Firma
Ed25519 (EdDSA)
Mandatos de agente-operador
Umbrales de aprobación humana por capacidad
Cada capacidad que un agente-operador puede recibir lleva asignado un umbral mínimo de intervención humana (HITL floor). Un mandato puede exigir más aprobación de la que marca el umbral; nunca menos.
OPERATOR_ENFORCEMENT_MODE=enforce: en producción
Escala de umbrales
Seis modos, de menor a mayor exigencia. La comparación es de estrictez, no de orden alfabético: una regla de mandato sólo puede sustituir el suelo por defecto por algo igual o más estricto.
| Modo | Estrictez | Significado |
|---|---|---|
| none | 0 | Sin mínimo mandatado. |
| notify | 1 | Se notifica al comercio tras la ejecución. |
| required-above | 2 | Requerido sólo por encima de un umbral de valor (condicional). |
| required | 3 | Una aprobación humana, antes de ejecutar. |
| cooldown | 4 | Aprobación más una ventana de reflexión antes de aplicarse. |
| dual-control | 5 | Dos aprobadores distintos (M-de-N), no uno. |
Umbral por defecto por capacidad
Registro completo (DEFAULT_HITL_FLOOR). Cualquier capacidad no listada aquí no tiene mínimo mandatado por defecto.
| capability | floor |
|---|---|
| refunds:write | required |
| refunds:write:bounded | required |
| customers:export | required |
| customers:delete | required |
| pricing:write | required |
| pricing:write:bounded | required |
| pricing:write:bulk | cooldown |
| payment-methods:write | cooldown |
| payment-methods:configure | cooldown |
| policy:write | dual-control |
| admin:* | dual-control |
| staff:permissions | dual-control |
Revocación
Trusteed es la autoridad firmante de la lista de revocación de mandatos de operador, patrón comparable a CRL/OCSP. La clave pública se publica en el JWKS estándar.
Rotación de clave
Ciclo de 90 días, solape de 30.
Endpoint
https://trusteed.xyz/.well-known/jwks.json
Alineación técnica con el AATWG de FIDO Alliance
No somos miembros de FIDO Alliance ni tenemos un partnership con ellos. Implementamos un marco técnico que han publicado, igual que implementamos RFC 7515 o RFC 8707 sin ser el IETF.
El Agentic Authentication Technical Working Group (AATWG, formado el 27-abr-2026 tras la donación de AP2 por Google y de Verifiable Intent por Mastercard, 60 organizaciones adherentes) define el mandato de un agente como delegated authority: una concesión con alcance y ventana temporal, no una prueba de que hay una persona presente.
Nuestro OperatorMandate ya expresa alcance (scopes) y ventana de validez (iat/exp). Un mandato puede declararse alineado con el perfil canónico:
{
"x_aatwg_profile": "fido-aatwg/ap2-delegated-authority/v0.2"
}Además del alcance, un mandato AATWG-alineado lleva un tope de vida útil (por defecto 7 días, configurable). Honestidad de estado: ese tope corre hoy en modo observación (registra y mide, no bloquea con un 403) hasta que se audite la distribución real de ventanas de validez.