> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Kunci Penandatanganan JWKS | Didit Authentication API > GET /.well-known/jwks.json mengembalikan kunci publik ES256 Didit. Simpan cache per kid; kunci dirotasi tiap 30 hari, tumpang tindih satu hari. > [!WARNING] > > Autentikasi masih baru. Endpoint ini dilayani oleh penerbit aplikasi Anda, misalnya `https://.auth.didit.me`, dan tidak pernah menerima kunci API Didit Anda. Kunci dirotasi setiap 30 hari, dengan satu hari tumpang tindih di setiap sisi, sehingga JWKS yang di-cache selama 5 menit tetap dapat memverifikasi token selama rotasi. Ambil ulang JWKS saat token menyebutkan `kid` yang tidak Anda miliki, maksimal sekali per menit. Lihat [Penyimpanan cache dan rotasi](https://docs.didit.me/id/authentication/tokens-and-jwks.md#caching-dan-rotasi). ## OpenAPI ````yaml id/openapi-authentication.json GET /.well-known/jwks.json openapi: 3.0.3 info: title: Didit Authentication API version: 1.0.0 description: >- Endpoint yang menghadap ke server dari Didit Authentication, produk masuk (sign-in) untuk pengguna akhir aplikasi Anda. Authentication adalah fitur **baru** dan akan tersedia di lingkungan produksi pada rilis 2026-11-01. ## Base URL Setiap aplikasi adalah penerbit (issuer) OpenID Connect miliknya sendiri, dan setiap endpoint di bawah ini dilayani di root dari penerbit tersebut: - `https://.auth.didit.me` untuk aplikasi live, atau `https://.sandbox.auth.didit.me` untuk aplikasi sandbox. - Domain kustom Anda sendiri, setelah aktif. Domain tersebut kemudian menggantikan host default sebagai penerbit: token baru mencantumkannya di `iss`, discovery mengarah ke sana, dan kunci yang dapat dipublikasikan berubah. Token akses yang diterbitkan di bawah host default akan gagal di `/session/`, `/step-up/`, dan `/monitoring-token/` hingga token tersebut diperbarui. Lingkungan live dan sandbox adalah aplikasi terpisah, sehingga keduanya merupakan penerbit terpisah dengan kunci terpisah. Kunci yang dapat dipublikasikan adalah `pk_live_` (live) atau `pk_test_` (sandbox) diikuti oleh encoding base64url tanpa padding dari penerbit, tanpa garis miring penutup: lakukan decode untuk menemukan penerbitnya. Kunci ini adalah pengidentifikasi publik, bukan kredensial. Endpoint JSON yang sama juga dilayani di bawah `https://apx.didit.me/auth/v2/authentication/{application_id}/`. Token selalu mencantumkan penerbit di atas, alamat mana pun yang menerbitkannya. ## Kredensial Endpoint ini tidak pernah menerima kunci API Didit Anda atau token konsol. - Discovery, JWKS, dan `POST /token/` tidak memerlukan kredensial. Klien bersifat publik: tidak ada client secret, dan kode otorisasi terikat pada verifier PKCE-nya (`S256`). `client_id` adalah ID aplikasi Anda. - `/session/`, `/step-up/`, dan `/monitoring-token/` menerima token akses pengguna: `Authorization: Bearer `. Setiap panggilan yang berhasil dihitung sebagai aktivitas pada sesi, sehingga memulai ulang batas waktu tidak aktif (idle timeout) sesi tersebut. ## Body permintaan Setiap endpoint yang menerima body mendukung format JSON, form-encoded, dan multipart. Dokumen ini mencantumkan JSON, ditambah form-encoded untuk `POST /token/` sebagaimana yang dikirimkan oleh klien OAuth. Kolom yang tidak diterima oleh endpoint akan menghasilkan `400 {"": "unknown_field"}`. ## Token - **Token akses**: JWT ES256 dengan header `typ: at+jwt`, berlaku paling lama 5 menit dan tidak pernah lebih lama dari sesinya. Klaim: `AccessTokenClaims`. - **Token ID**: JWT ES256 dengan header `typ: JWT`. Klaim: `IDTokenClaims`. Token ini tidak pernah diterima sebagai token akses. - **Token pembaruan**: string acak yang dirotasi pada setiap