Une API REST publique et versionnée sur api.hodeishield.com, un CLI en code ouvert et un serveur MCP hébergé qui la consomme. Aucune surface pour développeurs ne modifie les données de votre locataire.
curl -H "Authorization: Bearer $HODEISHIELD_API_KEY" "https://api.hodeishield.com/v1/vendors?per_page=5"{
"data": [ … ],
"pagination": {
"page": 1, "per_page": 5,
"total": …, "total_pages": …
}
}Toutes lisent les données de votre locataire. Aucune n’écrit.
Opérations GET sur les fournisseurs, alertes, risques, conformité, preuves et endpoints. C’est la base du CLI et du MCP.
Portée: N’admet aucune écriture dans le locataire.
Linux x86_64 et arm64 · macOS universel · Windows x86_64
Client officiel en ligne de commande, pour le terminal et les scripts.
Portée: Lecture seule. S’installe avec Homebrew (macOS et Linux), avec Scoop (Windows) ou depuis l’archive de la version.
https://mcp.hodeishield.com/mcp
Votre assistant d’IA lit vos données via le protocole MCP, sans rien installer.
Portée: Ne modifie rien. Les résultats sont placés dans une enveloppe contre l’injection de prompt.
Script qui contrôle une attestation signée hors ligne et sans compte HodeiShield.
Portée: Prouve l’intégrité, l’origine et le moment ; pas que ce qui est affirmé soit vrai.
Votre endpoint HTTPS reçoit les événements du locataire selon vos règles d’acheminement, signés avec HMAC-SHA256.
Portée: C’est une destination d’alertes : il notifie, il n’exécute rien dans HodeiShield.
Chaque clé appartient à un locataire et ne porte que les scopes de lecture dont elle a besoin.
Un administrateur crée la clé dans la console, avec un nom, une date d’expiration et uniquement les scopes nécessaires. Le jeton (hsk_…) n’est affiché qu’une fois. Pour agir au nom d’une personne précise, par exemple depuis le CLI ou un assistant, on utilise OAuth 2.1 avec PKCE.
Les collections acceptent page (à partir de 1) et per_page (de 1 à 200, 50 par défaut) et renvoient data et pagination. Les erreurs portent toujours la même enveloppe, avec un request_id pour le support.
Première lecture
curl -H "Authorization: Bearer $HODEISHIELD_API_KEY" "https://api.hodeishield.com/v1/vendors?per_page=5"Document OpenAPI (sans authentification)
curl https://api.hodeishield.com/v1/openapi.jsonLe document généré sur /v1/openapi.json fait foi ; il sert à générer des clients typés.
| Opération | Requête | Scope |
|---|---|---|
| Fournisseurs | GET /v1/vendors · /v1/vendors/{id} | supply_risk:read |
| Alertes | GET /v1/alerts · /v1/alerts/{id} | supply_risk:read |
| Risques | GET /v1/risks · /v1/risks/{id} | supply_risk:read |
| Contrôles de conformité | GET /v1/compliance/controls?framework=… | compliance.<framework>:read |
| Posture d’un référentiel | GET /v1/compliance/frameworks/{framework} | compliance.<framework>:read |
| Preuves | GET /v1/evidence · /v1/evidence/{id} | evidence:read |
| Endpoints | GET /v1/endpoints | endpoints:read |
| Document OpenAPI | GET /v1/openapi.json | aucun |
Installez-le avec Homebrew ou Scoop, ou téléchargez l’archive de votre plateforme depuis la version publiée, vérifiez-la et placez-la dans votre PATH.
Homebrew (macOS et Linux) et Scoop (Windows x86_64) installent la version 0.3.1 depuis des dépôts publics de Hodeitek. L’exécutable Windows est signé avec Authenticode ; celui de macOS ne l’est pas encore.
Homebrew (macOS et Linux)
brew install hodeitek/hodeishield/hodeishieldHomebrew, si vous avez déjà ajouté le tap
brew trust --formula hodeitek/hodeishield/hodeishieldScoop (Windows)
scoop bucket add hodeishield https://github.com/Hodeitek/scoop-hodeishield; scoop install hodeishieldChaque version publie SHA256SUMS, un paquet Sigstore par archive et la provenance SLSA ; depuis la version 0.2.0, elle publie aussi un SBOM CycloneDX par archive. Les archives sont des .tar.gz sous Linux et macOS et des .zip sous Windows. Une signature cosign valide prouve que l’archive a été construite par le workflow release.yml du dépôt, lancé par le tag exact que vous attendez.
sha256sum --ignore-missing -c SHA256SUMScosign verify-blob hodeishield-0.3.1-x86_64-unknown-linux-musl.tar.gz --bundle hodeishield-0.3.1-x86_64-unknown-linux-musl.tar.gz.sigstore.json --certificate-identity https://github.com/Hodeitek/hodeishield-cli/.github/workflows/release.yml@refs/tags/v0.3.1 --certificate-oidc-issuer https://token.actions.githubusercontent.com --certificate-github-workflow-trigger pushOn peut aussi le compiler depuis le code source avec cargo install --locked, en fixant le tag de la version.
