La clé API est sous Développeurs, Clés API ; l'ID de workflow sur la page Workflows ; le secret de signature du webhook, par endpoint, sous Webhooks.
Vous avez besoin de trois valeurs de la console. La clé API se crée sous Développeurs → Clés API. L'ID de workflow se copie depuis la page Flux de travail. Le secret de signature du webhook appartient à chaque endpoint sous Développeurs → Webhooks, et vous pouvez l'afficher à nouveau à tout moment avec Afficher. Prenez les trois dans la même application et le même environnement, Live ou Sandbox.
Une application de démarrage ou un projet généré par IA liste souvent des variables d'environnement comme DIDIT_API_KEY, DIDIT_WORKFLOW_ID et DIDIT_WEBHOOK_SECRET. Ces noms appartiennent à cette application : Didit ne les définit pas pour vous. Ce tableau indique d'où vient chaque valeur.
#Où se trouve chaque valeur
| Valeur | Où l'obtenir | À savoir |
|---|---|---|
| Clé API | Développeurs → Clés API, puis Créer une clé (chaque application a aussi une clé Principale) | Le secret complet n'est affiché qu'une fois, à la création ou au renouvellement de la clé : copiez-le alors dans votre gestionnaire de secrets. Une application Live et une application Sandbox ont des clés différentes : une clé sandbox ne crée jamais de vérification live. Envoyez-la dans l'en-tête x-api-key, depuis votre serveur uniquement |
| ID de workflow | Vérification d'identité → Flux de travail : ouvrez le menu de la ligne et choisissez Copier l'ID du workflow (le panneau d'aperçu a le même bouton) | Chaque workflow a son propre ID dans chaque application. Une copie de workflow reçoit un nouvel ID |
| Secret de signature du webhook | Développeurs → Webhooks, ouvrez l'endpoint, puis son secret de signature et appuyez sur Afficher | Un secret par endpoint, pas par application. Afficher vous demande de confirmer que c'est bien vous, puis le secret se masque de nouveau dans les 60 secondes. Vous pouvez l'afficher à nouveau quand vous en avez besoin |
| URL de base de l'API | Pas dans la console : docs.didit.me l'indique | https://verification.didit.me sert l'API de vérification (sessions, workflows, listes, webhooks), authentifiée avec l'en-tête x-api-key. Voir authentification de l'API |
La clé API et le secret de signature sont deux valeurs différentes. La clé API authentifie vos appels à Didit ; le secret de signature vous permet de vérifier qu'un webhook vient bien de Didit. Utiliser l'une à la place de l'autre donne une erreur 401 ou une signature qui ne correspond pas.
#Puis-je revoir le secret de signature du webhook ?
Oui. Ouvrez Développeurs → Webhooks, ouvrez l'endpoint et appuyez sur Afficher. Confirmez que c'est bien vous, et le secret s'affiche pendant 60 secondes au maximum. Si Afficher est grisé pour vous, demandez à un collègue qui y a accès ou contactez le support. Si vous voulez un nouveau secret, renouvelez-le plutôt : l'ancien continue de fonctionner pendant 24 heures. Plus de détails dans recevoir les résultats de vérification avec les webhooks.
#Vérifier votre configuration
- Faire correspondre l'environnement
Choisissez d'abord l'application et l'environnement Production ou Bac à sable dans la console, puis copiez la clé, l'ID de workflow et créez l'endpoint de webhook là. Une clé sandbox avec un ID de workflow live est une cause fréquente d'erreur 401 ou 403.
- Mettre les valeurs dans la configuration de votre serveur
Stockez-les comme secrets côté serveur. Ne mettez jamais la clé API ni le secret de signature dans du code frontend, un dépôt public ou une application mobile.
- Créer une session
Appelez l'endpoint de création de session sur
https://verification.didit.meavec votre clé et votre ID de workflow. Une erreur 401 signifie que la clé est incorrecte, expirée ou révoquée ; une erreur 403 sur un workflow signifie généralement que la clé appartient à une autre application. Voir erreurs de l'API. - Envoyer un événement de test
Dans Développeurs → Webhooks, ouvrez votre endpoint et appuyez sur Envoyer un événement test. Votre serveur doit vérifier la signature avec le secret de signature et répondre par un code 2xx. Si rien n'arrive, voir quand un webhook n'arrive jamais.
#Voir aussi
- Gérer vos clés API
- Recevoir les résultats de vérification avec les webhooks
- Construire un workflow de vérification
- Authentification de l'API sur docs.didit.me
Toujours bloqué ? Parlez à un humain.
Indiquez l'ID de votre organisation et l'ID de la session concernée.