Eine öffentliche, versionierte REST-API unter api.hodeishield.com, eine Open-Source-CLI und ein gehosteter MCP-Server, der sie nutzt. Keine Entwicklerschnittstelle verändert die Daten Ihres Mandanten.
curl -H "Authorization: Bearer $HODEISHIELD_API_KEY" "https://api.hodeishield.com/v1/vendors?per_page=5"{
"data": [ … ],
"pagination": {
"page": 1, "per_page": 5,
"total": …, "total_pages": …
}
}Alle lesen die Daten Ihres Mandanten. Keine schreibt.
GET-Operationen zu Lieferanten, Warnungen, Risiken, Compliance, Nachweisen und Endpoints. Sie ist die Grundlage der CLI und des MCP-Servers.
Geltungsbereich: Sie nimmt keine Schreibzugriffe auf den Mandanten an.
Linux x86_64 und arm64 · macOS universal · Windows x86_64
Der offizielle Kommandozeilen-Client für Terminals und Skripte.
Geltungsbereich: Nur lesend. Installation über Homebrew (macOS und Linux), über Scoop (Windows) oder aus dem Release-Archiv.
https://mcp.hodeishield.com/mcp
Ihr KI-Assistent liest Ihre Daten über das MCP-Protokoll, ohne dass Sie etwas installieren müssen.
Geltungsbereich: Es ändert nichts. Ergebnisse kommen in einer Hülle gegen Prompt-Injection.
Ein Skript, das eine signierte Attestierung offline prüft, ohne HodeiShield-Konto.
Geltungsbereich: Es belegt Integrität, Herkunft und Zeitpunkt; nicht, dass das Behauptete wahr ist.
Ihr HTTPS-Endpunkt erhält die Ereignisse des Mandanten gemäß Ihren Routing-Regeln, signiert mit HMAC-SHA256.
Geltungsbereich: Es ist ein Ziel für Warnungen: Es benachrichtigt und führt nichts in HodeiShield aus.
Jeder Schlüssel gehört zu einem Mandanten und trägt nur die Lese-Scopes, die er braucht.
Ein Administrator erstellt den Schlüssel in der Konsole, mit Name, Ablaufdatum und nur den nötigen Scopes. Das Token (hsk_…) wird einmal angezeigt. Um als bestimmte Person zu handeln, etwa über die CLI oder einen Assistenten, verwenden Sie OAuth 2.1 mit PKCE.
Sammlungen akzeptieren page (ab 1) und per_page (1 bis 200, standardmäßig 50) und liefern data und pagination. Fehler verwenden stets dieselbe Hülle, mit einer request_id für den Support.
Ein erster Lesezugriff
curl -H "Authorization: Bearer $HODEISHIELD_API_KEY" "https://api.hodeishield.com/v1/vendors?per_page=5"OpenAPI-Dokument (ohne Authentifizierung)
curl https://api.hodeishield.com/v1/openapi.jsonDas unter /v1/openapi.json erzeugte Dokument ist die maßgebliche Quelle; nutzen Sie es, um typisierte Clients zu generieren.
| Operation | Anfrage | Scope |
|---|---|---|
| Lieferanten | GET /v1/vendors · /v1/vendors/{id} | supply_risk:read |
| Warnungen | GET /v1/alerts · /v1/alerts/{id} | supply_risk:read |
| Risiken | GET /v1/risks · /v1/risks/{id} | supply_risk:read |
| Compliance-Kontrollen | GET /v1/compliance/controls?framework=… | compliance.<framework>:read |
| Sicherheitslage je Rahmenwerk | GET /v1/compliance/frameworks/{framework} | compliance.<framework>:read |
| Nachweise | GET /v1/evidence · /v1/evidence/{id} | evidence:read |
| Endpoints | GET /v1/endpoints | endpoints:read |
| OpenAPI-Dokument | GET /v1/openapi.json | keiner |
Installieren Sie sie mit Homebrew oder Scoop, oder laden Sie das Archiv für Ihre Plattform aus dem veröffentlichten Release herunter, prüfen Sie es und legen Sie es in Ihren PATH.
