API認証：KYC APIリクエストを安全に送信する方法

APIキーの確認方法

Diditでは、APIキーはアカウント内の特定のApplicationに紐づきます。アプリケーションとは、特定のプロジェクトや環境ごとにワークフローを設定し、検証を管理するためのワークスペースです。アプリケーションを作成すると、フルアクセス権を持つプライマリAPIキーが1つ発行されます。それに加えて追加のキーを作成でき、各キーにはサービスやパートナーが必要とするアクセス権だけを付与できます。キーを確認する手順は次のとおりです。

Business Consoleにログインする

Didit Business Consoleにアクセスしてサインインします。

アプリケーションを選択する

画面上部のドロップダウンメニューから、使用するApplicationを選択します。

APIキーを開く

左側のサイドバーでDevelopers -> API keysに移動します。

キーをコピーまたは作成する

Primaryキーは、そのアプリケーション固有のシークレットです。サービスやパートナーに専用のシークレットを渡すには、必要なアクセス権を持つ新しいキーを作成します。

APIキーはシークレットです。パスワードと同じように扱ってください。プライマリキーは、アプリケーションに代わってAPIへのフルアクセスを提供します。フロントエンドのコード、公開リポジトリ、クライアント側のバンドルには絶対に含めないでください。必ずサーバー側でのみ保管してください。

APIキーの形式

新しいAPIキーは、本番環境のアプリケーションではsk_live_、サンドボックスのアプリケーションではsk_test_で始まり、その後に43文字のURLセーフな文字(英字、数字、-、_)が続きます。この形式の導入前に作成されたキーにはプレフィックスがなく、そのまま引き続き使用できます。プレフィックスを含むキー全体をx-api-keyヘッダーで送信してください。また、プレフィックスがないことを理由にキーを拒否しないでください。

組織IDの確認方法

組織 IDは、組織を識別するUUIDです。/auth/v2/organizations/me/{org_id}/applications/のような組織単位のAPIパスで使用します。API呼び出しは不要で、Business Consoleから直接コピーできます。

組織設定を開く

Didit Business Consoleで組織設定に移動します。

組織IDをコピーする

組織 IDフィールドには、組織名の横に組織のUUIDがクリップボードにコピーするボタンとともに表示されます。

認証済みリクエストの送信

APIリクエストを認証するには、シークレットAPIキーをx-api-key HTTPヘッダーに含めます。以下は、Create Sessionエンドポイントへの認証済みリクエストの例です。

cURL

curl --request POST \
     --url https://verification.didit.me/v3/session/ \
     --header 'accept: application/json' \
     --header 'content-type: application/json' \
     --header 'x-api-key: YOUR_API_KEY' \
     --data '
{
  "workflow_id": "WORKFLOW_ID",
  "vendor_data": "USER_ID",
  "callback": "CALLBACK_URL"
}
'

エラー処理

APIキーが誤っている、形式が不正である、または失効している場合、APIは401 Unauthorizedを返します。

{
  "detail": "Authentication credentials were not provided or are invalid."
}

有効期限切れのキーも401を返し、"detail": "This API key has expired."が含まれます。キーなしのリクエストは403を返し、"detail": "You do not have permission to perform this action."が含まれます。

ステータスコード	意味
401	APIキーが誤っている、形式が不正である、失効している、または有効期限切れである
403	APIキーが送信されていない、キーに要求されたリソースまたはアクションへのアクセス権がない、またはリクエストがキーのIPリストにないアドレスから送信された
`"code": "application_deleted"`を伴う403	キーが削除されたアプリケーションに属している。APIは削除後の数分間この応答を返し、その後は他の無効なキーと同様にキーを拒否します。再試行しないでください。アプリケーションとそのキーはすでに存在しません。
404	セッションエンドポイントでは、セッションがキーのワークフローまたはステータスの対象外である

すべてのステータス、ボディ、コードはAPIエラーのページに記載されています。

スコープ付きAPIキー

プライマリキーを共有するのではなく、サービスやパートナーごとに専用のキーを発行してください。各キーは独自のアクセス権を持ちます。すべてのリソース(セッション、判定、メディア、人物、企業、取引、ワークフロー、Webhook、アプリケーション設定、分析)ごとになし・読み取り・書き込みを設定でき、さらに任意で特定のワークフロー、承認済みセッションのみ、IPアドレスのリスト、有効期限による制限を加えられます。キーは24時間の重複期間を設けてローテーションでき、即座に失効させることもできます。スコープ付きアクセスの導入前に作成されたキーは、引き続きフルアクセス権を持ちます。プリセット、各プリセットが対象とするリソース、スコープ付きキーに対するAPIの応答については、APIキーを参照してください。

401エラーを受け取った場合は、正しいアプリケーションに対応する正しいAPIキーを使用しているか、またそのキーが再生成されていないかを再確認してください。

概要

料金

ワークフローと検証

レビューと運用

エンティティ（ユーザーと法人）

設定とカスタマイズ

セキュリティとコンプライアンス

Didit Academy

リソース

API認証：KYC APIリクエストを安全に送信する方法

APIキーの確認方法

APIキーの形式

組織IDの確認方法

認証済みリクエストの送信

エラー処理

スコープ付きAPIキー

​APIキーの確認方法

​APIキーの形式

​組織IDの確認方法

​認証済みリクエストの送信

​エラー処理

​スコープ付きAPIキー

APIキーの確認方法

APIキーの形式

組織IDの確認方法

認証済みリクエストの送信

エラー処理

スコープ付きAPIキー