REST API publiko eta bertsionatu bat api.hodeishield.com helbidean, kode irekiko CLI bat eta hura kontsumitzen duen MCP zerbitzari ostatatu bat. Garatzaileentzako gainazal batek ere ez ditu zure maizterraren datuak aldatzen.
curl -H "Authorization: Bearer $HODEISHIELD_API_KEY" "https://api.hodeishield.com/v1/vendors?per_page=5"{
"data": [ … ],
"pagination": {
"page": 1, "per_page": 5,
"total": …, "total_pages": …
}
}Guztiek zure maizterraren datuak irakurtzen dituzte. Batek ere ez du idazten.
Hornitzaileen, alerten, arriskuen, betetzearen, ebidentziaren eta endpointen gaineko GET eragiketak. CLIaren eta MCPren oinarria da.
Irismena: Ez du maizterrean idazterik onartzen.
Linux x86_64 eta arm64 · macOS unibertsala · Windows x86_64
Komando-lerroko bezero ofiziala, terminalerako eta scriptetarako.
Irismena: Irakurketa soilik. Homebrewrekin (macOS eta Linux), Scooprekin (Windows) edo bertsioaren fitxategitik instalatzen da.
https://mcp.hodeishield.com/mcp
Zure AA laguntzaileak zure datuak MCP protokoloaren bidez irakurtzen ditu, ezer instalatu gabe.
Irismena: Ez du ezer aldatzen. Emaitzak prompt-injekzioen aurkako bilgarri batean doaz.
Sinatutako egiaztagiri bat konexiorik gabe eta HodeiShield-eko konturik gabe egiaztatzen duen scripta.
Irismena: Osotasuna, jatorria eta unea frogatzen ditu; ez baieztatutakoa egiazkoa denik.
Zure HTTPS endpointak maizterraren gertaerak jasotzen ditu zure bideratze-arauen arabera, HMAC-SHA256rekin sinatuta.
Irismena: Alerta-helmuga bat da: jakinarazi egiten du, ez du ezer exekutatzen HodeiShield-en.
Gako bakoitza maizter bati dagokio eta behar dituen irakurketa-scopeak soilik ditu.
Administratzaile batek gakoa kontsolan sortzen du, izen batekin, iraungitze-data batekin eta beharrezko scopeak soilik emanda. Tokena (hsk_…) behin bakarrik erakusten da. Pertsona zehatz gisa jarduteko, adibidez CLItik edo laguntzaile batetik, OAuth 2.1 erabiltzen da PKCErekin.
Bildumek page (1etik aurrera) eta per_page (1etik 200era, lehenespenez 50) onartzen dituzte eta data eta pagination itzultzen dituzte. Erroreek beti bilgarri bera dute, euskarrirako request_id batekin.
Lehen irakurketa
curl -H "Authorization: Bearer $HODEISHIELD_API_KEY" "https://api.hodeishield.com/v1/vendors?per_page=5"OpenAPI dokumentua (autentifikaziorik gabe)
curl https://api.hodeishield.com/v1/openapi.json/v1/openapi.json helbidean sortutako dokumentua da iturri baimenduna; bezero tipatuak sortzeko balio du.
| Eragiketa | Eskaera | Scope |
|---|---|---|
| Hornitzaileak | GET /v1/vendors · /v1/vendors/{id} | supply_risk:read |
| Alertak | GET /v1/alerts · /v1/alerts/{id} | supply_risk:read |
| Arriskuak | GET /v1/risks · /v1/risks/{id} | supply_risk:read |
| Betetze-kontrolak | GET /v1/compliance/controls?framework=… | compliance.<framework>:read |
| Esparru baten egoera | GET /v1/compliance/frameworks/{framework} | compliance.<framework>:read |
| Ebidentzia | GET /v1/evidence · /v1/evidence/{id} | evidence:read |
| Endpointak | GET /v1/endpoints | endpoints:read |
| OpenAPI dokumentua | GET /v1/openapi.json | bat ere ez |
Instalatu Homebrewrekin edo Scooprekin, edo deskargatu zure plataformaren fitxategia argitaratutako bertsiotik, egiaztatu eta jarri zure PATHean.
