Visão geral

A API pública da Legitimuz tem uma rota. O que ela faz, como autentica e o que fica do lado do widget.

A API pública tem uma rota: POST /public/verifications. O seu servidor cria a verificação com ela, e tudo o que precisa saber depois chega por webhook.

https://api.legitimuz.com

Sandbox e produção usam o mesmo host. O que separa os dois é a chave.

O ciclo

1. O seu servidor cria a verificação

   POST /public/verifications com o header X-API-Key. Devolve o public_id e a entrada da jornada.

2. A pessoa percorre a jornada

   O widget abre com a credencial que veio na entrada e conversa com a Legitimuz sozinho.

3. O seu servidor recebe a decisão

   verification.decided chega assinado ao seu endpoint.

As rotas que o widget usa durante a jornada não são contrato público. Elas mudam junto com as telas. Chame só POST /public/verifications.

Autenticação

Header X-API-Key, com a chave da integração (lz_...). A chave não é aceita no corpo nem na query string. Detalhes em autenticação.

Convenções

• Datas em ISO 8601, em UTC.
• schema_version no topo de todo corpo. Hoje, "1.0".
• Requisições usam schema fechado: campo desconhecido é recusado.
• Respostas são aditivas: campo novo pode aparecer, e o seu cliente ignora o que não conhece.
• Toda resposta traz X-Request-Id. Registre-o: é o que localiza uma chamada no suporte.

Páginas

Criar verificação

Corpo, resposta, idempotência e códigos.

Status

Os cinco valores e o que cada um significa.

Erros e limites

O envelope, o catálogo e o comportamento diante de 429.