Аутентификация API: безопасные запросы к KYC API

Как найти API-ключ

В Didit API-ключи привязаны к конкретному Приложению в вашем аккаунте. Приложение представляет собой рабочее пространство, где вы можете настраивать сценарии и управлять верификациями для определённого проекта или среды. Каждое Приложение при создании получает основной API-ключ с полным доступом. Вы можете добавить к нему дополнительные ключи, каждый из которых будет иметь только тот доступ, который необходим сервису или партнёру. Чтобы найти свои ключи:

Войдите в Business Console

Перейдите в Didit Business Console и войдите в систему.

Выберите ваше Приложение

Выберите Приложение, с которым хотите работать, в выпадающем меню вверху.

Откройте API-ключи

Перейдите в Developers -> API keys на панели навигации слева.

Скопируйте или создайте ключ

Ключ Основной представляет собой собственный секрет Приложения. Создайте новый ключ, чтобы предоставить сервису или партнёру отдельный секрет с необходимым уровнем доступа.

Ваш API-ключ является секретом: относитесь к нему как к паролю.Основной ключ предоставляет полный доступ к API от имени вашего Приложения. Никогда не раскрывайте его во фронтенд-коде, публичных репозиториях или клиентских бандлах. Всегда храните его только на стороне сервера.

Формат API-ключа

Новые API-ключи начинаются с sk_live_ для продакшн-приложения или sk_test_ для песочницы, за которыми следуют 43 URL-безопасных символа (буквы, цифры, - и _). Ключи, созданные до введения этого формата, не имеют префикса и продолжают работать без изменений. Отправляйте ключ целиком, включая префикс, в заголовке x-api-key, и не отклоняйте ключ из-за отсутствия префикса.

Как найти ID организации

Ваш ID организации — это UUID, который идентифицирует вашу организацию. Вы используете его в путях API на уровне организации, таких как /auth/v2/organizations/me/{org_id}/applications/. Вы можете скопировать его напрямую из Business Console без необходимости вызова API:

Откройте настройки организации

В Didit Business Console перейдите в Настройки организации.

Скопируйте ID организации

В поле ID организации отображается UUID вашей организации рядом с её названием, а также кнопка копирования в буфер обмена.

Выполнение аутентифицированных запросов

Чтобы аутентифицировать запрос к API, включите ваш секретный API-ключ в HTTP-заголовок x-api-key. Вот пример аутентифицированного запроса к endpoint Create Session:

cURL

curl --request POST \
     --url https://verification.didit.me/v3/session/ \
     --header 'accept: application/json' \
     --header 'content-type: application/json' \
     --header 'x-api-key: YOUR_API_KEY' \
     --data '
{
  "workflow_id": "WORKFLOW_ID",
  "vendor_data": "USER_ID",
  "callback": "CALLBACK_URL"
}
'

Обработка ошибок

Если ваш API-ключ неверный, некорректно сформирован или отозван, API возвращает 401 Unauthorized:

{
  "detail": "Authentication credentials were not provided or are invalid."
}

Если срок действия ключа истёк, также возвращается 401 с "detail": "This API key has expired.". Запрос без ключа возвращает 403 с "detail": "You do not have permission to perform this action.".

Код статуса	Значение
401	API-ключ неверный, некорректно сформирован, отозван или срок его действия истёк
403	API-ключ не был передан, у ключа нет доступа к запрашиваемому ресурсу или действию, либо запрос поступил с адреса вне списка IP-адресов ключа
403 с `"code": "application_deleted"`	Ключ принадлежит приложению, которое было удалено. API возвращает этот ответ в течение нескольких минут после удаления, а затем отклоняет ключ как недействительный. Не повторяйте попытку: приложение и его ключи больше не существуют.
404	Для маршрутов сессий: сессия не соответствует сценариям или статусам, разрешённым для ключа

На странице Ошибки API перечислены все статусы, тела ответов и коды.

API-ключи с ограниченным доступом

Предоставляйте каждому сервису или партнёру отдельный ключ вместо использования общего основного ключа. Каждый ключ имеет собственный уровень доступа для каждого ресурса: нет доступа, чтение или запись (сессии, решения, медиафайлы, физические лица, компании, транзакции, сценарии, webhook, настройки приложения, аналитика), а также опциональные ограничения по определённым сценариям, только одобренным сессиям, списку IP-адресов и сроку действия. Вы можете ротировать ключ с 24-часовым периодом параллельной работы и мгновенно его отзывать. Ключи, созданные до появления ограниченного доступа, сохраняют полный доступ. В разделе API-ключи описаны готовые шаблоны прав, ресурсы, которые они охватывают, и то, как API отвечает на запросы с ключом с ограниченным доступом.

Если вы получаете ошибку 401, убедитесь, что используете правильный API-ключ для нужного Приложения и что он не был сгенерирован повторно.

Обзор

Цены

Сценарии и верификация

Проверка и операции

Сущности (пользователи и компании)

Настройки и кастомизация

Безопасность и комплаенс

Didit Academy

Ресурсы

Аутентификация API: безопасные запросы к KYC API

Как найти API-ключ

Формат API-ключа

Как найти ID организации

Выполнение аутентифицированных запросов

Обработка ошибок

API-ключи с ограниченным доступом

​Как найти API-ключ

​Формат API-ключа

​Как найти ID организации

​Выполнение аутентифицированных запросов

​Обработка ошибок

​API-ключи с ограниченным доступом

Как найти API-ключ

Формат API-ключа

Как найти ID организации

Выполнение аутентифицированных запросов

Обработка ошибок

API-ключи с ограниченным доступом