Firma
Ed25519 (EdDSA)
Mandatos de agente-operador
Umbrales de aprobación humana por capacidad
Cada capacidad que un agente-operador puede recibir lleva asignado un umbral mínimo de intervención humana (HITL floor). Un mandato puede exigir más aprobación de la que marca el umbral; nunca menos.
OPERATOR_ENFORCEMENT_MODE=enforce — en producción
Escala de umbrales
Seis modos, de menor a mayor exigencia. La comparación es de estrictez, no de orden alfabético: una regla de mandato sólo puede sustituir el suelo por defecto por algo igual o más estricto.
| Modo | Estrictez | Significado |
|---|---|---|
| none | 0 | Sin mínimo mandatado. |
| notify | 1 | Se notifica al comercio tras la ejecución. |
| required-above | 2 | Requerido sólo por encima de un umbral de valor (condicional). |
| required | 3 | Una aprobación humana, antes de ejecutar. |
| cooldown | 4 | Aprobación más una ventana de reflexión antes de aplicarse. |
| dual-control | 5 | Dos aprobadores distintos (M-de-N), no uno. |
Umbral por defecto por capacidad
Registro completo (DEFAULT_HITL_FLOOR). Cualquier capacidad no listada aquí no tiene mínimo mandatado por defecto.
| capability | floor |
|---|---|
| refunds:write | required |
| refunds:write:bounded | required |
| customers:export | required |
| customers:delete | required |
| pricing:write | required |
| pricing:write:bounded | required |
| pricing:write:bulk | cooldown |
| payment-methods:write | cooldown |
| payment-methods:configure | cooldown |
| policy:write | dual-control |
| admin:* | dual-control |
| staff:permissions | dual-control |
Revocación
Trusteed es la autoridad firmante de la lista de revocación de mandatos de operador — patrón comparable a CRL/OCSP. La clave pública se publica en el JWKS estándar.
Rotación de clave
Ciclo de 90 días, solape de 30.
Endpoint
https://trusteed.xyz/.well-known/jwks.json
Alineación técnica con el AATWG de FIDO Alliance
No somos miembros de FIDO Alliance ni tenemos un partnership con ellos. Implementamos un marco técnico que han publicado — igual que implementamos RFC 7515 o RFC 8707 sin ser el IETF.
El Agentic Authentication Technical Working Group (AATWG, formado el 27-abr-2026 tras la donación de AP2 por Google y de Verifiable Intent por Mastercard, 60 organizaciones adherentes) define el mandato de un agente como delegated authority: una concesión con alcance y ventana temporal — no una prueba de que hay una persona presente.
Nuestro OperatorMandate ya expresa alcance (scopes) y ventana de validez (iat/exp). Un mandato puede declararse alineado con el perfil canónico:
{
"x_aatwg_profile": "fido-aatwg/ap2-delegated-authority/v0.2"
}Además del alcance, un mandato AATWG-alineado lleva un tope de vida útil (por defecto 7 días — configurable). Honestidad de estado: ese tope corre hoy en modo observación (registra y mide, no bloquea con un 403) hasta que se audite la distribución real de ventanas de validez.