Una API REST pública y versionada en api.hodeishield.com, un CLI de código abierto y un servidor MCP alojado que la consume. Ninguna superficie para desarrolladores modifica datos de tu tenant.
curl -H "Authorization: Bearer $HODEISHIELD_API_KEY" "https://api.hodeishield.com/v1/vendors?per_page=5"{
"data": [ … ],
"pagination": {
"page": 1, "per_page": 5,
"total": …, "total_pages": …
}
}Todas leen datos de tu tenant. Ninguna escribe.
Operaciones GET sobre proveedores, alertas, riesgos, cumplimiento, evidencia y endpoints. Es la base del CLI y del MCP.
Alcance: No admite escrituras en el tenant.
Linux x86_64 y arm64 · macOS universal · Windows x86_64
Cliente oficial de línea de comandos, para terminal y scripts.
Alcance: Solo lectura. Se instala con Homebrew (macOS y Linux), con Scoop (Windows) o desde el archivo de la versión.
https://mcp.hodeishield.com/mcp
Tu asistente de IA lee tus datos a través del protocolo MCP, sin instalar nada.
Alcance: No modifica nada. Los resultados van en un envoltorio contra inyección de prompts.
Script que comprueba una atestación firmada sin conexión y sin cuenta de HodeiShield.
Alcance: Prueba integridad, origen y momento; no que lo afirmado sea cierto.
Tu endpoint HTTPS recibe los eventos del tenant según tus reglas de enrutado, firmados con HMAC-SHA256.
Alcance: Es un destino de alertas: notifica, no ejecuta nada en HodeiShield.
Cada clave pertenece a un tenant y lleva solo los scopes de lectura que necesita.
Un administrador crea la clave en la consola, con un nombre, una caducidad y solo los scopes necesarios. El token (hsk_…) se muestra una vez. Para actuar como una persona concreta, por ejemplo desde el CLI o un asistente, se usa OAuth 2.1 con PKCE.
Las colecciones aceptan page (desde 1) y per_page (1 a 200, 50 por defecto) y devuelven data y pagination. Los errores siempre llevan el mismo sobre, con un request_id para soporte.
Primera lectura
curl -H "Authorization: Bearer $HODEISHIELD_API_KEY" "https://api.hodeishield.com/v1/vendors?per_page=5"Documento OpenAPI (sin autenticación)
curl https://api.hodeishield.com/v1/openapi.jsonEl documento generado en /v1/openapi.json es la fuente autorizada; sirve para generar clientes tipados.
| Operación | Petición | Scope |
|---|---|---|
| Proveedores | GET /v1/vendors · /v1/vendors/{id} | supply_risk:read |
| Alertas | GET /v1/alerts · /v1/alerts/{id} | supply_risk:read |
| Riesgos | GET /v1/risks · /v1/risks/{id} | supply_risk:read |
| Controles de cumplimiento | GET /v1/compliance/controls?framework=… | compliance.<framework>:read |
| Postura de un marco | GET /v1/compliance/frameworks/{framework} | compliance.<framework>:read |
| Evidencia | GET /v1/evidence · /v1/evidence/{id} | evidence:read |
| Endpoints | GET /v1/endpoints | endpoints:read |
| Documento OpenAPI | GET /v1/openapi.json | ninguno |
Instálalo con Homebrew o Scoop, o descarga el archivo de tu plataforma desde la versión publicada, verifícalo y colócalo en tu PATH.
Homebrew (macOS y Linux) y Scoop (Windows x86_64) instalan la versión 0.3.1 desde repositorios públicos de Hodeitek. El ejecutable de Windows va firmado con Authenticode; el de macOS todavía no.
Homebrew (macOS y Linux)
brew install hodeitek/hodeishield/hodeishieldHomebrew, si ya tienes el tap añadido
brew trust --formula hodeitek/hodeishield/hodeishieldScoop (Windows)
scoop bucket add hodeishield https://github.com/Hodeitek/scoop-hodeishield; scoop install hodeishieldCada versión publica SHA256SUMS, un paquete Sigstore por archivo y la procedencia SLSA; desde la versión 0.2.0 publica además un SBOM CycloneDX por archivo. Los archivos son .tar.gz en Linux y macOS y .zip en Windows. Una firma cosign válida prueba que el archivo lo construyó el workflow release.yml del repositorio, lanzado por el tag exacto que esperas.
sha256sum --ignore-missing -c SHA256SUMScosign verify-blob hodeishield-0.3.1-x86_64-unknown-linux-musl.tar.gz --bundle hodeishield-0.3.1-x86_64-unknown-linux-musl.tar.gz.sigstore.json --certificate-identity https://github.com/Hodeitek/hodeishield-cli/.github/workflows/release.yml@refs/tags/v0.3.1 --certificate-oidc-issuer https://token.actions.githubusercontent.com --certificate-github-workflow-trigger pushTambién se puede compilar desde el código fuente con cargo install --locked, fijando el tag de la versión.
