> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Elenco delle consegne webhook di sessione API > Elenca ogni webhook inviato da Didit per una sessione di verifica, con URL, risposta del tuo endpoint, intestazioni e payload esatti. Prompt API per l'elenco delle consegne webhook delle sessioni Copia il prompt negli appunti \

\`List every webhook delivery Didit recorded for one verification session through the API.

Endpoint:
GET https://verification.didit.me/v3/session/{session_id}/webhooks/

Authentication:
Send my Didit API key in the x-api-key header. A scoped key needs sessions: read and decisions: read.

Goal:
\- See which webhooks Didit sent for a session, to which URL, and what my endpoint answered. Use it to debug a missing or rejected webhook, or to reconcile my records with Didit's.

Behavior:
\- Works for user (KYC) and business (KYB) session IDs.
\- Returns a JSON array, newest first. It is not paginated. An empty array means no webhook was sent for the session yet.
\- Each entry is one delivery attempt to one destination. The first delivery, each automatic retry and each manual resend are separate entries with their own uuid; retries and resends keep the payload's event_id.
\- request_header and request_body are JSON-encoded strings. Parse them with a JSON parser to read the headers and the payload.
\- A scoped key without media: read receives media URLs inside request_body as null; without sessions: write it receives session links and tokens as null. A redacted body no longer matches the recorded signatures.

Example call:
curl -X GET "https://verification.didit.me/v3/session/11111111-2222-3333-4444-555555555555/webhooks/" \
-H "x-api-key: YOUR_API_KEY"

What to read from the response:
\- uuid: the delivery id. Use it as {webhook_uuid} to get or resend one delivery.
\- webhook_type: status.updated or data.updated for session deliveries.
\- status: the session status when the event was generated.
\- response_status: the HTTP status my endpoint returned. null while the delivery is queued; 504 means a timeout (5 seconds), 503 a connection failure, 400 a URL refused as unsafe.
\- request_url and created_at: where and when it was sent.

Failure modes:
\- 401: the API key has expired.
\- 403: missing key (a wrong, revoked or expired key gets 401) ({ "detail": "Authentication credentials were not provided or are invalid." }), a key of another application, a scoped key without the permissions above, or a request from outside the key's IP allowlist.
\- 404: the session does not exist or was deleted ({ "detail": "Not found." }), or is outside a scoped key's workflow or status limits ({ "detail": "Session not found." }).
\- 429: more than 600 reads per minute for this API key; honor Retry-After.

Side effects: none. This is a pure read.

