Vai al contenuto principale
GET
curl
Il payload contenuto in request_body è quello descritto in Webhook, e le intestazioni sono quelle trattate in verifica della firma. Per inviare di nuovo la consegna, usa Reinvia la consegna del webhook di sessione.

Autorizzazioni

x-api-key
string
header
obbligatorio

La chiave API della tua applicazione, da Developers -> API keys nella Business Console. La chiave primaria ha accesso completo. Una chiave con nome può avere un ambito definito: nessuno, lettura o scrittura per risorsa, limitata ad alcuni workflow o a sessioni approvate, a un elenco di indirizzi IP e a una data di scadenza. 401 indica che la chiave è errata, revocata o scaduta; 403 indica che non è stata inviata alcuna chiave, che la chiave non ha accesso a questa risorsa o azione, oppure che la richiesta proviene da un indirizzo non incluso nel suo elenco IP; 404 su una route di sessione indica che la sessione non rientra nei workflow o negli stati previsti dalla chiave. Una chiave senza accesso ai media riceve gli URL di immagini, video e PDF come null, e una chiave senza permessi di scrittura sulle sessioni riceve link e token di sessione come null. Consulta https://docs.didit.me/console/api-keys.

Parametri del percorso

sessionId
string<uuid>
obbligatorio

UUID della sessione di verifica, utente (KYC) o aziendale (KYB): il session_id restituito da POST /v3/session/. Il server lo risolve rispetto a entrambi i tipi di sessione.

Deve essere un UUID valido. La route trova corrispondenza solo con UUID corretti, pertanto un valore non conforme viene rifiutato dal router degli URL prima dell'esecuzione del codice dell'applicazione e la risposta è una pagina HTML 404 anziché il wrapper JSON {"detail": ...} mostrato di seguito.

webhook_uuid
string<uuid>
obbligatorio

UUID della consegna: lo uuid di una voce restituita da GET /v3/session/{sessionId}/webhooks/. Deve appartenere alla sessione indicata nel percorso.

Risposta

La consegna, con le intestazioni e il corpo della richiesta.

Un singolo tentativo di consegna webhook registrato per una sessione di verifica, con le intestazioni e il corpo esatti della richiesta inviati da Didit.

uuid
string<uuid>
obbligatorio

ID consegna. Utilizzalo come {webhook_uuid} per recuperare o inviare nuovamente questa consegna.

session_id
string<uuid>
obbligatorio

La sessione a cui appartiene la consegna (la sessione nel percorso).

request_url
string<uri> | null
obbligatorio

URL a cui è stata inviata la consegna.

response_status
integer | null
obbligatorio

Stato HTTP restituito dal tuo endpoint. null finché la consegna è in coda e non è ancora stata tentata. Quando non è stata ricevuta alcuna risposta HTTP, Didit registra un proprio stato: 504 se il tuo endpoint non risponde entro 5 secondi, 503 in caso di errore di connessione, 400 se l'URL viene rifiutato perché non sicuro (ad esempio un indirizzo privato o interno) e 404 per qualsiasi altro errore della richiesta. Un codice 400 o superiore è considerato una consegna non riuscita.

status
string | null
obbligatorio

Stato della sessione al momento della generazione dell'evento, ad esempio In Progress, Approved o Declined.

webhook_type
enum<string>
obbligatorio

Nome dell'evento webhook supportato. Usa queste stringhe esatte in subscribed_events; i valori non supportati vengono rifiutati.

Opzioni disponibili:
status.updated,
data.updated,
user.status.updated,
user.data.updated,
business.status.updated,
business.data.updated,
activity.created,
transaction.created,
transaction.status.updated,
travel_rule.status.updated,
workflow.compliance_changed,
transaction_rule_suggestions.created,
auth.signup,
auth.login,
auth.login_failed,
auth.password_reset_requested,
auth.password_reset_completed,
auth.mfa_changed,
auth.new_device,
auth.account_locked,
investigator.report.ready,
investigator.decision.automated,
investigator.decision.overridden,
investigator.decision.contested,
investigator.question.raised,
investigator.automation.paused,
investigator.rfi.answered,
investigator.rfi.overdue,
investigator.drift.detected,
investigator.sla.breached,
investigator.qa.failed,
investigator.external.report.ready
request_header
string
obbligatorio

Testo JSON (una stringa) delle intestazioni della richiesta inviate da Didit: Content-Type, X-Signature, X-Signature-V2, X-Signature-Simple, X-Timestamp e User-Agent. Analizzalo con un parser JSON. Contiene le firme, mai il segreto di firma.

request_body
string
obbligatorio

Testo JSON (una stringa) del payload esatto inviato da Didit, con chiavi ordinate, inclusi event_id e timestamp. Analizzalo con un parser JSON; vedi Payload shape. Per una chiave con ambito limitato senza media: read, gli URL dei file multimediali al suo interno sono null; senza sessions: write, i token di sessione e i link di verifica ospitati sono null. Un corpo modificato in questo modo non corrisponde più alle sue firme. Didit non registra il corpo della risposta restituito dal tuo endpoint.

created_at
string<date-time>
obbligatorio

Data e ora di creazione della consegna.

Ultima modifica il 7 novembre 2026