Primeros pasos
Integración / SDKs
Verificación de usuarios
Verificación de empresas
Monitorización de transacciones
Registro de cambioscurl -X PATCH 'https://verification.didit.me/v3/webhook/' \
-H 'x-api-key: YOUR_API_KEY' \
-H 'Content-Type: application/json' \
-d '{"face_retention_policy": "retain_until_user_deleted", "face_retention_days": 365}'from didit import Didit
# Reads DIDIT_API_KEY.
client = Didit()
result = client.webhooks.update_config(
face_retention_policy="retain_until_user_deleted",
face_retention_days=365,
biometric_consent_mode="auto",
)
print(result)import Didit from "@didit-protocol/sdk-node";
// Reads DIDIT_API_KEY.
const didit = new Didit();
const result = await didit.webhooks.updateConfig({
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto",
});
console.log(result);import me.didit.Didit;
import me.didit.types.WebhooksUpdateConfigParams;
// Reads DIDIT_API_KEY.
Didit client = new Didit();
var result = client.webhooks().updateConfig(WebhooksUpdateConfigParams.builder()
.faceRetentionPolicy(WebhooksUpdateConfigParams.FaceRetentionPolicy.of("retain_until_user_deleted"))
.faceRetentionDays(365L)
.biometricConsentMode(WebhooksUpdateConfigParams.BiometricConsentMode.of("auto"))
.build());
System.out.println(result);<?php
require 'vendor/autoload.php';
use Didit\DiditClient;
// Reads DIDIT_API_KEY.
$didit = new DiditClient();
$result = $didit->webhooks->updateConfig([
'face_retention_policy' => 'retain_until_user_deleted',
'face_retention_days' => 365,
'biometric_consent_mode' => 'auto',
]);
print_r($result->toArray());require "didit"
# Reads DIDIT_API_KEY.
didit = Didit::Client.new
result = didit.webhooks.update_config(
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto"
)
puts result.to_husing System;
using System.Text.Json;
using Didit;
// Reads DIDIT_API_KEY.
using var client = new DiditClient();
var result = await client.Webhooks.UpdateConfigAsync(new WebhooksUpdateConfigParams
{
FaceRetentionPolicy = new WebhooksUpdateConfigParamsFaceRetentionPolicy("retain_until_user_deleted"),
FaceRetentionDays = 365,
BiometricConsentMode = new WebhooksUpdateConfigParamsBiometricConsentMode("auto"),
});
Console.WriteLine(JsonSerializer.Serialize(result));package main
import (
"fmt"
"strings"
"net/http"
"io"
)
func main() {
url := "https://verification.didit.me/v3/webhook/"
payload := strings.NewReader("{\n \"face_retention_policy\": \"retain_until_user_deleted\",\n \"face_retention_days\": 365,\n \"biometric_consent_mode\": \"auto\"\n}")
req, _ := http.NewRequest("PATCH", url, payload)
req.Header.Add("x-api-key", "<api-key>")
req.Header.Add("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := io.ReadAll(res.Body)
fmt.Println(string(body))
}{
"webhook_url": "https://yourapp.com/webhooks/didit",
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA",
"capture_method": "MOBILE",
"data_retention_months": 24,
"face_retention_policy": "retain_until_user_deleted",
"face_retention_days": 365,
"biometric_consent_mode": "auto",
"available_events": [
{
"value": "status.updated",
"label": "Session status updated"
},
{
"value": "data.updated",
"label": "Session data updated"
},
{
"value": "user.status.updated",
"label": "User status updated"
},
{
"value": "user.data.updated",
"label": "User data updated"
},
{
"value": "business.status.updated",
"label": "Business status updated"
},
{
"value": "business.data.updated",
"label": "Business data updated"
},
{
"value": "activity.created",
"label": "Activity created"
},
{
"value": "transaction.created",
"label": "Transaction created"
},
{
"value": "transaction.status.updated",
"label": "Transaction status updated"
},
{
"value": "travel_rule.status.updated",
"label": "Travel Rule Status Updated"
},
{
"value": "workflow.compliance_changed",
"label": "Workflow Compliance Changed"
}
],
"allowed_return_hosts": [
"shop.example.com"
],
"endpoints": [
{
"uuid": "11111111-2222-3333-4444-555555555555",
"label": "Production session webhooks",
"url": "https://yourapp.com/webhooks/didit",
"enabled": true,
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA",
"subscribed_events": [
"status.updated",
"data.updated"
],
"created_at": "2026-01-04T08:00:00.000000Z",
"updated_at": "2026-04-22T14:09:11.523671Z"
}
]
}API para actualizar la configuración del webhook
Didit: actualiza el webhook de la aplicación, rota su secreto y fija la retención de datos, plantillas biométricas y hosts de retorno de Digital ID.