Homebrewk (macOS eta Linux) eta Scoopek (Windows x86_64) 0.3.1 bertsioa instalatzen dute Hodeitek-en biltegi publikoetatik. Windowseko exekutagarria Authenticode bidez sinatuta dago; macOSekoa oraindik ez.
Homebrew (macOS eta Linux)
brew install hodeitek/hodeishield/hodeishieldHomebrew, tap-a lehendik gehituta baduzu
brew trust --formula hodeitek/hodeishield/hodeishieldScoop (Windows)
scoop bucket add hodeishield https://github.com/Hodeitek/scoop-hodeishield; scoop install hodeishieldBertsio bakoitzak SHA256SUMS, fitxategi bakoitzeko Sigstore pakete bat eta SLSA jatorria argitaratzen ditu; 0.2.0 bertsiotik aurrera, fitxategi bakoitzeko CycloneDX SBOM bat ere argitaratzen du. Fitxategiak .tar.gz dira Linuxen eta macOSen, eta .zip Windowsen. Cosign sinadura baliozko batek frogatzen du fitxategia biltegiko release.yml workflowak eraiki duela, zuk espero duzun tag zehatzak abiarazita.
sha256sum --ignore-missing -c SHA256SUMScosign verify-blob hodeishield-0.3.1-x86_64-unknown-linux-musl.tar.gz --bundle hodeishield-0.3.1-x86_64-unknown-linux-musl.tar.gz.sigstore.json --certificate-identity https://github.com/Hodeitek/hodeishield-cli/.github/workflows/release.yml@refs/tags/v0.3.1 --certificate-oidc-issuer https://token.actions.githubusercontent.com --certificate-github-workflow-trigger pushIturburu-kodetik ere konpila daiteke cargo install --locked erabilita, bertsioaren tag-a finkatuta.
--json-ekin APIaren erantzuna ukitu gabe inprimatzen du; --csv-rekin zerrendak CSV gisa ateratzen ditu; --all-ekin orri guztiak zeharkatzen ditu. Irteera-kodeak 0tik 8ra doaz eta bereizten dituzte, adibidez, kredentzialik eza, scope nahikorik eza, erabilera-muga edo maizterraren lizentzia indarrean ez egotea.
API gako batekin (scriptak, CI)
export HODEISHIELD_API_KEY=hsk_...Pertsona gisa (nabigatzailea, 2FA, passkey edo SSO)
hodeishield loginhodeishield whoamihodeishield vendors list --criticality criticalhodeishield compliance posture nis2hodeishield alerts list --status open --all --json | jq -r '.[] | [.severity, .title] | @tsv'Zerbitzari ostatatua, instalaziorik gabe. Laguntzaileak zuk aukeratzen duzun maizterrean zuk ikusiko zenukeen gauza bera ikusten du, eta emandako scopeekin soilik.
Urruneko zerbitzariak eta OAuth onartzen dituen MCP bezero batean, gehitu konektore bat URL honekin. Bezeroak berak aurkitzen du baimen-zerbitzaria; zuk app.hodeishield.com helbidean hasten duzu saioa ohiko faktoreekin eta maizter bakarra aukeratzen duzu.
MCP zerbitzariaren URLa
https://mcp.hodeishield.com/mcpBatek ere ez du maizter-identifikatzailerik onartzen parametro gisa: ez dago beste batenak eskatzeko modurik.
Egiaztatu beti sinadura gorputza prozesatu aurretik, eta baztertu denbora-zigilu zaharrak.
Sekretua (whsec_…) behin bakarrik erakusten da webhooka sortzean; galtzen baduzu, errotatu egiten da. Zure endpointak 2xx erantzuten ez badu, bidalketa gehienez sei aldiz saiatzen da guztira (bost berriz saiatze, 5 minututik 24 ordura bitarteko itxaronaldiarekin); saiakerak agortuta, bidalketa kontsolan huts egin duela markatzen da eta berriro ilaran jar dezakezu.
import hashlib
import hmac
def is_valid(secret: str, timestamp: str, body: bytes, received_signature: str) -> bool:
message = f"{timestamp}.".encode() + body
expected = "sha256=" + hmac.new(secret.encode(), message, hashlib.sha256).hexdigest()
return hmac.compare_digest(expected, received_signature)Egiaztatzailea bash eta Python scripta bat da, osorik irakur dezakezuna. Ez dio HodeiShield-i deitzen egiaztatzen ari den unean.
