# ¿Dónde encuentro mi clave de API, el ID de flujo y el secreto de webhook?

Source: https://help.didit.me/es/integration/api-key-workflow-id-and-webhook-secret
Updated: 2026-11-12

La clave de API está en Desarrolladores, Claves de API; el ID del flujo en Flujos de trabajo; el secreto del webhook, por destino en Desarrolladores, Webhooks.

Necesitas tres valores de la consola. La **clave de API** se crea en **Desarrolladores → Claves de API**. El **ID del flujo de trabajo** se copia desde la página **Flujos de trabajo**. El **secreto de firma del webhook** pertenece a cada destino en **Desarrolladores → Webhooks**, y puedes mostrarlo de nuevo en cualquier momento con **Mostrar**. Toma los tres de la misma aplicación y del mismo entorno, Live o Sandbox.

Una app de inicio o un proyecto generado con IA suele enumerar variables de entorno como `DIDIT_API_KEY`, `DIDIT_WORKFLOW_ID` y `DIDIT_WEBHOOK_SECRET`. Los nombres son de esa app: Didit no los define por ti. Esta tabla indica de dónde sale cada valor.

## Dónde está cada valor

| Valor | Dónde conseguirlo | Qué debes saber |
|---|---|---|
| **Clave de API** | **Desarrolladores → Claves de API**, luego **Crear clave** (cada aplicación tiene además una clave **Principal**) | El secreto completo se muestra una sola vez, al crear o rotar la clave, así que cópialo entonces a tu gestor de secretos. Una aplicación Live y una aplicación Sandbox tienen claves distintas: una clave sandbox nunca crea una verificación live. Envíala en la cabecera `x-api-key`, solo desde tu servidor |
| **ID del flujo de trabajo** | **Verificación de identidad → Flujos de trabajo**: abre el menú de la fila y elige **Copiar ID del flujo de trabajo** (el panel de vista previa tiene el mismo botón) | Cada flujo de trabajo tiene su propio ID en cada aplicación. Una copia de un flujo de trabajo recibe un ID nuevo |
| **Secreto de firma del webhook** | **Desarrolladores → Webhooks**, abre el destino, luego su secreto de firma y pulsa **Mostrar** | Un secreto por destino, no por aplicación. Revelar te pide confirmar que eres tú, y luego el secreto vuelve a ocultarse en 60 segundos. Puedes revelarlo de nuevo cuando lo necesites |
| **URL base de la API** | No está en la consola: la indica docs.didit.me | `https://verification.didit.me` sirve la API de verificación (sesiones, flujos de trabajo, listas, webhooks), autenticada con la cabecera `x-api-key`. Consulta [autenticación de la API](https://docs.didit.me/getting-started/api-authentication) |

> **Note:** La clave de API y el secreto de firma son valores distintos. La clave de API autentica
> tus llamadas a Didit; el secreto de firma te permite comprobar que un webhook viene
> realmente de Didit. Usar uno en lugar del otro da un 401 o una discrepancia de firma.

## ¿Puedo volver a ver el secreto de firma del webhook?

Sí. Abre **Desarrolladores → Webhooks**, abre el destino y pulsa **Mostrar**. Confirma que eres tú y el secreto se muestra hasta 60 segundos. Si **Mostrar** aparece en gris, pide ayuda a un compañero con acceso o [contacta con soporte](https://help.didit.me/es/getting-started/contacting-didit-support). Si quieres un secreto nuevo, rótalo: el antiguo sigue funcionando durante 24 horas. Más en [recibir resultados de verificación con webhooks](https://help.didit.me/es/integration/webhooks-basics).

## Comprueba tu configuración

1. **Haz coincidir el entorno**

   Elige primero en la consola la aplicación y el entorno **Live** o **Sandbox**, y luego copia ahí la clave y el ID del flujo de trabajo y crea el destino del webhook. Una clave sandbox con un ID de flujo live es un motivo habitual de un 401 o un 403.

2. **Pon los valores en la configuración de tu servidor**

   Guárdalos como secretos del lado del servidor. No pongas nunca la clave de API ni el secreto de firma en código de frontend, en un repositorio público ni en una app móvil.

3. **Crea una sesión**

   Llama al endpoint de crear sesión en `https://verification.didit.me` con tu clave y el ID del flujo de trabajo. Un 401 significa que la clave es incorrecta, ha caducado o se ha revocado; un 403 en un flujo de trabajo suele significar que la clave pertenece a otra aplicación. Consulta [errores de la API](https://help.didit.me/es/integration/api-errors).

4. **Envía un evento de prueba**

   En **Desarrolladores → Webhooks**, abre tu destino y pulsa **Enviar evento de prueba**. Tu servidor debe comprobar la firma con el secreto de firma y responder con un 2xx. Si no llega nada, consulta [cuando un webhook nunca llega](https://help.didit.me/es/integration/webhook-troubleshooting).

## Relacionado

- [Gestionar tus claves de API](https://help.didit.me/es/account-organization/api-keys)
- [Recibir resultados de verificación con webhooks](https://help.didit.me/es/integration/webhooks-basics)
- [Construir un flujo de trabajo de verificación](https://help.didit.me/es/workflows/build-a-verification-workflow)
- [Autenticación de la API](https://docs.didit.me/getting-started/api-authentication) en docs.didit.me