Passer au contenu principal
GET
Obtenir la session
L’authentification est une nouveauté. Ces endpoints sont exposés par l’émetteur de votre application, par exemple https://<name>.auth.didit.me, et n’acceptent jamais votre clé API Didit.
Il s’agit de la vérification de révocation instantanée. Elle autorise 30 requêtes par minute et 300 par heure, par adresse. Vérifiez donc les tokens hors ligne à chaque requête, et appelez-la avant toute action sensible. Voir Vérifier la session.

Autorisations

Authorization
string
header
requis

Le token d'accès de la personne issu de POST /token/ : un JWT ES256 avec l'en-tête typ: at+jwt, valide pendant au plus 5 minutes. Il ne s'agit pas de votre clé API Didit.

Réponse

La session est active.

La session active derrière un token d'accès.

sub
string<uuid>
requis

L'ID de l'identité.

Exemple:

"1c9d8b88-1bff-43d1-ad7a-88b2bc0024e9"

sid
string<uuid>
requis

L'ID de session.

Exemple:

"c9abf6cc-2d64-4bf2-b31e-a4d09a070ab1"

application_id
string<uuid>
requis
Exemple:

"7b0a6c2e-3f41-4c9a-8d55-1e2f3a4b5c6d"

vendor_data
string
requis

La référence de la personne à travers les produits Didit, comme dans les tokens.

Exemple:

"user-42"

amr
string[]
requis

Mode de connexion de la session, sous forme d'une valeur unique : par exemple password, code (code par e-mail), magic (lien magique), passkey, phone, sso, wallet (Didit ID Wallet) ou le nom d'une méthode de connexion sociale. Vide pour un token d'agent.

Exemple:
mfa_verified
boolean
requis

Indique si la session a validé un second facteur. Vaut toujours true pour une connexion par passkey.

Exemple:

false

email
string<email> | null
requis
Exemple:

"person@example.com"

email_verified
boolean
requis
Exemple:

true

phone
string | null
requis

Numéro de téléphone au format E.164, ou null.

Exemple:

null

verified_identity
object | null
requis

Ce que le Didit ID Wallet a partagé lors de la connexion. null lorsque la personne s'est connectée par un autre moyen.

verified
object | null
requis

Niveau de vérification et attributs sélectionnés, le même objet que celui transmis par les tokens sous verified, ou null lorsqu'il n'y en a aucun. Consultez ce champ, et non email_verified, pour savoir si la personne a vérifié son identité.

expires_at
string<date-time>
requis

Moment où la session prend fin au plus tard. Le délai d'inactivité peut y mettre fin plus tôt.

Exemple:

"2026-11-16T10:41:14.347557Z"

post_logout_redirect_uri
string
requis

Endroit où votre application redirige la personne après la déconnexion. Chaîne vide si non défini.

Exemple:

"https://app.example.com/"

organizations
object[]
requis

Chaque organisation cliente à laquelle appartient la personne, lorsque les organisations sont activées. Vide dans le cas contraire.

Dernière modification le 7 novembre 2026