penggunaan. Mengirimkan token pembaruan yang sudah digunakan kembali akan mencabut sesi. Verifikasi token dengan kunci dari `GET /.well-known/jwks.json`: algoritma harus berupa `ES256`, `typ` harus cocok dengan tipe token, `iss` harus sama dengan penerbit yang Anda konfigurasikan, dan `aud` harus sama dengan ID aplikasi Anda. Verifikasi offline hanya melihat sesi yang dicabut setelah token aksesnya kedaluwarsa; `GET /session/` adalah pemeriksaan instan. ## Error | Body | Kapan | | --- | --- | | `{"error": ""}` | Error dari `POST /token/`, semuanya dengan status `400`, dalam bentuk body [RFC 6749 bagian 5.2](https://www.rfc-editor.org/rfc/rfc6749#section-5.2): `invalid_grant`, `invalid_client`, dan `mfa_required` dari Didit. Error layanan: `temporarily_unavailable`, `monitoring_unavailable`, `monitoring_disabled`. | | `{"": [""]}` atau `{"": ""}` | Kolom permintaan gagal divalidasi. `non_field_errors` menunjukkan aturan lintas kolom, dan `unknown_field` menunjukkan kolom yang tidak diterima oleh endpoint. | | `{"detail": ""}` | `401` (`invalid_token`), `403` (`origin_not_allowed`), `404` (aplikasi atau step-up tidak dikenal), dan `429` (batas laju). Juga `400` untuk body yang tidak dapat di-parse (`JSON parse error - ...`), `405` untuk metode yang tidak dilayani oleh endpoint, dan `415` untuk `Content-Type` yang tidak didukung. | Status `401` juga membawa `WWW-Authenticate: Bearer`, dan `429` membawa `Retry-After` dalam detik. Ada dua penolakan yang bukan berupa JSON. Alamat yang bukan merupakan penerbit akan ditolak sebelum mencapai endpoint ini, misalnya dengan `404` kosong untuk nama `*.auth.didit.me` yang tidak digunakan. `step_up_id` yang bukan merupakan UUID akan menghasilkan halaman `404`. ## Batas laju Sebuah permintaan harus melewati dua lapisan. **Batas endpoint**, dihitung per alamat IP klien, per aplikasi, dan per endpoint: - Discovery dan JWKS: 1,200 permintaan per menit dan 12,000 per jam. - Setiap endpoint lainnya: 30 permintaan per menit dan 300 per jam. `GET` dan `DELETE /session/` berbagi satu hitungan. Melebihi batas: `429 {"detail": "Too many requests from this IP address. Please wait before trying again. Expected available in 60 seconds."}`, atau `3600 seconds` untuk batas per jam. **Proteksi bot**, pada setiap `POST` dan `DELETE`. Bucket-nya digunakan bersama oleh semua permintaan `POST` dan `DELETE` aplikasi, termasuk langkah masuk yang di-hosting, dan diisi ulang terus-menerus: - 60 permintaan per menit per alamat IP klien. - 30 permintaan per menit per perangkat, untuk permintaan yang mengidentifikasi perangkatnya, seperti yang dilakukan oleh SDK browser dan native. - 3,000 permintaan per menit untuk seluruh aplikasi, di seluruh alamat IP. Pembaruan token (`POST /token/` dengan `grant_type=refresh_token`) menggunakan bucket tersendiri: 6,000 per menit untuk seluruh aplikasi. Melebihi bucket: `429 {"detail": "rate_limited Expected available in N seconds."}` (`1 second.` jika N bernilai 1). Bucket per IP mencakup seluruh endpoint, sehingga satu alamat yang mencampur panggilan token, step-up, dan keluar (sign-out) dapat mengosongkannya sebelum mencapai batas endpoint apa pun. Bucket aplikasi menghitung setiap klien dari aplikasi tersebut, termasuk browser. Kedua lapisan merespons sebelum endpoint dijalankan, sehingga permintaan yang mendapatkan `429` tidak dijalankan: coba lagi setelah `Retry-After`, termasuk pembaruan. ## Permintaan browser Permintaan yang membawa header `Origin` harus berasal dari salah satu origin milik aplikasi itu sendiri atau origin yang diizinkan, atau akan mendapatkan `403 origin_not_allowed`. Permintaan server-ke-server tidak mengirimkan `Origin`. ## Tidak dibahas di sini Rute-rute ini melayani halaman yang di-hosting, SDK browser dan native, serta agen AI. Rute ini bukan bagian dari kontrak server, dan SDK server tidak memanggilnya: - Langkah masuk: `POST /authorize/`, `POST /password/`, `/email/*`, `/phone/*`, `/password-reset/*`, `/passkeys/*`, `/mfa/*`, `/social/*`, dan `/protection/complete/`. - Halaman yang di-hosting dan callback: `/sign-in`, `/magic`, `/invite`, `/reset`, `/verify/`, `/sso/*`, `/wallet/callback/`, `/logo/`, serta file asosiasi aplikasi native di bawah `/.well-known/`. - Akses agen: `/agents/*` dan `/grants/`, termasuk `GET /agents/session/`, pemeriksaan live untuk token akses agen AI. Akses agen bukan bagian dari versi kontrak ini. - API manajemen konsol untuk Authentication, yang menggunakan sesi konsol. Event Authentication belum dikirimkan sebagai webhook, sehingga dokumen ini tidak mendefinisikan webhook apa pun. servers: - url: https://{issuer} description: 'Penerbit aplikasi Anda: asal proses masuknya.' variables: issuer: default: your-app.auth.didit.me description: >- Host penerbit: `.auth.didit.me` (produksi), `.sandbox.auth.didit.me` (sandbox), atau domain kustom aktif Anda. security: [] tags: - name: Issuer description: Kunci penemuan dan penandatanganan, untuk memverifikasi token. - name: Tokens description: Grant untuk kode otorisasi dan refresh. - name: Sessions description: Periksa dan akhiri sesi yang terkait dengan token akses. - name: Step-ups description: Verifikasi sebelum tindakan sensitif. - name: Monitoring description: Kredensial perangkat untuk event pemantauan transaksi. paths: /.well-known/jwks.json: get: tags: - Issuer summary: Dapatkan kunci penandatanganan description: >- Kunci ES256 publik aplikasi. Setiap token mencantumkan kuncinya di header `kid`. Kunci dirotasi setiap 30 hari. Kunci berikutnya dipublikasikan sehari sebelum mulai menandatangani, dan kunci sebelumnya tetap dipublikasikan selama sehari setelah berhenti, sehingga JWKS yang di-cache hingga 5 menit tetap memverifikasi selama rotasi. Cache kunci berdasarkan `kid` dan ambil JWKS lagi saat token mencantumkan `kid` yang tidak Anda miliki, paling sering sekali per menit. Saat Didit mencabut kunci yang disusupi, kunci tersebut langsung dihapus dari dokumen ini dan `GET /session/` menolak setiap token yang ditandatanganinya. Kunci pengganti mulai menandatangani seketika, tanpa publikasi sehari sebelumnya, sehingga JWKS yang di-cache hingga 5 menit sebelumnya masih menerima kunci yang dicabut dan belum mengetahui kunci penggantinya. operationId: authentication_get_jwks responses: '200': description: Kunci yang dipublikasikan. headers: Cache-Control: description: >- `public, max-age=300`: Anda dan cache bersama dapat menyimpan respons yang berhasil selama 5 menit, yaitu masa berlaku satu token akses. schema: type: string example: public, max-age=300 content: application/json: schema: $ref: '#/components/schemas/JSONWebKeySet' examples: Keys: summary: Satu kunci penandatanganan value: keys: - kty: EC crv: P-256 x: ZDN2unLMultuZwNY_ZKMvsKLRrlC_usPFZyK77cnDO8 'y': CfLKoaJNvhFpDWqG56H8dD_j0f1c93RdR63bhIdTh3I kid: k_8sJ2dQvX0nLr5TfYb3HkPw use: sig alg: ES256 '403': $ref: '#/components/responses/OriginNotAllowed' '404': $ref: '#/components/responses/ApplicationNotFound' '429': $ref: '#/components/responses/RateLimited' '503': $ref: '#/components/responses/TemporarilyUnavailable' security: - {} components: schemas: JSONWebKeySet: type: object description: >- Kunci penandatanganan publik aplikasi yang dipublikasikan. Biasanya satu kunci; dua saat rotasi, ketika kunci berikutnya dipublikasikan sehari sebelum menandatangani dan kunci