Entiende quién llama a tu API.
Añade contexto de actor a cada solicitud de API: qué cliente llama, cuán sólida es la evidencia y qué debe hacer tu API al respecto, ruta por ruta.
POST /api/v1/orders
Evidencia
Tráfico con clave de API sin contexto de navegador y un patrón de solicitud automatizado
Tu política: Pedir la credencial más fuerte antes de crear el pedido
Una clave de API no es una identidad, y la identidad no es permiso.
La mayor parte del tráfico de API llega con una credencial que indica qué cuenta paga, no qué cliente está llamando ni quién lo instruyó. Algunos clientes firman sus solicitudes, muchos solo declaran un nombre y muchos no dicen nada en absoluto.
Proof of Actor separa las tres preguntas que toda API tiene que responder, de modo que cada una reciba la evidencia correcta y el control adecuado.
- ¿Quién llama?Identidad del actor: firma, declaración o inferencia
- ¿Qué credencial?Tu API key, token de OAuth o sesión
- ¿Qué puede hacer?Tu autorización y política
Proof of Actor responde a la primera. Tu stack conserva las otras dos.
Qué hacen los equipos de API con el contexto del actor
Reconocer clientes firmados
Comprueba las firmas de las solicitudes con las claves publicadas y ve a qué operador pertenece una solicitud.
Trata las declaraciones como declaraciones
Registra los nombres de cliente declarados por ellos mismos y mantenlos separados de la identidad verificada.
Políticas por ruta
Permite libremente las lecturas de bajo impacto y solicita más en escrituras y endpoints de alto impacto.
Vea cada llamador
Entiende qué clientes usan qué endpoints, incluidos los desconocidos.
Mantén separadas las credenciales
Las claves de API y OAuth siguen decidiendo el acceso. El contexto del actor añade quién está llamando.
Plan para Desconocido
Define qué ocurre cuando un llamante no aporta evidencia utilizable, por ruta.
01 · Detect
Evidencia de cada solicitud.
Las integraciones de servidor, edge y API de HTTP leen las firmas de las solicitudes, los detalles declarados del cliente y el contexto de la solicitud, y etiquetan cada una con su base.
- Firmas de HTTP verificadas contra claves publicadas.
- Nombres de clientes declarados registrados como declaraciones.
- Solicite contexto desde su servidor, gateway o edge.
- Firma de la solicitudvalid · sample-crawler.exampleverified
- Declaración del cliente"research-assistant/2.1"declared
- Interacción en el navegadorpointer + keyboard eventsinferred
- Sin señales compatiblesroute not instrumentedunknown
02 · Understand
Sabe quién usa qué endpoint.
Vea la composición de actores en cada ruta, qué operadores le llaman más y dónde se concentran los llamadores desconocidos.
- Llamadores por ruta y operador.
- La evidencia detrás de cada clasificación.
- Tasa de Unknown por endpoint.
- /dashboardDesconocido 7%
- /api/v1/catalogDesconocido 15%
- /support/ticketsDesconocido 8%
- /signupDesconocido 21%
03 · Route
Controles que se ajustan al impacto.
Escribe políticas a nivel de ruta: respuestas estructuradas para agentes Verified, límites estándar para clientes Declared, credenciales más fuertes para acciones de alto impacto.
- Políticas por ruta, clase y base.
- Pasa a credenciales más fuertes cuando importe.
- Observar, previsualizar y luego aplicar.
- /api/v1/catalogenforceAgentePermitir · API estructurada
- /support/ticketsenforceHumano + IAPermitir · etiquetar como asistido por IA
- /account/*previewDesconocidoMantén las comprobaciones existentes
- /api/v1/orderspreviewAgenteExigir una credencial más fuerte
Decisiones de ejemplo
De la solicitud al resultado y a tu decisión.
Un agent verificado lee tu catálogo
Solicitud
GET /api/v1/catalog
Resultado
Agentebasis: verifiedTu decisión
Permite con el límite de tasa de agente y la respuesta estructurada.
Un cliente automatizado realiza un pedido
Solicitud
POST /api/v1/orders
Resultado
Agentebasis: inferredTu decisión
Pide la credencial más fuerte de la app antes de crear el pedido.
Un cliente sin evidencia
Solicitud
GET /api/v1/catalog
Resultado
Desconocidobasis: unknownTu decisión
Ruta de solo lectura: permitir con el límite de tasa predeterminado.
Despliega sin riesgo
Los equipos empiezan en modo de observación y avanzan ruta por ruta.
- 01
Observa cada ruta
Añade el middleware o la HTTP API delante de tu API. Las firmas, declaraciones y llamadas Unknown se registran por ruta.
- 02
Previsualizar políticas de ruta
Comprueba qué habrían hecho los límites de tasa de Agent o las credenciales de refuerzo sobre tráfico real antes de que se apliquen.
- 03
Aplicar según el impacto
Mantén abiertas las lecturas, restringe las escrituras y deja que las API keys y OAuth controlen el acceso.
Funciona con tu stack
- Equipos fundadores
Middleware de servidor web (Node.js)
Del lado del servidor
Señales a nivel de solicitud para apps y APIs renderizadas en servidor.
- Equipos fundadores
Next.js
Del lado del servidor y en edge
Middleware para rutas de página y API.
- Equipos fundadores
Script del navegador
Solo señales del navegador
Señales de interacción de sesiones del navegador, junto con una integración del lado del servidor.
- Equipos fundadores
Cloudflare y entornos de ejecución en el edge
Borde
Señales en el edge antes de que las solicitudes lleguen a tu origen.
- Equipos fundadores
API HTTP genérico
Cualquier stack
Envíe el contexto de la solicitud a una API y reciba un resultado con su base.
- Equipos fundadores
Servidor MCP
MCP
Contexto de actor para llamadas a herramientas de MCP.
- Hoja de ruta
WordPress
Complemento
Plugin para sitios de WordPress.
- Hoja de ruta
Móvil nativo
iOS y Android
SDK nativos para iOS y Android.
Las integraciones se entregan de forma práctica con cada equipo fundador durante la incorporación. ¿Usas otra pila? Cuéntanoslo cuando apliques.
Preguntas frecuentes
¿Los clientes necesitan firmar sus solicitudes?
No. Las solicitudes firmadas aportan la evidencia más sólida, pero Proof of Actor también registra declaraciones e inferencias, cada una etiquetada con su base, y reporta Unknown cuando no hay suficiente.
¿Una firma válida significa que el cliente está autorizado a actuar?
No. Muestra que la solicitud se firmó con una clave vinculada a un identificador publicado. Lo que ese operador puede hacer lo deciden tu autorización y tu política.
¿Sustituye las API keys o OAuth?
No. Las credenciales siguen controlando el acceso. Proof of Actor añade quién o qué está llamando, para que puedas aplicar mejores políticas encima.
¿Podemos definir reglas diferentes por endpoint?
Sí. Las políticas se escriben por ruta, así que los endpoints de solo lectura y las escrituras de alto impacto pueden tratarse de forma diferente.
¿Cuánto cuesta?
Los equipos fundadores de desarrolladores seleccionados pueden recibir hasta 12 months free dentro de los límites de uso acordados.
Sabe quién está llamando a tu API.
Únete al programa Founding Developer de Proof of Actor.
¿Prefieres hablar primero? Habla con los fundadores