> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Obtenir les identifiants API : client_id et api_key > Récupérez le client_id et l'api_key de votre application Didit ; utilisez l'api_key dans l'en-tête x-api-key. Paiement à l'usage, sans contrat. Prompt pour obtenir les identifiants de l'application Copier le prompt dans le presse-papiers \

\`Read one application's full record — including its client_id and api_key (client_secret). Use this to RECOVER an api_key you've misplaced.

Endpoint:
GET https://apx.didit.me/auth/v2/organizations/me/{org_id}/applications/{app_id}/

Authentication:
Authorization: Bearer 
Get a token via POST /programmatic/login/.

Path parameters:
\- org_id (UUID, required) — Organization that owns the application. Get via GET /organizations/me/.
\- app_id (UUID, required) — Application UUID. Returned by POST /programmatic/verify-email/ (in the application.uuid field), by POST /organizations/me/{org_id}/applications/, or visible in the Didit console.

curl example:
curl "https://apx.didit.me/auth/v2/organizations/me//applications//" \
-H "Authorization: Bearer "

Response (200 OK):
\{
"uuid": "b2c3d4e5-6789-...",
"name": "My App",
"client_id": "S9LIYGSoWNuGMLHsvEt9dQ",
"api_key": "sk_live_example_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
"website_url": "https://example.com",
"redirect_uris": ["https://example.com/callback"],
"terms_url": "https://example.com/terms",
"privacy_url": "https://example.com/privacy",
"description": "Production application",
"created_at": "2025-06-01T10:00:00Z",
"data_location": "eu",
"products": [
\{ "product": "identity", "status": "enabled", "modules": { "user_verification": true, "business_verification": true, "case_management": true } },
\{ "product": "transactions", "status": "disabled", "modules": { "travel_rule": true, "case_management": true } },
\{ "product": "authentication", "status": "disabled", "modules": {} }
]
}

How to use the response:
\- api_key → set as the x-api-key header on EVERY call to https://verification.didit.me/v3/... (sessions, workflows, questionnaires, AML monitoring, billing, etc.).
\- client_id → shown alongside api_key for OAuth-style introspection scenarios. Routine verification calls only need api_key.
\- data_location → where the application's verification data is stored and processed: "eu" (European Union, Ireland). Chosen when the application is created; "au" (Australia, Sydney) and "mx" (Mexico) are coming soon.
\- products → read-only. Always all three products in this order: identity, transactions, authentication. Each has a status (enabled, early_access or disabled) and its module switches (true or false). identity modules: user_verification, business_verification, case_management. transactions modules: travel_rule, case_management. authentication has none ({}).

Failure modes:
\- 401: { "detail": "Invalid access token" } or { "detail": "Expired access token" } when the token is malformed or expired.
\- 403: { "detail": "Only organization owners and admins can manage applications." } when you are a member of the organization but not an owner or admin.
\- 403: { "detail": "Your access to this organization is suspended." } when your membership in the organization is suspended.
\- 403: { "detail": "You do not have permission to perform this action." } when the request has no Authorization header.
\- 404: { "detail": "Organization not found." } when the organization does not exist or you are not a member of it, or { "detail": "Application not found." } when the application is not in that organization.

When to call:
\- After programmatic login from a new machine — you have an access_token but not the api_key, and you need x-api-key to start calling verification.didit.me.
\- Auditing your applications — list all apps with GET /organizations/me/{org_id}/applications/, then read each.

Note:
This endpoint does not rotate the credential. It returns the application's current api_key on every GET, so there is no "show api_key once" model.

For end-to-end Didit integration, paste in the full prompt at /integration/integration-prompt.`

