> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # 署名鍵の取得（JWKS）| Didit Authentication API > Didit の GET /.well-known/jwks.json は、アプリケーションの ES256 公開鍵を返します。kid ごとにキャッシュしてください。鍵は 30 日ごとにローテーションされ、1 日間の重複期間があります。 > [!WARNING] > > Authenticationは新機能です。これらのエンドポイントは、`https://.auth.didit.me`のようなアプリケーションのイシュアーによって提供され、Didit APIキーを受け付けることはありません。 キーは30日ごとにローテーションされ、前後それぞれ1日の重複期間があるため、5分間キャッシュしたJWKSはローテーションをまたいでも検証を継続できます。手元にない`kid`をトークンが指定している場合は、1分に1回までJWKSを再取得してください。詳しくは[キャッシュとローテーション](https://docs.didit.me/ja/authentication/tokens-and-jwks.md#キャッシュとローテーション)を参照してください。 ## OpenAPI ````yaml ja/openapi-authentication.json GET /.well-known/jwks.json openapi: 3.0.3 info: title: Didit Authentication API version: 1.0.0 description: >- Didit Authenticationのサーバー向けエンドポイントです。Didit Authenticationは、アプリケーションのエンドユーザー向けのサインイン製品です。Authenticationは**新しい**製品で、2026-11-01リリースで本番環境に提供されます。 ## ベースURL 各アプリケーションはそれぞれ独自のOpenID Connect発行者（issuer）であり、以下のすべてのエンドポイントはその発行者のルートで提供されます。 - 本番環境のアプリケーションでは`https://.auth.didit.me`、サンドボックスのアプリケーションでは`https://.sandbox.auth.didit.me`。 - 有効化された独自のカスタムドメイン。有効化されると、デフォルトのホストに代わってこのドメインが発行者になります。新しいトークンの`iss`にはこのドメインが記載され、ディスカバリーはこのドメインを指し、公開可能キー（publishable key）が変わります。デフォルトのホストで発行されたアクセストークンは、更新されるまで`/session/`、`/step-up/`、`/monitoring-token/`で失敗します。 本番環境とサンドボックスは別々のアプリケーションであるため、それぞれ別の発行者となり、キーも別です。公開可能キーは、`pk_live_`（本番環境）または`pk_test_`（サンドボックス）の後に、末尾のスラッシュを除いた発行者をパディングなしのbase64urlでエンコードした文字列が続く形式です。デコードすると発行者がわかります。これは公開識別子であり、認証情報ではありません。 同じJSONエンドポイントは`https://apx.didit.me/auth/v2/authentication/{application_id}/`でも提供されます。どのアドレスから発行されたかにかかわらず、トークンには常に上記の発行者が記載されます。 ## 認証情報 これらのエンドポイントは、DiditのAPIキーやコンソールトークンを受け付けることはありません。 - ディスカバリー、JWKS、`POST /token/`には認証情報は不要です。クライアントはパブリッククライアントです。クライアントシークレットはなく、認可コードはそのPKCE検証子（`S256`）に紐付けられます。`client_id`はアプリケーションIDです。 - `/session/`、`/step-up/`、`/monitoring-token/`には本人のアクセストークンを渡します（`Authorization: Bearer `）。呼び出しが成功するたびにセッションのアクティビティとしてカウントされるため、セッションのアイドルタイムアウトがリセットされます。 ## リクエストボディ ボディを受け取るすべてのエンドポイントは、JSON、フォームエンコード、マルチパートのボディを受け付けます。このドキュメントではJSONを記載し、`POST /token/`についてはOAuthクライアントが送信する形式であるフォームエンコードも記載します。エンドポイントが受け付けないフィールドには`400 {"": "unknown_field"}`が返されます。 ## トークン - **アクセストークン**：ヘッダーが`typ: at+jwt`のES256 JWTで、有効期間は最大5分であり、セッションの有効期間を超えることはありません。クレーム：`AccessTokenClaims`。 - **IDトークン**：ヘッダーが`typ: JWT`のES256 JWTです。クレーム：`IDTokenClaims`。アクセストークンとして受け付けられることはありません。 - **リフレッシュトークン**：使用するたびにローテーションされるランダムな文字列です。使用済みのリフレッシュトークンを再度送信すると、セッションが取り消されます。 トークンは`GET /.well-known/jwks.json`のキーで検証してください。アルゴリズムは`ES256`でなければならず、`typ`はトークンの種類と、`iss`は設定した発行者と、`aud`はアプリケーションIDと一致しなければなりません。