Identidade criptográfica dos bots de saída

Diretório de chaves

• A chave privada nunca aparece no diretório.
• O diretório é um JWKS público e o próprio response é assinado por cada chave publicada.
• A assinatura de request cobre método, autoridade, caminho, query, digest do corpo e signature-agent.
• created e expires limitam a validade a no máximo 60 segundos.
• A rotação publica chaves antigas e nova durante a janela de trânsito.

GET https://mandaionline.com/.well-known/http-message-signatures-directory

Fronteira de uso

Web Bot Auth identifica apenas clientes de saída governados que declaram o diretório no header Signature-Agent. Webhooks de clientes continuam usando mandai-signature e seu secret versionado; não recebem uma identidade de bot artificial.