> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# スコープ付きAPIキー - KYC APIのアクセス制限

> Diditでは、サービスやパートナーごとに必要な権限だけを持つAPIキーを発行できます。リソース単位の読み取り・書き込み、ワークフロー制限、IP許可リスト、有効期限、即時失効に対応しています。



スコープ付きAPIキーのプロンプト
        プロンプトをクリップボードにコピー



      
      

\<pre>

\````# Goal - call Didit with a scoped API key

Every application has a primary secret with full access, and any number of named API keys.
A named key carries its own access: read or write per resource, optional limits, an optional IP allowlist and an optional expiry date.
Keys are created, edited, rotated and revoked in the Business Console (Developers -> API keys); there is no API to manage them.

\## Sending the key

\```bash
curl https://verification.didit.me/v3/session/$SESSION_ID/decision/ \
-H "x-api-key: $DIDIT_API_KEY"
\```

Read the key from an environment variable or a secrets manager, never from source code.

\## What each answer means

\| Status | Meaning |
\|---|---|
\| 401 | The key is missing, wrong, revoked or expired |
\| 403 | The key has no access to this resource or action, or the request came from an address outside its IP list |
\| 404 | The session is outside the key's workflows or statuses, so to this key it does not exist |

A key without media access receives decisions with every image, video and PDF URL set to null, and gets 403 on PDF reports.
A key without sessions write receives session_url and session_token as null.

\## Resources

sessions, decisions, media (read only), users, businesses, transactions, workflows, webhooks, applications, analytics (read only), api-keys.
Read covers GET requests, write covers POST, PUT, PATCH and DELETE.
Standalone checks (face match, ID verification, AML screening and the other /v3 standalone APIs) need sessions write.
Creating a person with send_verification_link: true (POST /v3/users/create/) needs users write and sessions write; without sessions write it answers 403 and nothing is created.

\## Limits

\- workflow_ids: only sessions of these workflows are visible, and sessions can only be created with them.
\- approved sessions only: declined, in-review and unfinished sessions are hidden.
\- A key with either limit cannot have access to users, businesses, transactions or analytics.

\## Rotation

Rotating a key returns a new secret once; the previous secret keeps working for 24 hours.````

\</pre>



      
      

