Vai al contenuto principale
POST
Crea un token di monitoraggio
L’autenticazione è una novità: questo endpoint resta disattivato finché Didit non lo attiva. Fino ad allora risponde con 503 monitoring_unavailable.
Gli SDK per browser e nativi chiamano questo endpoint dal dispositivo della persona; il tuo server non deve farlo. Ogni evento inviato con la credenziale viene registrato nel vendor_data della persona, indipendentemente da ciò che dichiara il dispositivo.

Autorizzazioni

Authorization
string
header
obbligatorio

Il token di accesso della persona restituito da POST /token/: un JWT ES256 con intestazione typ: at+jwt, valido per un massimo di 5 minuti. Non la tua chiave API di Didit.

Corpo

application/json

Vuoto: il token di accesso identifica la persona.

Risposta

Una credenziale di dispositivo per la persona.

Una credenziale del dispositivo di breve durata per inviare gli eventi di attività della persona al monitoraggio delle transazioni dal suo dispositivo. Non è vincolata alla sessione: rimane utilizzabile fino a expires_at, anche dopo la disconnessione.

monitoring_token
string
obbligatorio

La credenziale del dispositivo. Trattala come un segreto.

Esempio:

"mt_2f8c1d9e7b6a5f4e3d2c1b0a"

expires_at
string<date-time>
obbligatorio

Al massimo 15 minuti dopo la sua emissione.

Esempio:

"2026-10-17T10:56:14Z"

allowed_event_categories
string[]
obbligatorio

Le categorie di eventi che può inviare. Gli eventi di autenticazione e sicurezza provengono sempre da Didit, mai dal dispositivo.

Esempio:
max_uses
integer
obbligatorio
Esempio:

1000

bind_to_origin
string | null
obbligatorio

L'origine del browser da cui opera la credenziale: l'Origin della richiesta, oppure null quando assente.

Esempio:

"https://app.example.com"

vendor_data
string
obbligatorio

La persona per cui viene registrato ogni evento, indipendentemente da ciò che invia il dispositivo.

Esempio:

"user-42"

Ultima modifica il 7 novembre 2026