> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # API para criar revisão de sessão: KYC manual > Envie uma nota de revisão manual ou mudança de status para uma sessão de verificação da Didit. Revisão de conformidade via API, pago por chamada. Prompt para criar a revisão da sessão Copiar o prompt para a área de transferência \

\``Goal: Push a manual decision (Approve / Decline / mark In Review) onto a Didit verification session and write an immutable audit-trail row. Programmatic equivalent of the Console manual-review buttons.

Endpoint: POST https://verification.didit.me/v3/sessions/{session_id}/reviews/
Auth header: x-api-key: YOUR_API_KEY
Content-Type: application/json

Path param:
\- session_id (UUID, REQUIRED) — verification session UUID. Must belong to the same application as the API key (cross-application writes return 404).

Request body:
\- new_status (string, REQUIRED) — one of "Approved" | "Declined" | "In Review". Workflow-internal statuses ("In Progress", "Awaiting User", "Resubmitted", "Expired", "Kyc Expired", "Abandoned", "Not Started") are NOT accepted (400).
\- comment (string, optional, max 10,000 chars) — reviewer rationale. Supports @email mentions which trigger Console notifications.

curl:
curl -s -X POST 'https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/' \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{"new_status": "Approved", "comment": "POA cross-checked against utility bill; matches address on file."}'

Response 201 (compact ReviewSerializer shape — different from the GET response):
\{
"user": "API Client",                       // actor display label
"new_status": "Approved",
"comment": "POA cross-checked...",
"created_at": "2026-04-21T16:42:50.445Z"
}
To fetch the full activity row (uuid, activity_type, previous_status, ...) call GET /v3/sessions/{session_id}/reviews/ afterwards. See /reference/data-models for the full ReviewItem shape.

Side effects:
1\. Inserts a Review row with activity_type=STATUS_UPDATED, actor_type=API_KEY.
2\. Updates Session.status to new_status if it differs from the current status.
3\. Fires the status.updated webhook on configured destinations (see /integration/webhooks).
4\. Notifies previous reviewers and @email-mentioned Console users.
NOT idempotent — every call writes a new audit row. Re-posting the same new_status when it equals the current status is a no-op for Session.status but still writes an audit entry.

Failure modes (envelope {"detail": "..."} unless noted):
\- 400 — { "new_status": ["\\"Expired\\" is not a valid choice."] } (or missing new_status)
\- 401 — missing/invalid `x-api-key` header.
\- 403 — API key valid but wrong app or revoked.
\- 404 — session UUID not found / deleted / wrong app.
\- 429 — rate-limited.

For end-to-end Didit integration, paste in the full prompt at /integration/integration-prompt.``

