Primeiros passos
Integração / SDKs
Verificação de usuários
Verificação de empresas
Monitoramento de transações
Registro de alteraçõescurl -X PATCH 'https://verification.didit.me/v3/webhook/' \
-H 'x-api-key: YOUR_API_KEY' \
-H 'Content-Type: application/json' \
-d '{"face_retention_policy": "retain_until_user_deleted", "face_retention_days": 365}'from didit import Didit
# Reads DIDIT_API_KEY.
client = Didit()
result = client.webhooks.update_config(
face_retention_policy="retain_until_user_deleted",
face_retention_days=365,
biometric_consent_mode="auto",
)
print(result)import Didit from "@didit-protocol/sdk-node";
// Reads DIDIT_API_KEY.
const didit = new Didit();
const result = await didit.webhooks.updateConfig({
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto",
});
console.log(result);import me.didit.Didit;
import me.didit.types.WebhooksUpdateConfigParams;
// Reads DIDIT_API_KEY.
Didit client = new Didit();
var result = client.webhooks().updateConfig(WebhooksUpdateConfigParams.builder()
.faceRetentionPolicy(WebhooksUpdateConfigParams.FaceRetentionPolicy.of("retain_until_user_deleted"))
.faceRetentionDays(365L)
.biometricConsentMode(WebhooksUpdateConfigParams.BiometricConsentMode.of("auto"))
.build());
System.out.println(result);<?php
require 'vendor/autoload.php';
use Didit\DiditClient;
// Reads DIDIT_API_KEY.
$didit = new DiditClient();
$result = $didit->webhooks->updateConfig([
'face_retention_policy' => 'retain_until_user_deleted',
'face_retention_days' => 365,
'biometric_consent_mode' => 'auto',
]);
print_r($result->toArray());require "didit"
# Reads DIDIT_API_KEY.
didit = Didit::Client.new
result = didit.webhooks.update_config(
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto"
)
puts result.to_husing System;
using System.Text.Json;
using Didit;
// Reads DIDIT_API_KEY.
using var client = new DiditClient();
var result = await client.Webhooks.UpdateConfigAsync(new WebhooksUpdateConfigParams
{
FaceRetentionPolicy = new WebhooksUpdateConfigParamsFaceRetentionPolicy("retain_until_user_deleted"),
FaceRetentionDays = 365,
BiometricConsentMode = new WebhooksUpdateConfigParamsBiometricConsentMode("auto"),
});
Console.WriteLine(JsonSerializer.Serialize(result));package main
import (
"fmt"
"strings"
"net/http"
"io"
)
func main() {
url := "https://verification.didit.me/v3/webhook/"
payload := strings.NewReader("{\n \"face_retention_policy\": \"retain_until_user_deleted\",\n \"face_retention_days\": 365,\n \"biometric_consent_mode\": \"auto\"\n}")
req, _ := http.NewRequest("PATCH", url, payload)
req.Header.Add("x-api-key", "<api-key>")
req.Header.Add("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := io.ReadAll(res.Body)
fmt.Println(string(body))
}{
"webhook_url": "https://yourapp.com/webhooks/didit",
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA",
"capture_method": "MOBILE",
"data_retention_months": 24,
"face_retention_policy": "retain_until_user_deleted",
"face_retention_days": 365,
"biometric_consent_mode": "auto",
"available_events": [
{
"value": "status.updated",
"label": "Session status updated"
},
{
"value": "data.updated",
"label": "Session data updated"
},
{
"value": "user.status.updated",
"label": "User status updated"
},
{
"value": "user.data.updated",
"label": "User data updated"
},
{
"value": "business.status.updated",
"label": "Business status updated"
},
{
"value": "business.data.updated",
"label": "Business data updated"
},
{
"value": "activity.created",
"label": "Activity created"
},
{
"value": "transaction.created",
"label": "Transaction created"
},
{
"value": "transaction.status.updated",
"label": "Transaction status updated"
},
{
"value": "travel_rule.status.updated",
"label": "Travel Rule Status Updated"
},
{
"value": "workflow.compliance_changed",
"label": "Workflow Compliance Changed"
}
],
"allowed_return_hosts": [
"shop.example.com"
],
"endpoints": [
{
"uuid": "11111111-2222-3333-4444-555555555555",
"label": "Production session webhooks",
"url": "https://yourapp.com/webhooks/didit",
"enabled": true,
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA",
"subscribed_events": [
"status.updated",
"data.updated"
],
"created_at": "2026-01-04T08:00:00.000000Z",
"updated_at": "2026-04-22T14:09:11.523671Z"
}
]
}Atualizar configuração de webhook pela API
Altere o webhook da aplicação na Didit, rotacione o segredo, defina retenção de dados e templates biométricos e hosts de retorno do Digital ID.
