> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Terbitkan Token Transaksi SDK: API Pemantauan Transaksi > Terbitkan token berumur pendek agar SDK Didit dapat mengirim transaksi terpantau langsung dari aplikasi Anda. Pengikatan subjek dijalankan di server. Prompt API Token Transaksi Mint SDK Salin prompt ke papan klip \

\`Mint a short-lived scoped token that lets the Didit SDKs submit monitored transactions directly from an end-user's device.

Endpoint:
POST https://verification.didit.me/v3/transactions/sdk-token/

Authentication:
Use the x-api-key header with my Didit API key. This call runs on YOUR BACKEND only - the API key must never ship in an app. Only the returned sdk_token travels to the device.

Goal:
\- Get an sdk_token scoped to one end user (vendor_data). The app passes it to the SDK's submitTransaction method (or directly to POST /v1/transactions/ via the X-Transaction-Token header).
\- The token binds the subject identity server-side: every transaction submitted with it has its subject forced to the token's vendor_data, so a tampered client cannot submit on behalf of another user.

Request body (application/json):
\{
"vendor_data": "user-042",   // required - your internal id for the end user
"ttl_seconds": 900,          // optional - default 900 (15 min), max 86400 (24 h)
"max_uses": 3                // optional - max successful submissions; omit for unlimited within the TTL
}
camelCase aliases (vendorData, ttlSeconds, maxUses) are also accepted.

Example call:
curl -X POST "https://verification.didit.me/v3/transactions/sdk-token/" \
-H "x-api-key: YOUR_API_KEY" -H "Content-Type: application/json" \
-d '{"vendor_data":"user-042","ttl_seconds":900,"max_uses":3}'

What to read from the response:
\- sdk_token - hand this to your app; it authenticates POST /v1/transactions/ via the X-Transaction-Token header.
\- expires_at - ISO-8601 expiry; mint a fresh token per user session rather than reusing long-lived ones.

Failure modes:
\- 400 - missing vendor_data or invalid ttl_seconds/max_uses.
\- 401 - missing or malformed x-api-key.

Best practice:
\- Mint per user session, keep max_uses tight when the number of expected submissions is known.
\- A 401 from POST /v1/transactions/ whose detail contains the word "expired" means the token aged out - mint a new one and retry.

For the full client-side submission guide, see /transaction-monitoring/sdk-transaction-submission.`