貼り付け先

すべてのアプリケーションには、最初から**プライマリシークレット**が1つあり、アプリケーションで実行できるすべての操作にフルアクセスできます。
これに加えて、**名前付きAPIキー**を追加できます。サービスやパートナーごとに1つずつ作成し、それぞれに必要なアクセスだけを付与します。
たとえば、支払いプロバイダーには1つのワークフローの承認済みセッションを読み取れるだけで何も変更できないキーを渡し、バックエンドには別のキーを用意しておけば、一方を失効させてももう一方には影響しません。> [!NOTE]
>
> スコープ付きアクセスの導入前に作成されたキーは、引き続きフルアクセスを持ちます。
> アクセスを編集するまで、これらのキーのアクセスは変更されません。***## キーの確認場所[**ビジネスコンソール**](https://business.didit.me)でアプリケーションを選択し、**Developers -> API keys**を開きます。一覧には、アプリケーションのすべてのキーが、ステータス、過去30日間のリクエスト数、作成者、アクセス、最終使用日時とともに表示されます。
キーをクリックすると右側にプレビューが表示されます。また、キーの詳細ページを開くと、使用状況、アクセス、最近のリクエスト、クイックスタート用のスニペット、アクティビティを確認できます。キーは1つのアプリケーションに属し、そのアプリケーションでのみ機能します。
キーはアプリケーションの環境を引き継ぎます。サンドボックスアプリケーションのキーで、請求対象の認証が作成されることはありません。***## リダイレクトURLと許可ドメイン**Developers > API keys > Redirects and domains**を開くと、選択中のアプリケーションと環境について2つのリストを設定できます。| リスト | 制御する内容 |
| - | - |
| **リダイレクトURL** | ホスト型の認証が終了した後に、Diditがブラウザのリダイレクト先です。URLはパスを含めて完全に一致する必要があります。 |
| **許可ドメイン** | ホスト型の認証フローの埋め込み先として使用でき、ユーザーの戻り先として指定できるオリジン(スキーム、ホスト、および任意のポート。例: `https://app.example.com`)です。 |**許可ドメイン**リストにエントリがある場合、[Create session](https://docs.didit.me/ja/sessions-api/create-session.md)は、そのいずれにも該当しない`callback`を`400`エラーで拒否します。
リストが空の場合、制限はありません。
サーバー間の呼び出しは影響を受けません。***## キーを作成する**1. 詳細**キーを使用するサービスにちなんだ名前を付け、有効期限を選択します。無期限、30日、90日、1年、または任意の日付から選べます。
期限切れのキーは、その日の終わり(UTC)に機能しなくなります。**2. アクセス**プリセットから始め、リソースごとに細かく調整します。
キーがこの設定を超える操作を行うことはありません。**3. 確認**キーを渡す前に、そのキーでできることとできないことがコンソールに明示されます。**4. シークレットキー**シークレットをコピーし、シークレットマネージャーに保管してください。
シークレット全体が表示されるのはこの1回限りです。
紛失した場合は、キーをローテーションして新しいシークレットを取得してください。### プリセット| プリセット | アクセス |
| - | - |
| **フルアクセス** | 他のAPIキーを含むすべてのリソースに対する読み取りと書き込み。自社のバックエンド向けです。 |
| **読み取り専用** | セッションと判定。メディアは任意です。作成、変更、削除は一切できません。結果を必要とするパートナー向けです。 |
| **カスタム** | リソースごとに「なし」「読み取り」「書き込み」を選択します。 |### リソース読み取りはリソースに対する`GET`リクエストを対象とし、書き込みはさらに`POST`、`PUT`、`PATCH`、`DELETE`も対象とします。| リソース | 読み取り | 書き込み |
| - | - | - |
| **セッション** | セッションの一覧表示と閲覧 | セッションの作成、更新、削除、セッションのインポート、およびスタンドアロンチェック(顔照合、本人確認、AMLスクリーニング、その他のスタンドアロンAPI)の実行 |
| **判定** | 結果、リスクスコア、抽出データ、AMLスクリーニング履歴 | 承認、却下、レビューへの送付、および機能とAMLヒットのステータス変更 |
| **メディア** | 本人確認書類の画像、セルフィー、動画、PDFレポート | - |
| **ユーザー** (`users`) | エンドユーザーと、そのユーザーについて検証されたすべての情報 | ユーザーとそのモニタリングの作成、更新、削除。認証リンク付きでユーザーを作成するには、**セッション**の書き込みも必要です |
| **企業** (`businesses`) | 企業プロファイル、その書類と所有者 | 企業とそのモニタリングの作成、更新、削除 |
| **取引** | 取引、アラート、ルール、モニタリングイベント、トラベルルールのデータ、ウォレットスクリーニング | 取引とイベントの送信、それらのステータス変更、およびトラベルルールの設定、ウォレットアドレス帳、送金の管理 |
