メインコンテンツへスキップ
PATCH
curl
rotate_secret_keyがローテーションするのはアプリケーションレベルのシークレットのみで、これは従来のwebhook_urlへの配信に署名するものです。各Webhookの送信先はそれぞれ独自のsecret_shared_keyで署名し、この呼び出しでは変更されません。
保持期間のフィールドは、Business Console → App Settings → Data retentionで設定するポリシーと同じものです。変更する前にデータ保持、特に生体認証テンプレートの保持をお読みください。allowed_return_hostsについては戻り先の登録で説明しています。 biometric_consent_mode(auto、always、never)は、検証フローが顔の撮影前に生体情報の利用について明示的な同意を求めるタイミングを設定します。生体情報の同意をご覧ください。 先に現在の値を確認するには、Webhook設定の取得を呼び出してください。

承認

x-api-key
string
header
必須

お客様のアプリケーションのAPIキーです。Business ConsoleのDevelopers -> API keysで取得できます。プライマリキーはフルアクセス権を持ちます。名前付きキーにはスコープを設定できます。リソースごとのアクセス権(なし、読み取り、書き込み)、一部のワークフローまたは承認済みセッションへの限定、IPアドレスのリストへの限定、有効期限の設定です。401は、キーが誤っている、失効している、または期限切れであることを意味します。403は、キーが送信されていない、キーにこのリソースやアクションへのアクセス権がない、またはIPリスト外のアドレスからリクエストが送信されたことを意味します。セッションのルートでの404は、セッションがキーのワークフローまたはステータスの対象外であることを意味します。メディアへのアクセス権がないキーでは、画像、動画、PDFのURLがnullで返されます。セッションの書き込み権限がないキーでは、セッションのリンクとトークンがnullで返されます。詳細は次を参照してください: https://docs.didit.me/console/api-keys

ボディ

application/json

変更するフィールドのみを送信してください。送信先はここでは管理されません。

webhook_url
string<uri> | null

レガシーのアプリケーションレベルのWebhook URL。Diditは、アプリケーションに有効な送信先がない間のみこのURLを使用し、その場合もstatus.updatedとdata.updatedに限られます。このURLによって送信先が作成されることはなく、次に送信先を作成、更新、または削除するとこの値は置き換えられます。Webhookを受信するには、代わりにPOST /v3/webhook/destinations/で送信先を作成してください。

Maximum string length: 2000
webhook_version
enum<string>

従来のwebhook_urlのペイロードバージョン。

利用可能なオプション:
v1,
v2,
v3
rotate_secret_key
boolean
デフォルト:false

trueを指定すると、アプリケーションレベルのsecret_shared_keyを新しいランダムな値に即座に置き換えます。新しい値はレスポンスに含まれます。送信先のシークレットは変更されません。trueを指定した呼び出しは毎回新しいシークレットを生成するため、冪等ではありません。

capture_method
enum<string>

レガシーのアプリケーション設定。認証フローではこの値は読み取られません。

利用可能なオプション:
MOBILE,
MOBILE_AND_DESKTOP
data_retention_months
integer | null

自動削除までの期間(月単位、1か月は30日として計算)。自動削除しない場合はnull。変更は既存のセッションにも適用されます。新しい期間より古いユーザー認証セッションはすべて自動的に削除され、この削除は元に戻せません。

必須範囲: 1 <= x <= 120
face_retention_policy
enum<string>

セッションの削除時に、そのセッションの顔エンベディングをどう扱うか。retain_until_user_deletedには、同じリクエストで指定するか設定済みのface_retention_daysが必要です。変更はそれ以降のセッション削除に適用され、既存の生体認証テンプレートを作成または消去することはありません。

利用可能なオプション:
delete_with_session,
retain_until_user_deleted
face_retention_days
integer | null

retain_until_user_deletedにおける生体認証テンプレートの保持期間(日数)。

必須範囲: 1 <= x <= 3650

ホスト型フローとネイティブSDKが、顔の撮影前に本人へ生体認証についての明示的な同意を求める条件です。auto(デフォルト)は、トリガーに該当する場合にのみ同意を求めます。該当するのは、申告された州、本人のIP、または本人確認書類の発行元がイリノイ州、テキサス州、コロラド州のいずれかである場合、または州が不明なまま本人が米国にいると見られる場合です。alwaysは、ワークフローで顔を撮影するすべての人に同意を求めます。neverはこのステップを一切表示しないため、セルフィーの前にお客様自身で同意を取得する必要があります。変更はすべて監査ログに記録されます。詳しくは生体認証の同意を参照してください。

利用可能なオプション:
auto,
always,
never
allowed_return_hosts
string[]

Digital IDウォレットの戻り先ホストのリスト全体を置き換えます。shop.example.comのようなホスト名のみを指定します。スキーム、ポート、パス、ワイルドカードは使用できません。値は小文字に変換され、重複は削除されます。リストをクリアするには[]を送信します。

Maximum array length: 20
Maximum string length: 253
allowed_domains
string[]

