> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# API para criar revisão de sessão: KYC manual

> Envie uma nota de revisão manual ou alteração de estado a uma sessão Didit. Revisão de conformidade por API, com pagamento por chamada.



Prompt para criar uma revisão de sessão
        Copiar o prompt para a área de transferência



      
      

\<pre>

\``Goal: Push a manual decision (Approve / Decline / mark In Review) onto a Didit verification session and write an immutable audit-trail row. Programmatic equivalent of the Console manual-review buttons.

Endpoint: POST https://verification.didit.me/v3/sessions/{session_id}/reviews/
Auth header: x-api-key: YOUR_API_KEY
Content-Type: application/json

Path param:
\- session_id (UUID, REQUIRED) — verification session UUID. Must belong to the same application as the API key (cross-application writes return 404).

Request body:
\- new_status (string, REQUIRED) — one of "Approved" | "Declined" | "In Review". Workflow-internal statuses ("In Progress", "Awaiting User", "Resubmitted", "Expired", "Kyc Expired", "Abandoned", "Not Started") are NOT accepted (400).
\- comment (string, optional, max 10,000 chars) — reviewer rationale. Supports @email mentions which trigger Console notifications.

curl:
curl -s -X POST 'https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/' \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{"new_status": "Approved", "comment": "POA cross-checked against utility bill; matches address on file."}'

Response 201 (compact ReviewSerializer shape — different from the GET response):
\{
"user": "API Client",                       // actor display label
"new_status": "Approved",
"comment": "POA cross-checked...",
"created_at": "2026-04-21T16:42:50.445Z"
}
To fetch the full activity row (uuid, activity_type, previous_status, ...) call GET /v3/sessions/{session_id}/reviews/ afterwards. See /reference/data-models for the full ReviewItem shape.

Side effects:
1\. Inserts a Review row with activity_type=STATUS_UPDATED, actor_type=API_KEY.
2\. Updates Session.status to new_status if it differs from the current status.
3\. Fires the status.updated webhook on configured destinations (see /integration/webhooks).
4\. Notifies previous reviewers and @email-mentioned Console users.
NOT idempotent — every call writes a new audit row. Re-posting the same new_status when it equals the current status is a no-op for Session.status but still writes an audit entry.

Failure modes (envelope {"detail": "..."} unless noted):
\- 400 — { "new_status": ["\\"Expired\\" is not a valid choice."] } (or missing new_status)
\- 401 — missing/invalid `x-api-key` header.
\- 403 — API key valid but wrong app or revoked.
\- 404 — session UUID not found / deleted / wrong app.
\- 429 — rate-limited.

For end-to-end Didit integration, paste in the full prompt at /integration/integration-prompt.``

\</pre>



      
      