Avec --json, il affiche la réponse de l’API sans y toucher ; avec --csv, il sort les listes en CSV ; avec --all, il parcourt toutes les pages. Les codes de sortie vont de 0 à 8 et distinguent, par exemple, un identifiant absent, un scope insuffisant, une limite d’usage ou une licence du locataire non valide.
Avec une clé d’API (scripts, CI)
export HODEISHIELD_API_KEY=hsk_...En tant que personne (navigateur, 2FA, passkey ou SSO)
hodeishield loginhodeishield whoamihodeishield vendors list --criticality criticalhodeishield compliance posture nis2hodeishield alerts list --status open --all --json | jq -r '.[] | [.severity, .title] | @tsv'Un serveur hébergé, sans installation. L’assistant voit la même chose que vous dans le locataire que vous choisissez, et uniquement avec les scopes que vous accordez.
Dans un client MCP prenant en charge les serveurs distants et OAuth, ajoutez un connecteur avec cette URL. Le client découvre seul le serveur d’autorisation ; vous vous connectez à app.hodeishield.com avec vos facteurs habituels et vous choisissez un seul locataire.
URL du serveur MCP
https://mcp.hodeishield.com/mcpAucun n’accepte un identifiant de locataire en paramètre : il n’y a aucun moyen de demander les données d’un autre.
Vérifiez toujours la signature avant de traiter le corps, et rejetez les horodatages anciens.
Le secret (whsec_…) n’est affiché qu’une seule fois à la création du webhook ; si vous le perdez, il est renouvelé. Si votre endpoint ne répond pas 2xx, la livraison est tentée jusqu’à six fois au total (cinq nouvelles tentatives, avec une attente de 5 minutes à 24 heures) ; une fois les tentatives épuisées, la livraison est marquée comme échouée dans la console et vous pouvez la remettre en file.
import hashlib
import hmac
def is_valid(secret: str, timestamp: str, body: bytes, received_signature: str) -> bool:
message = f"{timestamp}.".encode() + body
expected = "sha256=" + hmac.new(secret.encode(), message, hashlib.sha256).hexdigest()
return hmac.compare_digest(expected, received_signature)Le vérificateur est un script bash et Python que vous pouvez lire en entier. Il n’appelle pas HodeiShield au moment de vérifier.
Portée: Prouve l’intégrité, l’origine et le moment de ce qui est signé. Ne prouve pas que les affirmations soient vraies, ne remplace pas un audit et il n’existe pas de registre de transparence. Passez toujours --expect-slug et --expect-issuer : sans eux, l’attestation valide d’une autre organisation se vérifie aussi. Le code de sortie est 0 si la vérification réussit, 1 si elle échoue et 2 si elle n’a pas pu être effectuée. Un document authentique mais expiré sort avec 1 et sa dernière ligne commence par « EXPIRED — the signature is valid ».
Prérequis : bash 4, OpenSSL 3.5 ou supérieur et python3. Si votre machine ne les a pas (macOS, Windows ou Ubuntu 24.04), le dépôt du vérificateur documente comment exécuter le même script dans un conteneur avec Docker ou Podman ; cette voie installe OpenSSL et python3 au démarrage, elle nécessite donc un accès réseau.
curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json./verify-attestation.sh --attestation attestation.json --jwks keys.json --expect-slug SLUG --expect-issuer https://app.hodeishield.comPour que vous ne le découvriez pas au moment de les intégrer.
L’API, le CLI et le MCP sont en lecture seule. Pour agir sur le locataire, on utilise la console, et ACT passe toujours par une personne.
Les commandes et la sortie peuvent changer avant la 1.0. Fixez la version dans vos scripts.
Le serveur ne contrôle pas ce que votre client fait des résultats. Traitez comme non fiable le texte de tiers qu’ils contiennent.
La disponibilité de l’API et du MCP dépend de votre licence et se confirme par locataire ; nous le voyons pendant la démo.
Nous ne publions sur ce site ni SLA, ni temps de réponse, ni disponibilité de l’API.
L’API renvoie ce que la plateforme a déjà recueilli : l’agent remonte ses informations par cycle et les analyses sont périodiques.
Ce que demande d’ordinaire une équipe technique avant de commencer.
Non. L’API /v1 est en lecture seule : toute méthode autre que GET renvoie 405. Le CLI et le MCP l’utilisent, ils n’écrivent donc pas non plus.
Avec une clé d’API de locataire (hsk_…) créée par un administrateur avec uniquement les scopes de lecture nécessaires. Dans le CLI, il suffit d’exporter HODEISHIELD_API_KEY.
Chaque version publie SHA256SUMS, des paquets Sigstore et la provenance SLSA. Vérifiez avec cosign que l’archive a été construite par le workflow release.yml du dépôt pour le tag exact.
Ce que vous verriez vous-même dans l’unique locataire que vous choisissez en accordant l’accès, et uniquement avec les scopes que vous octroyez. Aucun outil n’accepte d’identifiant de locataire.
Oui. Vous téléchargez la clé publique depuis /api/public/attest/keys et vous exécutez le vérificateur en code ouvert. Il fonctionne hors ligne avec bash 4, OpenSSL 3.5 et python3, ou dans un conteneur avec Docker ou Podman.
Pendant la démo, nous voyons ce qu’il faut lire par API, CLI ou MCP, et comment cela s’articule avec vos alertes et vos pipelines.
Un échange de travail, sans engagement.