API para verificar código OTP de email: validar código

curl

curl -X POST https://verification.didit.me/v3/email/check/ \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "email": "alice@example.com",
    "code": "123456",
    "disposable_email_action": "DECLINE"
  }'

import Didit from "@didit-protocol/sdk-node";

// Reads DIDIT_API_KEY.
const didit = new Didit();

const result = await didit.email.checkCode({
  email: "alice@example.com",
  code: "123456",
});
console.log(result);

ctx := context.Background()
// Reads DIDIT_API_KEY.
client := didit.NewClient()

result, err := client.Email.CheckCode(ctx, didit.EmailCheckCodeParams{
	Email: "alice@example.com",
	Code:  "123456",
})
if err != nil {
	log.Fatal(err)
}
fmt.Printf("%+v\n", result)

import me.didit.Didit;
import me.didit.types.EmailCheckCodeParams;

// Reads DIDIT_API_KEY.
Didit client = new Didit();

var result = client.email().checkCode(EmailCheckCodeParams.builder()
        .email("alice@example.com")
        .code("123456")
        .build());
System.out.println(result);

<?php

require 'vendor/autoload.php';

use Didit\DiditClient;

// Reads DIDIT_API_KEY.
$didit = new DiditClient();

$result = $didit->email->checkCode([
    'email' => 'alice@example.com',
    'code' => '123456',
]);
print_r($result->toArray());

using System;
using System.Text.Json;
using Didit;

// Reads DIDIT_API_KEY.
using var client = new DiditClient();

var result = await client.Email.CheckCodeAsync(new EmailCheckCodeParams
{
    Email = "alice@example.com",
    Code = "123456",
});
Console.WriteLine(JsonSerializer.Serialize(result));

{
  "request_id": "e39cb057-92fc-4b59-b84e-02fec29a0f24",
  "status": "Approved",
  "message": "The verification code is correct.",
  "email": {
    "status": "Approved",
    "email": "alice@example.com",
    "is_breached": false,
    "breaches": [],
    "is_disposable": false,
    "is_undeliverable": false,
    "verification_attempts": 1,
    "verified_at": "2026-06-12T01:24:47.311323Z",
    "warnings": [],
    "lifecycle": [
      {
        "type": "EMAIL_VERIFICATION_MESSAGE_SENT",
        "timestamp": "2026-06-12T01:23:39.580554+00:00",
        "details": {
          "status": "Success",
          "reason": null
        },
        "fee": 0.02
      },
      {
        "type": "VALID_CODE_ENTERED",
        "timestamp": "2026-06-12T01:24:47.311201+00:00",
        "details": {
          "code_tried": "123456",
          "status": "Approved"
        },
        "fee": 0
      },
      {
        "type": "EMAIL_VERIFICATION_APPROVED",
        "timestamp": "2026-06-12T01:24:47.384292+00:00",
        "details": null,
        "fee": 0
      }
    ],
    "matches": []
  },
  "vendor_data": "user-1234",
  "metadata": null,
  "created_at": "2026-06-12T01:24:47.401719+00:00"
}

POST

check

curl

curl -X POST https://verification.didit.me/v3/email/check/ \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "email": "alice@example.com",
    "code": "123456",
    "disposable_email_action": "DECLINE"
  }'

import Didit from "@didit-protocol/sdk-node";

// Reads DIDIT_API_KEY.
const didit = new Didit();

const result = await didit.email.checkCode({
  email: "alice@example.com",
  code: "123456",
});
console.log(result);

ctx := context.Background()
// Reads DIDIT_API_KEY.
client := didit.NewClient()

result, err := client.Email.CheckCode(ctx, didit.EmailCheckCodeParams{
	Email: "alice@example.com",
	Code:  "123456",
})
if err != nil {
	log.Fatal(err)
}
fmt.Printf("%+v\n", result)

import me.didit.Didit;
import me.didit.types.EmailCheckCodeParams;

// Reads DIDIT_API_KEY.
Didit client = new Didit();

var result = client.email().checkCode(EmailCheckCodeParams.builder()
        .email("alice@example.com")
        .code("123456")
        .build());
System.out.println(result);

<?php

require 'vendor/autoload.php';

use Didit\DiditClient;

// Reads DIDIT_API_KEY.
$didit = new DiditClient();

$result = $didit->email->checkCode([
    'email' => 'alice@example.com',
    'code' => '123456',
]);
print_r($result->toArray());

using System;
using System.Text.Json;
using Didit;

