> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # セッションレビュー作成API：KYCの手動レビュー > Didit の認証セッションに手動レビューのメモやステータス変更を送信できます。コンプライアンスレビューと監査ログをプログラムで管理でき、料金は呼び出しごとの従量課金です。 セッションレビュー作成プロンプト プロンプトをクリップボードにコピー \

\``Goal: Push a manual decision (Approve / Decline / mark In Review) onto a Didit verification session and write an immutable audit-trail row. Programmatic equivalent of the Console manual-review buttons.

Endpoint: POST https://verification.didit.me/v3/sessions/{session_id}/reviews/
Auth header: x-api-key: YOUR_API_KEY
Content-Type: application/json

Path param:
\- session_id (UUID, REQUIRED) — verification session UUID. Must belong to the same application as the API key (cross-application writes return 404).

Request body:
\- new_status (string, REQUIRED) — one of "Approved" | "Declined" | "In Review". Workflow-internal statuses ("In Progress", "Awaiting User", "Resubmitted", "Expired", "Kyc Expired", "Abandoned", "Not Started") are NOT accepted (400).
\- comment (string, optional, max 10,000 chars) — reviewer rationale. Supports @email mentions which trigger Console notifications.

curl:
curl -s -X POST 'https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/' \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{"new_status": "Approved", "comment": "POA cross-checked against utility bill; matches address on file."}'

Response 201 (compact ReviewSerializer shape — different from the GET response):
\{
"user": "API Client",                       // actor display label
"new_status": "Approved",
"comment": "POA cross-checked...",
"created_at": "2026-04-21T16:42:50.445Z"
}
To fetch the full activity row (uuid, activity_type, previous_status, ...) call GET /v3/sessions/{session_id}/reviews/ afterwards. See /reference/data-models for the full ReviewItem shape.

Side effects:
1\. Inserts a Review row with activity_type=STATUS_UPDATED, actor_type=API_KEY.
2\. Updates Session.status to new_status if it differs from the current status.
3\. Fires the status.updated webhook on configured destinations (see /integration/webhooks).
4\. Notifies previous reviewers and @email-mentioned Console users.
NOT idempotent — every call writes a new audit row. Re-posting the same new_status when it equals the current status is a no-op for Session.status but still writes an audit entry.

Failure modes (envelope {"detail": "..."} unless noted):
\- 400 — { "new_status": ["\\"Expired\\" is not a valid choice."] } (or missing new_status)
\- 401 — missing/invalid `x-api-key` header.
\- 403 — API key valid but wrong app or revoked.
\- 404 — session UUID not found / deleted / wrong app.
\- 429 — rate-limited.

For end-to-end Didit integration, paste in the full prompt at /integration/integration-prompt.``