curl -X PATCH 'https://verification.didit.me/v3/webhook/' \
-H 'x-api-key: YOUR_API_KEY' \
-H 'Content-Type: application/json' \
-d '{"face_retention_policy": "retain_until_user_deleted", "face_retention_days": 365}'from didit import Didit
# Reads DIDIT_API_KEY.
client = Didit()
result = client.webhooks.update_config(
face_retention_policy="retain_until_user_deleted",
face_retention_days=365,
biometric_consent_mode="auto",
)
print(result)import Didit from "@didit-protocol/sdk-node";
// Reads DIDIT_API_KEY.
const didit = new Didit();
const result = await didit.webhooks.updateConfig({
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto",
});
console.log(result);import me.didit.Didit;
import me.didit.types.WebhooksUpdateConfigParams;
// Reads DIDIT_API_KEY.
Didit client = new Didit();
var result = client.webhooks().updateConfig(WebhooksUpdateConfigParams.builder()
.faceRetentionPolicy(WebhooksUpdateConfigParams.FaceRetentionPolicy.of("retain_until_user_deleted"))
.faceRetentionDays(365L)
.biometricConsentMode(WebhooksUpdateConfigParams.BiometricConsentMode.of("auto"))
.build());
System.out.println(result);<?php
require 'vendor/autoload.php';
use Didit\DiditClient;
// Reads DIDIT_API_KEY.
$didit = new DiditClient();
$result = $didit->webhooks->updateConfig([
'face_retention_policy' => 'retain_until_user_deleted',
'face_retention_days' => 365,
'biometric_consent_mode' => 'auto',
]);
print_r($result->toArray());require "didit"
# Reads DIDIT_API_KEY.
didit = Didit::Client.new
result = didit.webhooks.update_config(
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto"
)
puts result.to_husing System;
using System.Text.Json;
using Didit;
// Reads DIDIT_API_KEY.
using var client = new DiditClient();
var result = await client.Webhooks.UpdateConfigAsync(new WebhooksUpdateConfigParams
{
FaceRetentionPolicy = new WebhooksUpdateConfigParamsFaceRetentionPolicy("retain_until_user_deleted"),
FaceRetentionDays = 365,
BiometricConsentMode = new WebhooksUpdateConfigParamsBiometricConsentMode("auto"),
});
Console.WriteLine(JsonSerializer.Serialize(result));package main
import (
"fmt"
"strings"
"net/http"
"io"
)
func main() {
url := "https://verification.didit.me/v3/webhook/"
payload := strings.NewReader("{\n \"face_retention_policy\": \"retain_until_user_deleted\",\n \"face_retention_days\": 365,\n \"biometric_consent_mode\": \"auto\"\n}")
req, _ := http.NewRequest("PATCH", url, payload)
req.Header.Add("x-api-key", "<api-key>")
req.Header.Add("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := io.ReadAll(res.Body)
fmt.Println(string(body))
}{
"webhook_url": "https://yourapp.com/webhooks/didit",
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA",
"capture_method": "MOBILE",
"data_retention_months": 24,
"face_retention_policy": "retain_until_user_deleted",
"face_retention_days": 365,
"biometric_consent_mode": "auto",
"available_events": [
{
"value": "status.updated",
"label": "Session status updated"
},
{
"value": "data.updated",
"label": "Session data updated"
},
{
"value": "user.status.updated",
"label": "User status updated"
},
{
"value": "user.data.updated",
"label": "User data updated"
},
{
"value": "business.status.updated",
"label": "Business status updated"
},
{
"value": "business.data.updated",
"label": "Business data updated"
},
{
"value": "activity.created",
"label": "Activity created"
},
{
"value": "transaction.created",
"label": "Transaction created"
},
{
"value": "transaction.status.updated",
"label": "Transaction status updated"
},
{
"value": "travel_rule.status.updated",
"label": "Travel Rule Status Updated"
},
{
"value": "workflow.compliance_changed",
"label": "Workflow Compliance Changed"
}
],
"allowed_return_hosts": [
"shop.example.com"
],
"endpoints": [
{
"uuid": "11111111-2222-3333-4444-555555555555",
"label": "Production session webhooks",
"url": "https://yourapp.com/webhooks/didit",
"enabled": true,
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA",
"subscribed_events": [
"status.updated",
"data.updated"
],
"created_at": "2026-01-04T08:00:00.000000Z",
"updated_at": "2026-04-22T14:09:11.523671Z"
}
]
}rotate_secret_key rota solo el secreto de la aplicación, que firma las entregas al webhook_url heredado. Cada destino de webhook firma con su propio secret_shared_key, que esta llamada no modifica.allowed_return_hosts se describe en Registra tu destino de retorno.