// Reads DIDIT_API_KEY.
using var client = new DiditClient();

var result = await client.Email.CheckCodeAsync(new EmailCheckCodeParams
{
    Email = "alice@example.com",
    Code = "123456",
});
Console.WriteLine(JsonSerializer.Serialize(result));

{
  "request_id": "e39cb057-92fc-4b59-b84e-02fec29a0f24",
  "status": "Approved",
  "message": "The verification code is correct.",
  "email": {
    "status": "Approved",
    "email": "alice@example.com",
    "is_breached": false,
    "breaches": [],
    "is_disposable": false,
    "is_undeliverable": false,
    "verification_attempts": 1,
    "verified_at": "2026-06-12T01:24:47.311323Z",
    "warnings": [],
    "lifecycle": [
      {
        "type": "EMAIL_VERIFICATION_MESSAGE_SENT",
        "timestamp": "2026-06-12T01:23:39.580554+00:00",
        "details": {
          "status": "Success",
          "reason": null
        },
        "fee": 0.02
      },
      {
        "type": "VALID_CODE_ENTERED",
        "timestamp": "2026-06-12T01:24:47.311201+00:00",
        "details": {
          "code_tried": "123456",
          "status": "Approved"
        },
        "fee": 0
      },
      {
        "type": "EMAIL_VERIFICATION_APPROVED",
        "timestamp": "2026-06-12T01:24:47.384292+00:00",
        "details": null,
        "fee": 0
      }
    ],
    "matches": []
  },
  "vendor_data": "user-1234",
  "metadata": null,
  "created_at": "2026-06-12T01:24:47.401719+00:00"
}

Complemento de inteligencia

Establece enable_enrichment en true para ejecutar también inteligencia de correo electrónico para la dirección: una puntuación de riesgo y su historial de filtraciones. El complemento se factura a $0.05 por solicitud según el precio de lista, además del precio de la comprobación. La solicitud devuelve 403 cuando tu saldo no alcanza para cubrirlo. Tres campos determinan qué ocurre con las señales. Cada uno es NO_ACTION (el valor predeterminado) o DECLINE, y cada uno solo tiene efecto cuando enable_enrichment es true.

Campo	Rechaza cuando
`email_intelligence_score_action`	La puntuación de riesgo supera el umbral.
`recent_email_breach_action`	La dirección aparece en una filtración de datos conocida y reciente.
`frequent_email_breach_action`	La dirección aparece en muchas filtraciones de datos conocidas.

Con NO_ACTION, la señal se sigue devolviendo en email.email_intelligence, para que puedas aplicar tu propia regla.

Autorizaciones

x-api-key

string

header

requerido

La clave de API de tu aplicación, que encontrarás en Developers -> API keys en la Business Console. La clave principal tiene acceso completo. Una clave con nombre puede tener un alcance limitado: ninguno, lectura o escritura por recurso, limitada a algunos flujos o a sesiones aprobadas, a una lista de direcciones IP y a una fecha de caducidad. 401 significa que la clave es incorrecta, se revocó o expiró; 403 significa que no se envió ninguna clave, que la clave no tiene acceso a este recurso o acción, o que la solicitud provino de una dirección fuera de su lista de IP; 404 en una ruta de sesión significa que la sesión está fuera de los flujos o estados de la clave. Una clave sin acceso a contenido multimedia recibe las URL de imágenes, videos y PDF como null, y una clave sin permiso de escritura en sesiones recibe los enlaces y tokens de sesión como null. Consulta https://docs.didit.me/console/api-keys.

Cuerpo

application/json

string<email>

requerido

La misma dirección de correo electrónico usada en la llamada correspondiente a POST /v3/email/send/. Es lo que vincula la comprobación con el envío.

Ejemplo:

"alice@example.com"

code

string

requerido

El OTP que recibió el usuario final: entre 4 y 8 dígitos, o entre 4 y 8 letras o dígitos cuando se usó alphanumeric_code: true en el envío. La comparación no distingue entre mayúsculas y minúsculas.

Maximum string length: 10

Ejemplo:

"123456"

duplicated_email_action

enum<string>

predeterminado:NO_ACTION

Qué hacer cuando otro usuario de tu aplicación (con un vendor_data distinto) ya usó y tiene aprobada la misma dirección (solo cuentan las verificaciones aprobadas previamente). DECLINE cambia el status final a Declined; NO_ACTION registra el riesgo en email.warnings y rellena email.matches.

