# Où trouver ma clé API, mon ID de workflow et mon secret de webhook ?

Source: https://help.didit.me/fr/integration/api-key-workflow-id-and-webhook-secret
Updated: 2026-11-12

La clé API est sous Développeurs, Clés API ; l'ID de workflow sur la page Workflows ; le secret de signature du webhook, par endpoint, sous Webhooks.

Vous avez besoin de trois valeurs de la console. La **clé API** se crée sous **Développeurs → Clés API**. L'**ID de workflow** se copie depuis la page **Flux de travail**. Le **secret de signature du webhook** appartient à chaque endpoint sous **Développeurs → Webhooks**, et vous pouvez l'afficher à nouveau à tout moment avec **Afficher**. Prenez les trois dans la même application et le même environnement, Live ou Sandbox.

Une application de démarrage ou un projet généré par IA liste souvent des variables d'environnement comme `DIDIT_API_KEY`, `DIDIT_WORKFLOW_ID` et `DIDIT_WEBHOOK_SECRET`. Ces noms appartiennent à cette application : Didit ne les définit pas pour vous. Ce tableau indique d'où vient chaque valeur.

## Où se trouve chaque valeur

| Valeur | Où l'obtenir | À savoir |
|---|---|---|
| **Clé API** | **Développeurs → Clés API**, puis **Créer une clé** (chaque application a aussi une clé **Principale**) | Le secret complet n'est affiché qu'une fois, à la création ou au renouvellement de la clé : copiez-le alors dans votre gestionnaire de secrets. Une application Live et une application Sandbox ont des clés différentes : une clé sandbox ne crée jamais de vérification live. Envoyez-la dans l'en-tête `x-api-key`, depuis votre serveur uniquement |
| **ID de workflow** | **Vérification d'identité → Flux de travail** : ouvrez le menu de la ligne et choisissez **Copier l'ID du workflow** (le panneau d'aperçu a le même bouton) | Chaque workflow a son propre ID dans chaque application. Une copie de workflow reçoit un nouvel ID |
| **Secret de signature du webhook** | **Développeurs → Webhooks**, ouvrez l'endpoint, puis son secret de signature et appuyez sur **Afficher** | Un secret par endpoint, pas par application. Afficher vous demande de confirmer que c'est bien vous, puis le secret se masque de nouveau dans les 60 secondes. Vous pouvez l'afficher à nouveau quand vous en avez besoin |
| **URL de base de l'API** | Pas dans la console : docs.didit.me l'indique | `https://verification.didit.me` sert l'API de vérification (sessions, workflows, listes, webhooks), authentifiée avec l'en-tête `x-api-key`. Voir [authentification de l'API](https://docs.didit.me/getting-started/api-authentication) |

> **Note:** La clé API et le secret de signature sont deux valeurs différentes. La clé API authentifie
> vos appels à Didit ; le secret de signature vous permet de vérifier qu'un webhook vient bien
> de Didit. Utiliser l'une à la place de l'autre donne une erreur 401 ou une signature qui ne correspond pas.

## Puis-je revoir le secret de signature du webhook ?

Oui. Ouvrez **Développeurs → Webhooks**, ouvrez l'endpoint et appuyez sur **Afficher**. Confirmez que c'est bien vous, et le secret s'affiche pendant 60 secondes au maximum. Si **Afficher** est grisé pour vous, demandez à un collègue qui y a accès ou [contactez le support](https://help.didit.me/fr/getting-started/contacting-didit-support). Si vous voulez un nouveau secret, renouvelez-le plutôt : l'ancien continue de fonctionner pendant 24 heures. Plus de détails dans [recevoir les résultats de vérification avec les webhooks](https://help.didit.me/fr/integration/webhooks-basics).

## Vérifier votre configuration

1. **Faire correspondre l'environnement**

   Choisissez d'abord l'application et l'environnement **Production** ou **Bac à sable** dans la console, puis copiez la clé, l'ID de workflow et créez l'endpoint de webhook là. Une clé sandbox avec un ID de workflow live est une cause fréquente d'erreur 401 ou 403.

2. **Mettre les valeurs dans la configuration de votre serveur**

   Stockez-les comme secrets côté serveur. Ne mettez jamais la clé API ni le secret de signature dans du code frontend, un dépôt public ou une application mobile.

3. **Créer une session**

   Appelez l'endpoint de création de session sur `https://verification.didit.me` avec votre clé et votre ID de workflow. Une erreur 401 signifie que la clé est incorrecte, expirée ou révoquée ; une erreur 403 sur un workflow signifie généralement que la clé appartient à une autre application. Voir [erreurs de l'API](https://help.didit.me/fr/integration/api-errors).

4. **Envoyer un événement de test**

   Dans **Développeurs → Webhooks**, ouvrez votre endpoint et appuyez sur **Envoyer un événement test**. Votre serveur doit vérifier la signature avec le secret de signature et répondre par un code 2xx. Si rien n'arrive, voir [quand un webhook n'arrive jamais](https://help.didit.me/fr/integration/webhook-troubleshooting).

## Voir aussi

- [Gérer vos clés API](https://help.didit.me/fr/account-organization/api-keys)
- [Recevoir les résultats de vérification avec les webhooks](https://help.didit.me/fr/integration/webhooks-basics)
- [Construire un workflow de vérification](https://help.didit.me/fr/workflows/build-a-verification-workflow)
- [Authentification de l'API](https://docs.didit.me/getting-started/api-authentication) sur docs.didit.me