sebelumnya tetap dipublikasikan selama sehari setelah berhenti. required: - keys properties: keys: type: array items: $ref: '#/components/schemas/JSONWebKey' JSONWebKey: type: object description: Kunci publik P-256 dalam bentuk JWK (RFC 7517). required: - kty - crv - x - 'y' - kid - use - alg properties: kty: type: string enum: - EC crv: type: string enum: - P-256 x: type: string description: Koordinat x titik publik, base64url. example: ZDN2unLMultuZwNY_ZKMvsKLRrlC_usPFZyK77cnDO8 'y': type: string description: Koordinat y titik publik, base64url. example: CfLKoaJNvhFpDWqG56H8dD_j0f1c93RdR63bhIdTh3I kid: type: string description: >- ID kunci, yaitu `kid` pada header setiap token yang ditandatangani kunci ini. ID kunci baru dimulai dengan `k_`. example: k_8sJ2dQvX0nLr5TfYb3HkPw use: type: string enum: - sig alg: type: string enum: - ES256 Detail: type: object required: - detail properties: detail: type: string example: invalid_token OAuthError: title: OAuth error type: object description: Error OAuth (RFC 6749 bagian 5.2) atau error layanan. required: - error properties: error: type: string example: invalid_grant responses: OriginNotAllowed: description: >- Permintaan membawa `Origin` yang bukan milik aplikasi dan tidak terdapat dalam daftar origin yang diizinkan. Permintaan server tidak mengirimkan `Origin`. headers: Cache-Control: description: 'Selalu `no-store`: jangan pernah menyimpan respons ini dalam cache.' schema: type: string example: no-store Pragma: description: Selalu `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: OriginNotAllowed: summary: Asal tidak diizinkan value: detail: origin_not_allowed ApplicationNotFound: description: >- Alamat milik suatu aplikasi, tetapi Autentikasi tidak aktif untuk aplikasi tersebut; pada alamat `apx.didit.me`, ID aplikasi tidak diketahui. Alamat yang bukan milik aplikasi mana pun ditolak sebelum mencapai endpoint, dan respons tersebut bukan JSON. headers: Cache-Control: description: 'Selalu `no-store`: jangan pernah menyimpan respons ini dalam cache.' schema: type: string example: no-store Pragma: description: Selalu `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: ApplicationNotFound: summary: Aplikasi tidak dikenal value: detail: No Configuration matches the given query. RateLimited: description: >- Terlalu banyak permintaan dari alamat ini untuk endpoint ini, atau, pada `POST` atau `DELETE`, bucket perlindungan bot kosong. Tidak ada yang dijalankan: tunggu selama `Retry-After` detik, lalu coba lagi. headers: Retry-After: description: Detik untuk menunggu sebelum mencoba lagi. schema: type: integer example: 60 Cache-Control: description: 'Selalu `no-store`: jangan pernah menyimpan respons ini dalam cache.' schema: type: string example: no-store Pragma: description: Selalu `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: RateLimited: summary: Batas endpoint value: detail: >- Too many requests from this IP address. Please wait before trying again. Expected available in 60 seconds. BotProtection: summary: Batas perlindungan bot (POST dan DELETE) value: detail: rate_limited Expected available in 2 seconds. TemporarilyUnavailable: description: >- Layanan yang dibutuhkan permintaan sedang tidak tersedia untuk sementara. Coba lagi dengan backoff. headers: Cache-Control: description: 'Selalu `no-store`: jangan pernah menyimpan respons ini dalam cache.' schema: type: string example: no-store Pragma: description: Selalu `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/OAuthError' examples: TemporarilyUnavailable: summary: Coba lagi nanti value: error: temporarily_unavailable ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.