\
貼り付け先 ## OpenAPI ````yaml ja/openapi-25.json POST /v3/sessions/{session_id}/reviews/ openapi: 3.0.0 info: version: 3.0.0 title: Didit Verification API description: 本人確認API。x-api-keyヘッダーで認証します。 servers: - url: https://verification.didit.me security: [] tags: [] paths: /v3/sessions/{session_id}/reviews/: post: tags: - Sessions summary: セッションの監査証跡にレビューメモを追加 description: >- ユーザー認証（KYC）セッションのレビュー／アクティビティフィードにメモを追加します。**このエンドポイントはエントリを記録するだけで、セッションを変更することはありません**。セッションの`status`はそのまま維持され、ステータス遷移の検証は行われず、Webhookも送信されません。実際にセッションを承認、却下、または再オープンする場合（このフィードに実行者情報が完全に付与された`STATUS_UPDATED`エントリも書き込まれます）は、代わりに`PATCH /v3/session/{session_id}/update-status/`を使用してください。 ボディの両フィールドは任意で、空のJSONオブジェクトも受け付けます。`new_status`はエントリのラベルとしてのみ保存され、10種類のセッションステータス値のいずれか（大文字と小文字を区別）を受け付けます。`comment`内の`@email`メンションはプレーンテキストとしてのみ保存されます。このエンドポイントでは通知はトリガーされず、エントリの`mentioned_emails`は空のままです。 実行者情報に関する注意：ここで作成されたエントリには実行者情報が含まれません。フィードでは`actor_display: "Unknown"`、`actor_type: "CONSOLE_USER"`、`activity_type: "STATUS_UPDATED"`（保存時のデフォルト値）と表示され、`201`のボディの`user`フィールドは`"Unknown"`になります。 operationId: create_session_review parameters: - name: Content-Type in: header required: false description: JSONボディを送信する場合は`application/json`に設定します。 schema: type: string example: application/json - name: session_id in: path required: true description: >- ユーザー認証 (KYC) セッションのUUIDです。APIキーと同じアプリケーションに属している必要があります。別のアプリケーションのUUID、削除済みのセッション、法人確認 (KYB) セッションのIDはいずれも`404`を返します。 schema: type: string format: uuid example: 8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d requestBody: required: false content: application/json: schema: type: object properties: new_status: type: string nullable: true enum: - Not Started - In Progress - Approved - Declined - In Review - Expired - Abandoned - Kyc Expired - Resubmitted - Awaiting User description: >- エントリーに記録する任意のステータスラベルです。セッションのステータス値であればどれでも受け付けますが、大文字と小文字は区別されます（`"approved"`は`400`で拒否されます）。ここでステータスを記録しても、セッションの実際のステータスは**変更されません**。変更するにはupdate-statusエンドポイントを使用してください。 example: In Review comment: type: string nullable: true description: >- 任意の自由記述のメモです（文字数制限は適用されません）。入力内容はそのまま保存されます。このエンドポイントでは`@email`のメンションは処理されません。 example: Flagging for manual document re-check. examples: NoteWithStatusLabel: summary: ステータスラベル付きのメモ（セッションのステータスは変更されません） value: new_status: In Review comment: Flagging for manual document re-check. CommentOnly: summary: ステータスラベルのないプレーンなメモ value: comment: Customer emailed an updated utility bill; awaiting upload. responses: '201': description: >- セッションの監査証跡に記録されたエントリ。セッション自体は変更されません。`status`は以前の値のままで、Webhookは送信されません。新しいエントリは`GET …/reviews/`の先頭にも表示されます（`actor_display: "Unknown"`付き）。 content: application/json: schema: type: object properties: user: type: string description: >- エントリー作成者の表示名です。このエンドポイントは操作者を記録しないため、このエンドポイントで作成されたエントリーでは常に`"Unknown"`となります。 example: Unknown new_status: type: string nullable: true enum: - Not Started - In Progress - Approved - Declined - In Review - Expired - Abandoned - Kyc Expired - Resubmitted - Awaiting User description: >- エントリに記録されたステータスラベル。送信されなかった場合は`null`です。セッションの実際のステータスには影響しません。 example: In Review comment: type: string nullable: true description: エントリーに記録されたメモ。送信されなかった場合は`null`です。 example: Flagging for manual document re-check. created_at: type: string format: date-time description: エントリーが書き込まれた日時（ISO 8601、UTC）。 example: '2026-06-12T00:18:44.466537Z' examples: NoteWithStatusLabel: summary: ステータスラベル付きのメモ value: user: Unknown new_status: In Review comment: Flagging for manual document re-check. created_at: '2026-06-12T00:18:44.466537Z' CommentOnly: summary: プレーンなメモ value: user: Unknown new_status: null comment: Note without status. created_at: '2026-06-12T00:18:44.504157Z' '400': description: >- バリデーションエラー。フィールドごとのメッセージのマップとして返されます。よくある原因は、`new_status`の値が許可された10種類のステータスのいずれでもないことです。このチェックでは大文字と小文字が区別されます。 content: application/json: schema: type: object properties: new_status: type: array items: type: string example: - '"approved" is not a valid choice.' examples: InvalidStatusChoice: summary: 小文字または不明なステータス値 value: new_status: - '"approved" is not a valid choice.' '403': description: >- `x-api-key`がない、形式が不正、期限切れ、または失効しています。認証はセッションの検索より前に確認されるため、セッションUUIDが存在しない場合でも、キーがなければ`403`を返します。 