Hiểu ai đang gọi API của bạn.
Thêm ngữ cảnh tác nhân vào mọi yêu cầu API: client nào đang gọi, bằng chứng mạnh đến đâu, và API của bạn nên xử lý thế nào, theo từng tuyến.
POST /api/v1/orders
Bằng chứng
Lưu lượng dùng API key không có ngữ cảnh trình duyệt và có mẫu yêu cầu tự động
Chính sách của bạn: Yêu cầu thông tin xác thực mạnh hơn trước khi tạo đơn hàng
Một khóa API không phải là danh tính, và danh tính không phải là quyền.
Phần lớn lưu lượng API đi kèm một credential cho biết tài khoản nào đang thanh toán, chứ không cho biết client nào đang gọi hoặc ai đã chỉ định nó. Một số client ký request của họ, nhiều client chỉ khai báo tên, và nhiều client không nói gì cả.
Proof of Actor tách riêng ba câu hỏi mà mỗi API phải trả lời, để mỗi câu hỏi nhận được đúng bằng chứng và đúng kiểm soát.
- Ai đang gọi?Danh tính tác nhân: chữ ký, khai báo hay suy luận
- Thông tin xác thực nào?API key, OAuth token hoặc session của bạn
- Nó có thể làm gì?Ủy quyền và chính sách của bạn
Proof of Actor trả lời câu hỏi đầu tiên. Ngăn xếp của bạn giữ hai câu hỏi còn lại.
Các đội API làm gì với ngữ cảnh tác nhân
Nhận biết client đã ký
Kiểm tra chữ ký request với các khóa đã công bố và xem request thuộc về operator nào.
Xem declarations như declarations
Ghi lại tên client do chính họ khai báo, và giữ chúng tách biệt với danh tính đã được xác minh.
Chính sách theo tuyến
Cho phép đọc tác động thấp một cách tự do và yêu cầu thêm trên các lệnh ghi và endpoint có tác động cao.
Xem mọi caller
Hiểu client nào dùng endpoint nào, bao gồm cả những endpoint Unknown.
Tách riêng thông tin xác thực
API key và OAuth vẫn quyết định quyền truy cập. Ngữ cảnh tác nhân bổ sung thông tin ai đang gọi.
Kế hoạch cho Unknown
Định nghĩa điều gì xảy ra khi bên gọi không cung cấp bằng chứng sử dụng được, theo từng route.
01 · Phát hiện
Bằng chứng từ mọi yêu cầu.
Các tích hợp máy chủ, edge và HTTP API đọc chữ ký yêu cầu, thông tin client được khai báo và ngữ cảnh yêu cầu, rồi gắn nhãn từng mục theo cơ sở của nó.
- Chữ ký HTTP message được xác minh đối chiếu với các khóa đã công bố.
- Tên client được khai báo được ghi lại như các khai báo.
- Lấy ngữ cảnh yêu cầu từ server, gateway hoặc edge của bạn.
- Chữ ký yêu cầuvalid · sample-crawler.exampleverified
- Khai báo của client"research-assistant/2.1"declared
- Tương tác trình duyệtpointer + keyboard eventsinferred
- Không có tín hiệu được hỗ trợroute not instrumentedunknown
02 · Hiểu rõ
Biết ai dùng endpoint nào.
Xem cơ cấu actor trên từng route, operator nào gọi bạn nhiều nhất, và nơi các caller không xác định tập trung.
- Người gọi theo route và operator.
- Bằng chứng phía sau mỗi phân loại.
- Tỷ lệ Unknown theo từng endpoint.
- /dashboardKhông xác định 7%
- /api/v1/catalogKhông xác định 15%
- /support/ticketsKhông xác định 8%
- /signupKhông xác định 21%
03 · Định tuyến
Kiểm soát phù hợp với mức độ tác động.
Viết chính sách ở cấp route: phản hồi có cấu trúc cho agent đã được xác minh, giới hạn tiêu chuẩn cho khách hàng đã khai báo, thông tin xác thực mạnh hơn cho các hành động có tác động lớn.
- Chính sách theo tuyến, lớp và cơ sở.
- Nâng cấp lên thông tin xác thực mạnh hơn khi cần.
- Quan sát, xem trước, rồi thực thi.
- /api/v1/catalogenforceTác nhânCho phép · API có cấu trúc
- /support/ticketsenforceCon người + AICho phép · gắn nhãn Human + AI
- /account/*previewKhông xác địnhGiữ nguyên các kiểm tra hiện có
- /api/v1/orderspreviewTác nhânYêu cầu thông tin xác thực mạnh hơn
Ví dụ về quyết định
Từ request đến kết quả đến quyết định của bạn.
