# Onde encontro a minha chave de API, o ID do fluxo e o segredo do webhook?

Source: https://help.didit.me/pt-PT/integration/api-key-workflow-id-and-webhook-secret
Updated: 2026-11-12

A chave de API está em Developers, API keys; o ID do fluxo na página Workflows; o segredo de assinatura do webhook é de cada endpoint em Developers, Webhooks.

Precisas de três valores da consola. A **chave de API** cria-se em **Programadores → Chaves de API**. O **ID do fluxo de trabalho** copia-se da página **Fluxos de trabalho**. O **segredo de assinatura do webhook** pertence a cada endpoint em **Programadores → Webhooks**, e podes mostrá-lo de novo a qualquer momento com **Revelar**. Obtém os três da mesma aplicação e do mesmo ambiente, Produção ou Sandbox.

Uma aplicação inicial ou um projeto gerado por IA lista muitas vezes variáveis de ambiente como `DIDIT_API_KEY`, `DIDIT_WORKFLOW_ID` e `DIDIT_WEBHOOK_SECRET`. Os nomes pertencem a essa aplicação: a Didit não os define por ti. Esta tabela indica de onde vem cada valor.

## Onde está cada valor

| Valor | Onde obtê-lo | O que convém saber |
|---|---|---|
| **Chave de API** | **Programadores → Chaves de API**, depois **Criar chave** (cada aplicação tem também uma chave **Principal**) | O segredo completo só é mostrado uma vez, quando crias ou rodas a chave, por isso copia-o então para o teu gestor de segredos. Uma aplicação Live e uma aplicação Sandbox têm chaves diferentes: uma chave sandbox nunca cria uma verificação live. Envia-a no cabeçalho `x-api-key`, só a partir do teu servidor |
| **ID do fluxo de trabalho** | **Verificação de identidade → Fluxos de trabalho**: abre o menu da linha e escolhe **Copiar ID do fluxo de trabalho** (o painel de pré-visualização tem o mesmo botão) | Cada fluxo de trabalho tem o seu próprio ID em cada aplicação. Uma cópia de um fluxo de trabalho recebe um ID novo |
| **Webhook signing secret** (segredo de assinatura do webhook) | **Programadores → Webhooks**, abre o endpoint, depois o seu segredo de assinatura e prime **Revelar** | Um segredo por endpoint, não por aplicação. Revelar pede-te que confirmes que és tu, e depois o segredo volta a ocultar-se em 60 segundos. Podes revelá-lo de novo sempre que precisares |
| **API base URL** | Não está na consola: indica-o docs.didit.me | `https://verification.didit.me` serve a API de verificação (sessões, fluxos de trabalho, listas, webhooks), autenticada com o cabeçalho `x-api-key`. Consulta [autenticação da API](https://docs.didit.me/getting-started/api-authentication) |

> **Note:** A chave de API e o segredo de assinatura são valores diferentes. A chave de API autentica
> os teus pedidos à Didit; o segredo de assinatura permite-te verificar que um webhook veio
> mesmo da Didit. Usar um no lugar do outro dá um 401 ou uma discrepância de assinatura.

## Posso voltar a ver o segredo de assinatura do webhook?

Sim. Abre **Programadores → Webhooks**, abre o endpoint e prime **Revelar**. Confirma que és tu, e o segredo fica visível até 60 segundos. Se **Revelar** estiver a cinzento para ti, pede a um colega com acesso ou [contacta o suporte](https://help.didit.me/pt-PT/getting-started/contacting-didit-support). Se quiseres um segredo novo, roda-o em vez disso: o antigo continua a funcionar durante 24 horas. Mais em [obter resultados de verificação com webhooks](https://help.didit.me/pt-PT/integration/webhooks-basics).

## Verifica a tua configuração

1. **Faz coincidir o ambiente**

   Escolhe primeiro na consola a aplicação e o ambiente **Produção** ou **Sandbox**, e só depois copia a chave, o ID do fluxo de trabalho e cria o endpoint do webhook aí. Uma chave sandbox com um ID de fluxo de trabalho live é uma causa comum de 401 ou 403.

2. **Põe os valores na configuração do teu servidor**

   Guarda-os como segredos do lado do servidor. Nunca ponhas a chave de API nem o segredo de assinatura em código de frontend, num repositório público ou numa aplicação móvel.

3. **Cria uma sessão**

   Chama o endpoint de criação de sessão em `https://verification.didit.me` com a tua chave e o ID do fluxo de trabalho. Um 401 significa que a chave está errada, expirada ou revogada; um 403 num fluxo de trabalho costuma significar que a chave pertence a outra aplicação. Consulta [erros da API](https://help.didit.me/pt-PT/integration/api-errors).

4. **Envia um evento de teste**

   Em **Programadores → Webhooks**, abre o teu endpoint e prime **Enviar evento de teste**. O teu servidor deve verificar a assinatura com o segredo de assinatura e responder com um 2xx. Se não chegar nada, consulta [quando um webhook nunca chega](https://help.didit.me/pt-PT/integration/webhook-troubleshooting).

## Relacionado

- [Gerir as tuas chaves de API](https://help.didit.me/pt-PT/account-organization/api-keys)
- [Obter resultados de verificação com webhooks](https://help.didit.me/pt-PT/integration/webhooks-basics)
- [Criar um fluxo de verificação](https://help.didit.me/pt-PT/workflows/build-a-verification-workflow)
- [Autenticação da API](https://docs.didit.me/getting-started/api-authentication) em docs.didit.me