For the full integration shape, see /integration/integration-prompt.`

\
Incolla in Ogni tentativo viene registrato, inclusi i [nuovi tentativi automatici](https://docs.didit.me/it/integration/webhooks.md#politica-di-nuovo-tentativo) che Didit effettua dopo una risposta `5xx` o `404`. Per questo, una consegna fallita seguita da un nuovo tentativo riuscito compare come due voci con lo stesso `event_id` all'interno di `request_body`.Per ispezionare una singola consegna, usa [Ottieni la consegna webhook di una sessione](https://docs.didit.me/it/management-api/sessions/get-webhook.md). Per inviarla di nuovo dopo aver corretto il tuo endpoint, usa [Reinvia la consegna webhook di una sessione](https://docs.didit.me/it/management-api/sessions/resend-webhook.md). ## OpenAPI ````yaml it/openapi-25.json GET /v3/session/{sessionId}/webhooks/ openapi: 3.0.0 info: version: 3.0.0 title: Didit Verification API description: API di verifica dell'identità. Autenticati con l'intestazione x-api-key. servers: - url: https://verification.didit.me security: [] tags: [] paths: /v3/session/{sessionId}/webhooks/: get: tags: - Sessions summary: Elenca consegne dei webhook della sessione description: >- Elenca ogni consegna webhook registrata da Didit per una sessione di verifica, utente (KYC) o azienda (KYB), dalla più recente, come array JSON semplice (non paginato). Ciascuna voce rappresenta un tentativo verso una destinazione: il primo invio, ogni [nuovo tentativo](https://docs.didit.me/it/integration/webhooks#politica-di-nuovo-tentativo) automatico e ogni reinvio sono voci separate con il rispettivo `uuid`, mentre i nuovi tentativi e i reinvii mantengono il valore `event_id` del payload. `request_header` e `request_body` sono in formato testo JSON; effettua il parsing per leggere le firme e il payload. I record di consegna sono disponibili per circa 30 giorni, quindi un array vuoto indica che non è stato ancora inviato alcun webhook per la sessione o che tutte le consegne sono più risalenti. Una chiave API con ambito limitato richiede `sessions: read` e `decisions: read`. operationId: get_v3_session_webhooks parameters: - name: sessionId in: path required: true description: >- UUID della sessione di verifica, utente (KYC) o aziendale (KYB): il `session_id` restituito da `POST /v3/session/`. Il server lo risolve rispetto a entrambi i tipi di sessione. **Deve essere un UUID valido.** La route trova corrispondenza solo con UUID corretti, pertanto un valore non conforme viene rifiutato dal router degli URL prima dell'esecuzione del codice dell'applicazione e la risposta è una pagina **HTML** `404` anziché il wrapper JSON `{"detail": ...}` mostrato di seguito. schema: type: string format: uuid example: 22222222-3333-4444-5555-666666666666 responses: '200': description: >- Ogni consegna registrata per la sessione, dalla più recente alla più vecchia. content: application/json: schema: type: array items: $ref: '#/components/schemas/SessionWebhookDelivery' examples: Failed delivery and its successful retry: value: - uuid: 66666666-7777-8888-9999-000000000002 session_id: 22222222-3333-4444-5555-666666666666 request_url: https://yourapp.com/webhooks/didit response_status: 200 status: In Progress webhook_type: status.updated request_header: >- {"Content-Type": "application/json", "X-Signature": "9188851d160b5b3aacfc946e4dde1f061b7e568662518942c927ddaf507f533d", "X-Signature-V2": "381236af514d3fb538579365ac5a24f2464ce1b8224c6e770c60d8201c43ecc5", "X-Signature-Simple": "4740131dc38f29e78a8508371979be74967d5307464494bd3148a03b4d6c8716", "X-Timestamp": "1792056139", "User-Agent": "DiditWebhook/2.0 +https://didit.me"} request_body: >- {"application_id":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee","created_at":1792056057,"environment":"live","event_id":"33333333-4444-5555-6666-777777777777","sandbox_scenario":null,"session_id":"22222222-3333-4444-5555-666666666666","status":"In Progress","timestamp":1792056139,"vendor_data":"user-123","webhook_type":"status.updated","workflow_id":"44444444-5555-6666-7777-888888888888","workflow_version":3} created_at: '2026-10-15T09:22:19.104233Z' - uuid: 66666666-7777-8888-9999-000000000001 session_id: 22222222-3333-4444-5555-666666666666 request_url: https://yourapp.com/webhooks/didit response_status: 503 status: In Progress webhook_type: status.updated request_header: >- {"Content-Type": "application/json", "X-Signature": "a5e02a03404e1337a0198e6be15d34abbd053c658a0e51e5d0e78554213ef29b", "X-Signature-V2": "927e7cb770c94ce745939bff73f04aa200015f3bc64795ba46c2aaf78a6cedc5", "X-Signature-Simple": "e37b0d4c716c72bb5ae7127b9cc455d28ab4686e9e22312b4ec2327409a73302", "X-Timestamp": "1792056078", "User-Agent": "DiditWebhook/2.0 +https://didit.me"} request_body: >- {"application_id":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee","created_at":1792056057,"environment":"live","event_id":"33333333-4444-5555-6666-777777777777","sandbox_scenario":null,"session_id":"22222222-3333-4444-5555-666666666666","status":"In