Irismena: Sinatutakoaren osotasuna, jatorria eta unea frogatzen ditu. Ez du frogatzen baieztapenak egiazkoak direnik, ez du auditoretza ordezkatzen eta ez dago gardentasun-erregistrorik. Pasatu beti --expect-slug eta --expect-issuer: haiek gabe, beste erakunde baten egiaztagiri baliozkoak ere egiaztatzen dira. Irteera-kodea 0 da egiaztatzen bada, 1 huts egiten badu eta 2 egiaztatu ezin izan bada. Dokumentu autentikoa baina iraungia 1ekin ateratzen da, eta bere azken lerroa «EXPIRED — the signature is valid» testuarekin hasten da.
Baldintzak: bash 4, OpenSSL 3.5 edo berriagoa eta python3. Zure makinak ez baditu (macOS, Windows edo Ubuntu 24.04), egiaztatzailearen biltegiak dokumentatzen du nola exekutatu script bera Docker edo Podman duen edukiontzi batean; ibilbide horrek OpenSSL eta python3 instalatzen ditu abiaraztean, beraz sarea behar du.
curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json./verify-attestation.sh --attestation attestation.json --jwks keys.json --expect-slug SLUG --expect-issuer https://app.hodeishield.comIntegratzean aurkitu ez dezazun.
API, CLI eta MCP irakurketa soilekoak dira. Maizterrean jarduteko kontsola erabiltzen da, eta ACT beti pertsona batetik pasatzen da.
Komandoak eta irteera alda daitezke 1.0 baino lehen. Finkatu bertsioa zure scriptetan.
Zerbitzariak ez du kontrolatzen zure bezeroak emaitzekin zer egiten duen. Tratatu fidagaitz gisa emaitzek dituzten hirugarrenen testuak.
APIaren eta MCPren erabilgarritasuna zure lizentziaren araberakoa da eta maizter bakoitzeko berresten da; demoan ikusten dugu.
Ez dugu web honetan SLArik, erantzun-denborarik ez APIaren erabilgarritasunik argitaratzen.
APIak plataformak dagoeneko bildu duena itzultzen du: agenteak zikloka jakinarazten du eta eskaneoak aldizkakoak dira.
Talde tekniko batek hasi aurretik galdetu ohi duena.
Ez. /v1 APIa irakurketa soilekoa da: GET ez den edozein metodok 405 itzultzen du. CLIak eta MCPk erabiltzen dute, beraz haiek ere ez dute idazten.
Administratzaile batek sortutako maizterraren API gako batekin (hsk_…), beharrezko irakurketa-scopeak soilik emanda. CLIan nahikoa da HODEISHIELD_API_KEY esportatzea.
Bertsio bakoitzak SHA256SUMS, Sigstore paketeak eta SLSA jatorria argitaratzen ditu. Egiaztatu cosignekin fitxategia biltegiko release.yml workflowak eraiki duela tag zehatzerako.
Sarbidea ematean aukeratzen duzun maizter bakarrean zuk ikusiko zenukeen gauza bera, eta ematen dituzun scopeekin soilik. Batek ere ez du maizter-identifikatzailerik onartzen.
Bai. /api/public/attest/keys helbidetik gako publikoa deskargatzen duzu eta kode irekiko egiaztatzailea exekutatzen duzu. Konexiorik gabe funtzionatzen du bash 4, OpenSSL 3.5 eta python3rekin, edo Docker edo Podman duen edukiontzi batean.
Demoan ikusten dugu zer irakurri APIz, CLIz edo MCPz, eta nola uztartzen den zure alertekin eta zure pipelineekin.
Lan-elkarrizketa bat, konpromisorik gabe.