Authentification API : sécuriser les requêtes KYC

Trouver votre clé API

Dans Didit, les clés API sont restreintes à une Application spécifique au sein de votre compte. Une Application est un espace de travail dans lequel vous pouvez configurer des workflows et gérer des vérifications pour un projet ou un environnement particulier. Chaque Application reçoit une clé API principale disposant d’un accès complet lors de sa création. Vous pouvez ajouter d’autres clés à côté de celle-ci, chacune n’ayant que les accès dont un service ou un partenaire a besoin. Pour trouver vos clés :

Connectez-vous à la Business Console

Accédez à la Didit Business Console et connectez-vous.

Sélectionnez votre Application

Choisissez l’Application avec laquelle vous souhaitez travailler dans le menu déroulant en haut.

Ouvrez les clés API

Accédez à Développeurs -> Clés API dans la barre latérale gauche.

Copiez ou créez une clé

La clé Principale est le secret propre à l’Application. Créez une nouvelle clé pour donner à un service ou un partenaire son propre secret, avec les accès dont il a besoin.

Votre clé API est un secret — traitez-la comme un mot de passe.La clé principale offre un accès complet à l’API au nom de votre Application. Ne l’exposez jamais dans du code frontend, des dépôts publics ou des bundles côté client. Conservez-la toujours uniquement côté serveur.

Format de clé API

Les nouvelles clés API commencent par sk_live_ pour une application de production ou sk_test_ pour une application sandbox, suivies de 43 caractères compatibles avec les URL (lettres, chiffres, - et _). Les clés créées avant ce format n’ont pas de préfixe et continuent de fonctionner sans modification. Envoyez la clé complète, préfixe inclus, dans l’en-tête x-api-key, et ne rejetez pas une clé au motif qu’elle n’a pas de préfixe.

Trouver l’ID de votre organisation

Votre ID de l’organisation est l’UUID qui identifie votre organisation. Vous l’utilisez dans les chemins d’API restreints à l’organisation tels que /auth/v2/organizations/me/{org_id}/applications/. Vous pouvez le copier directement depuis la Business Console, sans aucun appel d’API nécessaire :

Ouvrez les paramètres de l'organisation

Dans la Didit Business Console, accédez à Paramètres de l’organisation.

Copiez l'ID de l'organisation

Le champ ID de l’organisation affiche l’UUID de votre organisation à côté du nom de l’organisation, avec un bouton permettant de copier l’UUID dans le presse-papiers.

Effectuer des requêtes authentifiées

Pour authentifier une requête API, incluez votre clé API secrète dans l’en-tête HTTP x-api-key. Voici un exemple de requête authentifiée vers l’endpoint Create Session :

cURL

curl --request POST \
     --url https://verification.didit.me/v3/session/ \
     --header 'accept: application/json' \
     --header 'content-type: application/json' \
     --header 'x-api-key: YOUR_API_KEY' \
     --data '
{
  "workflow_id": "WORKFLOW_ID",
  "vendor_data": "USER_ID",
  "callback": "CALLBACK_URL"
}
'

Gestion des erreurs

Si votre clé API est incorrecte, mal formée ou révoquée, l’API renvoie 401 Unauthorized :

{
  "detail": "Authentication credentials were not provided or are invalid."
}

Une clé expirée renvoie également 401, avec "detail": "This API key has expired.". Une requête sans clé renvoie 403 avec "detail": "You do not have permission to perform this action.".

Code d’état	Signification
401	La clé API est incorrecte, mal formée, révoquée ou expirée
403	Aucune clé API n’a été envoyée, la clé n’a pas accès à la ressource ou à l’action demandée, ou la requête provient d’une adresse située en dehors de la liste d’adresses IP de la clé
403 avec `"code": "application_deleted"`	La clé appartient à une application qui a été supprimée. L’API renvoie cette réponse pendant quelques minutes après la suppression, puis refuse la clé comme n’importe quelle clé invalide. Ne réessayez pas : l’application et ses clés n’existent plus.
404	Sur une route de session : la session ne correspond à aucun des workflows ou statuts autorisés par la clé

La page Erreurs d’API répertorie chaque statut, corps et code.

Clés API avec restrictions de portée

Donnez à chaque service ou partenaire sa propre clé au lieu de partager la clé principale. Chaque clé possède ses propres droits d’accès pour chaque ressource : aucun droit, lecture ou écriture (sessions, décisions, médias, personnes, entreprises, transactions, workflows, webhooks, paramètres de l’application, analyses), ainsi que des restrictions facultatives à certains workflows, aux sessions approuvées uniquement, à une liste d’adresses IP et à une date d’expiration. Vous pouvez effectuer une rotation de clé avec un chevauchement de 24 heures, et la révoquer immédiatement. Les clés créées avant l’introduction des accès restreints conservent un accès complet. Consultez Clés API pour connaître les configurations prédéfinies, les ressources couvertes par chacune d’elles et la manière dont l’API répond à une clé restreinte.

Si vous recevez une erreur 401, vérifiez bien que vous utilisez la bonne clé API pour la bonne Application et qu’elle n’a pas été régénérée.

Présentation

Tarifs

Workflows et vérification

Examen et opérations

Entités (utilisateurs et entreprises)

Paramètres et personnalisation

Sécurité et conformité

Didit Academy

Ressources

Authentification API : sécuriser les requêtes KYC

Trouver votre clé API

Format de clé API

Trouver l’ID de votre organisation

Effectuer des requêtes authentifiées

Gestion des erreurs

Clés API avec restrictions de portée

​Trouver votre clé API

​Format de clé API

​Trouver l’ID de votre organisation

​Effectuer des requêtes authentifiées

​Gestion des erreurs

​Clés API avec restrictions de portée

Trouver votre clé API

Format de clé API

Trouver l’ID de votre organisation

Effectuer des requêtes authentifiées

Gestion des erreurs

Clés API avec restrictions de portée