XGuard — Secretless Agent Gateway

API de producción canónica

https://api.xguardgate.com

Identidad canónica — v5.0.2: XGuard Secretless Agent Gateway. Secretless Egress es el producto principal. Action Rail y el enrutamiento del facilitador x402 son vías de compatibilidad. Las descripciones históricas que involucran XGuard ACE, Solana/BAM speed bumps, Child Safety, Web Extractor, Universal Facilitator Gateway, High-Velocity x402 Facilitator o un plano de control genérico de solo gasto no son la identidad actual del producto XGuard. Ver CANONICAL_IDENTITY.md.

XGuard mantiene las credenciales reutilizables de los sistemas ascendentes fuera de los agentes de IA. Los operadores almacenan una credencial API de Stripe, GitHub, OpenAI, Anthropic, Slack, Notion, Cloudflare, Gemini o personalizada una sola vez y luego le dan al agente solo una capacidad XGuard delimitada y de corta duración.

Operator secret
     ↓
Encrypted XGuard credential vault
     ↓
Scoped capability
     ↓
AI agent
     ↓
XGuard Secretless Egress
     ↓
credential injected server-side
     ↓
upstream API

El agente nunca recibe la credencial reutilizable de los sistemas ascendentes.

XGuard se convierte en un punto de estrangulamiento real cuando un operador conserva la credencial reutilizable únicamente en XGuard y delega capacidades en lugar de redistribuir esa credencial. XGuard no pretende tener control sobre el tráfico de Internet no relacionado.

Por qué Secretless Egress

Un token de portador reutilizable dentro de un agente autónomo puede ser copiado, registrado, colocado en contexto, reutilizado fuera de la solicitud prevista o filtrado a una herramienta no confiable. XGuard cambia la primitiva de posesión de secretos a posesión de capacidades delimitadas.

El límite de egreso actual proporciona:

• almacenamiento cifrado de credenciales reutilizables;

• preajustes de proveedores para OpenAI, Anthropic, GitHub, Stripe, Slack, Notion, Cloudflare y Gemini;

• credenciales personalizadas basadas en cabeceras restringidas a hosts HTTPS públicos explícitos;

• capacidades de corta duración;

• vinculación exacta al origen HTTPS;

• listas de permitidos de prefijos de ruta;

• listas de permitidos de métodos HTTP;

• recuentos máximos de llamadas;

• facturación de Usage Credit antes de la liberación del secreto y antes del egreso de red;

• sin reenvío automático de credenciales a través de redirecciones;

• bloqueo de destinos privados/locales;

• inyección automática de Idempotency-Key para métodos no seguros;

• sin reproducción automática ciega después de una ambigüedad de red;

• descubrimiento MCP y ejecución de egreso sin exponer el aprovisionamiento de credenciales al contexto del modelo.

Related MCP server: AgentGate

API de Egreso

Contrato legible por máquina:

GET https://api.xguardgate.com/v1/egress
GET https://api.xguardgate.com/.well-known/xguard-egress.json
GET https://api.xguardgate.com/.well-known/xguard-egress-key.json
GET https://api.xguardgate.com/v1/egress/providers

1. El operador almacena una credencial reutilizable

El aprovisionamiento de credenciales es, intencionalmente, una API de operador, no una herramienta MCP.

POST /v1/egress/credentials
X-XGuard-Key: <usage-credit-key>
Content-Type: application/json

{
  "provider": "github",
  "value": "<github-token>",
  "label": "production-github",
  "allowed_paths": ["/repos/"],
  "allowed_methods": ["GET", "POST"]
}

XGuard devuelve solo metadatos de credenciales como xcred_...; el secreto reutilizable no se devuelve.

2. El operador emite una capacidad de corta duración

POST /v1/egress/capabilities
X-XGuard-Key: <usage-credit-key>
Content-Type: application/json

{
  "credential_id": "xcred_...",
  "target_origin": "https://api.github.com",
  "path_prefix": "/repos/",
  "allowed_methods": ["GET", "POST"],
  "ttl_seconds": 300,
  "max_calls": 10
}

La capacidad xgc_... devuelta es lo que recibe el agente.