\
Coller dans ## OpenAPI ````yaml fr/openapi-auth.json GET /organizations/me/{org_id}/applications/{app_id}/ openapi: 3.0.0 info: version: 1.0.0 title: Didit Auth API description: "API d'inscription et d'authentification programmatiques pour les développeurs et les agents IA. Inscrivez-vous en 2 appels d'API -- aucun navigateur requis. La plateforme de vérification d'identité la plus adaptée aux agents.\n\n## URL de base\n\nTous les endpoints de cette spécification sont hébergés sur `https://apx.didit.me/auth/v2`. Il s'agit d'un hôte différent de celui de l'API de vérification (`https://verification.didit.me/v3`). Distinguez-les bien\_: cet hôte d'authentification délivre vos **tokens d'accès JWT** et vous permet de lister et gérer vos **organisations** et **applications**. L'hôte de vérification est celui sur lequel vous appelez les sessions, les workflows, l'AML, etc., en vous authentifiant avec la **`api_key`** renvoyée par cette API.\n\n## Fonctionnement du flux d'authentification\n\n1. `POST /programmatic/register/` — soumettez e-mail + mot de passe.\n2. Recevez un code alphanumérique de 6 caractères par e-mail.\n3. `POST /programmatic/verify-email/` — soumettez le code. Vous recevez en retour un `access_token` JWT, un `refresh_token`, une organisation et une application par défaut avec `client_id` + `api_key`.\n4. Enregistrez la `api_key`. Utilisez-la comme `x-api-key` pour chaque appel vers `https://verification.didit.me/v3/...`.\n5. Depuis n'importe quelle machine ultérieure, `POST /programmatic/login/` échange votre e-mail + mot de passe contre un nouveau JWT, puis appelez `GET /organizations/me/` et les endpoints d'application pour récupérer ou renouveler les identifiants.\n\nLe JWT n'est requis que pour les endpoints de **Gestion de compte** de cette spécification\_; le trafic de l'API de vérification utilise la `api_key` de longue durée, pas le JWT.\n\n## Conventions\n\n- Tous les corps de requête et de réponse sont en JSON (`Content-Type: application/json`).\n- **Utilisez une véritable adresse e-mail distribuable lors du test de `POST /programmatic/register/`.** L'endpoint envoie le code de vérification de manière synchrone\_; les adresses sur des domaines de test réservés (`@example.com`, `@example.org`, `@*.test`, `@*.example`, `@*.invalid`) sont donc refusées par le service de distribution des e-mails et la requête renvoie une erreur `500`. Remplacez l'espace réservé `you@yourdomain.com` dans les exemples par une boîte de réception que vous pouvez réellement consulter.\n- Les erreurs de validation renvoient un code HTTP `400` avec l'une des deux structures\_: `{\"field\": [\"message\", ...]}` pour les problèmes au niveau des champs, ou `{\"detail\": \"message\"}` pour les erreurs de règles métier. Quelques validateurs (force du mot de passe lors de l'inscription, expiration du code lors de la vérification de l'e-mail) répondent actuellement avec un simple tableau `[\"message\"]` au lieu du format avec des clés correspondant aux champs -- il s'agit d'une incohérence connue côté serveur\_; le code client doit donc accepter les deux formats.\n- Les erreurs d'authentification renvoient `{\"detail\": \"...\"}` avec un code HTTP `401` (token porteur non valide) ou `403` (token porteur manquant / privilèges insuffisants).\n- Les réponses de limite de débit incluent un champ `wait` indiquant le délai d'attente en secondes." servers: - url: https://apx.didit.me/auth/v2 description: Serveur d'authentification de production security: [] tags: - name: Programmatic Auth description: >- Cycle de vie d'un compte avec e-mail et mot de passe : inscription, vérification, connexion. Renvoie le `access_token` JWT que vous utilisez sur les endpoints de gestion de compte, plus (lors de la vérification) le `client_id` et la `api_key` de votre première application. - name: Account Management description: >- Endpoints authentifiés (Bearer JWT) qui listent les organisations et créent, récupèrent ou mettent à jour des applications. Utilisez-les pour récupérer ou remplacer la clé `api_key` avec laquelle vous authentifiez les appels à l'API de vérification. paths: /organizations/me/{org_id}/applications/{app_id}/: get: tags: - Account Management summary: Obtenir les identifiants de l'application description: >- Lire l'enregistrement complet d'une application, y compris `client_id` et `api_key`. Utilisez ceci pour récupérer une `api_key` perdue. operationId: get_application_credentials parameters: - name: org_id in: path required: true description: UUID de l'organisation propriétaire de l'application. schema: type: string format: uuid example: a1b2c3d4-5678-90ab-cdef-111111111111 - name: app_id in: path required: true description: UUID de l'application dont vous souhaitez lire les identifiants. schema: type: string format: uuid example: b2c3d4e5-6789-01bc-defg-222222222222 responses: '200': description: >- Enregistrement de l'application incluant son `client_id` et son `api_key`. content: application/json: schema: $ref: '#/components/schemas/Application' examples: Success: value: uuid: b2c3d4e5-6789-01bc-defg-222222222222 name: My App client_id: S9LIYGSoWNuGMLHsvEt9dQ api_key: sk_live_example_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx website_url: https://example.com