Homebrew (macOS und Linux) und Scoop (Windows x86_64) installieren Version 0.3.1 aus öffentlichen Hodeitek-Repositories. Die Windows-Programmdatei ist mit Authenticode signiert; die für macOS noch nicht.
Homebrew (macOS und Linux)
brew install hodeitek/hodeishield/hodeishieldHomebrew, falls Sie den Tap bereits hinzugefügt haben
brew trust --formula hodeitek/hodeishield/hodeishieldScoop (Windows)
scoop bucket add hodeishield https://github.com/Hodeitek/scoop-hodeishield; scoop install hodeishieldJedes Release veröffentlicht SHA256SUMS, ein Sigstore-Bundle je Archiv und die SLSA-Provenienz; seit Version 0.2.0 zusätzlich eine CycloneDX-SBOM je Archiv. Die Archive sind unter Linux und macOS .tar.gz und unter Windows .zip. Eine gültige cosign-Signatur belegt, dass die Datei vom Workflow release.yml des Repositorys gebaut wurde, ausgeführt für genau das erwartete Tag.
sha256sum --ignore-missing -c SHA256SUMScosign verify-blob hodeishield-0.3.1-x86_64-unknown-linux-musl.tar.gz --bundle hodeishield-0.3.1-x86_64-unknown-linux-musl.tar.gz.sigstore.json --certificate-identity https://github.com/Hodeitek/hodeishield-cli/.github/workflows/release.yml@refs/tags/v0.3.1 --certificate-oidc-issuer https://token.actions.githubusercontent.com --certificate-github-workflow-trigger pushSie können auch aus dem Quellcode bauen, mit cargo install --locked und festgelegtem Release-Tag.
--json gibt den API-Body unverändert aus; --csv gibt Listen als CSV aus; --all durchläuft jede Seite. Die Exit-Codes reichen von 0 bis 8 und unterscheiden etwa zwischen fehlenden Zugangsdaten, fehlendem Scope, Ratenbegrenzung und einer nicht gültigen Lizenz des Mandanten.
Mit einem API-Schlüssel (Skripte, CI)
export HODEISHIELD_API_KEY=hsk_...Als Person (Browser, 2FA, Passkey oder SSO)
hodeishield loginhodeishield whoamihodeishield vendors list --criticality criticalhodeishield compliance posture nis2hodeishield alerts list --status open --all --json | jq -r '.[] | [.severity, .title] | @tsv'Ein gehosteter Server, nichts zu installieren. Der Assistent sieht, was Sie im gewählten Mandanten sehen würden, und nur mit den Scopes, die Sie gewähren.
Fügen Sie in einem MCP-Client, der Remote-Server mit OAuth unterstützt, einen Konnektor mit dieser URL hinzu. Der Client findet den Autorisierungsserver selbstständig; Sie melden sich unter app.hodeishield.com mit Ihren gewohnten Faktoren an und wählen genau einen Mandanten.
URL des MCP-Servers
https://mcp.hodeishield.com/mcpKeines akzeptiert eine Mandantenkennung als Parameter: Es gibt keine Möglichkeit, Daten eines anderen Mandanten anzufordern.
Prüfen Sie stets die Signatur, bevor Sie den Body verarbeiten, und weisen Sie alte Zeitstempel zurück.
Das Geheimnis (whsec_…) wird einmal beim Erstellen des Webhooks angezeigt; wenn Sie es verlieren, rotieren Sie es. Antwortet Ihr Endpunkt nicht mit 2xx, wird die Zustellung insgesamt bis zu sechsmal versucht (fünf Wiederholungen im Abstand von 5 Minuten bis zu 24 Stunden); sind die Versuche erschöpft, wird die Zustellung in der Konsole als fehlgeschlagen markiert, und Sie können sie erneut einreihen.
import hashlib
import hmac
def is_valid(secret: str, timestamp: str, body: bytes, received_signature: str) -> bool:
message = f"{timestamp}.".encode() + body
expected = "sha256=" + hmac.new(secret.encode(), message, hashlib.sha256).hexdigest()
return hmac.compare_digest(expected, received_signature)Der Verifizierer ist ein Bash- und Python-Skript, das Sie vollständig lesen können. Bei der Prüfung ruft er HodeiShield nicht auf.
