Ga naar hoofdinhoud
APIS

Begrijp wie uw API aanroept.

Voeg actorcontext toe aan elke API request: welke client aanroept, hoe sterk het bewijs is en wat uw API ermee moet doen, route per route.

Krijg vroege toegangOntdek hoe het werkt
example-app.test · actor resultaat

POST /api/v1/orders

Agentbasis: inferred

Bewijs

Verkeer met een API-sleutel zonder browsercontext en een geautomatiseerd requestpatroon

Uw beleid: Vraag om de sterkere credential voordat u de bestelling aanmaakt

Een API key is geen identiteit, en identiteit is geen toestemming.

Het meeste API-verkeer komt binnen met een credential die aangeeft welk account betaalt, niet welke client belt of wie die opdracht gaf. Sommige clients ondertekenen hun verzoeken, veel geven alleen een naam op, en veel zeggen helemaal niets.

Proof of Actor scheidt de drie vragen die elke API moet beantwoorden, zodat elk de juiste bewijsvoering en de juiste controle krijgt.

drie afzonderlijke vragen
  • Wie belt er?Actoridentiteit: handtekening, verklaring of afleiding
  • Welke credential?Uw API key, OAuth token of sessie
  • Wat kan het doen?Uw autorisatie en beleid

Proof of Actor beantwoordt de eerste. Je stack houdt de andere twee.

Wat API-teams doen met actor-context

  • Ondertekende clients herkennen

    Controleer requesthandtekeningen aan de hand van gepubliceerde sleutels en zie bij welke operator een request hoort.

  • Beschouw declaraties als declaraties

    Leg zelfverklaarde clientnamen vast en houd ze gescheiden van geverifieerde identiteit.

  • Beleidsregels per route

    Sta laag-risico reads vrij toe en vraag om meer bij writes en endpoints met hoge impact.

  • Zie elke aanroeper

    Begrijp welke clients welke endpoints gebruiken, inclusief de onbekende.

  • Houd inloggegevens gescheiden

    API-sleutels en OAuth bepalen nog steeds de toegang. Actorcontext voegt toe wie er aanroept.

  • Plan voor Unknown

    Bepaal per route wat er gebeurt wanneer een aanroeper geen bruikbaar bewijs aanlevert.

01 · Detect

Bewijs uit elk verzoek.

Server-, edge- en HTTP API-integraties lezen verzoekhandtekeningen, gedeclareerde clientgegevens en requestcontext, en labelen elk met de onderliggende basis.

  • HTTP-messagehandtekeningen geverifieerd aan de hand van gepubliceerde sleutels.
  • Verklaarde cl iëntnamen die als verklaringen zijn vastgelegd.
  • Vraag context op van je server, gateway of edge.
signals · laatste aanvraag per bron
  • Requesthandtekeningvalid · sample-crawler.exampleverified
  • Clientverklaring"research-assistant/2.1"declared
  • Browserinteractiepointer + keyboard eventsinferred
  • Geen ondersteunde signalenroute not instrumentedunknown

02 · Begrijpen

Weet wie welk endpoint gebruikt.

Zie de verdeling van actoren op elke route, welke operators je het meest aanroepen, en waar onbekende aanroepers zich concentreren.

  • Aanroepers per route en operator.
  • Het bewijs achter elke classificatie.
  • Unknown-percentage per endpoint.
verkeer per route · 7 dagen
  • /dashboardOnbekend 7%
  • /api/v1/catalogOnbekend 15%
  • /support/ticketsOnbekend 8%
  • /signupOnbekend 21%
MensMens + AIAgentOnbekend

03 · Routeren

Beheersmaatregelen die passen bij de impact.

Schrijf route-level policies: gestructureerde reacties voor Verified agents, standaardlimieten voor Declared clients, sterkere credentials voor acties met grote impact.

  • Beleidsregels per route, klasse en basis.
  • Schaal op naar sterkere credentials wanneer dat nodig is.
  • Observeren, previewen, daarna handhaven.
policy · example-app.test
  • /api/v1/catalogenforceAgentToestaan · gestructureerde API
  • /support/ticketsenforceMens + AIToestaan · labelen als door AI ondersteund
  • /account/*previewOnbekendBehoud bestaande controles
  • /api/v1/orderspreviewAgentSterkere referentie vereisen

Voorbeeldbeslissingen

Van verzoek naar resultaat naar jouw beslissing.