redirect_uris: - https://example.com/callback terms_url: https://example.com/terms privacy_url: https://example.com/privacy description: Production application created_at: '2025-06-01T10:00:00Z' data_location: eu products: - product: identity status: enabled modules: user_verification: true business_verification: true case_management: true - product: transactions status: disabled modules: travel_rule: true case_management: true - product: authentication status: disabled modules: {} '401': description: >- Token d'accès malformé, invalide ou expiré. Obtenez-en un nouveau avec `POST /programmatic/login/`. content: application/json: schema: $ref: '#/components/schemas/AuthError' examples: InvalidToken: value: detail: Invalid access token ExpiredToken: value: detail: Expired access token '403': description: >- Vous ne pouvez pas lire cette application. Un membre de l'organisation qui n'est ni propriétaire ni administrateur reçoit `Only organization owners and admins can manage applications.` Un propriétaire ou un administrateur dont l'accès à l'organisation est suspendu reçoit `Your access to this organization is suspended.` Une requête sans en-tête `Authorization` reçoit `You do not have permission to perform this action.` content: application/json: schema: $ref: '#/components/schemas/AuthError' examples: NotOwnerOrAdmin: summary: Membre qui n'est ni propriétaire ni administrateur value: detail: >- Only organization owners and admins can manage applications. Suspended: summary: Adhésion suspendue value: detail: Your access to this organization is suspended. MissingToken: summary: Aucun en-tête Authorization value: detail: You do not have permission to perform this action. '404': description: >- L'organisation n'existe pas ou vous n'en êtes pas membre, ou l'application n'existe pas dans cette organisation. content: application/json: schema: $ref: '#/components/schemas/AuthError' examples: OrganizationNotFound: summary: Organisation introuvable, ou vous n'en êtes pas membre value: detail: Organization not found. ApplicationNotFound: summary: Aucune application de ce type dans cette organisation value: detail: Application not found. security: - BearerAuth: [] x-codeSamples: - lang: curl label: cURL source: >- curl "https://apx.didit.me/auth/v2/organizations/me/$ORG_ID/applications/$APP_ID/" \ -H "Authorization: Bearer $ACCESS_TOKEN" - lang: python label: Python source: |- from didit import Didit # Use the access token that account.login returns. client = Didit(account_token="YOUR_ACCESS_TOKEN") result = client.account.applications.retrieve( "a1b2c3d4-5678-90ab-cdef-111111111111", "b2c3d4e5-6789-01bc-defg-222222222222", ) print(result) - lang: javascript label: Node.js source: |- import Didit from "@didit-protocol/sdk-node"; // Use the access token that account.login returns. const didit = new Didit({ accountToken: "YOUR_ACCESS_TOKEN" }); const result = await didit.account.applications.retrieve( "a1b2c3d4-5678-90ab-cdef-111111111111", "b2c3d4e5-6789-01bc-defg-222222222222", ); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Use the access token that account.login returns.\nclient := didit.NewClient(option.WithAccountToken(\"YOUR_ACCESS_TOKEN\"))\n\nresult, err := client.Account.Applications.Retrieve(ctx, \"a1b2c3d4-5678-90ab-cdef-111111111111\", \"b2c3d4e5-6789-01bc-defg-222222222222\")\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: >- import me.didit.Didit; // Use the access token that account.login returns. Didit client = Didit.builder().accountToken("YOUR_ACCESS_TOKEN").build(); var result = client.account().applications().retrieve("a1b2c3d4-5678-90ab-cdef-111111111111", "b2c3d4e5-6789-01bc-defg-222222222222"); System.out.println(result); - lang: php label: PHP source: >- account->applications->retrieve('a1b2c3d4-5678-90ab-cdef-111111111111', 'b2c3d4e5-6789-01bc-defg-222222222222'); print_r($result->toArray()); - lang: ruby label: Ruby source: |- require "didit" # Use the access token that account.login returns. didit = Didit::Client.new(account_token: "YOUR_ACCESS_TOKEN") result = didit.account.applications.retrieve( "a1b2c3d4-5678-90ab-cdef-111111111111", "b2c3d4e5-6789-01bc-defg-222222222222" ) puts result.to_h - lang: csharp label: .NET source: >- using System; using System.Text.Json; using Didit; // Use the access token that account.login returns. using var client = new DiditClient(new DiditClientOptions { AccountToken = "YOUR_ACCESS_TOKEN" }); var result = await client.Account.Applications.RetrieveAsync("a1b2c3d4-5678-90ab-cdef-111111111111", "b2c3d4e5-6789-01bc-defg-222222222222"); Console.WriteLine(JsonSerializer.Serialize(result)); components: schemas: Application: type: object description: >- Enregistrement complet de l'application. `uuid`, `client_id` et `api_key` ne changent jamais après la création. `data_location` non plus, sauf une fois sur l'application de production créée avec votre organisation, avant sa première utilisation (voir la requête de mise à jour). properties: uuid: type: string format: uuid description: >- UUID de l'application. À utiliser comme `{app_id}` dans les appels ultérieurs. example: b2c3d4e5-6789-01bc-defg-222222222222 name: type: string description: Nom d'affichage de l'application affiché dans la console Didit. example: Acme Production App client_id: type: string description: >- Identifiant client public, pouvant être intégré en toute sécurité dans des flux de type OAuth. example: S9LIYGSoWNuGMLHsvEt9dQ api_key: type: string description: >- Secret à longue durée de vie (également appelé `client_secret`). À utiliser comme en-tête `x-api-key` pour chaque appel à `https://verification.didit.me/v3/...