# APIキー、ワークフローID、Webhookシークレットはどこにありますか

Source: https://help.didit.me/ja/integration/api-key-workflow-id-and-webhook-secret
Updated: 2026-11-12

APIキーは開発者のAPIキー、ワークフローIDはワークフローのページ、Webhookの署名シークレットは開発者のWebhookでエンドポイントごとに確認できます。

コンソールから3つの値が必要です。**APIキー**は**開発者 → APIキー**で作成します。**ワークフローID**は**ワークフロー**のページでコピーします。**Webhookの署名シークレット**は**開発者 → Webhook**の各エンドポイントに属し、**表示**でいつでももう一度確認できます。3つとも、同じアプリケーションの同じ環境（LiveまたはSandbox）から取得してください。

スターターアプリやAIが生成したプロジェクトには、`DIDIT_API_KEY`、`DIDIT_WORKFLOW_ID`、`DIDIT_WEBHOOK_SECRET`のような環境変数が記載されていることがよくあります。これらの名前はそのアプリのもので、Diditが設定するものではありません。次の表に、各値の入手先を示します。

## 各値の場所

| 値 | 入手先 | 知っておくこと |
|---|---|---|
| **APIキー** | **開発者 → APIキー**で**キーを作成**（どのアプリケーションにも**プライマリ**キーがあります） | 完全なシークレットが表示されるのは、キーを作成またはローテーションしたときの1回だけなので、そのときにシークレット管理ツールへコピーしてください。LiveアプリケーションとSandboxアプリケーションではキーが異なり、Sandboxキーでライブの検証は作成されません。`x-api-key`ヘッダーで、サーバーからのみ送信します |
| **ワークフローID** | **本人確認 → ワークフロー**：行のメニューを開き、**ワークフローIDをコピー**を選びます（プレビューパネルにも同じボタンがあります） | ワークフローのIDは、アプリケーションごとに別々です。ワークフローを複製すると、新しいIDになります |
| **Webhookの署名シークレット** | **開発者 → Webhook**でエンドポイントを開き、署名シークレットの**表示**を押します | アプリケーションごとではなく、エンドポイントごとに1つです。表示するには本人確認が必要で、60秒以内にもう一度非表示になります。必要なときにいつでも再表示できます |
| **APIのベースURL** | コンソールにはありません：docs.didit.meに記載されています | `https://verification.didit.me`が検証API（セッション、ワークフロー、リスト、Webhook）を提供し、`x-api-key`ヘッダーで認証します。[API認証](https://docs.didit.me/getting-started/api-authentication)をご覧ください |

> **Note:** APIキーと署名シークレットは別の値です。APIキーはDiditへの呼び出しを認証し、署名シークレットは、webhookが本当にDiditから届いたことを確認するためのものです。一方を他方の代わりに使うと、401または署名の不一致になります。

## Webhookの署名シークレットをもう一度見られますか

はい。**開発者 → Webhook**でエンドポイントを開き、**表示**を押します。本人確認をすると、シークレットが最大60秒間表示されます。**表示**がグレーアウトしている場合は、アクセス権のあるチームメンバーに依頼するか、[サポートに問い合わせて](https://help.didit.me/ja/getting-started/contacting-didit-support)ください。新しいシークレットが必要な場合は、ローテーションしてください。古いシークレットは24時間は引き続き使えます。詳しくは[webhookによる検証結果の取得](https://help.didit.me/ja/integration/webhooks-basics)をご覧ください。

## 設定を確認する

1. **環境を合わせる**

   まずコンソールでアプリケーションと**Live**または**Sandbox**の環境を選び、そこでキーとワークフローIDをコピーし、webhookエンドポイントを作成します。Sandboxキーとライブのワークフローを組み合わせると、401や403になる原因としてよくあります。

2. **値をサーバーの設定に入れる**

   サーバー側のシークレットとして保存します。APIキーや署名シークレットを、フロントエンドのコード、公開リポジトリ、モバイルアプリに入れてはいけません。

3. **セッションを作成する**

   キーとワークフローIDを使って、`https://verification.didit.me`のセッション作成エンドポイントを呼び出します。401はキーが間違っている、期限切れ、または取り消されたことを意味し、ワークフローに対する403は、通常、キーが別のアプリケーションのものであることを意味します。[APIエラー](https://help.didit.me/ja/integration/api-errors)をご覧ください。

4. **テストイベントを送信する**

   **開発者 → Webhook**でエンドポイントを開き、**テストイベントを送信**を押します。サーバーは署名シークレットで署名を確認し、2xxで応答する必要があります。何も届かない場合は、[webhookが届かないとき](https://help.didit.me/ja/integration/webhook-troubleshooting)をご覧ください。

## 関連記事

- [APIキーの管理](https://help.didit.me/ja/account-organization/api-keys)
- [webhookによる検証結果の取得](https://help.didit.me/ja/integration/webhooks-basics)
- [検証ワークフローの構築](https://help.didit.me/ja/workflows/build-a-verification-workflow)
- docs.didit.meの[API認証](https://docs.didit.me/getting-started/api-authentication)