オフライン検証では、取り消されたセッションはそのアクセストークンの有効期限が切れた時点で初めて検出されます。即時に確認するには`GET /session/`を使用します。 ## エラー | ボディ | 発生条件 | | --- | --- | | `{"error": ""}` | `POST /token/`のエラーで、すべてステータス`400`、[RFC 6749 第5.2節](https://www.rfc-editor.org/rfc/rfc6749#section-5.2)のボディ形式です：`invalid_grant`、`invalid_client`、Didit独自の`mfa_required`。サービスエラー：`temporarily_unavailable`、`monitoring_unavailable`、`monitoring_disabled`。 | | `{"": [""]}`または`{"": ""}` | リクエストフィールドの検証に失敗しました。`non_field_errors`は複数のフィールドにまたがるルールを、`unknown_field`はエンドポイントが受け付けないフィールドを示します。 | | `{"detail": ""}` | `401`（`invalid_token`）、`403`（`origin_not_allowed`）、`404`（不明なアプリケーションまたはステップアップ）、`429`（レート制限）。また、解析できないボディには`400`（`JSON parse error - ...`）、エンドポイントが提供していないメソッドには`405`、サポートされていない`Content-Type`には`415`が返されます。 | `401`には`WWW-Authenticate: Bearer`も含まれ、`429`には秒単位の`Retry-After`が含まれます。 JSON以外で返される拒否が2つあります。発行者ではないアドレスは、これらのエンドポイントに到達する前に拒否されます。たとえば、使用されていない`*.auth.didit.me`の名前には空の`404`が返されます。UUIDではない`step_up_id`には`404`ページが返されます。 ## レート制限 リクエストは2つのレイヤーを通過する必要があります。 **エンドポイントの制限**：クライアントのIPアドレスごと、アプリケーションごと、エンドポイントごとにカウントされます。 - ディスカバリーとJWKS：1分あたり1,200リクエスト、1時間あたり12,000リクエスト。 - その他すべてのエンドポイント：1分あたり30リクエスト、1時間あたり300リクエスト。`GET`と`DELETE /session/`は1つのカウントを共有します。 制限を超えた場合：`429 {"detail": "Too many requests from this IP address. Please wait before trying again. Expected available in 60 seconds."}`が返されます。1時間あたりの制限では`3600 seconds`になります。 **ボット対策**：すべての`POST`と`DELETE`に適用されます。そのバケットは、ホスト型のサインインステップを含むアプリケーションのすべての`POST`および`DELETE`リクエストで共有され、継続的に補充されます。 - クライアントのIPアドレスごとに1分あたり60リクエスト。 - デバイスを識別するリクエスト（ブラウザSDKやネイティブSDKが送信するもの）について、デバイスごとに1分あたり30リクエスト。 - アプリケーション全体で、すべてのIPアドレスを合わせて1分あたり1,000リクエスト。 バケットを超えた場合：`429 {"detail": "rate_limited Expected available in N seconds."}`が返されます（Nが1の場合は`1 second.`）。IPごとのバケットはエンドポイントをまたいで適用されるため、トークン、ステップアップ、サインアウトの呼び出しを混在させる1つのアドレスは、いずれかのエンドポイントの制限に達する前にバケットを使い切る可能性があります。アプリケーションのバケットは、ブラウザを含むアプリケーションのすべてのクライアントをカウントします。 どちらのレイヤーもエンドポイントが実行される前に応答するため、`429`を受け取ったリクエストは実行されていません。`Retry-After`の経過後に再試行してください。リフレッシュも同様です。 ## ブラウザからのリクエスト `Origin`ヘッダーを含むリクエストは、アプリケーション自身のオリジンまたは許可されたオリジンのいずれかから送信されたものでなければならず、そうでない場合は`403 origin_not_allowed`が返されます。サーバー間のリクエストは`Origin`を送信しません。 ## このドキュメントの対象外 これらのルートは、ホスト型ページ、ブラウザSDKとネイティブSDK、AIエージェントのためのものです。サーバー向けの仕様には含まれず、サーバーSDKはこれらを呼び出しません。 - サインインステップ：`POST /authorize/`、`POST /password/`、`/email/*`、`/phone/*`、`/password-reset/*`、`/passkeys/*`、`/mfa/*`、`/social/*`、`/protection/complete/`。 - ホスト型ページとコールバック：`/sign-in`、`/magic`、`/invite`、`/reset`、`/verify/`、`/sso/*`、`/wallet/callback/`、`/logo/`、および`/.well-known/`配下のネイティブアプリ関連付けファイル。 - エージェントアクセス：`/agents/*`と`/grants/`。