curl -X PATCH 'https://verification.didit.me/v3/webhook/' \
-H 'x-api-key: YOUR_API_KEY' \
-H 'Content-Type: application/json' \
-d '{"face_retention_policy": "retain_until_user_deleted", "face_retention_days": 365}'from didit import Didit
# Reads DIDIT_API_KEY.
client = Didit()
result = client.webhooks.update_config(
face_retention_policy="retain_until_user_deleted",
face_retention_days=365,
biometric_consent_mode="auto",
)
print(result)import Didit from "@didit-protocol/sdk-node";
// Reads DIDIT_API_KEY.
const didit = new Didit();
const result = await didit.webhooks.updateConfig({
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto",
});
console.log(result);import me.didit.Didit;
import me.didit.types.WebhooksUpdateConfigParams;
// Reads DIDIT_API_KEY.
Didit client = new Didit();
var result = client.webhooks().updateConfig(WebhooksUpdateConfigParams.builder()
.faceRetentionPolicy(WebhooksUpdateConfigParams.FaceRetentionPolicy.of("retain_until_user_deleted"))
.faceRetentionDays(365L)
.biometricConsentMode(WebhooksUpdateConfigParams.BiometricConsentMode.of("auto"))
.build());
System.out.println(result);<?php
require 'vendor/autoload.php';
use Didit\DiditClient;
// Reads DIDIT_API_KEY.
$didit = new DiditClient();
$result = $didit->webhooks->updateConfig([
'face_retention_policy' => 'retain_until_user_deleted',
'face_retention_days' => 365,
'biometric_consent_mode' => 'auto',
]);
print_r($result->toArray());require "didit"
# Reads DIDIT_API_KEY.
didit = Didit::Client.new
result = didit.webhooks.update_config(
face_retention_policy: "retain_until_user_deleted",
face_retention_days: 365,
biometric_consent_mode: "auto"
)
puts result.to_husing System;
using System.Text.Json;
using Didit;
// Reads DIDIT_API_KEY.
using var client = new DiditClient();
var result = await client.Webhooks.UpdateConfigAsync(new WebhooksUpdateConfigParams
{
FaceRetentionPolicy = new WebhooksUpdateConfigParamsFaceRetentionPolicy("retain_until_user_deleted"),
FaceRetentionDays = 365,
BiometricConsentMode = new WebhooksUpdateConfigParamsBiometricConsentMode("auto"),
});
Console.WriteLine(JsonSerializer.Serialize(result));package main
import (
"fmt"
"strings"
"net/http"
"io"
)
func main() {
url := "https://verification.didit.me/v3/webhook/"
payload := strings.NewReader("{\n \"face_retention_policy\": \"retain_until_user_deleted\",\n \"face_retention_days\": 365,\n \"biometric_consent_mode\": \"auto\"\n}")
req, _ := http.NewRequest("PATCH", url, payload)
req.Header.Add("x-api-key", "<api-key>")
req.Header.Add("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := io.ReadAll(res.Body)
fmt.Println(string(body))
}{
"webhook_url": "https://yourapp.com/webhooks/didit",
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy10aGUtYXBwLWxldmVsLXNlY3JldC0wMDA",
"capture_method": "MOBILE",
"data_retention_months": 24,
"face_retention_policy": "retain_until_user_deleted",
"face_retention_days": 365,
"biometric_consent_mode": "auto",
"available_events": [
{
"value": "status.updated",
"label": "Session status updated"
},
{
"value": "data.updated",
"label": "Session data updated"
},
{
"value": "user.status.updated",
"label": "User status updated"
},
{
"value": "user.data.updated",
"label": "User data updated"
},
{
"value": "business.status.updated",
"label": "Business status updated"
},
{
"value": "business.data.updated",
"label": "Business data updated"
},
{
"value": "activity.created",
"label": "Activity created"
},
{
"value": "transaction.created",
"label": "Transaction created"
},
{
"value": "transaction.status.updated",
"label": "Transaction status updated"
},
{
"value": "travel_rule.status.updated",
"label": "Travel Rule Status Updated"
},
{
"value": "workflow.compliance_changed",
"label": "Workflow Compliance Changed"
}
],
"allowed_return_hosts": [
"shop.example.com"
],
"endpoints": [
{
"uuid": "11111111-2222-3333-4444-555555555555",
"label": "Production session webhooks",
"url": "https://yourapp.com/webhooks/didit",
"enabled": true,
"webhook_version": "v3",
"secret_shared_key": "dGhpcy1pcy1hbi1leGFtcGxlLXNlY3JldC0wMDAwMDA",
"subscribed_events": [
"status.updated",
"data.updated"
],
"created_at": "2026-01-04T08:00:00.000000Z",
"updated_at": "2026-04-22T14:09:11.523671Z"
}
]
}rotate_secret_key faz a rotação apenas do segredo da aplicação, que assina as entregas para o webhook_url legado. Cada destino do webhook assina com o próprio secret_shared_key, que esta chamada não altera.allowed_return_hosts é descrito em Registre seu destino de retorno.
