Vai al contenuto principale
GET
Recupera la sessione
L’autenticazione è nuova. Questi endpoint sono forniti dall’emittente della tua applicazione, ad esempio https://<name>.auth.didit.me, e non accettano mai la tua chiave API Didit.
Questo è il controllo di revoca istantaneo. Consente 30 richieste al minuto e 300 all’ora per indirizzo, quindi verifica i token offline a ogni richiesta e chiamalo prima delle operazioni sensibili. Vedi Verifica la sessione.

Autorizzazioni

Authorization
string
header
obbligatorio

Il token di accesso della persona restituito da POST /token/: un JWT ES256 con intestazione typ: at+jwt, valido per un massimo di 5 minuti. Non la tua chiave API di Didit.

Risposta

La sessione è attiva.

La sessione live associata a un token di accesso.

sub
string<uuid>
obbligatorio

L'ID dell'identità.

Esempio:

"1c9d8b88-1bff-43d1-ad7a-88b2bc0024e9"

sid
string<uuid>
obbligatorio

L'ID della sessione.

Esempio:

"c9abf6cc-2d64-4bf2-b31e-a4d09a070ab1"

application_id
string<uuid>
obbligatorio
Esempio:

"7b0a6c2e-3f41-4c9a-8d55-1e2f3a4b5c6d"

vendor_data
string
obbligatorio

Il riferimento della persona tra i vari prodotti Didit, come nei token.

Esempio:

"user-42"

amr
string[]
obbligatorio

La modalità di accesso della sessione, come valore singolo: ad esempio password, code (codice email), magic (link magico), passkey, phone, sso, wallet (Didit ID Wallet) o il nome di un metodo di accesso social. Vuoto per un token di agente.

Esempio:
mfa_verified
boolean
obbligatorio

Indica se la sessione ha superato un secondo fattore. Sempre true per un accesso con passkey.

Esempio:

false

email
string<email> | null
obbligatorio
Esempio:

"person@example.com"

email_verified
boolean
obbligatorio
Esempio:

true

phone
string | null
obbligatorio

Numero di telefono E.164, o null.

Esempio:

null

verified_identity
object | null
obbligatorio

Cosa ha condiviso il Didit ID Wallet all'accesso. null se la persona ha effettuato l'accesso in un altro modo.

verified
object | null
obbligatorio

Livello di verifica e attestazioni selezionate, lo stesso oggetto che i token trasportano come verified, oppure null se assente. Leggi questo campo, non email_verified, per sapere se la persona ha verificato la propria identità.

expires_at
string<date-time>
obbligatorio

Quando la sessione termina, al più tardi. Il timeout di inattività può terminarla prima.

Esempio:

"2026-11-16T10:41:14.347557Z"

post_logout_redirect_uri
string
obbligatorio

Indica dove l'applicazione reindirizza la persona dopo la disconnessione. Stringa vuota se non impostata.

Esempio:

"https://app.example.com/"

organizations
object[]
obbligatorio

Ogni organizzazione cliente a cui appartiene la persona, quando le organizzazioni sono attivate. Vuoto altrimenti.

Ultima modifica il 7 novembre 2026