Pular para o conteúdo principal
POST
Criar um token de monitoramento
A autenticação é nova, e este endpoint permanece desativado até que a Didit o ative: até lá, ele responde 503 monitoring_unavailable.
Os SDKs para navegador e nativos chamam este endpoint a partir do dispositivo da pessoa; seu servidor não precisa fazer isso. Todo evento enviado com a credencial é registrado no vendor_data da pessoa, independentemente do que o dispositivo declare.

Autorizações

Authorization
string
header
obrigatório

O token de acesso da pessoa obtido em POST /token/: um JWT ES256 com o cabeçalho typ: at+jwt, válido por no máximo 5 minutos. Não é a sua chave de API da Didit.

Corpo

application/json

Vazio: o token de acesso identifica a pessoa.

Resposta

Uma credencial de dispositivo para a pessoa.

Uma credencial de dispositivo de curta duração para enviar os eventos de atividade da pessoa ao monitoramento de transações a partir do dispositivo dela. Ela não está vinculada à sessão: continua utilizável até expires_at, mesmo após o logout.

monitoring_token
string
obrigatório

A credencial do dispositivo. Trate-a como um segredo.

Exemplo:

"mt_2f8c1d9e7b6a5f4e3d2c1b0a"

expires_at
string<date-time>
obrigatório

No máximo 15 minutos após a emissão.

Exemplo:

"2026-10-17T10:56:14Z"

allowed_event_categories
string[]
obrigatório

As categorias de evento que ele pode enviar. Eventos de autenticação e segurança sempre vêm da Didit, nunca do dispositivo.

Exemplo:
max_uses
integer
obrigatório
Exemplo:

1000

bind_to_origin
string | null
obrigatório

A origem do navegador a partir da qual a credencial funciona: o Origin da requisição, ou null quando não havia nenhum.

Exemplo:

"https://app.example.com"

vendor_data
string
obrigatório

A pessoa para quem cada evento é registrado, independentemente do que o dispositivo envie.

Exemplo:

"user-42"

Última modificação em 1 de novembro de 2026