3. El agente ejecuta sin el secreto del sistema ascendente

POST /v1/egress/fetch
Content-Type: application/json

{
  "capability": "xgc_...",
  "target": "https://api.github.com/repos/org/repo/issues",
  "method": "POST",
  "body_json": {
    "title": "Example"
  }
}

XGuard valida el alcance de la capacidad y la facturación, inyecta la credencial de GitHub en el servidor, envía una solicitud HTTPS y nunca expone el token reutilizable de GitHub al agente.

Contrato de precios:

GET /v1/egress/pricing

La configuración actual consume 1 Usage Credit de XGuard por intento de egreso autorizado respaldado por credenciales. La facturación se confirma antes del descifrado de la credencial y antes del egreso de red. Si la facturación no puede confirmarse, no se envía ninguna solicitud al sistema ascendente.

MCP

Endpoint MCP canónico:

https://api.xguardgate.com/mcp

Las herramientas orientadas al agente incluyen:

xguard_secretless_egress
xguard_egress_fetch
xguard_action_rail

La creación de credenciales reutilizables deliberadamente no se expone como herramienta MCP.

Action Rail subyacente

Secretless Egress es el límite principal del producto. XGuard Action Rail permanece disponible como capa subyacente para controles de ejecución más estrictos en torno a pagos, compras, reservas, mensajes, despliegues, eliminaciones, escrituras de API y llamadas a herramientas.

POST /v1/mandates
POST /v1/actions/permits
POST /v1/actions/execute
GET  /v1/actions/permits/{permit_id}

Action Rail añade mandatos delimitados, permisos criptográficos vinculados a la solicitud, rechazo de la reproducción, estado de ejecución duradero y recibos.

Despliegue universal y de borde

Para infraestructura controlada por el operador, XGuard también puede colocarse frente a un origen:

Internet / Ingress
      ↓
XGuard Universal Gate
      ↓
private origin

El repositorio incluye componentes de Cloudflare Edge Gate, despliegue portátil de Node, Docker, Docker Compose, Kubernetes y OpenAPI AutoGate.

Compatibilidad nativa con x402

x402 sigue siendo una vía de compatibilidad, no la definición de XGuard.

GET  /supported
POST /verify
POST /settle
GET  /facilitator
GET  /.well-known/x402
GET  /v1/facilitator/route

XGuard sigue siendo una puerta de enlace facilitadora x402 v2 no custodial con enrutamiento consciente de las capacidades, protección contra la reproducción, conciliación de Base USDC y comportamiento de liquidación ambigua con cierre ante fallos.

Modelo de seguridad

• las credenciales reutilizables de los sistemas ascendentes se cifran en reposo mediante claves AES-GCM por registro envueltas por una autoridad XGuard RSA-OAEP;

• los valores secretos no se incluyen en las capacidades del agente;

• las claves de Usage Credit de XGuard del operador se cifran en el estado de la capacidad y no se entregan a los agentes;

• las capacidades vinculan un origen, prefijo de ruta, métodos, caducidad y llamadas máximas;

• las cabeceras proporcionadas por el usuario no pueden anular la cabecera de credencial inyectada ni las cabeceras de control de XGuard;

• los destinos privados/locales y los destinos dirigidos a XGuard mismo están bloqueados;

• las redirecciones no se siguen automáticamente con credenciales inyectadas;

• la facturación se confirma antes del descifrado del secreto y del egreso de red;

• los métodos no seguros reciben una Idempotency-Key generada por XGuard cuando el llamante no la proporcionó;

• XGuard no reproduce automáticamente una solicitud respaldada por credenciales después de una ambigüedad de red.

Descubrimiento automático

GET /.well-known/xguard-egress.json
GET /.well-known/xguard-actions.json
GET /.well-known/xguard.json
GET /.well-known/ai-plugin.json
GET /.well-known/agent-card.json
GET /architecture
GET /v1/protocols
GET /openapi.json
GET /llms.txt
GET /skill.md
GET /sitemap.xml

Dominios de producción

https://xguardgate.com
https://api.xguardgate.com

La configuración de Cloudflare Worker deshabilita la ruta pública workers.dev para que la identidad de producción de XGuard se limite a los dominios personalizados de XGuard.

Repositorio:

https://github.com/moelayyan90/XGuard