# Usar los registros de auditoría

Source: https://help.didit.me/es/account-organization/audit-logs
Updated: 2026-10-29

Cada solicitud a la API de tu organización se guarda 365 días: quién, qué, cuándo, desde dónde y bajo qué aplicación. Es lo primero que mirar cuando algo pasa.

Cada solicitud a la API en tu organización se registra automáticamente y se
conserva durante **365 días** - tanto desde la consola como desde tu integración y
las de tus compañeros de equipo. Lo encuentras en **Configuración → Registro de
auditoría**.
Cada decisión que el Investigador toma por su cuenta también queda registrada
allí, a nombre de **El investigador**.

[Video: El registro de auditoría - Didit Academy](https://www.youtube.com/watch?v=MkULotdgz2o&t=31)

## Qué se registra

![Los registros de auditoría en la consola de Didit mostrando actividad de la API con marcas de tiempo y códigos de estado](https://help.didit.me/screenshots/audit-logs-light.webp)

*Cada solicitud a la API en la organización, conservada durante 365 días.*

Cada solicitud realizada a la plataforma de Didit dentro de tu organización, sea cual sea su origen. Cada entrada incluye:

| Campo | Detalle |
|---|---|
| **Marca de tiempo** | Cuándo se hizo la solicitud |
| **Usuario** | Quién lo hizo: el miembro que hizo la solicitud; en una solicitud con clave de API, el nombre de la clave con una etiqueta **Clave de API**; **Didit** para lo que Didit hace por su cuenta; y **El investigador** para una decisión que toma por su cuenta |
| **Método** | GET, POST, PUT, DELETE |
| **Ruta** | El endpoint que se llamó |
| **Estado** | El estado de la respuesta HTTP |
| **Dirección IP** | De dónde vino la solicitud |
| **Aplicación** | A qué aplicación pertenecía |

Los registros se conservan durante **365 días** y después se eliminan automáticamente.

Se está desplegando de forma gradual un registro de auditoría rediseñado, que describe cada cambio con palabras y puede exportar lo que estás viendo. Hasta que llegue a tu organización, la página muestra el registro de solicitudes que se describe aquí.

## Para qué sirve en la práctica

Cuatro situaciones en las que es la herramienta adecuada:

- **"¿Quién cambió este flujo de trabajo?"** Un flujo que se comporta de forma distinta a ayer suele tener una edición detrás, y el registro indica quién la hizo.
- **Investigar un incidente.** Rastrear exactamente qué se accedió, por quién, desde qué dirección y en qué orden.
- **Depurar una integración.** Ver las solicitudes que tu propio código hizo realmente, en lugar de las que crees que hizo, incluidas las que devolvieron un 4xx.
- **Demostrar el control de acceso.** Mostrar a un auditor que el acceso a los datos de verificación está atribuido y es revisable.

## Filtrar

Filtra por usuario (un miembro, una clave de API, Didit o El investigador), endpoint o intervalo de fechas para acotar una lista larga. Cuando estés investigando algo concreto, empieza por la marca de tiempo y avanza hacia fuera - una solicitud rara vez ocurre sola, y las llamadas justo alrededor de ella suelen contar la historia.

## Las solicitudes con clave de API se atribuyen a la clave, no a una persona

Una solicitud con clave de API no tiene una persona a la que atribuirla, así que muestra el nombre de la clave en su lugar. Esa es la representación honesta: la plataforma sencillamente no sabe cuál de tus servicios o de tus ingenieros hizo la llamada.

La consecuencia práctica: una sola clave compartida entre varios servicios hace un incidente considerablemente más difícil de investigar. Si la atribución te importa, dale a cada servicio su propia clave. Consulta [gestionar tus claves de API](https://help.didit.me/es/account-organization/api-keys).

## Las decisiones propias del Investigador se atribuyen al Investigador

Cuando el Investigador decide por su cuenta, dentro de la autonomía que le diste, la entrada indica **El investigador**, no una persona ni una clave. Eso cubre cada decisión que toma: aprobar o rechazar una sesión o pedir al usuario que vuelva a enviarla, fijar el estado de una transacción, y resolver un caso, escalarlo o solicitar información sobre él. Cada una de estas entradas enlaza al informe del Investigador que respalda la decisión, para que veas qué encontró y qué regla de tu política aplicó.

Cuando una persona decide sobre un informe del Investigador, aceptando su recomendación o anulándola, la entrada se atribuye a esa persona, como cualquier otro cambio que haga. El rastro completo del Investigador, con sus informes, preguntas y salvaguardas, sigue en su propio registro de **Actividad**. Consulta [Controlar y supervisar el Investigador](https://help.didit.me/es/investigations/investigator-automation-and-oversight).

## Qué hay en el registro, y qué no

El registro guarda **actividad** - quién llamó a qué, cuándo, desde dónde y qué estado se devolvió. Es un rastro de metadatos, no una copia de los datos de verificación.

Si necesitas saber si los datos personales de un cliente aparecen en estas entradas - una pregunta que surge durante las revisiones de protección de datos - obtén la respuesta de tu contacto en Didit y déjala documentada, en lugar de deducirla de una página de ayuda. Es exactamente el tipo de afirmación que tu propia EIPD deberá poder demostrar.

## Quién puede verlo

El acceso a los registros de auditoría sigue el rol. **Responsable de Cumplimiento** lo incluye; **Lector** no tiene acceso amplio. Los propietarios pueden concederlo a un rol personalizado. Consulta [invitar a miembros del equipo y asignar roles](https://help.didit.me/es/account-organization/team-members-and-roles).

Eliminar a un compañero de equipo no elimina su historial del registro, que es precisamente el objetivo. Un rastro que se puede editar no es un rastro.

## Las exportaciones e informes también quedan registrados

Generar un PDF de sesión o una exportación CSV es una llamada a la API, así que aparece aquí junto con quién la hizo. Es útil cuando necesitas demostrar que el acceso a la evidencia de verificación está controlado y no abierto. Consulta [descargar un informe de verificación](https://help.didit.me/es/verification-sessions/download-verification-report).

## Si necesitas más de 365 días

La retención está fijada en 365 días. Si tu obligación es más larga, exporta lo que necesites de forma programada y consérvalo en tu propio sistema - el mismo patrón que conservar tú mismo la evidencia de sesión. Decidir el periodo requerido es una decisión de cumplimiento de tu equipo; no diseñes tu proceso a partir de una suposición.

> **Note:** La retención de los registros de auditoría y la retención de los **datos de
> verificación** son ajustes independientes. Configurar una ventana de retención
> corta para los datos de sesión no acorta el registro de auditoría, y lo contrario
> también es cierto. Consulta
> [cómo protege Didit los datos de tus usuarios](https://help.didit.me/es/data-privacy/how-didit-protects-data).