> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Crea revisione sessione API: revisione manuale KYC > Invia una nota di revisione manuale o un cambio di stato a una sessione Didit. Revisione di compliance programmatica con registro di audit, a consumo. Crea il prompt per la revisione della sessione Copia il prompt negli appunti \

\``Goal: Push a manual decision (Approve / Decline / mark In Review) onto a Didit verification session and write an immutable audit-trail row. Programmatic equivalent of the Console manual-review buttons.

Endpoint: POST https://verification.didit.me/v3/sessions/{session_id}/reviews/
Auth header: x-api-key: YOUR_API_KEY
Content-Type: application/json

Path param:
\- session_id (UUID, REQUIRED) — verification session UUID. Must belong to the same application as the API key (cross-application writes return 404).

Request body:
\- new_status (string, REQUIRED) — one of "Approved" | "Declined" | "In Review". Workflow-internal statuses ("In Progress", "Awaiting User", "Resubmitted", "Expired", "Kyc Expired", "Abandoned", "Not Started") are NOT accepted (400).
\- comment (string, optional, max 10,000 chars) — reviewer rationale. Supports @email mentions which trigger Console notifications.

curl:
curl -s -X POST 'https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/' \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{"new_status": "Approved", "comment": "POA cross-checked against utility bill; matches address on file."}'

Response 201 (compact ReviewSerializer shape — different from the GET response):
\{
"user": "API Client",                       // actor display label
"new_status": "Approved",
"comment": "POA cross-checked...",
"created_at": "2026-04-21T16:42:50.445Z"
}
To fetch the full activity row (uuid, activity_type, previous_status, ...) call GET /v3/sessions/{session_id}/reviews/ afterwards. See /reference/data-models for the full ReviewItem shape.

Side effects:
1\. Inserts a Review row with activity_type=STATUS_UPDATED, actor_type=API_KEY.
2\. Updates Session.status to new_status if it differs from the current status.
3\. Fires the status.updated webhook on configured destinations (see /integration/webhooks).
4\. Notifies previous reviewers and @email-mentioned Console users.
NOT idempotent — every call writes a new audit row. Re-posting the same new_status when it equals the current status is a no-op for Session.status but still writes an audit entry.

Failure modes (envelope {"detail": "..."} unless noted):
\- 400 — { "new_status": ["\\"Expired\\" is not a valid choice."] } (or missing new_status)
\- 401 — missing/invalid `x-api-key` header.
\- 403 — API key valid but wrong app or revoked.
\- 404 — session UUID not found / deleted / wrong app.
\- 429 — rate-limited.

For end-to-end Didit integration, paste in the full prompt at /integration/integration-prompt.``