` (sessions, workflows, AML, etc.). Traitez-le comme un identifiant confidentiel ; ne l'exposez jamais côté client. Les nouvelles clés commencent par `sk_live_` (application de production) ou `sk_test_` (application sandbox), suivies de 43 caractères compatibles avec les URL (lettres, chiffres, `-` et `_`). Les clés créées avant ce format n'ont aucun préfixe et continuent de fonctionner à l'identique. Pendant 72 heures après la récupération de votre compte, lister, récupérer et mettre à jour renvoient une chaîne vide ici à la place de la clé. example: sk_live_example_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx website_url: type: string nullable: true description: URL du site web ou de l'application associée à cette application. example: https://acme.example redirect_uris: type: array items: type: string description: >- URI de redirection autorisées pour les flux de redirection de type OAuth et de vérification. example: - https://acme.example/callback terms_url: type: string nullable: true description: >- URL des conditions d'utilisation affichée dans le flux de vérification. example: https://acme.example/terms privacy_url: type: string nullable: true description: >- URL de la politique de confidentialité affichée dans le flux de vérification. example: https://acme.example/privacy description: type: string nullable: true description: >- Description interne de l'application (non visible par les utilisateurs finaux). created_at: type: string format: date-time example: '2025-06-01T10:00:00Z' data_location: $ref: '#/components/schemas/ApplicationDataLocation' products: type: array readOnly: true description: >- Les produits de l'application. Toujours les trois, dans cet ordre : `identity`, `transactions`, `authentication`. Une nouvelle application a `identity` activé avec chaque module activé, et `transactions` ainsi que `authentication` désactivés. Lecture seule : une clé `products` dans un corps de création ou de mise à jour est ignorée. items: $ref: '#/components/schemas/ApplicationProduct' example: - product: identity status: enabled modules: user_verification: true business_verification: true case_management: true - product: transactions status: disabled modules: travel_rule: true case_management: true - product: authentication status: disabled modules: {} AuthError: type: object description: >- Enveloppe d'erreur d'authentification / d'autorisation / d'élément introuvable. properties: detail: type: string example: Invalid access token ApplicationDataLocation: type: string enum: - eu - au - mx description: >- Emplacement où les données de vérification de l'application sont stockées et traitées, choisi lors de la création de l'application. `eu` correspond à l'Union européenne (Irlande), la valeur par défaut. `au` (Australie, Sydney) et `mx` (Mexique) seront bientôt disponibles : une requête les mentionnant renvoie une erreur 400 `This data location is not available yet.` L'application Sandbox d'une organisation se trouve toujours dans l'Union européenne. example: eu ApplicationProduct: type: object description: >- Un produit d'une application et son état. En lecture seule : les endpoints de l'application le renvoient et l'ignorent dans le corps de la requête. properties: product: type: string enum: - identity - transactions - authentication description: >- `identity` (Vérification d'identité), `transactions` (Surveillance des transactions) ou `authentication` (Authentification). example: identity status: type: string enum: - enabled - early_access - disabled description: >- Indique si le produit est activé pour cette application. `early_access` s'applique uniquement à `authentication`, que Didit active pour vous. example: enabled modules: type: object additionalProperties: type: boolean description: >- Interrupteurs de modules du produit, chacun valant `true` ou `false`. `identity` comporte `user_verification`, `business_verification` et `case_management`. `transactions` comporte `travel_rule` et `case_management`. `authentication` n'en a aucun (`{}`). `case_management` est un paramètre unique affiché à la fois sous `identity` et `transactions`, il a donc la même valeur sur les deux. example: user_verification: true business_verification: true case_management: true required: - product - status - modules securitySchemes: BearerAuth: type: http scheme: bearer bearerFormat: JWT description: >- JWT `access_token` signé en RS256 renvoyé par `POST /programmatic/login/` ou `POST /programmatic/verify-email/`. À envoyer sous la forme `Authorization: Bearer `. La durée de vie par défaut est de 86400 secondes (24h). Ce token n'est valable que pour les endpoints de gestion de compte sur `apx.didit.me/auth/v2`. L'API de vérification (`verification.didit.me/v3`) utilise plutôt la `api_key` de longue durée sous forme de `x-api-key`. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.