Geltungsbereich: Sie belegt Integrität, Herkunft und Zeitpunkt des Signierten. Sie belegt nicht, dass die Aussagen wahr sind, ersetzt kein Audit, und es gibt kein Transparenzprotokoll. Übergeben Sie stets --expect-slug und --expect-issuer: Ohne sie wird auch eine gültige Attestierung einer anderen Organisation erfolgreich geprüft. Der Exit-Code ist 0, wenn die Prüfung gelingt, 1, wenn sie fehlschlägt, und 2, wenn sie nicht durchgeführt werden konnte. Ein echtes, aber abgelaufenes Dokument endet mit Exit-Code 1, und seine letzte Zeile beginnt mit "EXPIRED — the signature is valid".
Voraussetzungen: bash 4, OpenSSL 3.5 oder neuer und python3. Fehlen sie auf Ihrem Rechner (macOS, Windows oder Ubuntu 24.04), dokumentiert das Repository des Verifizierers, wie Sie dasselbe Skript in einem Container mit Docker oder Podman ausführen; dieser Weg installiert OpenSSL und python3 beim Start und benötigt daher Netzwerkzugriff.
curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json./verify-attestation.sh --attestation attestation.json --jwks keys.json --expect-slug SLUG --expect-issuer https://app.hodeishield.comDamit Sie es nicht erst bei der Integration merken.
API, CLI und MCP sind schreibgeschützt. Um auf den Mandanten einzuwirken, nutzen Sie die Konsole, und ACT läuft immer über eine Person.
Befehle und Ausgabe können sich vor 1.0 ändern. Legen Sie die Version in Ihren Skripten fest.
Der Server kann nicht steuern, was Ihr Client mit den Ergebnissen macht. Behandeln Sie darin enthaltene Texte Dritter als nicht vertrauenswürdig.
Die Verfügbarkeit von API und MCP hängt von Ihrer Lizenz ab und wird je Mandant bestätigt; wir besprechen sie in der Demo.
Wir veröffentlichen auf dieser Website weder SLA noch Antwortzeiten noch API-Verfügbarkeit.
Die API liefert, was die Plattform bereits erfasst hat: Der Agent meldet zyklisch, und Scans erfolgen periodisch.
Was ein technisches Team üblicherweise vor dem Start fragt.
Nein. Die /v1-API ist schreibgeschützt: Jede andere Methode als GET liefert 405. CLI und MCP-Server nutzen sie, schreiben also ebenfalls nicht.
Mit einem API-Schlüssel des Mandanten (hsk_…), den ein Administrator mit nur den nötigen Lese-Scopes erstellt. In der CLI genügt es, HODEISHIELD_API_KEY zu exportieren.
Jedes Release veröffentlicht SHA256SUMS, Sigstore-Bundles und SLSA-Provenienz. Prüfen Sie mit cosign, dass das Archiv vom Workflow release.yml des Repositorys für genau das Tag gebaut wurde.
Was Sie in dem einen Mandanten sehen würden, den Sie bei der Zugriffsfreigabe wählen, und nur mit den Scopes, die Sie gewähren. Kein Werkzeug akzeptiert eine Mandantenkennung.
Ja. Laden Sie den öffentlichen Schlüssel von /api/public/attest/keys herunter und führen Sie den Open-Source-Verifizierer aus. Er arbeitet offline mit bash 4, OpenSSL 3.5 und python3 oder in einem Container mit Docker oder Podman.
In der Demo besprechen wir, was Sie über API, CLI oder MCP lesen sollten und wie es zu Ihren Warnungen und Pipelines passt.
Ein Arbeitsgespräch, unverbindlich.