Một Agent đã được xác minh đọc danh mục của bạn
Yêu cầu
GET /api/v1/catalog
Kết quả
Tác nhânbasis: verifiedQuyết định của bạn
Cho phép với giới hạn tốc độ dành cho agent và phản hồi có cấu trúc.
Một client tự động đặt hàng
Yêu cầu
POST /api/v1/orders
Kết quả
Tác nhânbasis: inferredQuyết định của bạn
Yêu cầu thông tin xác thực mạnh hơn của app trước khi tạo đơn hàng.
Một client không có bằng chứng
Yêu cầu
GET /api/v1/catalog
Kết quả
Không xác địnhbasis: unknownQuyết định của bạn
Tuyến chỉ đọc: cho phép với giới hạn tần suất mặc định.
Triển khai mà không rủi ro
Các nhóm bắt đầu ở chế độ quan sát và chuyển từng route một.
- 01
Quan sát mọi route
Thêm middleware hoặc HTTP API phía trước API của bạn. Chữ ký, khai báo và các caller Unknown được ghi nhận theo từng route.
- 02
Xem trước chính sách route
Kiểm tra agent rate limits hoặc step-up credentials sẽ tạo ra điều gì trên traffic thực tế trước khi chúng được áp dụng.
- 03
Áp dụng theo mức độ tác động
Mở quyền đọc, siết chặt quyền ghi, và để API keys cùng OAuth kiểm soát quyền truy cập.
Hoạt động với stack của bạn
- Các nhóm sáng lập
Middleware máy chủ web (Node.js)
Phía máy chủ
Tín hiệu ở cấp yêu cầu cho các ứng dụng render phía server và APIs.
- Các nhóm sáng lập
Next.js
Phía máy chủ và edge
Middleware cho các route trang và API.
- Các nhóm sáng lập
Script trình duyệt
Chỉ tín hiệu trình duyệt
Tín hiệu tương tác từ các phiên trình duyệt, cùng với một tích hợp phía máy chủ.
- Các nhóm sáng lập
Cloudflare và các môi trường chạy ở edge
Biên
Tín hiệu ở edge trước khi yêu cầu đến origin của bạn.
- Các nhóm sáng lập
API HTTP chung
Bất kỳ stack nào
Gửi ngữ cảnh yêu cầu tới một API và nhận kết quả kèm cơ sở của nó.
- Các nhóm sáng lập
Máy chủ MCP
MCP
Ngữ cảnh tác nhân cho các lệnh gọi công cụ MCP.
- Lộ trình
WordPress
Plugin
Plugin cho các trang WordPress.
- Lộ trình
Di động gốc
iOS và Android
Native iOS và Android SDK.
Các tích hợp được triển khai trực tiếp cùng từng nhóm sáng lập trong quá trình onboarding. Dùng một stack khác? Hãy cho chúng tôi biết khi bạn đăng ký.
Câu hỏi thường gặp
Client có cần ký các yêu cầu của họ không?
Không. Request đã ký cung cấp evidence mạnh nhất, nhưng Proof of Actor cũng ghi nhận các deklaration và suy luận, mỗi loại đều được gắn nhãn theo basis của nó, và báo cáo Unknown khi không đủ dữ liệu.
Một chữ ký hợp lệ có nghĩa là client được phép hành động không?
Không. Nó cho thấy request đã được ký bằng một key gắn với một định danh đã công bố. Operator đó được phép làm gì sẽ do authorization và policy của bạn quyết định.
Nó có thay thế API keys hoặc OAuth không?
Không. Credentials vẫn kiểm soát quyền truy cập. Proof of Actor bổ sung thông tin ai hoặc cái gì đang gọi, để bạn có thể áp dụng các chính sách tốt hơn ở lớp trên.
Chúng ta có thể đặt quy tắc khác nhau cho từng endpoint không?
Có. Chính sách được viết theo từng route, nên các endpoint chỉ đọc và các thao tác ghi có tác động lớn có thể được xử lý khác nhau.
Chi phí là bao nhiêu?
Các nhóm nhà phát triển sáng lập được chọn có thể nhận tối đa 12 tháng miễn phí trong giới hạn sử dụng đã thỏa thuận.
Biết ai đang gọi API của bạn.
Hãy tham gia chương trình nhà phát triển sáng lập của Proof of Actor.
Bạn muốn trao đổi trước? Trao đổi với những người sáng lập