Progress","timestamp":1792056078,"vendor_data":"user-123","webhook_type":"status.updated","workflow_id":"44444444-5555-6666-7777-888888888888","workflow_version":3} created_at: '2026-10-15T09:21:18.412345Z' No webhook sent yet: value: [] '401': description: >- La chiave API è scaduta: è stata creata con una data di scadenza ormai trascorsa. Anche una chiave errata o revocata riceve `401`; una chiave mancante riceve `403`. content: application/json: schema: type: object properties: detail: type: string description: Messaggio di errore di facile lettura. examples: Expired key: value: detail: This API key has expired. '403': description: >- La richiesta non è consentita. L'assenza di `x-api-key`, o una chiave non valida o revocata, restituisce `Authentication credentials were not provided or are invalid.` La chiave di un'altra applicazione restituisce `You do not have permission to perform this action.` Una chiave con ambito senza l'accesso richiesto da questo endpoint restituisce un messaggio che indica l'accesso mancante, mentre una chiave utilizzata al di fuori della sua allowlist IP restituisce `This API key can't be used from this IP address.` Un `sessionId` sconosciuto restituisce `404` prima della verifica delle credenziali. content: application/json: schema: type: object properties: detail: type: string description: Messaggio di errore di facile lettura. examples: Missing or invalid key: value: detail: >- Authentication credentials were not provided or are invalid. Key of another application: value: detail: You do not have permission to perform this action. Scoped key without sessions read: value: detail: This API key has no read access to sessions. Scoped key without decisions read: value: detail: This API key has no read access to decisions. Outside the IP allowlist: value: detail: This API key can't be used from this IP address. '404': description: >- La sessione non esiste o è stata eliminata (`Not found.`, restituito prima della verifica delle credenziali), oppure non rientra nei limiti di workflow o di stato di una chiave con ambito limitato (`Session not found.`). content: application/json: schema: type: object properties: detail: type: string description: Messaggio di errore di facile lettura. examples: Unknown session: value: detail: Not found. Outside the key's limits: value: detail: Session not found. '429': description: >- Limite di frequenza superato: più di 600 richieste GET nella finestra corrente di un minuto per questa chiave API. Attendi `Retry-After` secondi prima di riprovare. headers: Retry-After: description: Secondi da attendere prima di effettuare un nuovo tentativo. schema: type: integer minimum: 1 example: 30 X-RateLimit-Limit: description: Richieste consentite nell'intervallo di un minuto (600). schema: type: integer example: 600 X-RateLimit-Remaining: description: Richieste rimanenti nell'intervallo corrente. schema: type: integer example: 0 X-RateLimit-Reset: description: Ora Unix (secondi) in cui la finestra corrente si azzera. schema: type: integer example: 1792056120 X-RateLimit-Scope: description: Nome del budget superato. schema: type: string example: generic-get content: application/json: schema: type: object properties: detail: type: string description: Messaggio di errore di facile lettura. examples: Throttled: value: detail: >- GET request rate limit exceeded. You can make up to 600 requests per minute. security: - ApiKeyAuth: [] x-codeSamples: - lang: curl label: curl source: >- curl -X GET 'https://verification.didit.me/v3/session/22222222-3333-4444-5555-666666666666/webhooks/' \ -H 'x-api-key: YOUR_API_KEY' - lang: python label: Python source: |- from didit import Didit # Reads DIDIT_API_KEY. client = Didit() result = client.sessions.webhooks.list( "22222222-3333-4444-5555-666666666666", ) print(result) - lang: javascript label: Node.js source: >- import Didit from "@didit-protocol/sdk-node"; // Reads DIDIT_API_KEY. const didit = new Didit(); const result = await didit.sessions.webhooks.list("22222222-3333-4444-5555-666666666666"); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Sessions.Webhooks.List(ctx, \"22222222-3333-4444-5555-666666666666\")\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: >- import me.didit.Didit; // Reads DIDIT_API_KEY. Didit client = new Didit(); var result = client.sessions().webhooks().list("22222222-3333-4444-5555-666666666666"); System.out.println(result); - lang: php label: PHP source: >- sessions->webhooks->list('22222222-3333-4444-5555-666666666666'); print_r($result->toArray()); - lang: ruby label: Ruby source: >- require "didit" # Reads DIDIT_API_KEY. didit = Didit::Client.new didit.sessions.webhooks.list("22222222-3333-4444-5555-666666666666").each do |item| puts item.to_h end - lang: csharp