Salta al contenuto principale
API

Comprendi chi sta chiamando la tua API.

Aggiungi il contesto dell'attore a ogni richiesta API: quale client sta chiamando, quanto è forte l'evidenza e cosa dovrebbe fare la tua API al riguardo, percorso per percorso.

Richiedi accesso anticipatoEsplora come funziona
example-app.test · risultato dell'attore

POST /api/v1/orders

Agentebasis: inferred

Prova

Traffico con chiave API senza contesto del browser e con un modello di richiesta automatizzato

La tua policy: Richiedi la credenziale più forte prima di creare l'ordine

Una chiave API non è un'identità, e l'identità non è un'autorizzazione.

La maggior parte del traffico API arriva con una credenziale che indica quale account sta pagando, non quale client sta chiamando o chi lo ha istruito. Alcuni client firmano le loro richieste, molti dichiarano solo un nome e molti non dicono nulla.

Proof of Actor separa le tre domande a cui ogni API deve rispondere, così ciascuna riceve l'evidenza giusta e il controllo giusto.

tre domande separate
  • Chi sta chiamando?Identità dell'attore: firma, dichiarazione o inferenza
  • Quale credenziale?La tua chiave API, token OAuth o sessione
  • Cosa può fare?La tua autorizzazione e la tua policy

Proof of Actor risponde alla prima. Il tuo stack gestisce le altre due.

Cosa fanno i team API con il contesto dell'attore

  • Riconosci i client firmati

    Verifica le firme delle richieste rispetto alle chiavi pubblicate e vedi a quale operatore appartiene una richiesta.

  • Tratta le dichiarazioni come dichiarazioni

    Registra i nomi cliente autodichiarati e tienili separati dall'identità verificata.

  • Policy per route

    Consenti liberamente le letture a basso impatto e richiedi di più per le scritture e gli endpoint ad alto impatto.

  • Vedi ogni chiamante

    Comprendi quali client usano quali endpoint, inclusi quelli Unknown.

  • Mantieni separate le credenziali

    Le chiavi API e OAuth continuano a determinare l'accesso. Il contesto dell'attore aggiunge chi sta chiamando.

  • Piano per Unknown

    Definisci cosa accade quando un chiamante non fornisce evidenze utilizzabili, per route.

01 · Rileva

Evidenze da ogni richiesta.

Le integrazioni server, edge e API HTTP leggono le firme delle richieste, i dettagli dichiarati del client e il contesto della richiesta, e etichettano ciascuno in base al proprio fondamento.

  • Firme dei messaggi HTTP verificate rispetto alle chiavi pubblicate.
  • Nomi dei clienti dichiarati registrati come dichiarazioni.
  • Contesto della richiesta dal tuo server, gateway o edge.
segnali · ultima richiesta per sorgente
  • Firma della richiestavalid · sample-crawler.exampleverified
  • Dichiarazione del client"research-assistant/2.1"declared
  • Interazione nel browserpointer + keyboard eventsinferred
  • Nessun segnale supportatoroute not instrumentedunknown

02 · Comprendi

Scopri chi usa quale endpoint.

Vedi la composizione degli attori su ogni route, quali operatori ti chiamano di più e dove si concentrano i chiamanti sconosciuti.

  • Chiamanti per route e operatore.
  • L'evidenza dietro ogni classificazione.
  • Tasso di Unknown per endpoint.
traffico per route · 7 giorni
  • /dashboardSconosciuto 7%
  • /api/v1/catalogSconosciuto 15%
  • /support/ticketsSconosciuto 8%
  • /signupSconosciuto 21%
UmanoUmano + IAAgenteSconosciuto

03 · Instrada

Controlli adeguati all'impatto.

Scrivi policy a livello di route: risposte strutturate per agent Verified, limiti standard per client Declared, credenziali più forti per azioni ad alto impatto.