許可されたオリジンのリスト全体を置き換えます。ホスト型検証フローを埋め込むことができ、セッションのコールバックでユーザーを戻すことができるオリジン(例:https://app.example.com。httpはlocalhostの場合のみ)です。サーバー間の呼び出しには影響しません。空のリストは制限なしを意味します。Diditは各オリジンをデフォルトポートなしの小文字で保存します。無効なエントリはallowed_domainsに対して400で失敗します。制限を解除するには[]を送信します。

Maximum array length: 50
Maximum string length: 300
例:

レスポンス

更新後の設定全体で、GET /v3/webhook/と同じ形式です。シークレットをローテーションした場合は、レスポンスを破棄する前に新しいsecret_shared_keyを保存してください。

アプリケーションレベルのWebhook設定、保持ポリシー、Digital IDウォレットの戻り先ホスト、およびすべてのWebhookの送信先。

webhook_url
string<uri> | null
必須

アプリケーションレベル(レガシー)のWebhook URL。Diditは、アプリケーションに有効な送信先が1つもない間に限りこのURLに送信し、その場合もstatus.updatedとdata.updatedのみを送信します。送信先を作成、更新、削除するたびに、この値は最も古い有効な送信先のURL、または有効な送信先がない場合はnullに設定されます。

webhook_version
enum<string>
必須

従来のwebhook_urlのペイロードバージョン。各送信先はそれぞれ独自のwebhook_versionを持ちます。

利用可能なオプション:
v1,
v2,
v3
secret_shared_key
string
必須

アプリケーションレベルの署名シークレット(43文字のURLセーフなトークン)。従来のwebhook_urlへの配信にのみ署名し、各送信先はそれぞれのsecret_shared_keyで署名します。APIキーで呼び出した場合は常に全体が返されます。read:webhooksを持たないConsoleユーザーには空文字列が返されます。

capture_method
enum<string>
必須

レガシーのアプリケーション設定。認証フローではこの値は読み取られません。撮影オプションはワークフローごとに設定します。

利用可能なオプション:
MOBILE,
MOBILE_AND_DESKTOP
data_retention_months
integer | null
必須

自動削除までの期間。この月数(1か月は30日として計算)より前に作成されたユーザー認証セッションは自動的に削除され、この削除は元に戻せません。nullの場合、セッションは自動削除されません。データ保持を参照してください。

必須範囲: 1 <= x <= 120
face_retention_policy
enum<string>
必須

セッションの削除時に、そのセッションの顔エンベディングをどう扱うか。delete_with_session(デフォルト)はセッションとともに削除します。retain_until_user_deletedはオプトインの生体認証テンプレートの保持です。Userに紐付いた画像を含まない生体認証テンプレートが、保持期間が終了するか、Userが削除されるか、お客様が消去するまで、セッションとは別に管理されます。

利用可能なオプション:
delete_with_session,
retain_until_user_deleted
face_retention_days
integer | null
必須

retain_until_user_deletedにおける生体認証テンプレートの保持期間(日数)。このポリシーを設定する場合は必須です。

必須範囲: 1 <= x <= 3650
available_events
object[]
必須

送信先がサブスクライブできるすべてのイベントタイプと、その表示ラベルです。

allowed_return_hosts
string[]
必須

スタンドアロンのDigital IDウォレット検証がreturn_urlでユーザーを戻すことができるホスト名(完全一致、HTTPSのみ)です。ホワイトラベルドメインも常に許可されます。戻り先を登録するを参照してください。

Maximum array length: 20
Maximum string length: 253
endpoints
object[]
必須

アプリケーションのすべてのWebhookの送信先を、それぞれの署名シークレットとともに古い順に示します。ここでは読み取り専用です。送信先の管理には/v3/webhook/destinations/エンドポイントを使用してください。

ホスト型フローとネイティブSDKが、顔の撮影前に本人へ生体認証についての明示的な同意を求める条件です。auto(デフォルト)は、トリガーに該当する場合にのみ同意を求めます。該当するのは、申告された州、本人のIP、または本人確認書類の発行元がイリノイ州、テキサス州、コロラド州のいずれかである場合、または州が不明なまま本人が米国にいると見られる場合です。alwaysは、ワークフローで顔を撮影するすべての人に同意を求めます。neverはこのステップを一切表示しないため、セルフィーの前にお客様自身で同意を取得する必要があります。変更はすべて監査ログに記録されます。詳しくは生体認証の同意を参照してください。

利用可能なオプション:
auto,
always,
never
allowed_domains
string[]

ホスト型の検証フローを埋め込むことができ、セッションのコールバックでユーザーを戻すことができるオリジンです(例:https://app.example.com。httpはlocalhostの場合のみ)。サーバー間の呼び出しには影響しません。空のリストは制限なしを意味します。Diditは各オリジンを小文字で、デフォルトポートを除いて保存します。無効なエントリはallowed_domainsで400として失敗します。

Maximum array length: 50
Maximum string length: 300
例:
最終更新日 2026年11月1日