Opciones disponibles:

NO_ACTION,

DECLINE

breached_email_action

enum<string>

predeterminado:NO_ACTION

Qué hacer cuando la dirección aparece en filtraciones de datos conocidas (email.is_breached). DECLINE cambia el status final a Declined; NO_ACTION registra el riesgo en email.warnings.

Opciones disponibles:

NO_ACTION,

DECLINE

disposable_email_action

enum<string>

predeterminado:NO_ACTION

Qué hacer cuando el dominio pertenece a un proveedor de correo desechable o temporal (email.is_disposable). DECLINE cambia el status final a Declined; NO_ACTION registra el riesgo en email.warnings.

Opciones disponibles:

NO_ACTION,

DECLINE

enable_enrichment

boolean

predeterminado:false

Si es true, también ejecuta inteligencia de correo electrónico sobre la dirección: una puntuación de riesgo y su historial de filtraciones. Se factura como una unidad email_intelligence_api por solicitud ($0.05 a precio de lista), además del precio propio de este endpoint. La solicitud devuelve 403 cuando tu saldo no alcanza para cubrirlo.

Ejemplo:

false

email_intelligence_score_action

enum<string>

predeterminado:NO_ACTION

Acción cuando la puntuación de riesgo de inteligencia del correo electrónico supera el umbral. DECLINE cambia el status final a Declined; NO_ACTION registra la señal sin rechazar. Solo tiene efecto cuando enable_enrichment es true.

Opciones disponibles:

NO_ACTION,

DECLINE

recent_email_breach_action

enum<string>

predeterminado:NO_ACTION

Acción cuando la dirección aparece en una filtración de datos conocida reciente. DECLINE cambia el status final a Declined; NO_ACTION registra la señal sin rechazar. Solo tiene efecto cuando enable_enrichment es true.

Opciones disponibles:

NO_ACTION,

DECLINE

frequent_email_breach_action

enum<string>

predeterminado:NO_ACTION

Acción cuando la dirección aparece en muchas filtraciones de datos conocidas. DECLINE cambia el status final a Declined; NO_ACTION registra la señal sin rechazar. Solo tiene efecto cuando enable_enrichment es true.

Opciones disponibles:

NO_ACTION,

DECLINE

Si es true, también se consulta la huella social de la dirección: las plataformas de correo electrónico, redes sociales, profesionales, comercio electrónico y entretenimiento en las que está registrada. Se factura como una unidad email_social por solicitud, además del precio propio de este endpoint.

Ejemplo:

true

Acción cuando la comprobación de huella social no encuentra la dirección registrada en ninguna de las plataformas que cubre. En este endpoint solo se aceptan NO_ACTION y DECLINE; REVIEW está disponible en la clave de configuración del flujo con el mismo nombre.

Opciones disponibles:

NO_ACTION,

DECLINE

Respuesta

Comprobación completada: los códigos incorrectos y las verificaciones inexistentes también devuelven 200; revisa status, no el código HTTP. email solo se rellena en resultados finalizados (Approved/Declined), es null en Failed y no aparece en Expired or Not Found.

request_id

string<uuid>

Con Approved/Declined: el id de sesión de la verificación coincidente, idéntico al request_id que devuelve POST /v3/email/send/. Con Failed y Expired or Not Found: un UUID aleatorio de un solo uso que no se puede consultar después.

status

enum<string>

Approved: código correcto, sin ningún riesgo que provoque rechazo. Declined: estado final; coincidió un riesgo que provoca rechazo o se agotó el número de intentos (3). Failed: código incorrecto, quedan intentos. Expired or Not Found: no hay ninguna verificación pendiente para esta dirección en los últimos 5 minutos.

Opciones disponibles:

Approved,

Declined,

Failed,

Expired or Not Found

message

string

Explicación legible del resultado, incluido el número de intentos restantes tras un código incorrecto.

object | null

Informe de correo electrónico completo. Presente (no null) solo en los resultados finalizados (Approved/Declined); null en Failed y ausente en Expired or Not Found.

Show child attributes

vendor_data

string | null

vendor_data de la sesión de la verificación coincidente. null en Expired or Not Found.

metadata

object | null

metadata de la sesión de la verificación coincidente. null en Expired or Not Found.

created_at

string<date-time>

Marca de tiempo de esta respuesta de comprobación.

Última modificación el 1 de noviembre de 2026

​Complemento de inteligencia

Autorizaciones

Cuerpo

Respuesta

Complemento de inteligencia