AIエージェントのアクセストークンをリアルタイムで確認する`GET /agents/session/`も含みます。エージェントアクセスは、このバージョンの仕様には含まれません。 - Authenticationのコンソール管理API。コンソールセッションを使用します。 AuthenticationのイベントはまだWebhookとして配信されないため、このドキュメントではWebhookを定義していません。 servers: - url: https://{issuer} description: お客様のアプリケーションの発行者で、そのサインインオリジンです。 variables: issuer: default: your-app.auth.didit.me description: >- 発行者のホストです。`.auth.didit.me`(本番環境)、`.sandbox.auth.didit.me`(サンドボックス)、または有効なカスタムドメインです。 security: [] tags: - name: Issuer description: トークンを検証するためのディスカバリー情報と署名鍵です。 - name: Tokens description: 認可コードグラントとリフレッシュグラント。 - name: Sessions description: アクセストークンに紐づくセッションを確認して終了します。 - name: Step-ups description: 機密性の高いアクションの前に行う認証。 - name: Monitoring description: トランザクションモニタリングイベント用のデバイス認証情報です。 paths: /.well-known/jwks.json: get: tags: - Issuer summary: 署名鍵を取得 description: >- アプリケーションの公開ES256鍵です。すべてのトークンは`kid`ヘッダーで鍵を指定します。 鍵は30日ごとにローテーションされます。次の鍵は署名を開始する1日前に公開され、前の鍵は署名を停止した後も1日間公開されたままになるため、最大5分間キャッシュされたJWKSでもローテーションをまたいで検証を続けられます。鍵は`kid`ごとにキャッシュし、手元にない`kid`をトークンが指定した場合はJWKSを再取得してください（最大で1分に1回）。Diditが侵害された鍵を失効させると、その鍵は直ちにこのドキュメントから削除され、`GET /session/`はその鍵で署名されたすべてのトークンを拒否します。代わりの鍵は1日前の事前公開なしに直ちに署名を開始するため、最大5分前までにキャッシュされたJWKSは、失効した鍵を引き続き受け入れ、代わりの鍵をまだ認識していません。 operationId: authentication_get_jwks responses: '200': description: 公開されている鍵です。 headers: Cache-Control: description: >- `public, max-age=300`: お客様および共有キャッシュは、成功したレスポンスを5分間（アクセストークン1回分の有効期間）保持できます。 schema: type: string example: public, max-age=300 content: application/json: schema: $ref: '#/components/schemas/JSONWebKeySet' examples: Keys: summary: 署名鍵1つ value: keys: - kty: EC crv: P-256 x: ZDN2unLMultuZwNY_ZKMvsKLRrlC_usPFZyK77cnDO8 'y': CfLKoaJNvhFpDWqG56H8dD_j0f1c93RdR63bhIdTh3I kid: k_8sJ2dQvX0nLr5TfYb3HkPw use: sig alg: ES256 '403': $ref: '#/components/responses/OriginNotAllowed' '404': $ref: '#/components/responses/ApplicationNotFound' '429': $ref: '#/components/responses/RateLimited' '503': $ref: '#/components/responses/TemporarilyUnavailable' security: - {} components: schemas: JSONWebKeySet: type: object description: >- アプリケーションが公開している署名用の公開鍵。通常は1つです。ローテーションの前後は2つになります。次の鍵は署名を開始する1日前に公開され、前の鍵は署名を停止した後も1日間公開されたままになるためです。 required: - keys properties: keys: type: array items: $ref: '#/components/schemas/JSONWebKey' JSONWebKey: type: object description: JWK形式（RFC 7517）のP-256公開鍵。 required: - kty - crv - x - 'y' - kid - use - alg properties: kty: type: string enum: - EC crv: type: string enum: - P-256 x: type: string description: 公開鍵の点のx座標（base64url）です。 example: ZDN2unLMultuZwNY_ZKMvsKLRrlC_usPFZyK77cnDO8 'y': type: string description: 公開鍵の点のy座標（base64url）です。 