# Onde encontro minha chave de API, o ID do workflow e o segredo do webhook?

Source: https://help.didit.me/pt-BR/integration/api-key-workflow-id-and-webhook-secret
Updated: 2026-11-12

A chave de API fica em Desenvolvedores, Chaves de API; o ID do workflow na página Workflows; o segredo de assinatura do webhook em Desenvolvedores, Webhooks.

Você precisa de três valores do console. A **chave de API** é criada em **Desenvolvedores → Chaves de API**. O **ID do workflow** é copiado da página **Fluxos de trabalho**. O **segredo de assinatura do webhook** pertence a cada endpoint em **Desenvolvedores → Webhooks**, e você pode mostrá-lo de novo a qualquer momento com **Revelar**. Pegue os três da mesma aplicação e do mesmo ambiente, Live ou Sandbox.

Um app inicial ou um projeto gerado por IA costuma listar variáveis de ambiente como `DIDIT_API_KEY`, `DIDIT_WORKFLOW_ID` e `DIDIT_WEBHOOK_SECRET`. Os nomes pertencem a esse app: a Didit não as define por você. Esta tabela mostra de onde vem cada valor.

## Onde está cada valor

| Valor | Onde obter | O que saber |
|---|---|---|
| **Chave de API** | **Desenvolvedores → Chaves de API** e depois **Criar chave** (toda aplicação também tem uma chave **Principal**) | O segredo completo é mostrado uma única vez, quando você cria ou rotaciona a chave, então copie-o para o seu gerenciador de secrets nessa hora. Uma aplicação Live e uma aplicação Sandbox têm chaves diferentes: uma chave de sandbox nunca cria uma verificação live. Envie-a no cabeçalho `x-api-key`, somente a partir do seu servidor |
| **ID do workflow** | **Verificação de identidade → Fluxos de trabalho**: abra o menu da linha e escolha **Copiar ID do workflow** (o painel de pré-visualização tem o mesmo botão) | Cada workflow tem seu próprio ID em cada aplicação. Uma cópia de um workflow recebe um novo ID |
| **Segredo de assinatura do webhook** | **Desenvolvedores → Webhooks**, abra o endpoint, depois o segredo de assinatura e pressione **Revelar** | Um segredo por endpoint, não por aplicação. Revelar pede que você confirme que é você, e depois o segredo se oculta de novo em até 60 segundos. Você pode revelá-lo outra vez sempre que precisar |
| **URL base da API** | Não está no console: a docs.didit.me informa | `https://verification.didit.me` atende a API de verificação (sessões, workflows, listas, webhooks), autenticada com o cabeçalho `x-api-key`. Veja [autenticação da API](https://docs.didit.me/getting-started/api-authentication) |

> **Note:** A chave de API e o segredo de assinatura são valores diferentes. A chave de API autentica
> as suas chamadas à Didit; o segredo de assinatura permite conferir que um webhook veio
> mesmo da Didit. Usar um no lugar do outro resulta em um 401 ou em uma divergência de assinatura.

## Posso ver o segredo de assinatura do webhook de novo?

Sim. Abra **Desenvolvedores → Webhooks**, abra o endpoint e pressione **Revelar**. Confirme que é você, e o segredo aparece por até 60 segundos. Se **Revelar** estiver esmaecido para você, peça a um colega com acesso ou [fale com o suporte](https://help.didit.me/pt-BR/getting-started/contacting-didit-support). Se você quer um novo segredo, rotacione-o: o antigo continua funcionando por 24 horas. Mais em [receber resultados de verificação com webhooks](https://help.didit.me/pt-BR/integration/webhooks-basics).

## Confira sua configuração

1. **Combine o ambiente**

   Escolha primeiro no console a aplicação e o ambiente **Live** ou **Sandbox**, e só então copie a chave e o ID do workflow e crie o endpoint do webhook ali. Uma chave de sandbox com um ID de workflow live é um motivo comum de 401 ou 403.

2. **Coloque os valores na configuração do servidor**

   Guarde-os como secrets do lado do servidor. Nunca coloque a chave de API nem o segredo de assinatura em código de frontend, em um repositório público ou em um app móvel.

3. **Crie uma sessão**

   Chame o endpoint de criação de sessão em `https://verification.didit.me` com a sua chave e o ID do workflow. Um 401 significa que a chave está errada, expirada ou revogada; um 403 em um workflow normalmente significa que a chave pertence a outra aplicação. Veja [erros da API](https://help.didit.me/pt-BR/integration/api-errors).

4. **Envie um evento de teste**

   Em **Desenvolvedores → Webhooks**, abra o seu endpoint e pressione **Enviar evento de teste**. O seu servidor deve verificar a assinatura com o segredo de assinatura e responder com um 2xx. Se nada chegar, veja [quando um webhook nunca chega](https://help.didit.me/pt-BR/integration/webhook-troubleshooting).

## Relacionados

- [Gerenciar suas chaves de API](https://help.didit.me/pt-BR/account-organization/api-keys)
- [Receber resultados de verificação com webhooks](https://help.didit.me/pt-BR/integration/webhooks-basics)
- [Criar um workflow de verificação](https://help.didit.me/pt-BR/workflows/build-a-verification-workflow)
- [Autenticação da API](https://docs.didit.me/getting-started/api-authentication) em docs.didit.me