\
Tempel ke ## OpenAPI ````yaml id/openapi-25.json POST /v3/transactions/sdk-token/ openapi: 3.0.0 info: version: 3.0.0 title: Didit Verification API description: API Verifikasi Identitas. Lakukan autentikasi dengan header x-api-key. servers: - url: https://verification.didit.me security: [] tags: [] paths: /v3/transactions/sdk-token/: post: tags: - Transactions summary: Buat token transaksi SDK description: >- Buat token berumur pendek dengan cakupan terbatas yang diteruskan oleh aplikasi Anda ke SDK Didit sehingga dapat mengirimkan transaksi langsung dari perangkat pengguna akhir melalui `POST /v1/transactions/`. Token ini terikat pada satu `vendor_data` (ID pengguna Anda): identitas subjek dari setiap transaksi yang dikirimkan dengannya diberlakukan di sisi server berdasarkan pengikatan tersebut, sehingga klien yang dimanipulasi tidak dapat mengirimkan atas nama pengguna lain. Buat token dari backend Anda - jangan pernah menyertakan kunci API itu sendiri dalam aplikasi. Alias camelCase (`vendorData`, `ttlSeconds`, `maxUses`) juga diterima. operationId: createTransactionSdkToken requestBody: required: true content: application/json: schema: type: object properties: vendor_data: type: string description: >- Pengenal internal Anda untuk pengguna akhir yang menjadi cakupan token ini. Diberlakukan sebagai identitas subjek dari setiap transaksi yang dikirimkan bersama token tersebut. example: user-042 ttl_seconds: type: integer default: 900 maximum: 86400 description: >- Masa berlaku token dalam detik. Defaultnya 900 (15 menit); maksimum 86400 (24 jam). max_uses: type: integer nullable: true description: >- Jumlah maksimum pengiriman yang berhasil yang diizinkan dengan token ini. Abaikan atau gunakan null untuk penggunaan tanpa batas dalam TTL. required: - vendor_data example: vendor_data: user-042 ttl_seconds: 900 max_uses: 3 responses: '201': description: >- Token yang diterbitkan. Berikan `sdk_token` ke aplikasi Anda; token ini mengautentikasi endpoint `/v1/transactions/` yang ditujukan untuk perangkat melalui header `X-Transaction-Token` hingga `expires_at`. content: application/json: schema: type: object properties: sdk_token: type: string description: >- Token transaksi dengan cakupan terbatas untuk diteruskan ke SDK. expires_at: type: string format: date-time description: Kapan token berhenti diterima. example: sdk_token: q7Zt...urlsafe expires_at: '2026-07-07T12:15:00Z' '400': description: >- Validasi gagal: `vendor_data` tidak ada, atau `ttl_seconds` di luar rentang yang diizinkan. content: application/json: examples: Missing vendor_data: value: vendor_data: - This field is required. '403': description: Kunci API tidak ada, tidak valid, atau dicabut. content: application/json: examples: Invalid API Key: value: detail: Invalid API Key. security: - ApiKeyAuth: [] x-codeSamples: - lang: curl label: curl source: >- curl -X POST https://verification.didit.me/v3/transactions/sdk-token/ \ -H 'x-api-key: YOUR_API_KEY' -H 'Content-Type: application/json' \ -d '{"vendor_data": "user-042", "ttl_seconds": 900, "max_uses": 3}' - lang: python label: Python source: |- from didit import Didit # Reads DIDIT_API_KEY. client = Didit() result = client.transactions.create_sdk_token( vendor_data="user-042", ttl_seconds=900, max_uses=3, ) print(result) - lang: javascript label: Node.js source: |- import Didit from "@didit-protocol/sdk-node"; // Reads DIDIT_API_KEY. const didit = new Didit(); const result = await didit.transactions.createSdkToken({ vendor_data: "user-042", ttl_seconds: 900, max_uses: 3, }); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Transactions.CreateSDKToken(ctx, didit.TransactionsCreateSDKTokenParams{\n\tVendorData: \"user-042\",\n\tTTLSeconds: didit.Int(900),\n\tMaxUses: didit.Int(3),\n})\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: >- import me.didit.Didit; import me.didit.types.TransactionsCreateSdkTokenParams; // Reads DIDIT_API_KEY. Didit client = new Didit(); var result = client.transactions().createSdkToken(TransactionsCreateSdkTokenParams.builder() .vendorData("user-042") .ttlSeconds(900L) .maxUses(3L) .build()); System.out.println(result); - lang: php label: PHP source: |- transactions->createSdkToken([ 'vendor_data' => 'user-042', 'ttl_seconds' => 900, 'max_uses' => 3, ]); print_r($result->toArray()); - lang: ruby label: Ruby source: |- require "didit" # Reads DIDIT_API_KEY. didit = Didit::Client.new result = didit.transactions.create_sdk_token( vendor_data: "user-042", ttl_seconds: 900, max_uses: 3 ) puts result.to_h - lang: csharp label: .NET source: >- using System; using System.Text.Json; using Didit; // Reads DIDIT_API_KEY. using var client = new DiditClient(); var result = await client.Transactions.CreateSdkTokenAsync(new TransactionsCreateSdkTokenParams { VendorData = "user-042", TtlSeconds = 900, MaxUses = 3, }); Console.WriteLine(JsonSerializer.Serialize(result)); components: securitySchemes: ApiKeyAuth: type: apiKey in: header name: x-api-key description: >- Kunci API aplikasi Anda, dari Developers -> API keys di Business Console. Kunci utama memiliki akses penuh. Kunci bernama dapat diberi cakupan: none, read, atau write per sumber daya, dibatasi pada beberapa alur kerja atau pada sesi yang disetujui, pada daftar alamat IP, dan pada tanggal kedaluwarsa. 401 berarti kuncinya salah, dicabut, atau kedaluwarsa; 403 berarti tidak ada kunci yang dikirimkan, kunci tidak memiliki akses ke sumber daya atau tindakan ini, atau permintaan datang dari alamat di luar daftar IP-nya; 404 pada rute sesi berarti sesi berada di luar alur kerja atau status kunci tersebut. Kunci tanpa akses media menerima URL gambar, video, dan PDF sebagai null, dan kunci tanpa izin tulis sesi menerima tautan sesi dan token sebagai null. Lihat https://docs.didit.me/console/api-keys. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.