\
Incolla in ## OpenAPI ````yaml it/openapi-25.json POST /v3/sessions/{session_id}/reviews/ openapi: 3.0.0 info: version: 3.0.0 title: Didit Verification API description: API di verifica dell'identità. Autenticati con l'intestazione x-api-key. servers: - url: https://verification.didit.me security: [] tags: [] paths: /v3/sessions/{session_id}/reviews/: post: tags: - Sessions summary: Aggiungi una nota di revisione al registro di audit di una sessione description: >- Aggiunge una nota al feed di revisione / attività di una sessione di Verifica degli utenti (KYC). **Questo endpoint registra solo una voce: non modifica mai la sessione.** Lo `status` della sessione rimane invariato, non viene eseguita alcuna convalida della transizione di stato e non viene attivato alcun webhook. Per approvare, rifiutare o riaprire effettivamente una sessione (operazione che registra anche una voce `STATUS_UPDATED` con attribuzione completa in questo feed), utilizzare invece `PATCH /v3/session/{session_id}/update-status/`. Entrambi i campi del corpo sono facoltativi e viene accettato un oggetto JSON vuoto. `new_status` viene memorizzato esclusivamente come etichetta della voce e accetta uno qualsiasi dei dieci valori di stato della sessione (case-sensitive). Le menzioni `@email` all'interno di `comment` vengono memorizzate solo come testo normale: non attivano notifiche su questo endpoint e il campo `mentioned_emails` della voce rimane vuoto. Nota sull'attribuzione: le voci create qui non contengono informazioni sull'autore. Nel feed mostrano `actor_display: "Unknown"`, `actor_type: "CONSOLE_USER"` e `activity_type: "STATUS_UPDATED"` (valori predefiniti di archiviazione), e il campo `user` del corpo della risposta `201` è `"Unknown"`. operationId: create_session_review parameters: - name: Content-Type in: header required: false description: Imposta su `application/json` quando invii un corpo JSON. schema: type: string example: application/json - name: session_id in: path required: true description: >- UUID della sessione di Verifica degli utenti (KYC). Deve appartenere alla stessa applicazione della chiave API: gli UUID appartenenti ad altre applicazioni, le sessioni eliminate e gli ID di sessione di Verifica aziendale (KYB) restituiscono tutti `404`. schema: type: string format: uuid example: 8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d requestBody: required: false content: application/json: schema: type: object properties: new_status: type: string nullable: true enum: - Not Started - In Progress - Approved - Declined - In Review - Expired - Abandoned - Kyc Expired - Resubmitted - Awaiting User description: >- Etichetta di stato opzionale da registrare nella voce. Accetta qualsiasi valore di stato della sessione, con distinzione tra maiuscole e minuscole (`"approved"` viene rifiutato con `400`). La registrazione di uno stato qui **non** modifica lo stato effettivo della sessione: usa l'endpoint di aggiornamento dello stato a tale scopo. example: In Review comment: type: string nullable: true description: >- Nota opzionale a testo libero (nessun limite di lunghezza imposto). Memorizzata letteralmente; le menzioni `@email` non vengono elaborate su questo endpoint. example: Flagging for manual document re-check. examples: NoteWithStatusLabel: summary: >- Nota con un'etichetta di stato (lo stato della sessione rimane invariato) value: new_status: In Review comment: Flagging for manual document re-check. CommentOnly: summary: Nota semplice senza un'etichetta di stato value: comment: Customer emailed an updated utility bill; awaiting upload. responses: '201': description: >- Voce registrata nel registro di audit della sessione. La sessione stessa rimane invariata: il suo `status` mantiene il valore precedente e non viene inviato alcun webhook. La nuova voce compare anche in cima a `GET …/reviews/` (con `actor_display: "Unknown"`). content: application/json: schema: type: object properties: user: type: string description: >- Nome visualizzato dell'autore della voce. Sempre `"Unknown"` per le voci create tramite questo endpoint, poiché non registra l'autore. example: Unknown new_status: type: string nullable: true enum: - Not Started - In Progress - Approved - Declined - In Review - Expired - Abandoned - Kyc Expired - Resubmitted - Awaiting User description: >- L'etichetta di stato registrata sulla voce, oppure `null` se non ne è stata inviata alcuna. Lo stato effettivo della sessione non viene modificato. example: In Review comment: type: string nullable: true description: >- La nota registrata sulla voce, o `null` se non ne è stata inviata alcuna. example: Flagging for manual document re-check. created_at: type: string format: date-time description: Data e ora di scrittura della voce, ISO 8601 UTC. example: '2026-06-12T00:18:44.466537Z' examples: NoteWithStatusLabel: summary: Nota con un'etichetta di stato value: user: Unknown new_status: In Review comment: Flagging for manual document re-check. created_at: '2026-06-12T00:18:44.466537Z' CommentOnly: summary: Nota semplice value: user: Unknown new_status: null comment: Note without status. created_at: '2026-06-12T00:18:44.504157Z' '400': description: >- Errore di validazione, restituito come mappa di messaggi per singolo campo. La causa abituale è un valore `new_status` che non rientra tra i dieci stati consentiti — il controllo rileva la distinzione tra maiuscole e minuscole. content: application/json: schema: type: object properties: new_status: type: array items: type: string example: - '"approved" is not a valid choice.' examples: InvalidStatusChoice: summary: Valore di stato minuscolo / sconosciuto value: new_status: - '"approved" is not a valid choice.' '403': description: >- `x-api-key` mancante, malformata, scaduta o revocata. L'autenticazione viene verificata prima della ricerca della sessione, quindi una chiave mancante restituisce `403` anche quando l'UUID della sessione non esiste. content: application/json: schema: type: object properties: detail: type: string example: You do not have permission to perform this action. examples: InvalidKey: summary: Intestazione x-api-key mancante o non valida value: detail: You do not have permission to perform this action. '404': description: >- Nessuna sessione di Verifica degli utenti (KYC) con questo UUID è visibile alla tua applicazione: l'UUID non esiste, la sessione è stata eliminata o appartiene a un'altra applicazione. Anche gli ID di sessione di Verifica aziendale (KYB) restituiscono `404` qui — il feed delle revisioni è accessibile solo per le sessioni KYC. content: application/json: schema: type: object properties: detail: type: string example: Session not found. examples: NotFound: summary: >- UUID della sessione sconosciuto, eliminato o appartenente a un'altra applicazione value: detail: Session not found. '429': description: >- Limite di frequenza superato. Esamina le intestazioni di risposta `Retry-After` e `X-RateLimit-*`. Consulta [Limiti di frequenza](/it/integration/rate-limiting). security: - ApiKeyAuth: [] x-codeSamples: - lang: curl label: curl source: >- # Records an audit-trail note only -- the session's status does NOT change. curl -s -X POST https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/ \ -H 'x-api-key: YOUR_API_KEY' \ -H 'Content-Type: application/json' \ -d '{ "new_status": "In Review", "comment": "Flagging for manual document re-check." }' - lang: python label: Python source: |- from didit import Didit # Reads DIDIT_API_KEY. client = Didit() result = client.sessions.reviews.create( "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new_status="In Review", comment="Flagging for manual document re-check.", ) print(result) - lang: javascript label: Node.js source: >- import Didit from "@didit-protocol/sdk-node"; // Reads DIDIT_API_KEY. const didit = new Didit(); const result = await didit.sessions.reviews.create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", { new_status: "In Review", comment: "Flagging for manual document re-check.", }); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Sessions.Reviews.Create(ctx, \"8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d\", didit.SessionsReviewsCreateParams{\n\tNewStatus: didit.Some(didit.SessionsReviewsCreateParamsNewStatus(\"In Review\")),\n\tComment: didit.String(\"Flagging for manual document re-check.\"),\n})\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: >- import me.didit.Didit; import me.didit.types.SessionsReviewsCreateParams; // Reads DIDIT_API_KEY. Didit client = new Didit(); var result = client.sessions().reviews().create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", SessionsReviewsCreateParams.builder() .newStatus(SessionsReviewsCreateParams.NewStatus.of("In Review")) .comment("Flagging for manual document re-check.") .build()); System.out.println(result); - lang: php label: PHP source: >- sessions->reviews->create('8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d', [ 'new_status' => 'In Review', 'comment' => 'Flagging for manual document re-check.', ]); print_r($result->toArray()); - lang: ruby label: Ruby source: |- require "didit" # Reads DIDIT_API_KEY. didit = Didit::Client.new result = didit.sessions.reviews.create( "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new_status: "In Review", comment: "Flagging for manual document re-check." ) puts result.to_h - lang: csharp label: .NET source: >- using System; using System.Text.Json; using Didit; // Reads DIDIT_API_KEY. using var client = new DiditClient(); var result = await client.Sessions.Reviews.CreateAsync("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new SessionsReviewsCreateParams { NewStatus = new SessionsReviewsCreateParamsNewStatus("In Review"), Comment = "Flagging for manual document re-check.", }); Console.WriteLine(JsonSerializer.Serialize(result)); components: securitySchemes: ApiKeyAuth: type: apiKey in: header name: x-api-key description: >- La chiave API della tua applicazione, da Developers -> API keys nella Business Console. La chiave primaria ha accesso completo. Una chiave con nome può avere un ambito definito: nessuno, lettura o scrittura per risorsa, limitata ad alcuni workflow o a sessioni approvate, a un elenco di indirizzi IP e a una data di scadenza. 401 indica che la chiave è errata, revocata o scaduta; 403 indica che non è stata inviata alcuna chiave, che la chiave non ha accesso a questa risorsa o azione, oppure che la richiesta proviene da un indirizzo non incluso nel suo elenco IP; 404 su una route di sessione indica che la sessione non rientra nei workflow o negli stati previsti dalla chiave. Una chiave senza accesso ai media riceve gli URL di immagini, video e PDF come null, e una chiave senza permessi di scrittura sulle sessioni riceve link e token di sessione come null. Consulta https://docs.didit.me/console/api-keys. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.