| **ワークフロー** | ワークフロー、アンケート、リスト、ブロックリスト | それらの作成と編集 |
| **Webhook** | エンドポイントと配信(配信には送信したセッションのペイロードが含まれるため、**判定**の読み取りも必要) | エンドポイントの追加、編集、削除、および配信の再送 |
| **アプリケーション設定** (`applications`) | カスタマイズと残高 | カスタマイズの変更と残高のチャージ |
| **分析** | 指標とレポートのエクスポート | - |
| **APIキー** | キー管理用に予約 | キー管理用に予約 |カスタムアクセスのキーは、公開APIで使用できます。対象はセッション、ユーザー、企業、取引、ワークフロー、Webhookの各エンドポイントと、スタンドアロンチェックです。
Business Consoleのみが使用するエンドポイントは、このキーに対して`403`を返します。これらにはフルアクセスのキーが必要です。**メディア**の読み取り権限がないキーは、すべての画像、動画、PDFのURLが`null`に設定されたセッションの判定を受け取り、PDFレポートのエンドポイントは`403`を返します。
**セッション**の書き込み権限がないキーは、セッションの認証リンクやセッショントークンを受け取ることはありません。これらを保持する者は誰でもエンドユーザーとして認証を完了できるためで、これらのフィールドは`null`として返されます。
同じ理由から、`send_verification_link: true`でユーザーを作成するには、**ユーザー**の書き込みに加えて**セッション**の書き込みも必要です。この操作はセッションを作成し、そのリンクをメールで送信するためです。
この権限がない場合、呼び出しは`403`を返し、何も作成されません。### 制限| 制限 | 機能 |
| - | - |
| **ワークフロー** | キーは選択したワークフローのセッションのみを参照でき、それらのワークフローでのみセッションを作成できます。それ以外のセッションは、存在しないものとして`404`を返します。 |
| **承認済みセッションのみ** | 却下、レビュー中、未完了のセッションはキーから見えません。 |
| **IPアドレス** | キーは、指定したアドレスまたはCIDR範囲(最大20件、IPv4またはIPv6)からのリクエストでのみ使用できます。それ以外のアドレスからのリクエストは`403`を返します。 |
| **有効期限** | この日付以降、このキーを使用したすべてのリクエストは`401`を返します。 |一部のワークフローまたは承認済みセッションに制限されたキーは、制限を適用できるセッションのエンドポイントで使用できます。
このキーにユーザー、企業、取引、分析へのアクセス権を付与することはできず、スタンドアロンチェックも実行できません。***## スコープ付きキーに対するAPIのレスポンス| ステータス | 意味 |
| - | - |
| **401** | キーが指定されていない、誤っている、失効している、または期限切れです。 |
| **403** | キーにこのリソースまたはアクションへのアクセス権がないか、リクエストがIPリスト外のアドレスから送信されました。 |
| **404** | セッションがキーのワークフローまたはステータスの対象外です。 |セッションの一覧には、キーの制限で許可されたセッションのみが返されます。***## アクセス権を編集キーのメニュー、プレビュー、またはキーのページを開き、**アクセス権を編集**を選択します。
プリセット、リソース、制限、有効期限を変更し、変更前と変更後の差分のみを確認します。
シークレットは変わらないため再デプロイは不要で、新しいアクセス権は1分以内に適用されます。プライマリシークレットは常にフルアクセスを持ち、編集できません。***## キーをローテーションするローテーションすると、キーのシークレットが置き換えられます。
新しいシークレットは1回だけ表示され、現在のシークレットは**24時間**引き続き機能するため、ダウンタイムなしで新しいシークレットをデプロイできます。
その後、古いシークレットを使用したすべてのリクエストは`401`を返します。プライマリシークレットも同じ方法で、同じ24時間の併用期間を設けてローテーションされます。***## キーを失効させる失効させると、キーは直ちに無効になり、そのキーで行われたすべてのリクエストは`401`を返します。
この操作は元に戻せません。
プライマリシークレットは失効させることができないため、代わりにローテーションしてください。***## 使用状況と監査証跡各キーには、過去30日間のリクエスト数、エラー率、レイテンシー、および制限によって拒否されたものを含む最新のリクエストとそのステータスコードが表示されます。APIキーを使用したすべての呼び出しは、呼び出しに使用されたキーの名前とともに組織の[監査ログ](https://docs.didit.me/ja/console/audit-logs.md)に記録されます。***## キーを管理できるユーザーAPIキーを管理するには **APIキー** 権限が必要です。閲覧には読み取り権限、作成・編集・ローテーション・失効には書き込み権限が必要です。
[役割と権限](https://docs.didit.me/ja/console/roles-permissions.md)を参照してください。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.