Colar em



## OpenAPI

````yaml pt/openapi-25.json POST /v3/sessions/{session_id}/reviews/
openapi: 3.0.0
info:
  version: 3.0.0
  title: Didit Verification API
  description: API de Verificação de identidade. Autentique-se com o cabeçalho x-api-key.
servers:
  - url: https://verification.didit.me
security: []
tags: []
paths:
  /v3/sessions/{session_id}/reviews/:
    post:
      tags:
        - Sessions
      summary: Adicionar uma nota de revisão ao registo de auditoria de uma sessão
      description: >-
        Anexe uma nota ao feed de atividade / revisão de uma sessão de
        Verificação de utilizadores (KYC). **Este endpoint apenas regista uma
        entrada — nunca altera a sessão.** O `status` da sessão não é
        modificado, nenhuma validação de transição de estado é executada e
        nenhum webhook é disparado. Para aprovar, recusar ou reabrir
        efetivamente uma sessão (o que também escreve uma entrada
        `STATUS_UPDATED` com atribuição completa neste feed), use antes `PATCH
        /v3/session/{session_id}/update-status/`.


        Ambos os campos do corpo são opcionais e é aceite um objeto JSON vazio.
        O `new_status` é armazenado puramente como uma etiqueta na entrada e
        aceita qualquer um dos dez valores de estado da sessão (sensível a
        maiúsculas e minúsculas). As menções `@email` dentro de `comment` são
        guardadas apenas como texto simples — não acionam quaisquer notificações
        neste endpoint, e o campo `mentioned_emails` da entrada permanece vazio.


        Nota sobre a atribuição: as entradas aqui criadas não contêm informação
        sobre o interveniente. No feed exibem `actor_display: "Unknown"`,
        `actor_type: "CONSOLE_USER"` e `activity_type: "STATUS_UPDATED"`
        (valores predefinidos de armazenamento), e o campo `user` no corpo da
        resposta `201` é `"Unknown"`.
      operationId: create_session_review
      parameters:
        - name: Content-Type
          in: header
          required: false
          description: Defina como `application/json` ao enviar um corpo JSON.
          schema:
            type: string
            example: application/json
        - name: session_id
          in: path
          required: true
          description: >-
            UUID da sessão de Verificação de utilizadores (KYC). Tem de
            pertencer à mesma aplicação da chave de API — UUIDs entre
            aplicações, sessões eliminadas e IDs de sessões de Verificação de
            empresas (KYB) devolvem todos `404`.
          schema:
            type: string
            format: uuid
            example: 8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d
      requestBody:
        required: false
        content:
          application/json:
            schema:
              type: object
              properties:
                new_status:
                  type: string
                  nullable: true
                  enum:
                    - Not Started
                    - In Progress
                    - Approved
                    - Declined
                    - In Review
                    - Expired
                    - Abandoned
                    - Kyc Expired
                    - Resubmitted
                    - Awaiting User
                  description: >-
                    Etiqueta de estado opcional a registar na entrada. Aceita
                    qualquer valor de estado da sessão, sensível a maiúsculas e
                    minúsculas (`"approved"` é rejeitado com `400`). Registar um
                    estado aqui **não** altera o estado real da sessão — utilize
                    o endpoint de atualização de estado para esse efeito.
                  example: In Review
                comment:
                  type: string
                  nullable: true
                  description: >-
                    Nota de texto livre opcional (sem limite de comprimento
                    imposto). Armazenada literalmente; as menções `@email` não
                    são processadas neste endpoint.
                  example: Flagging for manual document re-check.
            examples:
              NoteWithStatusLabel:
                summary: Nota com uma etiqueta de estado (estado da sessão inalterado)
                value:
                  new_status: In Review
                  comment: Flagging for manual document re-check.
              CommentOnly:
                summary: Nota simples sem etiqueta de estado
                value:
                  comment: Customer emailed an updated utility bill; awaiting upload.
      responses:
        '201':
          description: >-
            Entrada registada no registo de auditoria da sessão. A sessão em si
            não é alterada — o respetivo `status` mantém o valor anterior e
            nenhum webhook é enviado. A nova entrada também aparece no topo de
            `GET …/reviews/` (com `actor_display: "Unknown"`).
          content:
            application/json:
              schema:
                type: object
                properties:
                  user:
                    type: string
                    description: >-
                      Nome de apresentação do autor da entrada. Sempre
                      `"Unknown"` para entradas criadas através deste endpoint,
                      porque não regista a atribuição do interveniente.
                    example: Unknown
                  new_status:
                    type: string
                    nullable: true
                    enum:
                      - Not Started
                      - In Progress
                      - Approved
                      - Declined
                      - In Review
                      - Expired
                      - Abandoned
                      - Kyc Expired
                      - Resubmitted
                      - Awaiting User
                    description: >-
                      A etiqueta de estado registada na entrada, ou `null` se
                      nenhuma tiver sido enviada. O estado real da sessão não é
                      afetado.
                    example: In Review
                  comment:
                    type: string
                    nullable: true
                    description: >-
                      A nota registada na entrada, ou `null` se nenhuma tiver
                      sido enviada.
                    example: Flagging for manual document re-check.
                  created_at:
                    type: string
                    format: date-time
                    description: Quando a entrada foi gravada, ISO 8601 UTC.
                    example: '2026-06-12T00:18:44.466537Z'
              examples:
                NoteWithStatusLabel:
                  summary: Nota com uma etiqueta de estado
                  value:
                    user: Unknown
                    new_status: In Review
                    comment: Flagging for manual document re-check.
                    created_at: '2026-06-12T00:18:44.466537Z'
                CommentOnly:
                  summary: Nota simples
                  value:
                    user: Unknown
                    new_status: null
                    comment: Note without status.
                    created_at: '2026-06-12T00:18:44.504157Z'
        '400':
          description: >-
            Erro de validação, devolvido como um mapa de mensagens por campo. A
            causa habitual é um valor de `new_status` que não seja um dos dez
            estados permitidos — a verificação diferencia maiúsculas de
            minúsculas.
          content:
            application/json:
              schema:
                type: object
                properties:
                  new_status:
                    type: array
