Passer au contenu principal
POST
Créer un token de surveillance
L’authentification est une nouveauté, et cet endpoint reste désactivé tant que Didit ne l’active pas : jusque-là, il répond 503 monitoring_unavailable.
Les SDK pour navigateur et les SDK natifs appellent cet endpoint depuis l’appareil de la personne ; votre serveur n’en a pas besoin. Chaque événement envoyé avec l’identifiant est enregistré dans le vendor_data de la personne, quelles que soient les informations que déclare l’appareil.

Autorisations

Authorization
string
header
requis

Le token d'accès de la personne issu de POST /token/ : un JWT ES256 avec l'en-tête typ: at+jwt, valide pendant au plus 5 minutes. Il ne s'agit pas de votre clé API Didit.

Corps

application/json

Vide : le token d'accès identifie la personne.

Réponse

Un identifiant d'appareil pour la personne.

Un identifiant d'authentification d'appareil à courte durée de vie pour envoyer les événements d'activité de la personne vers la surveillance des transactions depuis son appareil. Il n'est pas lié à la session : il reste utilisable jusqu'à expires_at, même après la déconnexion.

monitoring_token
string
requis

L'identifiant d'authentification de l'appareil. Traitez-le comme un secret.

Exemple:

"mt_2f8c1d9e7b6a5f4e3d2c1b0a"

expires_at
string<date-time>
requis

Au maximum 15 minutes après son émission.

Exemple:

"2026-10-17T10:56:14Z"

allowed_event_categories
string[]
requis

Les catégories d'événements qu'il peut envoyer. Les événements d'authentification et de sécurité proviennent toujours de Didit, jamais de l'appareil.

Exemple:
max_uses
integer
requis
Exemple:

1000

bind_to_origin
string | null
requis

L'origine de navigateur depuis laquelle l'identifiant fonctionne : l'Origin de la requête, ou null lorsqu'il n'y en avait pas.

Exemple:

"https://app.example.com"

vendor_data
string
requis

La personne pour laquelle chaque événement est enregistré, indépendamment de ce que l'appareil envoie.

Exemple:

"user-42"

Dernière modification le 7 novembre 2026