Pular para o conteúdo principal
GET
Obter a sessão
A autenticação é um recurso novo. Esses endpoints são disponibilizados pelo emissor da sua aplicação, como https://<name>.auth.didit.me, e nunca aceitam a sua chave de API da Didit.
Esta é a verificação instantânea de revogação. São permitidas 30 requisições por minuto e 300 por hora por endereço IP, então verifique os tokens offline em todas as requisições e chame-a antes de ações sensíveis. Consulte Verificar a sessão.

Autorizações

Authorization
string
header
obrigatório

O token de acesso da pessoa obtido em POST /token/: um JWT ES256 com o cabeçalho typ: at+jwt, válido por no máximo 5 minutos. Não é a sua chave de API da Didit.

Resposta

A sessão é do ambiente de produção.

A sessão ativa por trás de um token de acesso.

sub
string<uuid>
obrigatório

O ID da identidade.

Exemplo:

"1c9d8b88-1bff-43d1-ad7a-88b2bc0024e9"

sid
string<uuid>
obrigatório

O ID da sessão.

Exemplo:

"c9abf6cc-2d64-4bf2-b31e-a4d09a070ab1"

application_id
string<uuid>
obrigatório
Exemplo:

"7b0a6c2e-3f41-4c9a-8d55-1e2f3a4b5c6d"

vendor_data
string
obrigatório

A referência da pessoa em todos os produtos da Didit, como nos tokens.

Exemplo:

"user-42"

amr
string[]
obrigatório

Como a sessão fez login, em um único valor: por exemplo password, code (código por e-mail), magic (link mágico), passkey, phone, sso, wallet (Didit ID Wallet) ou o nome de um método de login social. Vazio para um token de agente.

Exemplo:
mfa_verified
boolean
obrigatório

Se a sessão passou por um segundo fator. Sempre true para um login com passkey.

Exemplo:

false

email
string<email> | null
obrigatório
Exemplo:

"person@example.com"

email_verified
boolean
obrigatório
Exemplo:

true

phone
string | null
obrigatório

Número de telefone no formato E.164, ou null.

Exemplo:

null

verified_identity
object | null
obrigatório

O que a Didit ID Wallet compartilhou no login. null quando a pessoa fez login de outra forma.

verified
object | null
obrigatório

Nível de verificação e claims selecionadas, o mesmo objeto que os tokens contêm como verified, ou null quando não houver nenhum. Consulte este campo, e não email_verified, para saber se a pessoa verificou a identidade.

expires_at
string<date-time>
obrigatório

O momento máximo em que a sessão termina. O tempo limite por inatividade pode encerrá-la antes.

Exemplo:

"2026-11-16T10:41:14.347557Z"

post_logout_redirect_uri
string
obrigatório

Para onde sua aplicação envia a pessoa após o logout. String vazia quando não definido.

Exemplo:

"https://app.example.com/"

organizations
object[]
obrigatório

Todas as organizações de clientes às quais a pessoa pertence, quando as organizações estão ativadas. Vazio caso contrário.

Última modificação em 1 de novembro de 2026