Con --json imprime la respuesta de la API sin tocar; con --csv saca las listas como CSV; con --all recorre todas las páginas. Los códigos de salida van de 0 a 8 y distinguen, por ejemplo, credencial ausente, scope insuficiente, límite de uso o licencia del tenant no vigente.
Con una clave de API (scripts, CI)
export HODEISHIELD_API_KEY=hsk_...Como persona (navegador, 2FA, passkey o SSO)
hodeishield loginhodeishield whoamihodeishield vendors list --criticality criticalhodeishield compliance posture nis2hodeishield alerts list --status open --all --json | jq -r '.[] | [.severity, .title] | @tsv'Un servidor alojado, sin instalación. El asistente ve lo mismo que verías tú en el tenant que elijas, y solo con los scopes que concedas.
En un cliente MCP con servidores remotos y OAuth, añade un conector con esta URL. El cliente descubre solo el servidor de autorización; tú inicias sesión en app.hodeishield.com con tus factores de siempre y eliges un único tenant.
URL del servidor MCP
https://mcp.hodeishield.com/mcpNinguna acepta un identificador de tenant como parámetro: no hay forma de pedir datos de otro.
Verifica siempre la firma antes de procesar el cuerpo, y rechaza marcas de tiempo antiguas.
El secreto (whsec_…) se muestra una sola vez al crear el webhook; si lo pierdes, se rota. Si tu endpoint no responde 2xx, se intenta la entrega hasta seis veces en total (cinco reintentos, entre 5 minutos y 24 horas de espera); agotados los intentos, la entrega queda marcada como fallida en la consola y puedes volver a encolarla.
import hashlib
import hmac
def is_valid(secret: str, timestamp: str, body: bytes, received_signature: str) -> bool:
message = f"{timestamp}.".encode() + body
expected = "sha256=" + hmac.new(secret.encode(), message, hashlib.sha256).hexdigest()
return hmac.compare_digest(expected, received_signature)El verificador es un script de bash y Python que puedes leer entero. No llama a HodeiShield en el momento de verificar.
Alcance: Prueba integridad, origen y momento de lo firmado. No prueba que las afirmaciones sean ciertas, no sustituye a una auditoría y no hay registro de transparencia. Pasa siempre --expect-slug y --expect-issuer: sin ellos, la atestación válida de otra organización también verifica. El código de salida es 0 si verifica, 1 si falla y 2 si no se pudo comprobar. Un documento auténtico pero caducado sale con 1 y su última línea empieza por «EXPIRED — the signature is valid».
Requisitos: bash 4, OpenSSL 3.5 o superior y python3. Si tu máquina no los tiene (macOS, Windows o Ubuntu 24.04), el repositorio del verificador documenta cómo ejecutar el mismo script en un contenedor con Docker o Podman; esa ruta instala OpenSSL y python3 al arrancar, así que necesita red.
curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json./verify-attestation.sh --attestation attestation.json --jwks keys.json --expect-slug SLUG --expect-issuer https://app.hodeishield.comPara que no lo descubras al integrarlas.
API, CLI y MCP son de solo lectura. Para actuar sobre el tenant se usa la consola, y ACT siempre pasa por una persona.
Los comandos y la salida pueden cambiar antes de la 1.0. Fija la versión en tus scripts.
El servidor no controla lo que tu cliente hace con los resultados. Trata como no fiable el texto de terceros que contengan.
La disponibilidad de la API y del MCP depende de tu licencia y se confirma por inquilino; lo vemos en la demo.
No publicamos SLA, tiempos de respuesta ni disponibilidad de la API en esta web.
La API devuelve lo que la plataforma ya ha recogido: el agente reporta por ciclo y los escaneos son periódicos.
Lo que suele preguntar un equipo técnico antes de empezar.
No. La API /v1 es de solo lectura: cualquier método distinto de GET devuelve 405. El CLI y el MCP la usan, así que tampoco escriben.
Con una clave de API de tenant (hsk_…) creada por un administrador con solo los scopes de lectura necesarios. En el CLI basta exportar HODEISHIELD_API_KEY.
Cada versión publica SHA256SUMS, paquetes Sigstore y procedencia SLSA. Verifica con cosign que el archivo lo construyó el workflow release.yml del repositorio para el tag exacto.
Lo mismo que verías tú en el único tenant que elijas al conceder acceso y solo con los scopes que otorgues. Ninguna herramienta acepta un identificador de tenant.
Sí. Descargas la clave pública de /api/public/attest/keys y ejecutas el verificador de código abierto. Funciona sin conexión con bash 4, OpenSSL 3.5 y python3, o en un contenedor con Docker o Podman.
En la demo vemos qué leer por API, CLI o MCP, y cómo encaja con tus alertas y tus pipelines.
Una conversación de trabajo, sin compromiso.