label: .NET source: >- using System; using System.Text.Json; using Didit; // Reads DIDIT_API_KEY. using var client = new DiditClient(); var result = await client.Sessions.Webhooks.ListAsync("22222222-3333-4444-5555-666666666666"); Console.WriteLine(JsonSerializer.Serialize(result)); components: schemas: SessionWebhookDelivery: type: object description: >- Un singolo tentativo di consegna webhook registrato per una sessione di verifica, con le intestazioni e il corpo esatti della richiesta inviati da Didit. required: - uuid - session_id - request_url - response_status - status - webhook_type - request_header - request_body - created_at properties: uuid: type: string format: uuid description: >- ID consegna. Utilizzalo come `{webhook_uuid}` per recuperare o inviare nuovamente questa consegna. session_id: type: string format: uuid description: La sessione a cui appartiene la consegna (la sessione nel percorso). request_url: type: string format: uri nullable: true description: URL a cui è stata inviata la consegna. response_status: type: integer nullable: true description: >- Stato HTTP restituito dal tuo endpoint. `null` finché la consegna è in coda e non è ancora stata tentata. Quando non è stata ricevuta alcuna risposta HTTP, Didit registra un proprio stato: `504` se il tuo endpoint non risponde entro 5 secondi, `503` in caso di errore di connessione, `400` se l'URL viene rifiutato perché non sicuro (ad esempio un indirizzo privato o interno) e `404` per qualsiasi altro errore della richiesta. Un codice `400` o superiore è considerato una consegna non riuscita. status: type: string nullable: true description: >- Stato della sessione al momento della generazione dell'evento, ad esempio `In Progress`, `Approved` o `Declined`. webhook_type: $ref: '#/components/schemas/WebhookEvent' request_header: type: string description: >- Testo JSON (una stringa) delle intestazioni della richiesta inviate da Didit: `Content-Type`, `X-Signature`, `X-Signature-V2`, `X-Signature-Simple`, `X-Timestamp` e `User-Agent`. Analizzalo con un parser JSON. Contiene le firme, mai il segreto di firma. request_body: type: string description: >- Testo JSON (una stringa) del payload esatto inviato da Didit, con chiavi ordinate, inclusi `event_id` e `timestamp`. Analizzalo con un parser JSON; vedi [Payload shape](https://docs.didit.me/it/integration/webhooks#struttura-del-payload). Per una chiave con ambito limitato senza `media: read`, gli URL dei file multimediali al suo interno sono `null`; senza `sessions: write`, i token di sessione e i link di verifica ospitati sono `null`. Un corpo modificato in questo modo non corrisponde più alle sue firme. Didit non registra il corpo della risposta restituito dal tuo endpoint. created_at: type: string format: date-time description: Data e ora di creazione della consegna. WebhookEvent: type: string description: >- Nome dell'evento webhook supportato. Usa queste stringhe esatte in `subscribed_events`; i valori non supportati vengono rifiutati. enum: - status.updated - data.updated - user.status.updated - user.data.updated - business.status.updated - business.data.updated - activity.created - transaction.created - transaction.status.updated - travel_rule.status.updated - workflow.compliance_changed - transaction_rule_suggestions.created - auth.signup - auth.login - auth.login_failed - auth.password_reset_requested - auth.password_reset_completed - auth.mfa_changed - auth.new_device - auth.account_locked - investigator.report.ready - investigator.decision.automated - investigator.decision.overridden - investigator.decision.contested - investigator.question.raised - investigator.automation.paused - investigator.rfi.answered - investigator.rfi.overdue - investigator.drift.detected - investigator.sla.breached - investigator.qa.failed - investigator.external.report.ready securitySchemes: ApiKeyAuth: type: apiKey in: header name: x-api-key description: >- La chiave API della tua applicazione, da Developers -> API keys nella Business Console. La chiave primaria ha accesso completo. Una chiave con nome può avere un ambito definito: nessuno, lettura o scrittura per risorsa, limitata ad alcuni workflow o a sessioni approvate, a un elenco di indirizzi IP e a una data di scadenza. 401 indica che la chiave è errata, revocata o scaduta; 403 indica che non è stata inviata alcuna chiave, che la chiave non ha accesso a questa risorsa o azione, oppure che la richiesta proviene da un indirizzo non incluso nel suo elenco IP; 404 su una route di sessione indica che la sessione non rientra nei workflow o negli stati previsti dalla chiave. Una chiave senza accesso ai media riceve gli URL di immagini, video e PDF come null, e una chiave senza permessi di scrittura sulle sessioni riceve link e token di sessione come null. Consulta https://docs.didit.me/console/api-keys. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.