biometric_consent_mode (auto, always o never) define cuándo el flujo de verificación solicita el consentimiento biométrico explícito antes de una captura facial. Consulta Consentimiento biométrico.
Para consultar primero los valores actuales, llama a Obtener la configuración de webhooks.Autorizaciones
La clave de API de tu aplicación, que encontrarás en Developers -> API keys en la Business Console. La clave principal tiene acceso completo. Una clave con nombre puede tener un alcance limitado: ninguno, lectura o escritura por recurso, limitada a algunos flujos o a sesiones aprobadas, a una lista de direcciones IP y a una fecha de caducidad. 401 significa que la clave es incorrecta, se revocó o expiró; 403 significa que no se envió ninguna clave, que la clave no tiene acceso a este recurso o acción, o que la solicitud provino de una dirección fuera de su lista de IP; 404 en una ruta de sesión significa que la sesión está fuera de los flujos o estados de la clave. Una clave sin acceso a contenido multimedia recibe las URL de imágenes, videos y PDF como null, y una clave sin permiso de escritura en sesiones recibe los enlaces y tokens de sesión como null. Consulta https://docs.didit.me/console/api-keys.
Cuerpo
Envía solo los campos que quieras cambiar. Los destinos no se gestionan aquí.
URL de webhook heredada a nivel de aplicación. Didit solo la usa mientras la aplicación no tiene ningún destino habilitado, y en ese caso solo para status.updated y data.updated. No crea un destino, y la siguiente creación, actualización o eliminación de un destino la reemplaza. Para recibir webhooks, crea un destino con POST /v3/webhook/destinations/.
2000Versión del payload de la webhook_url heredada.
v1, v2, v3 true sustituye de inmediato la secret_shared_key a nivel de aplicación por un nuevo valor aleatorio; el nuevo valor viene en la respuesta. Los secretos de los destinos no cambian. Cada llamada con true genera un secreto nuevo, por lo que no es idempotente.
Configuración heredada de la aplicación. El flujo de verificación no la lee.
MOBILE, MOBILE_AND_DESKTOP Plazo de eliminación automática en meses (un mes equivale a 30 días), o null para no eliminar automáticamente. Un cambio también se aplica a las sesiones existentes: toda sesión de verificación de usuarios con una antigüedad mayor que el nuevo plazo se elimina automáticamente, y esa eliminación es irreversible.
1 <= x <= 120Qué ocurre con el embedding facial de una sesión cuando se elimina la sesión. retain_until_user_deleted requiere face_retention_days en la misma solicitud o ya configurado. Un cambio se aplica a las eliminaciones de sesiones a partir de ese momento; no crea ni purga ninguna plantilla biométrica existente.
delete_with_session, retain_until_user_deleted Periodo de retención, en días, de las plantillas biométricas con retain_until_user_deleted.
1 <= x <= 3650Cuándo el flujo alojado y los SDK nativos piden a la persona su consentimiento biométrico explícito antes de capturar el rostro. auto (predeterminado) lo pide solo donde aplica un disparador: un estado declarado, la IP de la persona o el emisor del documento de identidad está en Illinois, Texas o Colorado, o la persona parece estar en EE. UU. sin un estado conocido. always lo pide a toda persona cuyo flujo capture el rostro. never nunca muestra el paso, y tú mismo recoges el consentimiento antes del selfie. Cada cambio se registra en el registro de auditoría. Consulta Consentimiento biométrico.
auto, always, never Reemplaza toda la lista de hosts de retorno de wallets de Digital ID. Solo nombres de host simples, como shop.example.com: sin esquema, puerto, ruta ni comodines. Los valores se convierten a minúsculas y se eliminan los duplicados. Envía [] para vaciar la lista.
