# Wo finde ich meinen API-Schlüssel, die Workflow-ID und das Webhook-Secret?

Source: https://help.didit.me/de/integration/api-key-workflow-id-and-webhook-secret
Updated: 2026-11-12

Der API-Schlüssel steht unter Entwickler, API-Schlüssel; die Workflow-ID auf der Seite Workflows; das Webhook-Secret pro Endpunkt unter Entwickler, Webhooks.

Sie brauchen drei Werte aus der Konsole. Der **API-Schlüssel** wird unter **Entwickler → API-Schlüssel** erstellt. Die **Workflow-ID** kopieren Sie von der Seite **Workflows**. Das **Webhook-Signing-Secret** gehört zu jedem Endpunkt unter **Entwickler → Webhooks**, und Sie können es jederzeit mit **Anzeigen** erneut einblenden. Nehmen Sie alle drei aus derselben Anwendung und derselben Umgebung, Live oder Sandbox.

Eine Starter-App oder ein KI-generiertes Projekt listet oft Umgebungsvariablen wie `DIDIT_API_KEY`, `DIDIT_WORKFLOW_ID` und `DIDIT_WEBHOOK_SECRET`. Die Namen gehören zu dieser App: Didit setzt sie nicht für Sie. Diese Tabelle sagt, woher jeder Wert kommt.

## Wo jeder Wert liegt

| Wert | Wo Sie ihn bekommen | Was zu beachten ist |
|---|---|---|
| **API-Schlüssel** | **Entwickler → API-Schlüssel**, dann **Schlüssel erstellen** (jede Anwendung hat außerdem einen **Primär**-Schlüssel) | Das vollständige Secret wird einmal angezeigt, beim Erstellen oder Rotieren des Schlüssels, kopieren Sie es also dann in Ihren Secret Manager. Eine Live-Anwendung und eine Sandbox-Anwendung haben unterschiedliche Schlüssel: Ein Sandbox-Schlüssel erstellt nie eine Live-Verifizierung. Senden Sie ihn im Header `x-api-key`, nur von Ihrem Server aus |
| **Workflow-ID** | **Identitätsprüfung → Workflows**: Öffnen Sie das Menü der Zeile und wählen Sie **Workflow-ID kopieren** (das Vorschaufenster hat dieselbe Schaltfläche) | Jeder Workflow hat in jeder Anwendung seine eigene ID. Eine Kopie eines Workflows erhält eine neue ID |
| **Webhook-Signing-Secret** | **Entwickler → Webhooks**, öffnen Sie den Endpunkt, dann sein Signing-Secret, und klicken Sie auf **Anzeigen** | Ein Secret pro Endpunkt, nicht pro Anwendung. Das Anzeigen verlangt eine Bestätigung, dass Sie es sind, dann blendet sich das Secret innerhalb von 60 Sekunden wieder aus. Sie können es jederzeit erneut anzeigen |
| **API-Basis-URL** | Nicht in der Konsole: docs.didit.me nennt sie | `https://verification.didit.me` bedient die Verifizierungs-API (Sessions, Workflows, Listen, Webhooks), authentifiziert mit dem Header `x-api-key`. Siehe [API-Authentifizierung](https://docs.didit.me/getting-started/api-authentication) |

> **Note:** Der API-Schlüssel und das Signing-Secret sind verschiedene Werte. Der API-Schlüssel authentifiziert Ihre Aufrufe an Didit; mit dem Signing-Secret prüfen Sie, ob ein Webhook wirklich von Didit kam. Wird der eine anstelle des anderen verwendet, gibt es einen 401 oder eine nicht passende Signatur.

## Kann ich das Webhook-Signing-Secret erneut ansehen?

Ja. Öffnen Sie **Entwickler → Webhooks**, öffnen Sie den Endpunkt und klicken Sie auf **Anzeigen**. Bestätigen Sie, dass Sie es sind, und das Secret wird bis zu 60 Sekunden angezeigt. Ist **Anzeigen** für Sie ausgegraut, bitten Sie ein Teammitglied mit Zugriff oder [kontaktieren Sie den Support](https://help.didit.me/de/getting-started/contacting-didit-support). Wollen Sie ein neues Secret, rotieren Sie es stattdessen: Das alte funktioniert 24 Stunden weiter. Mehr unter [Verifizierungsergebnisse mit Webhooks erhalten](https://help.didit.me/de/integration/webhooks-basics).

## Ihre Einrichtung prüfen

1. **Die Umgebung abgleichen**

   Wählen Sie zuerst in der Konsole die Anwendung und die Umgebung **Live** oder **Sandbox**, kopieren Sie dann dort den Schlüssel und die Workflow-ID und erstellen Sie den Webhook-Endpunkt. Ein Sandbox-Schlüssel mit einer Live-Workflow-ID ist ein häufiger Grund für einen 401 oder 403.

2. **Die Werte in Ihre Serverkonfiguration eintragen**

   Speichern Sie sie als serverseitige Secrets. Legen Sie den API-Schlüssel oder das Signing-Secret nie in Frontend-Code, einem öffentlichen Repository oder einer mobilen App ab.

3. **Eine Session erstellen**

   Rufen Sie den Endpunkt zum Erstellen einer Session unter `https://verification.didit.me` mit Ihrem Schlüssel und Ihrer Workflow-ID auf. Ein 401 bedeutet, dass der Schlüssel falsch, abgelaufen oder widerrufen ist; ein 403 bei einem Workflow heißt meist, dass der Schlüssel zu einer anderen Anwendung gehört. Siehe [API-Fehler](https://help.didit.me/de/integration/api-errors).

4. **Ein Testereignis senden**

   Öffnen Sie unter **Entwickler → Webhooks** Ihren Endpunkt und klicken Sie auf **Testereignis senden**. Ihr Server sollte die Signatur mit dem Signing-Secret prüfen und mit einem 2xx antworten. Kommt nichts an, siehe [wenn ein Webhook nie ankommt](https://help.didit.me/de/integration/webhook-troubleshooting).

## Verwandte Artikel

- [Ihre API-Schlüssel verwalten](https://help.didit.me/de/account-organization/api-keys)
- [Verifizierungsergebnisse mit Webhooks erhalten](https://help.didit.me/de/integration/webhooks-basics)
- [Einen Verifizierungs-Workflow erstellen](https://help.didit.me/de/workflows/build-a-verification-workflow)
- [API-Authentifizierung](https://docs.didit.me/getting-started/api-authentication) auf docs.didit.me