\
Colar em ## OpenAPI ````yaml pt-br/openapi-25.json POST /v3/sessions/{session_id}/reviews/ openapi: 3.0.0 info: version: 3.0.0 title: Didit Verification API description: API de verificação de identidade. Autentique-se com o cabeçalho x-api-key. servers: - url: https://verification.didit.me security: [] tags: [] paths: /v3/sessions/{session_id}/reviews/: post: tags: - Sessions summary: Adicionar uma nota de revisão à trilha de auditoria de uma sessão description: >- Adiciona uma nota ao feed de revisão / atividade de uma sessão de Verificação de usuários (KYC). **Este endpoint apenas registra uma entrada e nunca altera a sessão.** O `status` da sessão permanece inalterado, nenhuma validação de transição de status é executada e nenhum webhook é disparado. Para de fato aprovar, recusar ou reabrir uma sessão (o que também grava neste feed uma entrada `STATUS_UPDATED` com atribuição completa), use `PATCH /v3/session/{session_id}/update-status/`. Os dois campos do corpo são opcionais e um objeto JSON vazio é aceito. `new_status` é armazenado apenas como rótulo da entrada e aceita qualquer um dos dez valores de status de sessão (diferencia maiúsculas de minúsculas). Menções `@email` dentro de `comment` são armazenadas apenas como texto simples: elas não disparam nenhuma notificação neste endpoint, e o `mentioned_emails` da entrada permanece vazio. Observação sobre atribuição: as entradas criadas aqui não trazem nenhuma informação sobre quem as criou. No feed, elas exibem `actor_display: "Unknown"`, `actor_type: "CONSOLE_USER"` e `activity_type: "STATUS_UPDATED"` (valores padrão de armazenamento), e o campo `user` do corpo da resposta `201` é `"Unknown"`. operationId: create_session_review parameters: - name: Content-Type in: header required: false description: Defina como `application/json` ao enviar um corpo JSON. schema: type: string example: application/json - name: session_id in: path required: true description: >- UUID da sessão de Verificação de usuários (KYC). Deve pertencer à mesma aplicação da chave de API: UUIDs de outras aplicações, sessões excluídas e IDs de sessões de Verificação de empresas (KYB) retornam `404`. schema: type: string format: uuid example: 8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d requestBody: required: false content: application/json: schema: type: object properties: new_status: type: string nullable: true enum: - Not Started - In Progress - Approved - Declined - In Review - Expired - Abandoned - Kyc Expired - Resubmitted - Awaiting User description: >- Rótulo de status opcional a ser registrado na entrada. Aceita qualquer valor de status de sessão, diferenciando maiúsculas de minúsculas (`"approved"` é rejeitado com `400`). Registrar um status aqui **não** altera o status real da sessão; para isso, use o endpoint de atualização de status. example: In Review comment: type: string nullable: true description: >- Nota opcional em texto livre (sem limite de tamanho imposto). É armazenada literalmente; menções `@email` não são processadas neste endpoint. example: Flagging for manual document re-check. examples: NoteWithStatusLabel: summary: Nota com um rótulo de status (status da sessão inalterado) value: new_status: In Review comment: Flagging for manual document re-check. CommentOnly: summary: Nota simples sem rótulo de status value: comment: Customer emailed an updated utility bill; awaiting upload. responses: '201': description: >- Entrada registrada na trilha de auditoria da sessão. A sessão em si não é alterada: o seu `status` mantém o valor anterior e nenhum webhook é enviado. A nova entrada também aparece no topo de `GET …/reviews/` (com `actor_display: "Unknown"`). content: application/json: schema: type: object properties: user: type: string description: >- Nome de exibição do autor da entrada. Sempre `"Unknown"` para entradas criadas por este endpoint, porque ele não registra a atribuição de autoria. example: Unknown new_status: type: string nullable: true enum: - Not Started - In Progress - Approved - Declined - In Review - Expired - Abandoned - Kyc Expired - Resubmitted - Awaiting User description: >- O rótulo de status registrado na entrada, ou `null` se nenhum foi enviado. O status real da sessão não é afetado. example: In Review comment: type: string nullable: true description: >- A nota registrada na entrada, ou `null` se nenhuma foi enviada. example: Flagging for manual document re-check. created_at: type: string format: date-time description: Quando a entrada foi gravada, em ISO 8601 UTC. example: '2026-06-12T00:18:44.466537Z' examples: NoteWithStatusLabel: summary: Nota com um rótulo de status value: user: Unknown new_status: In Review comment: Flagging for manual document re-check. created_at: '2026-06-12T00:18:44.466537Z' CommentOnly: summary: Nota simples value: user: Unknown new_status: null comment: Note without status. created_at: '2026-06-12T00:18:44.504157Z' '400': description: >- Erro de validação, retornado como um mapa de mensagens por campo. A causa mais comum é um valor de `new_status` que não é um dos dez status permitidos. A verificação diferencia maiúsculas de minúsculas. content: application/json: schema: type: object properties: new_status: type: array items: type: string example: - '"approved" is not a valid