biometric_consent_mode (auto, always ou never) define quando o fluxo de verificação solicita consentimento biométrico explícito antes de uma captura facial. Consulte Consentimento biométrico.
Para consultar primeiro os valores atuais, chame Obter configuração do webhook.Autorizações
Chave de API da sua aplicação, em Developers -> API keys no Business Console. A chave principal tem acesso total. Uma chave nomeada pode ter escopo restrito: nenhum acesso, leitura ou escrita por recurso, limitada a alguns fluxos ou a sessões aprovadas, a uma lista de endereços IP e a uma data de validade. 401 significa que a chave está errada, revogada ou expirada; 403 significa que nenhuma chave foi enviada, que a chave não tem acesso a este recurso ou ação, ou que a requisição veio de um endereço fora da sua lista de IPs; 404 em uma rota de sessão significa que a sessão está fora dos fluxos ou status da chave. Uma chave sem acesso a mídia recebe URLs de imagem, vídeo e PDF como null, e uma chave sem permissão de escrita em sessões recebe links e tokens de sessão como null. Consulte https://docs.didit.me/console/api-keys.
Corpo
Envie apenas os campos a alterar. Os destinos não são gerenciados aqui.
URL de webhook legada no nível da aplicação. A Didit a usa somente enquanto a aplicação não tem nenhum destino habilitado, e apenas para status.updated e data.updated. Ela não cria um destino, e a próxima criação, atualização ou exclusão de um destino a substitui. Para receber webhooks, crie um destino com POST /v3/webhook/destinations/.
2000Versão do payload do webhook_url legado.
v1, v2, v3 true substitui imediatamente o secret_shared_key da aplicação por um novo valor aleatório; o novo valor vem na resposta. Os segredos dos destinos não são alterados. Cada chamada com true gera um novo segredo, portanto ela não é idempotente.
Configuração legada da aplicação. O fluxo de verificação não a lê.
MOBILE, MOBILE_AND_DESKTOP Janela de exclusão automática em meses (um mês equivale a 30 dias), ou null para nenhuma exclusão automática. Uma alteração também se aplica às sessões existentes: toda sessão de verificação de usuário mais antiga que a nova janela é excluída automaticamente, e essa exclusão é irreversível.
1 <= x <= 120O que acontece com o embedding facial de uma sessão quando a sessão é excluída. retain_until_user_deleted exige face_retention_days na mesma requisição ou já definido. Uma alteração se aplica às exclusões de sessão a partir de então; ela não cria nem remove nenhum template biométrico existente.
delete_with_session, retain_until_user_deleted Período de retenção, em dias, dos templates biométricos sob retain_until_user_deleted.
1 <= x <= 3650Quando o fluxo hospedado e os SDKs nativos pedem à pessoa consentimento biométrico explícito antes de uma captura facial. auto (padrão) pede apenas quando um gatilho se aplica: um estado declarado, o IP da pessoa ou o emissor do documento de identidade está em Illinois, Texas ou Colorado, ou a pessoa parece estar nos EUA sem um estado conhecido. always pede a toda pessoa cujo fluxo captura um rosto. never nunca mostra a etapa, e você mesmo coleta o consentimento antes da selfie. Cada alteração é registrada no registro de auditoria. Veja Consentimento biométrico.
auto, always, never Substitui toda a lista de hosts de retorno da carteira de Digital ID. Apenas nomes de host simples, como shop.example.com: sem esquema, porta, caminho ou curinga. Os valores são convertidos para minúsculas e as duplicatas são descartadas. Envie [] para limpar a lista.