                    items:
                      type: string
                    example:
                      - '"approved" is not a valid choice.'
              examples:
                InvalidStatusChoice:
                  summary: Valor de estado em minúsculas / desconhecido
                  value:
                    new_status:
                      - '"approved" is not a valid choice.'
        '403':
          description: >-
            `x-api-key` em falta, malformado, expirado ou revogado. A
            autenticação é verificada antes da pesquisa da sessão, pelo que uma
            chave em falta devolve `403` mesmo quando o UUID da sessão não
            existe.
          content:
            application/json:
              schema:
                type: object
                properties:
                  detail:
                    type: string
                    example: You do not have permission to perform this action.
              examples:
                InvalidKey:
                  summary: Cabeçalho x-api-key em falta ou inválido
                  value:
                    detail: You do not have permission to perform this action.
        '404':
          description: >-
            Nenhuma sessão de Verificação de utilizadores (KYC) com este UUID
            está visível para a sua aplicação: o UUID não existe, a sessão foi
            eliminada ou pertence a uma aplicação diferente. Os IDs de sessão de
            Verificação de empresas (KYB) também devolvem `404` aqui — o feed de
            revisões só pode ser acedido para sessões de KYC.
          content:
            application/json:
              schema:
                type: object
                properties:
                  detail:
                    type: string
                    example: Session not found.
              examples:
                NotFound:
                  summary: UUID de sessão desconhecido, eliminado ou de outra aplicação
                  value:
                    detail: Session not found.
        '429':
          description: >-
            Limite de pedidos excedido. Inspecione os cabeçalhos de resposta
            `Retry-After` e `X-RateLimit-*`. Consulte [Limite de
            pedidos](/pt/integration/rate-limiting).
      security:
        - ApiKeyAuth: []
      x-codeSamples:
        - lang: curl
          label: curl
          source: >-
            # Records an audit-trail note only -- the session's status does NOT
            change.

            curl -s -X POST
            https://verification.didit.me/v3/sessions/8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d/reviews/
            \
              -H 'x-api-key: YOUR_API_KEY' \
              -H 'Content-Type: application/json' \
              -d '{
                "new_status": "In Review",
                "comment": "Flagging for manual document re-check."
              }'
        - lang: python
          label: Python
          source: |-
            from didit import Didit

            # Reads DIDIT_API_KEY.
            client = Didit()

            result = client.sessions.reviews.create(
                "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
                new_status="In Review",
                comment="Flagging for manual document re-check.",
            )
            print(result)
        - lang: javascript
          label: Node.js
          source: >-
            import Didit from "@didit-protocol/sdk-node";


            // Reads DIDIT_API_KEY.

            const didit = new Didit();


            const result = await
            didit.sessions.reviews.create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
            {
              new_status: "In Review",
              comment: "Flagging for manual document re-check.",
            });

            console.log(result);
        - lang: go
          label: Go
          source: "ctx := context.Background()\n// Reads DIDIT_API_KEY.\nclient := didit.NewClient()\n\nresult, err := client.Sessions.Reviews.Create(ctx, \"8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d\", didit.SessionsReviewsCreateParams{\n\tNewStatus: didit.Some(didit.SessionsReviewsCreateParamsNewStatus(\"In Review\")),\n\tComment:   didit.String(\"Flagging for manual document re-check.\"),\n})\nif err != nil {\n\tlog.Fatal(err)\n}\nfmt.Printf(\"%+v\\n\", result)"
        - lang: java
          label: Java
          source: >-
            import me.didit.Didit;

            import me.didit.types.SessionsReviewsCreateParams;


            // Reads DIDIT_API_KEY.

            Didit client = new Didit();


            var result =
            client.sessions().reviews().create("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
            SessionsReviewsCreateParams.builder()
                    .newStatus(SessionsReviewsCreateParams.NewStatus.of("In Review"))
                    .comment("Flagging for manual document re-check.")
                    .build());
            System.out.println(result);
        - lang: php
          label: PHP
          source: >-
            <?php


            require 'vendor/autoload.php';


            use Didit\DiditClient;


            // Reads DIDIT_API_KEY.

            $didit = new DiditClient();


            $result =
            $didit->sessions->reviews->create('8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d',
            [
                'new_status' => 'In Review',
                'comment' => 'Flagging for manual document re-check.',
            ]);

            print_r($result->toArray());
        - lang: ruby
          label: Ruby
          source: |-
            require "didit"

            # Reads DIDIT_API_KEY.
            didit = Didit::Client.new

            result = didit.sessions.reviews.create(
              "8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
              new_status: "In Review",
              comment: "Flagging for manual document re-check."
            )
            puts result.to_h
        - lang: csharp
          label: .NET
          source: >-
            using System;

            using System.Text.Json;

            using Didit;


            // Reads DIDIT_API_KEY.

            using var client = new DiditClient();


            var result = await
            client.Sessions.Reviews.CreateAsync("8c2f3a14-7e9b-4d23-9e83-3f7d5e8a1c6d",
            new SessionsReviewsCreateParams

            {
                NewStatus = new SessionsReviewsCreateParamsNewStatus("In Review"),
                Comment = "Flagging for manual document re-check.",
            });

            Console.WriteLine(JsonSerializer.Serialize(result));
components:
  securitySchemes:
    ApiKeyAuth:
      type: apiKey
      in: header
      name: x-api-key
      description: >-
        A chave de API da sua aplicação, a partir de Programadores -> Chaves de
        API na Business Console. A chave principal tem acesso total. Uma chave
        nomeada pode ter o âmbito definido: nenhum, leitura ou escrita por
        recurso, limitada a alguns fluxos ou a sessões aprovadas, a uma lista de
        endereços IP e a uma data de validade. 401 significa que a chave está
        incorreta, revogada ou expirada; 403 significa que nenhuma chave foi
        enviada, que a chave não tem acesso a este recurso ou ação, ou que o
        pedido veio de um endereço fora da sua lista de IP; 404 numa rota de
        sessão significa que a sessão está fora dos fluxos ou estados da chave.
        Uma chave sem acesso a multimédia recebe URLs de imagens, vídeos e PDFs
        como nulos, e uma chave sem permissão de escrita em sessões recebe
        ligações de sessão e tokens como nulos. Consulte
        https://docs.didit.me/console/api-keys.

````

This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.