Autenticação da API: requisições seguras à API de KYC

Como encontrar sua chave de API

Na Didit, as chaves de API são vinculadas a uma Aplicação específica da sua conta. Uma Aplicação é um espaço de trabalho onde você configura fluxos de verificação (workflows) e gerencia verificações de um projeto ou ambiente específico. Toda Aplicação recebe, ao ser criada, uma chave de API primária com acesso total. Você pode adicionar outras chaves além dela, cada uma apenas com o acesso de que um serviço ou parceiro precisa. Para encontrar suas chaves:

Faça login no Business Console

Acesse o Didit Business Console e entre na sua conta.

Selecione sua Aplicação

Escolha a Aplicação com a qual deseja trabalhar no menu suspenso na parte superior.

Abra as chaves de API

Navegue até Developers -> API keys na barra lateral esquerda.

Copie ou crie uma chave

A chave Primária é o segredo próprio da Aplicação. Crie uma nova chave para dar a um serviço ou parceiro o seu próprio segredo, com o acesso de que ele precisa.

Sua chave de API é um segredo — trate-a como uma senha.A chave primária concede acesso total à API em nome da sua Aplicação. Nunca a exponha em código de frontend, repositórios públicos ou bundles do lado do cliente. Mantenha-a exclusivamente no servidor.

Formato da chave de API

As novas chaves de API começam com sk_live_ para uma aplicação de produção ou sk_test_ para uma aplicação de sandbox, seguidas de 43 caracteres seguros para URL (letras, dígitos, - e _). As chaves criadas antes deste formato não têm prefixo e continuam funcionando sem alterações. Envie a chave inteira, incluindo o prefixo, no cabeçalho x-api-key, e não rejeite uma chave por ela não ter prefixo.

Como encontrar o ID da sua organização

O ID da organização é o UUID que identifica sua organização. Você o usa em caminhos de API no escopo da organização, como /auth/v2/organizations/me/{org_id}/applications/. Você pode copiá-lo diretamente do Business Console, sem precisar de nenhuma chamada à API:

Abra as configurações da organização

No Didit Business Console, acesse Configurações da organização.

Copie o ID da organização

O campo ID da organização mostra o UUID da sua organização ao lado do nome dela, com um botão para copiar para a área de transferência.

Como fazer requisições autenticadas

Para autenticar uma requisição à API, inclua sua chave de API secreta no cabeçalho HTTP x-api-key. Veja um exemplo de requisição autenticada ao endpoint Create Session:

cURL

curl --request POST \
     --url https://verification.didit.me/v3/session/ \
     --header 'accept: application/json' \
     --header 'content-type: application/json' \
     --header 'x-api-key: YOUR_API_KEY' \
     --data '
{
  "workflow_id": "WORKFLOW_ID",
  "vendor_data": "USER_ID",
  "callback": "CALLBACK_URL"
}
'

Tratamento de erros

Se sua chave de API estiver errada, malformada ou revogada, a API retorna 401 Unauthorized:

{
  "detail": "Authentication credentials were not provided or are invalid."
}

Uma chave expirada também retorna 401, com "detail": "This API key has expired.". Uma requisição sem chave retorna 403 com "detail": "You do not have permission to perform this action.".

Código de status	Significado
401	A chave de API está errada, malformada, revogada ou expirada
403	Nenhuma chave de API foi enviada, a chave não tem acesso ao recurso ou à ação solicitada, ou a requisição veio de um endereço fora da lista de IPs da chave
403 com `"code": "application_deleted"`	A chave pertence a uma aplicação que foi excluída. A API retorna essa resposta por alguns minutos após a exclusão e, depois, recusa a chave como qualquer chave inválida. Não tente novamente: a aplicação e suas chaves não existem mais.
404	Em uma rota de sessão: a sessão não pertence aos fluxos de trabalho nem aos status da chave

A página Erros da API lista todos os status, corpos de resposta e códigos.

Chaves de API com escopo

Dê a cada serviço ou parceiro sua própria chave em vez de compartilhar a primária. Cada chave tem seu próprio nível de acesso: nenhum, de leitura ou de escrita para cada recurso (sessões, decisões, mídia, pessoas, empresas, transações, fluxos, webhooks, configurações da aplicação, análises), além de limites opcionais para alguns fluxos, somente para sessões aprovadas, uma lista de endereços IP e uma data de validade. Você pode rotacionar uma chave com um período de sobreposição de 24 horas e revogá-la imediatamente. As chaves criadas antes da existência do acesso com escopo mantêm acesso total. Consulte Chaves de API para ver as predefinições, os recursos que cada uma abrange e como a API responde a uma chave com escopo.

Se você receber um erro 401, verifique se está usando a chave de API correta para a Aplicação certa e se ela não foi regenerada.

Visão geral

Preços

Fluxos e verificação

Revisão e operações

Entidades (usuários e empresas)

Configurações e personalização

Segurança e conformidade

Didit Academy

Recursos

Autenticação da API: requisições seguras à API de KYC

Como encontrar sua chave de API

Formato da chave de API

Como encontrar o ID da sua organização

Como fazer requisições autenticadas

Tratamento de erros

Chaves de API com escopo

​Como encontrar sua chave de API

​Formato da chave de API

​Como encontrar o ID da sua organização

​Como fazer requisições autenticadas

​Tratamento de erros

​Chaves de API com escopo

Como encontrar sua chave de API

Formato da chave de API

Como encontrar o ID da sua organização

Como fazer requisições autenticadas

Tratamento de erros

Chaves de API com escopo