choice.' examples: InvalidStatusChoice: summary: Valor de status em minúsculas / desconhecido value: new_status: - '"approved" is not a valid choice.' '403': description: >- `x-api-key` ausente, malformada, expirada ou revogada. A autenticação é verificada antes da busca da sessão, então uma chave ausente retorna `403` mesmo quando o UUID da sessão não existe. content: application/json: schema: type: object properties: detail: type: string example: You do not have permission to perform this action. examples: InvalidKey: summary: Cabeçalho x-api-key ausente ou inválido value: detail: You do not have permission to perform this action. '404': description: >- Nenhuma sessão de Verificação de usuários (KYC) com este UUID está visível para sua aplicação: o UUID não existe, a sessão foi excluída ou pertence a outra aplicação. IDs de sessão de Verificação de empresas (KYB) também retornam `404` aqui, pois o feed de revisões só pode ser acessado para sessões de KYC. content: application/json: schema: type: object properties: detail: type: string example: Session not found. examples: NotFound: summary: UUID de sessão desconhecido, excluído ou de outra aplicação value: detail: Session not found. '429': description: >- Limite de requisições excedido. Verifique os cabeçalhos de resposta `Retry-After` e `X-RateLimit-*`. Consulte [Limite de requisições](/pt-br/integration/rate-limiting). security: - ApiKeyAuth: [] x-codeSamples: - lang: curl label: curl source: >- # Records an audit-trail note only -- the session's status does NOT change. curl -s -X POST https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/ \ -H 'x-api-key: YOUR_API_KEY' \ -H 'Content-Type: application/json' \ -d '{ "new_status": "In Review", "comment": "Flagging for manual document re-check." }' - lang: python label: Python source: |- from didit import Didit # Reads DIDIT_API_KEY. client = Didit() result = client.sessions.reviews.create( "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new_status="In Review", comment="Flagging for manual document re-check.", ) print(result) - lang: javascript label: Node.js source: >- import Didit from "@didit-protocol/sdk-node"; // Reads DIDIT_API_KEY. const didit = new Didit(); const result = await didit.sessions.reviews.create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", { new_status: "In Review", comment: "Flagging for manual document re-check.", }); console.log(result); - lang: go label: Go source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Sessions.Reviews.Create(ctx, \"8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d\", didit.SessionsReviewsCreateParams{\n\tNewStatus: didit.Some(didit.SessionsReviewsCreateParamsNewStatus(\"In Review\")),\n\tComment: didit.String(\"Flagging for manual document re-check.\"),\n})\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)" - lang: java label: Java source: >- import me.didit.Didit; import me.didit.types.SessionsReviewsCreateParams; // Reads DIDIT_API_KEY. Didit client = new Didit(); var result = client.sessions().reviews().create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", SessionsReviewsCreateParams.builder() .newStatus(SessionsReviewsCreateParams.NewStatus.of("In Review")) .comment("Flagging for manual document re-check.") .build()); System.out.println(result); - lang: php label: PHP source: >- sessions->reviews->create('8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d', [ 'new_status' => 'In Review', 'comment' => 'Flagging for manual document re-check.', ]); print_r($result->toArray()); - lang: ruby label: Ruby source: |- require "didit" # Reads DIDIT_API_KEY. didit = Didit::Client.new result = didit.sessions.reviews.create( "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new_status: "In Review", comment: "Flagging for manual document re-check." ) puts result.to_h - lang: csharp label: .NET source: >- using System; using System.Text.Json; using Didit; // Reads DIDIT_API_KEY. using var client = new DiditClient(); var result = await client.Sessions.Reviews.CreateAsync("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d", new SessionsReviewsCreateParams { NewStatus = new SessionsReviewsCreateParamsNewStatus("In Review"), Comment = "Flagging for manual document re-check.", }); Console.WriteLine(JsonSerializer.Serialize(result)); components: securitySchemes: ApiKeyAuth: type: apiKey in: header name: x-api-key description: >- Chave de API da sua aplicação, em Developers -> API keys no Business Console. A chave principal tem acesso total. Uma chave nomeada pode ter escopo restrito: nenhum acesso, leitura ou escrita por recurso, limitada a alguns fluxos ou a sessões aprovadas, a uma lista de endereços IP e a uma data de validade. 401 significa que a chave está errada, revogada ou expirada; 403 significa que nenhuma chave foi enviada, que a chave não tem acesso a este recurso ou ação, ou que a requisição veio de um endereço fora da sua lista de IPs; 404 em uma rota de sessão significa que a sessão está fora dos fluxos ou status da chave. Uma chave sem acesso a mídia recebe URLs de imagem, vídeo e PDF como null, e uma chave sem permissão de escrita em sessões recebe links e tokens de sessão como null. Consulte https://docs.didit.me/console/api-keys. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.