20253Reemplaza toda la lista de orígenes permitidos. Son los orígenes (por ejemplo, https://app.example.com; http solo para localhost) en los que se puede integrar el flujo de verificación alojado y a los que puede devolver al usuario con un callback de sesión. Las llamadas de servidor a servidor no se ven afectadas. Una lista vacía significa que no hay ninguna restricción. Didit guarda cada origen en minúsculas y sin el puerto predeterminado. Una entrada no válida falla con 400 en allowed_domains. Envía [] para eliminar la restricción.
50300["https://app.example.com"]
Respuesta
La configuración completa después de la actualización, con la misma forma que GET /v3/webhook/. Si rotaste el secreto, guarda el nuevo secret_shared_key antes de descartar la respuesta.
Configuración de webhooks a nivel de aplicación, política de retención y hosts de retorno de la wallet de Digital ID, con todos los destinos de webhook.
URL de webhook a nivel de aplicación (heredada). Didit envía a ella solo mientras la aplicación no tiene ningún destino de webhook habilitado, y en ese caso solo status.updated y data.updated. Cada vez que se crea, actualiza o elimina un destino, se establece en la URL del destino habilitado más antiguo, o en null si no hay ninguno habilitado.
Versión del payload de la webhook_url heredada. Cada destino tiene su propia webhook_version.
v1, v2, v3 Secreto de firma a nivel de aplicación (token de 43 caracteres seguro para URL). Solo firma las entregas al webhook_url heredado; cada destino firma con su propio secret_shared_key. Quien llama con una clave de API siempre lo recibe completo; los usuarios de la consola sin read:webhooks reciben una cadena vacía.
Configuración heredada de la aplicación. El flujo de verificación no la lee: las opciones de captura se configuran por flujo.
MOBILE, MOBILE_AND_DESKTOP Plazo de eliminación automática. Las sesiones de verificación de usuarios creadas hace más de este número de meses (un mes equivale a 30 días) se eliminan automáticamente, y esa eliminación es irreversible. null significa que las sesiones nunca se eliminan automáticamente. Consulta Retención de datos.
1 <= x <= 120Qué ocurre con el embedding facial de una sesión cuando se elimina la sesión. delete_with_session (valor predeterminado) lo elimina junto con la sesión. retain_until_user_deleted es la retención de plantillas biométricas opcional: una plantilla biométrica sin imágenes vinculada al User se gestiona por separado hasta que finaliza su periodo de retención, se elimina el User o la purgas.
delete_with_session, retain_until_user_deleted Periodo de retención, en días, de las plantillas biométricas con retain_until_user_deleted. Obligatorio cuando se define esa política.
1 <= x <= 3650Todos los tipos de evento a los que se puede suscribir un destino, con una etiqueta visible.
Show child attributes
Show child attributes
Nombres de host (coincidencia exacta, solo HTTPS) a los que una verificación independiente de wallet de Digital ID puede devolver al usuario con su return_url. Tu dominio de marca blanca también está siempre permitido. Consulta Registra tu destino de retorno.
20253Todos los destinos de webhook de la aplicación, del más antiguo al más reciente, cada uno con su secreto de firma. Aquí solo se pueden leer: gestiona los destinos con los endpoints /v3/webhook/destinations/.
Show child attributes
Show child attributes
Cuándo el flujo alojado y los SDK nativos piden a la persona su consentimiento biométrico explícito antes de capturar el rostro. auto (predeterminado) lo pide solo donde aplica un disparador: un estado declarado, la IP de la persona o el emisor del documento de identidad está en Illinois, Texas o Colorado, o la persona parece estar en EE. UU. sin un estado conocido. always lo pide a toda persona cuyo flujo capture el rostro. never nunca muestra el paso, y tú mismo recoges el consentimiento antes del selfie. Cada cambio se registra en el registro de auditoría. Consulta Consentimiento biométrico.
auto, always, never Orígenes (por ejemplo https://app.example.com; http solo para localhost) en los que puede incrustarse el flujo de verificación alojado y a los que puede devolver al usuario con un callback de sesión. Las llamadas de servidor a servidor no se ven afectadas. Una lista vacía significa que no hay restricción. Didit almacena cada origen en minúsculas y sin puerto predeterminado. Una entrada no válida falla con 400 en allowed_domains.
50300["https://app.example.com"]