  • Een geverifieerde agent leest uw catalogus

    Request

    GET /api/v1/catalog

    Resultaat

    Agentbasis: verified

    Jouw beslissing

    Toestaan met de agent rate limit en het gestructureerde antwoord.

  • Een geautomatiseerde client plaatst een bestelling

    Request

    POST /api/v1/orders

    Resultaat

    Agentbasis: inferred

    Jouw beslissing

    Vraag om de sterkere credential van de app voordat u de bestelling aanmaakt.

  • Een client zonder bewijs

    Request

    GET /api/v1/catalog

    Resultaat

    Onbekendbasis: unknown

    Jouw beslissing

    Read-only route: toestaan met de standaard rate limit.

Uitrollen zonder risico

Teams beginnen in observatiemodus en gaan route voor route verder.

  1. 01

    Observeer elke route

    Voeg de middleware of HTTP API vóór je API toe. Handtekeningen, declaraties en Unknown callers worden per route vastgelegd.

  2. 02

    Bekijk routebeleid

    Controleer wat agent rate limits of step-up credentials op echt verkeer zouden hebben gedaan voordat ze worden toegepast.

  3. 03

    Handhaaf op impact

    Houd reads open, verscherp writes en laat API keys en OAuth de toegang beheren.

Werkt met je stack

  • Oprichtende teams

    Webservermiddleware (Node.js)

    Server-side

    Signalen op requestniveau voor server-side gerenderde apps en APIs.

  • Oprichtende teams

    Next.js

    Server-side en edge

    Middleware voor pagina- en API-routes.

  • Oprichtende teams

    Browserscript

    Alleen browsersignalen

    Interactiesignalen uit browsersessies, naast een server-side integratie.

  • Oprichtende teams

    Cloudflare en edge-runtimes

    Edge

    Signalen aan de edge voordat verzoeken je origin bereiken.

  • Oprichtende teams

    Generieke HTTP API

    Elke stack

    Stuur requestcontext naar een API en ontvang een resultaat met de basis ervan.

  • Oprichtende teams

    MCP-server

    MCP

    Actorcontext voor MCP-toolaanroepen.

  • Roadmap

    WordPress

    Plugin

    Plugin voor WordPress-sites.

  • Roadmap

    Native mobiel

    iOS en Android

    Native iOS- en Android SDKs.

Integraties worden tijdens de onboarding hands-on geleverd met elk founding team. Gebruikt u een andere stack? Vertel het ons wanneer u zich aanmeldt.

Meer informatie

Lees Detectie & Beperkingen

Veelgestelde vragen

Moeten clients hun verzoeken ondertekenen?

Nee. Ondertekende verzoeken geven het sterkste bewijs, maar Proof of Actor registreert ook declaraties en inferenties, elk met hun basis gelabeld, en rapporteert Unknown wanneer er niet genoeg is.

Betekent een geldige handtekening dat de client mag handelen?

Nee. Het laat zien dat het verzoek is ondertekend met een key die gekoppeld is aan een gepubliceerde identifier. Wat die operator mag doen, wordt bepaald door je autorisatie en beleid.

Vervangt het API keys of OAuth?

Nee. Credentials bepalen nog steeds de toegang. Proof of Actor voegt toe wie of wat er belt, zodat je daarbovenop beter beleid kunt toepassen.

Kunnen we per endpoint andere regels instellen?

Ja. Beleid wordt per route geschreven, zodat read-only endpoints en writes met grote impact verschillend kunnen worden behandeld.

Wat kost het?

Geselecteerde founding developer teams kunnen tot 12 maanden gratis krijgen binnen overeengekomen gebruikslimieten.

Weet wie uw API aanroept.

Sluit u aan bij het Proof of Actor founding developer program.

Krijg vroege toegangOntwikkelaarshub

Eerst liever even praten? Spreek met de oprichters