content: application/json: schema: type: object properties: detail: type: string example: You do not have permission to perform this action. examples: InvalidKey: summary: x-api-keyヘッダーがないか無効です value: detail: You do not have permission to perform this action. '404': description: >- このUUIDを持つユーザー認証(KYC)セッションは、お使いのアプリケーションからは参照できません。UUIDが存在しない、セッションが削除された、または別のアプリケーションに属している、のいずれかです。法人確認(KYB)のセッションIDもここでは`404`を返します。レビューフィードはKYCセッションに対してのみ指定できます。 content: application/json: schema: type: object properties: detail: type: string example: Session not found. examples: NotFound: summary: 不明、削除済み、または別のアプリケーションのセッションUUID value: detail: Session not found. '429': description: >- レート制限を超過しました。`Retry-After`および`X-RateLimit-*`レスポンスヘッダーを確認してください。詳しくは[レート制限](/ja/integration/rate-limiting)を参照してください。 security: - ApiKeyAuth: [] x-codeSamples: - lang: curl label: curl source: >- # Records an audit-trail note only -- the session's status does NOT change. curl -s -X POST https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/ \ -H 'x-api-key: YOUR_API_KEY' \ -H 'Content-Type: application/json' \ -d '{ "new_status": "In Review", "comment": "Flagging for manual document re-check." }' - lang: python label: Python source: |- from didit import Didit # Reads DIDIT_API_KEY. client = Didit() result = client.sessions.reviews.create( "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new_status="In Review", comment="Flagging for manual document re-check.", ) print(result) - lang: javascript label: Node.js source: >- import Didit from "@didit-protocol/sdk-node"; // Reads DIDIT_API_KEY. const didit = new Didit(); const result = await didit.sessions.reviews.create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", { new_status: "In Review", comment: "Flagging for manual document re-check.", }); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Sessions.Reviews.Create(ctx, \"8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d\", didit.SessionsReviewsCreateParams{\n\tNewStatus: didit.Some(didit.SessionsReviewsCreateParamsNewStatus(\"In Review\")),\n\tComment: didit.String(\"Flagging for manual document re-check.\"),\n})\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: >- import me.didit.Didit; import me.didit.types.SessionsReviewsCreateParams; // Reads DIDIT_API_KEY. Didit client = new Didit(); var result = client.sessions().reviews().create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", SessionsReviewsCreateParams.builder() .newStatus(SessionsReviewsCreateParams.NewStatus.of("In Review")) .comment("Flagging for manual document re-check.") .build()); System.out.println(result); - lang: php label: PHP source: >- sessions->reviews->create('8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d', [ 'new_status' => 'In Review', 'comment' => 'Flagging for manual document re-check.', ]); print_r($result->toArray()); - lang: ruby label: Ruby source: |- require "didit" # Reads DIDIT_API_KEY. didit = Didit::Client.new result = didit.sessions.reviews.create( "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new_status: "In Review", comment: "Flagging for manual document re-check." ) puts result.to_h - lang: csharp label: .NET source: >- using System; using System.Text.Json; using Didit; // Reads DIDIT_API_KEY. using var client = new DiditClient(); var result = await client.Sessions.Reviews.CreateAsync("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new SessionsReviewsCreateParams { NewStatus = new SessionsReviewsCreateParamsNewStatus("In Review"), Comment = "Flagging for manual document re-check.", }); Console.WriteLine(JsonSerializer.Serialize(result)); components: securitySchemes: ApiKeyAuth: type: apiKey in: header name: x-api-key description: >- お客様のアプリケーションのAPIキーです。Business ConsoleのDevelopers -> API keysで取得できます。プライマリキーはフルアクセス権を持ちます。名前付きキーにはスコープを設定できます。リソースごとのアクセス権（なし、読み取り、書き込み）、一部のワークフローまたは承認済みセッションへの限定、IPアドレスのリストへの限定、有効期限の設定です。401は、キーが誤っている、失効している、または期限切れであることを意味します。403は、キーが送信されていない、キーにこのリソースやアクションへのアクセス権がない、またはIPリスト外のアドレスからリクエストが送信されたことを意味します。セッションのルートでの404は、セッションがキーのワークフローまたはステータスの対象外であることを意味します。メディアへのアクセス権がないキーでは、画像、動画、PDFのURLがnullで返されます。セッションの書き込み権限がないキーでは、セッションのリンクとトークンがnullで返されます。詳細は次を参照してください: https://docs.didit.me/console/api-keys ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.