20253Substitui toda a lista de origens permitidas. Origens (por exemplo https://app.example.com; http apenas para localhost) nas quais o fluxo de verificação hospedado pode ser incorporado e para as quais pode enviar o usuário de volta com um callback de sessão. Chamadas servidor a servidor não são afetadas. Uma lista vazia significa nenhuma restrição. A Didit armazena cada origem em minúsculas e sem a porta padrão. Uma entrada inválida falha com 400 em allowed_domains. Envie [] para remover a restrição.
50300["https://app.example.com"]
Resposta
A configuração completa após a atualização, com o mesmo formato de GET /v3/webhook/. Se você rotacionou o segredo, armazene o novo secret_shared_key antes de descartar a resposta.
Configuração de webhook no nível da aplicação, política de retenção e hosts de retorno da carteira Digital ID, com todos os destinos de webhook.
URL de webhook no nível da aplicação (legado). A Didit envia para ela somente enquanto a aplicação não tiver nenhum destino habilitado e, nesse caso, apenas status.updated e data.updated. Cada criação, atualização ou exclusão de um destino define essa URL como a do destino habilitado mais antigo, ou como null quando nenhum estiver habilitado.
Versão do payload do webhook_url legado. Cada destino tem seu próprio webhook_version.
v1, v2, v3 Segredo de assinatura no nível da aplicação (token de 43 caracteres seguro para URL). Ele assina apenas as entregas para o webhook_url legado; cada destino assina com seu próprio secret_shared_key. Chamadores com chave de API sempre o recebem completo; usuários do Console sem read:webhooks recebem uma string vazia.
Configuração legada da aplicação. O fluxo de verificação não a lê: as opções de captura são configuradas por fluxo.
MOBILE, MOBILE_AND_DESKTOP Janela de exclusão automática. Sessões de verificação de usuário criadas há mais desse número de meses (um mês equivale a 30 dias) são excluídas automaticamente, e essa exclusão é irreversível. null significa que as sessões nunca são excluídas automaticamente. Consulte Retenção de dados.
1 <= x <= 120O que acontece com o embedding facial de uma sessão quando a sessão é excluída. delete_with_session (padrão) o exclui junto com a sessão. retain_until_user_deleted é a retenção de template biométrico opcional: um template biométrico sem imagem vinculado ao User é gerenciado separadamente até que seu período de retenção termine, o User seja excluído ou você o remova.
delete_with_session, retain_until_user_deleted Período de retenção, em dias, dos templates biométricos sob retain_until_user_deleted. Obrigatório quando essa política estiver definida.
1 <= x <= 3650Todos os tipos de evento que um destino pode assinar, com um rótulo de exibição.
Show child attributes
Show child attributes
Nomes de host (correspondência exata, somente HTTPS) para os quais uma verificação avulsa de carteira Digital ID pode redirecionar o usuário com seu return_url. Seu domínio de marca própria também é sempre permitido. Consulte Registre seu destino de retorno.
20253Todos os destinos de webhook da aplicação, do mais antigo para o mais recente, cada um com seu segredo de assinatura. Somente leitura aqui: gerencie os destinos com os endpoints /v3/webhook/destinations/.
Show child attributes
Show child attributes
Quando o fluxo hospedado e os SDKs nativos pedem à pessoa consentimento biométrico explícito antes de uma captura facial. auto (padrão) pede apenas quando um gatilho se aplica: um estado declarado, o IP da pessoa ou o emissor do documento de identidade está em Illinois, Texas ou Colorado, ou a pessoa parece estar nos EUA sem um estado conhecido. always pede a toda pessoa cujo fluxo captura um rosto. never nunca mostra a etapa, e você mesmo coleta o consentimento antes da selfie. Cada alteração é registrada no registro de auditoria. Veja Consentimento biométrico.
auto, always, never Origens (por exemplo https://app.example.com; http apenas para localhost) nas quais o fluxo de verificação hospedado pode ser incorporado e para as quais ele pode enviar o usuário de volta com um callback de sessão. Chamadas servidor a servidor não são afetadas. Uma lista vazia significa nenhuma restrição. A Didit armazena cada origem em letras minúsculas, sem porta padrão. Uma entrada inválida falha com 400 em allowed_domains.
50300["https://app.example.com"]