Primeros pasos
Integración / SDKs
Verificación de usuarios
Verificación de empresas
Monitorización de transacciones
Registro de cambioscurl -X GET 'https://verification.didit.me/v3/webhook/' \
-H 'x-api-key: YOUR_API_KEY'from didit import Didit
# Reads DIDIT_API_KEY.
client = Didit()
result = client.webhooks.retrieve_config()
print(result)import Didit from "@didit-protocol/sdk-node";
// Reads DIDIT_API_KEY.
const didit = new Didit();
const result = await didit.webhooks.retrieveConfig();
console.log(result);ctx := context.Background()
// Reads DIDIT_API_KEY.
client := didit.NewClient()
result, err := client.Webhooks.RetrieveConfig(ctx)
if err != nil {
log.Fatal(err)
}
fmt.Printf("%+v\n", result)import me.didit.Didit;
// Reads DIDIT_API_KEY.
Didit client = new Didit();
var result = client.webhooks().retrieveConfig();
System.out.println(result);<?php
require 'vendor/autoload.php';
use Didit\DiditClient;
// Reads DIDIT_API_KEY.
$didit = new DiditClient();
$result = $didit->webhooks->retrieveConfig();
print_r($result->toArray());require "didit"
# Reads DIDIT_API_KEY.
didit = Didit::Client.new
result = didit.webhooks.retrieve_config
puts result.to_husing System;
using System.Text.Json;
using Didit;
// Reads DIDIT_API_KEY.
using var client = new DiditClient();
var result = await client.Webhooks.RetrieveConfigAsync();
Console.WriteLine(JsonSerializer.Serialize(result));{
"webhook_url": "https://yourapp.com/webhooks/didit",
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA",
"capture_method": "MOBILE",
"data_retention_months": 24,
"face_retention_policy": "delete_with_session",
"face_retention_days": null,
"biometric_consent_mode": "auto",
"available_events": [
{
"value": "status.updated",
"label": "Session status updated"
},
{
"value": "data.updated",
"label": "Session data updated"
},
{
"value": "user.status.updated",
"label": "User status updated"
},
{
"value": "user.data.updated",
"label": "User data updated"
},
{
"value": "business.status.updated",
"label": "Business status updated"
},
{
"value": "business.data.updated",
"label": "Business data updated"
},
{
"value": "activity.created",
"label": "Activity created"
},
{
"value": "transaction.created",
"label": "Transaction created"
},
{
"value": "transaction.status.updated",
"label": "Transaction status updated"
},
{
"value": "travel_rule.status.updated",
"label": "Travel Rule Status Updated"
},
{
"value": "workflow.compliance_changed",
"label": "Workflow Compliance Changed"
}
],
"allowed_return_hosts": [
"shop.example.com"
],
"endpoints": [
{
"uuid": "11111111-2222-3333-4444-555555555555",
"label": "Production session webhooks",
"url": "https://yourapp.com/webhooks/didit",
"enabled": true,
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA",
"subscribed_events": [
"status.updated",
"data.updated"
],
"created_at": "2026-01-04T08:00:00.000000Z",
"updated_at": "2026-04-22T14:09:11.523671Z"
}
]
}Configuración de webhooks: API para consultarla
Consulta con la API de Didit la configuración de webhooks: URL y secreto heredados, destinos, eventos, retención y hosts de retorno de wallet.
curl -X GET 'https://verification.didit.me/v3/webhook/' \
-H 'x-api-key: YOUR_API_KEY'from didit import Didit
# Reads DIDIT_API_KEY.
client = Didit()
result = client.webhooks.retrieve_config()
print(result)import Didit from "@didit-protocol/sdk-node";
// Reads DIDIT_API_KEY.
const didit = new Didit();
const result = await didit.webhooks.retrieveConfig();
console.log(result);ctx := context.Background()
// Reads DIDIT_API_KEY.
client := didit.NewClient()
result, err := client.Webhooks.RetrieveConfig(ctx)
if err != nil {
log.Fatal(err)
}
fmt.Printf("%+v\n", result)import me.didit.Didit;
// Reads DIDIT_API_KEY.
Didit client = new Didit();
var result = client.webhooks().retrieveConfig();
System.out.println(result);<?php
require 'vendor/autoload.php';
use Didit\DiditClient;
// Reads DIDIT_API_KEY.
$didit = new DiditClient();
$result = $didit->webhooks->retrieveConfig();
print_r($result->toArray());require "didit"
# Reads DIDIT_API_KEY.
didit = Didit::Client.new
result = didit.webhooks.retrieve_config
puts result.to_husing System;
using System.Text.Json;
using Didit;
// Reads DIDIT_API_KEY.