  • Policy per route, classe e base.
  • Passa a credenziali più forti quando conta.
  • Osserva, anteprima, poi enforcement.
policy · example-app.test
  • /api/v1/catalogenforceAgenteConsenti · API strutturata
  • /support/ticketsenforceUmano + IAConsenti · etichetta come Human + AI
  • /account/*previewSconosciutoMantieni i controlli esistenti
  • /api/v1/orderspreviewAgenteRichiedi credenziali più forti

Esempi di decisioni

Dalla request al risultato, fino alla tua decisione.

  • Un agent verificato legge il tuo catalogo

    Request

    GET /api/v1/catalog

    Risultato

    Agentebasis: verified

    La tua decisione

    Consenti con il limite di velocità per agenti e la risposta strutturata.

  • Un client automatizzato effettua un ordine

    Request

    POST /api/v1/orders

    Risultato

    Agentebasis: inferred

    La tua decisione

    Richiedi la credenziale più forte dell'app prima di creare l'ordine.

  • Un client senza evidenze

    Request

    GET /api/v1/catalog

    Risultato

    Sconosciutobasis: unknown

    La tua decisione

    Route in sola lettura: allow con il limite di frequenza predefinito.

Rilascia senza rischi

I team iniziano in modalità di osservazione e procedono route per route.

  1. 01

    Osserva ogni route

    Aggiungi il middleware o HTTP API davanti alla tua API. Le firme, le dichiarazioni e i chiamanti Unknown vengono registrati per route.

  2. 02

    Anteprima delle policy per route

    Verifica cosa avrebbero fatto i limiti di rate degli agenti o le credenziali di step-up sul traffico reale prima che si applichino.

  3. 03

    Applica in base all'impatto

    Mantieni aperte le letture, restringi le scritture e lascia che API keys e OAuth gestiscano l'accesso.

Funziona con il tuo stack

  • Team founding

    Middleware del server web (Node.js)

    Lato server

    Segnali a livello di richiesta per app renderizzate lato server e API.

  • Team founding

    Next.js

    Lato server ed edge

    Middleware per pagine e route API.

  • Team founding

    Script del browser

    Solo segnali del browser

    Segnali di interazione dalle sessioni del browser, insieme a un'integrazione lato server.

  • Team founding

    Cloudflare e runtime edge

    Edge

    Segnali all'edge prima che le richieste raggiungano l'origine.

  • Team founding

    API HTTP generica

    Qualsiasi stack

    Invia il contesto della richiesta a una API e ricevi un risultato con la sua base.

  • Team founding

    Server MCP

    MCP

    Contesto dell'attore per le chiamate agli strumenti MCP.

  • Roadmap

    WordPress

    Plugin

    Plugin per siti WordPress.

  • Roadmap

    Mobile nativo

    iOS e Android

    SDK nativi per iOS e Android.

Le integrazioni vengono fornite in modo pratico con ogni team fondatore durante l'onboarding. Usi uno stack diverso? Diccelo quando fai domanda.

Scopri di più

Leggi Detection & Limitations

Domande frequenti

I client devono firmare le loro richieste?

No. Le richieste firmate forniscono l'evidenza più forte, ma Proof of Actor registra anche dichiarazioni e inferenze, ciascuna etichettata con il proprio fondamento, e riporta Unknown quando non ce n'è abbastanza.

Una firma valida significa che il client è autorizzato ad agire?

No. Mostra che la richiesta è stata firmata con una chiave collegata a un identificatore pubblicato. Ciò che quell'operatore può fare è deciso dalla tua autorizzazione e dalla tua policy.

Sostituisce le API key o OAuth?

No. Le credenziali controllano ancora l'accesso. Proof of Actor aggiunge chi o cosa sta chiamando, così puoi applicare policy migliori sopra.

Possiamo impostare regole diverse per endpoint?

Sì. Le policy sono scritte per route, quindi gli endpoint di sola lettura e le scritture ad alto impatto possono essere trattati in modo diverso.

Quanto costa?

I team fondatori selezionati possono ricevere fino a 12 months free entro i limiti d'uso concordati.

Scopri chi sta chiamando la tua API.

Unisciti al founding developer program di Proof of Actor.

Richiedi accesso anticipatoHub per sviluppatori

Preferisci parlare prima? Parla con i fondatori