example: CfLKoaJNvhFpDWqG56H8dD_j0f1c93RdR63bhIdTh3I kid: type: string description: キーID。このキーが署名するすべてのトークンのヘッダーにある`kid`です。新しいキーIDは`k_`で始まります。 example: k_8sJ2dQvX0nLr5TfYb3HkPw use: type: string enum: - sig alg: type: string enum: - ES256 Detail: type: object required: - detail properties: detail: type: string example: invalid_token OAuthError: title: OAuth error type: object description: OAuthエラー（RFC 6749セクション5.2）またはサービスエラー。 required: - error properties: error: type: string example: invalid_grant responses: OriginNotAllowed: description: >- リクエストに、アプリケーション自身のものでも許可されたオリジンに含まれるものでもない`Origin`が含まれていました。サーバーからのリクエストは`Origin`を送信しません。 headers: Cache-Control: description: 常に`no-store`です。このレスポンスは決してキャッシュしないでください。 schema: type: string example: no-store Pragma: description: 常に`no-cache`です。 schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: OriginNotAllowed: summary: 許可されていないオリジンです value: detail: origin_not_allowed ApplicationNotFound: description: >- このアドレスはアプリケーションに属していますが、そのアプリケーションでAuthenticationが有効になっていません。`apx.didit.me`のアドレスでは、アプリケーションIDが不明です。どのアプリケーションにも属さないアドレスはエンドポイントに到達する前に拒否され、そのレスポンスはJSONではありません。 headers: Cache-Control: description: 常に`no-store`です。このレスポンスは決してキャッシュしないでください。 schema: type: string example: no-store Pragma: description: 常に`no-cache`です。 schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: ApplicationNotFound: summary: 不明なアプリケーション value: detail: No Configuration matches the given query. RateLimited: description: >- このエンドポイントに対するこのIPアドレスからのリクエストが多すぎるか、`POST`または`DELETE`でボット対策のバケットが空になっています。処理は何も実行されていません。`Retry-After`秒待ってから再試行してください。 headers: Retry-After: description: 再試行までに待機する秒数。 schema: type: integer example: 60 Cache-Control: description: 常に`no-store`です。このレスポンスは決してキャッシュしないでください。 schema: type: string example: no-store Pragma: description: 常に`no-cache`です。 schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: RateLimited: summary: エンドポイントの制限 value: detail: >- Too many requests from this IP address. Please wait before trying again. Expected available in 60 seconds. BotProtection: summary: ボット対策の制限（POSTおよびDELETE） value: detail: rate_limited Expected available in 2 seconds. TemporarilyUnavailable: description: リクエストが依存しているサービスが一時的に利用できません。バックオフを入れて再試行してください。 headers: Cache-Control: description: 常に`no-store`です。このレスポンスは決してキャッシュしないでください。 schema: type: string example: no-store Pragma: description: 常に`no-cache`です。 schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/OAuthError' examples: TemporarilyUnavailable: summary: 後で再試行 value: error: temporarily_unavailable ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.