using var client = new DiditClient();
var result = await client.Webhooks.RetrieveConfigAsync();
Console.WriteLine(JsonSerializer.Serialize(result));{
"webhook_url": "https://yourapp.com/webhooks/didit",
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA",
"capture_method": "MOBILE",
"data_retention_months": 24,
"face_retention_policy": "delete_with_session",
"face_retention_days": null,
"biometric_consent_mode": "auto",
"available_events": [
{
"value": "status.updated",
"label": "Session status updated"
},
{
"value": "data.updated",
"label": "Session data updated"
},
{
"value": "user.status.updated",
"label": "User status updated"
},
{
"value": "user.data.updated",
"label": "User data updated"
},
{
"value": "business.status.updated",
"label": "Business status updated"
},
{
"value": "business.data.updated",
"label": "Business data updated"
},
{
"value": "activity.created",
"label": "Activity created"
},
{
"value": "transaction.created",
"label": "Transaction created"
},
{
"value": "transaction.status.updated",
"label": "Transaction status updated"
},
{
"value": "travel_rule.status.updated",
"label": "Travel Rule Status Updated"
},
{
"value": "workflow.compliance_changed",
"label": "Workflow Compliance Changed"
}
],
"allowed_return_hosts": [
"shop.example.com"
],
"endpoints": [
{
"uuid": "11111111-2222-3333-4444-555555555555",
"label": "Production session webhooks",
"url": "https://yourapp.com/webhooks/didit",
"enabled": true,
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA",
"subscribed_events": [
"status.updated",
"data.updated"
],
"created_at": "2026-01-04T08:00:00.000000Z",
"updated_at": "2026-04-22T14:09:11.523671Z"
}
]
}secret_shared_key. Los campos de nivel superior webhook_url, webhook_version y secret_shared_key solo se usan mientras no haya ningún destino habilitado, y en ese caso únicamente para status.updated y data.updated.
Autorizaciones
La clave de API de tu aplicación, que encontrarás en Developers -> API keys en la Business Console. La clave principal tiene acceso completo. Una clave con nombre puede tener un alcance limitado: ninguno, lectura o escritura por recurso, limitada a algunos flujos o a sesiones aprobadas, a una lista de direcciones IP y a una fecha de caducidad. 401 significa que la clave es incorrecta, se revocó o expiró; 403 significa que no se envió ninguna clave, que la clave no tiene acceso a este recurso o acción, o que la solicitud provino de una dirección fuera de su lista de IP; 404 en una ruta de sesión significa que la sesión está fuera de los flujos o estados de la clave. Una clave sin acceso a contenido multimedia recibe las URL de imágenes, videos y PDF como null, y una clave sin permiso de escritura en sesiones recibe los enlaces y tokens de sesión como null. Consulta https://docs.didit.me/console/api-keys.
Respuesta
La configuración del webhook.
Configuración de webhooks a nivel de aplicación, política de retención y hosts de retorno de la wallet de Digital ID, con todos los destinos de webhook.
URL de webhook a nivel de aplicación (heredada). Didit envía a ella solo mientras la aplicación no tiene ningún destino de webhook habilitado, y en ese caso solo status.updated y data.updated. Cada vez que se crea, actualiza o elimina un destino, se establece en la URL del destino habilitado más antiguo, o en null si no hay ninguno habilitado.
Versión del payload de la webhook_url heredada. Cada destino tiene su propia webhook_version.
v1, v2, v3 Secreto de firma a nivel de aplicación (token de 43 caracteres seguro para URL). Solo firma las entregas al webhook_url heredado; cada destino firma con su propio secret_shared_key. Quien llama con una clave de API siempre lo recibe completo; los usuarios de la consola sin read:webhooks reciben una cadena vacía.
Configuración heredada de la aplicación. El flujo de verificación no la lee: las opciones de captura se configuran por flujo.
MOBILE, MOBILE_AND_DESKTOP Plazo de eliminación automática. Las sesiones de verificación de usuarios creadas hace más de este número de meses (un mes equivale a 30 días) se eliminan automáticamente, y esa eliminación es irreversible. null significa que las sesiones nunca se eliminan automáticamente. Consulta Retención de datos.
1 <= x <= 120Qué ocurre con el embedding facial de una sesión cuando se elimina la sesión. delete_with_session (valor predeterminado) lo elimina junto con la sesión. retain_until_user_deleted es la retención de plantillas biométricas opcional: una plantilla biométrica sin imágenes vinculada al User se gestiona por separado hasta que finaliza su periodo de retención, se elimina el User o la purgas.
delete_with_session, retain_until_user_deleted Periodo de retención, en días, de las plantillas biométricas con retain_until_user_deleted. Obligatorio cuando se define esa política.
1 <= x <= 3650Todos los tipos de evento a los que se puede suscribir un destino, con una etiqueta visible.
Show child attributes
Show child attributes
Nombres de host (coincidencia exacta, solo HTTPS) a los que una verificación independiente de wallet de Digital ID puede devolver al usuario con su return_url. Tu dominio de marca blanca también está siempre permitido. Consulta Registra tu destino de retorno.
20253Todos los destinos de webhook de la aplicación, del más antiguo al más reciente, cada uno con su secreto de firma. Aquí solo se pueden leer: gestiona los destinos con los endpoints /v3/webhook/destinations/.
Show child attributes
Show child attributes
Cuándo el flujo alojado y los SDK nativos piden a la persona su consentimiento biométrico explícito antes de capturar el rostro. auto (predeterminado) lo pide solo donde aplica un disparador: un estado declarado, la IP de la persona o el emisor del documento de identidad está en Illinois, Texas o Colorado, o la persona parece estar en EE. UU. sin un estado conocido. always lo pide a toda persona cuyo flujo capture el rostro. never nunca muestra el paso, y tú mismo recoges el consentimiento antes del selfie. Cada cambio se registra en el registro de auditoría. Consulta Consentimiento biométrico.
auto, always, never Orígenes (por ejemplo https://app.example.com; http solo para localhost) en los que puede incrustarse el flujo de verificación alojado y a los que puede devolver al usuario con un callback de sesión. Las llamadas de servidor a servidor no se ven afectadas. Una lista vacía significa que no hay restricción. Didit almacena cada origen en minúsculas y sin puerto predeterminado. Una entrada no válida falla con 400 en allowed_domains.
50300["https://app.example.com"]