Entenda quem está chamando sua API.
Adicione contexto de ator a cada requisição de API: qual cliente está chamando, quão forte é a evidência e o que sua API deve fazer em relação a isso, rota por rota.
POST /api/v1/orders
Evidência
Tráfego com chave de API sem contexto de navegador e com padrão automatizado de request
Sua política: Solicitar a credencial mais forte antes de criar o pedido
Uma chave de API não é uma identidade, e identidade não é permissão.
A maior parte do tráfego de API chega com uma credencial que informa qual conta está pagando, não qual cliente está chamando nem quem o instruiu. Alguns clientes assinam suas solicitações, muitos apenas declaram um nome, e muitos não dizem nada.
O Proof of Actor separa as três perguntas que toda API precisa responder, para que cada uma receba a evidência certa e o controle certo.
- Quem está chamando?Identidade do ator: assinatura, declaração ou inferência
- Qual credencial?Sua chave de API, token OAuth ou sessão
- O que pode fazer?Sua autorização e política
O Proof of Actor responde à primeira. Sua stack mantém as outras duas.
O que equipes de API fazem com contexto do ator
Reconhecer clientes assinados
Verifique assinaturas de request com chaves publicadas e veja a qual operador uma request pertence.
Trate declarações como declarações
Registre nomes de clientes declarados pelo próprio cliente e mantenha-os separados da identidade verificada.
Políticas por rota
Permita leituras de baixo impacto livremente e peça mais em gravações e endpoints de alto impacto.
Veja cada chamador
Entenda quais clientes usam quais endpoints, incluindo os desconhecidos.
Mantenha as credenciais separadas
Chaves de API e OAuth continuam decidindo o acesso. O contexto do ator acrescenta quem está chamando.
Plano para Desconhecido
Defina o que acontece quando um chamador não fornece evidência utilizável, por route.
01 · Detect
Evidência de cada solicitação.
Integrações de servidor, edge e API leem assinaturas de requisição, detalhes declarados do cliente e o contexto da requisição, e rotulam cada uma com sua base.
- Assinaturas de mensagem HTTP verificadas com chaves publicadas.
- Nomes de clientes declarados registrados como declarações.
- Obtenha contexto da requisição do seu servidor, gateway ou edge.
- Assinatura da requisiçãovalid · sample-crawler.exampleverified
- Declaração do cliente"research-assistant/2.1"declared
- Interação no navegadorpointer + keyboard eventsinferred
- Sem sinais suportadosroute not instrumentedunknown
02 · Understand
Saiba quem usa qual endpoint.
Veja a composição de atores em cada rota, quais operadores acionam você mais e onde os chamadores desconhecidos se concentram.
- Chamadores por rota e operador.
- A evidência por trás de cada classificação.
- Taxa de Unknown por endpoint.
- /dashboardDesconhecido 7%
- /api/v1/catalogDesconhecido 15%
- /support/ticketsDesconhecido 8%
- /signupDesconhecido 21%
03 · Route
Controles que correspondem ao impacto.
Escreva políticas no nível da rota: respostas estruturadas para agents Verified, limites padrão para clientes Declared e credenciais mais fortes para ações de alto impacto.
- Políticas por rota, classe e base.
- Passe para credenciais mais fortes quando isso importar.
- Observe, pré-visualize, depois aplique enforcement.
- /api/v1/catalogenforceAgentePermitir · API estruturada
- /support/ticketsenforceHumano + IAPermitir · rotular como Human + AI
- /account/*previewDesconhecidoMantenha as verificações existentes
- /api/v1/orderspreviewAgenteExigir credencial mais forte
Exemplos de decisões
Da solicitação ao resultado até a sua decisão.
Um agent verificado lê seu catálogo
Request
GET /api/v1/catalog
Resultado
Agentebasis: verifiedSua decisão
Permita com o limite de taxa de agente e a resposta estruturada.
Um cliente automatizado faz um pedido
Request
POST /api/v1/orders
Resultado
Agentebasis: inferredSua decisão
Peça a credencial mais forte do app antes de criar o pedido.
Um client sem evidência
Request
GET /api/v1/catalog
Resultado
Desconhecidobasis: unknownSua decisão
Rota somente leitura: permitir com o limite padrão de taxa.
Implante sem risco
As equipes começam no modo de observação e avançam route por route.
- 01
Observe cada route
Adicione o middleware ou HTTP API à frente da sua API. Assinaturas, declarações e chamadores Unknown são registrados por route.
- 02
Pré-visualizar políticas de route
Verifique o que limites de taxa de agent ou credenciais de step-up teriam feito no tráfego real antes de serem aplicados.
- 03
Aplicar por impacto
Mantenha leituras abertas, restrinja gravações e mantenha chaves de API e OAuth no controle do acesso.
Funciona com a sua stack
- Equipes fundadoras
Middleware de servidor web (Node.js)
Lado do servidor
Sinais no nível da requisição para apps renderizados no servidor e APIs.
- Equipes fundadoras
Next.js
Do lado do servidor e na borda
Middleware para rotas de página e API.
- Equipes fundadoras
Script do navegador
Apenas sinais do navegador
Sinais de interação de sessões no navegador, junto com uma integração do lado do servidor.
- Equipes fundadoras
Cloudflare e runtimes de edge
Edge
Sinais na borda antes que as requisições cheguem à sua origem.
- Equipes fundadoras
API HTTP genérica
Qualquer stack
Envie o contexto da requisição para uma API e receba um resultado com sua base.
- Equipes fundadoras
servidor MCP
MCP
Contexto de ator para chamadas de ferramenta MCP.
- Roadmap
WordPress
Plugin
Plugin para sites WordPress.
- Roadmap
Mobile nativo
iOS e Android
SDKs nativos para iOS e Android.
As integrações são entregues de forma prática com cada equipe fundadora durante o onboarding. Usa outro stack? Conte para nós ao se candidatar.
Perguntas frequentes
Os clientes precisam assinar suas solicitações?
Não. Solicitações assinadas fornecem a evidência mais forte, mas o Proof of Actor também registra declarações e inferências, cada uma rotulada com sua base, e reporta Unknown quando não há o suficiente.
Uma assinatura válida significa que o cliente está autorizado a agir?
Não. Ele mostra que a solicitação foi assinada com uma chave vinculada a um identificador publicado. O que esse operador pode fazer é decidido pela sua autorização e política.
Ele substitui chaves de API ou OAuth?
Não. As credenciais ainda controlam o acesso. O Proof of Actor adiciona quem ou o que está chamando, para que você possa aplicar políticas melhores por cima.
Podemos definir regras diferentes por endpoint?
Sim. As políticas são escritas por rota, então endpoints somente leitura e gravações de alto impacto podem ser tratados de forma diferente.
Quanto custa?
Equipes fundadoras de desenvolvimento selecionadas podem receber até 12 months free dentro dos limites de uso acordados.
Saiba quem está chamando sua API.
Participe do founding developer program do Proof of Actor.
Prefere falar primeiro? Fale com os fundadores