modificado de esa forma ya no coincide con sus firmas. Didit no
            registra el cuerpo de la respuesta que devolvió tu endpoint.
        created_at:
          type: string
          format: date-time
          description: Cuándo se creó la entrega.
    WebhookEvent:
      type: string
      description: >-
        Nombre de evento de webhook admitido. Usa exactamente estas cadenas en
        `subscribed_events`; los valores no admitidos se rechazan.
      enum:
        - status.updated
        - data.updated
        - user.status.updated
        - user.data.updated
        - business.status.updated
        - business.data.updated
        - activity.created
        - transaction.created
        - transaction.status.updated
        - travel_rule.status.updated
        - workflow.compliance_changed
        - transaction_rule_suggestions.created
        - auth.signup
        - auth.login
        - auth.login_failed
        - auth.password_reset_requested
        - auth.password_reset_completed
        - auth.mfa_changed
        - auth.new_device
        - auth.account_locked
        - investigator.report.ready
        - investigator.decision.automated
        - investigator.decision.overridden
        - investigator.decision.contested
        - investigator.question.raised
        - investigator.automation.paused
        - investigator.rfi.answered
        - investigator.rfi.overdue
        - investigator.drift.detected
        - investigator.sla.breached
        - investigator.qa.failed
        - investigator.external.report.ready
  securitySchemes:
    ApiKeyAuth:
      type: apiKey
      in: header
      name: x-api-key
      description: >-
        La clave de API de tu aplicación, que encontrarás en Developers -> API
        keys en la Business Console. La clave principal tiene acceso completo.
        Una clave con nombre puede tener un alcance limitado: ninguno, lectura o
        escritura por recurso, limitada a algunos flujos o a sesiones aprobadas,
        a una lista de direcciones IP y a una fecha de caducidad. 401 significa
        que la clave es incorrecta, se revocó o expiró; 403 significa que no se
        envió ninguna clave, que la clave no tiene acceso a este recurso o
        acción, o que la solicitud provino de una dirección fuera de su lista de
        IP; 404 en una ruta de sesión significa que la sesión está fuera de los
        flujos o estados de la clave. Una clave sin acceso a contenido
        multimedia recibe las URL de imágenes, videos y PDF como null, y una
        clave sin permiso de escritura en sesiones recibe los enlaces y tokens
        de sesión como null. Consulta https://docs.didit.me/console/api-keys.

````

This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.