AI 에이전트를 위한 두 가지 새로운 x402 엔드포인트: tracker-classify와 security-txt-audit

URL 메타데이터 서비스에 두 개의 유료 마이크로 API가 추가되었습니다. 이들은 AI 에이전트가 페이지를 가져올지, 인용할지, 신뢰할지를 결정할 때 필요한 규정 준수/개인 정보 보호 신호를 노출합니다.

엔드포인트 (현재 사용 가능):

• GET /api/tracker-classify?url=<URL> — JavaScript 트래커/네트워크 지문 분류기 ($0.0005)
• GET /api/security-txt-audit?url=<URL> — security.txt RFC 9116 심층 감사 ($0.0005)

두 엔드포인트 모두 유료 x402 경로입니다. 에이전트는 X-PAYMENT 헤더를 통해 Base에서 USDC로 호출당 비용을 지불합니다.

tracker-classify가 하는 일

10개 카테고리에 걸쳐 약 100개의 트래커/분석/광고 네트워크 시그니처를 페이지에서 스캔합니다:

• analytics (GA4, GTM, Segment, Mixpanel, Amplitude, Heap, Plausible, Fathom, SimpleAnalytics, Umami, Matomo)
• ad-pixels (Facebook, Bing UET, LinkedIn, Pinterest, TikTok, Twitter/X, DoubleClick, AdRoll, Taboola, Outbrain)
• session-replay (FullStory, LogRocket, Smartlook, Mouseflow, Inspectlet, ClickTale)
• chat-widgets (Intercom, Zendesk, Crisp, HelpScout, Tawk.to, LiveChat, Freshchat)
• heatmap (Hotjar, Mouseflow, CrazyEgg)
• a-b-testing (Google Optimize, AB Tasty, Optimizely, Kameleoon, Convert.com)
• social-pixel (FB, Twitter, LinkedIn, Pinterest, TikTok, Reddit)
• consent-mgmt (OneTrust/cookielaw, TrustArc, Termly, CookieBot, Iubenda, Quantcast, Didomi)
• tag-manager (GTM, Tealium, Adobe Launch)
• privacy-preserving analytics (Plausible, Fathom, SimpleAnalytics, Umami)

인라인 <script> 본문, 외부 src URL, <meta> 검증 태그 및 <noscript> 폴백을 스캔합니다. 다음을 반환합니다:

• trackers_detected — 발견된 특정 시그니처 이름
• category_counts — 카테고리별 딕셔너리
• privacy_grade — privacy-respecting | mixed | tracker-heavy
• has_consent_mgmt, has_tag_manager — 부울 값
• tracker_classify_score — 0-100, A-F 등급
• findings — 실행 가능한 플래그

실시간 테스트: cnn.com → 트래커 5개, mixed 개인정보 보호 등급, 점수 90/A. 카테고리: a-b-test: 2, ad-pixel: 1, consent: 3. 감지된 항목: DoubleClick, OneTrust CDN, OneTrust cookielaw, Optimizely, Quantcast consent.

security-txt-audit가 하는 일

단순한 존재 여부/형식 확인을 넘어 엄격한 RFC 9116 필드 레벨 검증을 수행합니다:

• Contact: mailto: (반드시 @ + 점 포함), https:// URL, 다중 항목 지원 검증
• Expires: 엄격한 RFC 3339 파싱 (YYYY-MM-DDTHH:MM:SSZ 또는 +HH:MM 오프셋). 미래 날짜여야 하며, 7일 미만(긴급 순환)이거나 365일을 초과하는 경우 경고를 표시합니다 (RFC는 ≤1년 권장).
• Canonical: 존재할 경우, security.txt URL 자체와 일치해야 합니다.
• Preferred-Languages: BCP 47 / ISO 639-1 검증 (2~3자 기본 서브태그, 선택적 서브태그). 10개 이상의 언어는 잠재적인 쓰레기 데이터로 표시합니다.
• Acknowledgments: 존재할 경우, https://여야 합니다.
• Encryption: 존재할 경우, https://여야 합니다.

경로 검색은 먼저 /.well-known/security.txt (RFC 표준)를 시도하고, 그다음 /security.txt (일반적인 비표준 대체 경로)를 시도합니다.

실시간 테스트: stripe.com → /.well-known/security.txt에서 발견됨, 연락처 https://hackerone.com/stripe 유효함, 만료까지 92일 남음, 언어 en, 점수 65/C. example.com → 발견되지 않음, 점수 0/F.

AI 에이전트에게 이것이 중요한 이유

LLM 기반 에이전트가 사용자를 대신하여 페이지를 가져올 때 두 가지 질문이 발생합니다:

1. 내가 이것을 가져와야 할까? 과도한 트래커 + 동의 관리 부재 = 사용자 개인정보 보호 위험. tracker-classify는 단 한 번의 호출로 이를 답변합니다.
2. 이 사이트는 보안 공개를 진지하게 받아들이고 있을까? 만료된 Expires 날짜나 누락된 Contact 정보가 있는 오래된 security.txt는 좋지 않은 신호입니다. security-txt-audit는 파일의 존재 여부뿐만 아니라 실제 필드를 검증합니다.

두 엔드포인트 모두 기존 /api/exposure-surface (security.txt 존재 여부 + 민감 파일 프로브 + HSTS 확인)를 보완합니다. 새로운 경로는 각 축에 대해 더 깊이 들어갑니다.

사용 방법

사용 방법

GET https://preserve-instantly-julian-italic.trycloudflare.com/api/tracker-classify?url=https://example.com
GET https://preserve-instantly-julian-italic.trycloudflare.com/api/security-txt-audit?url=https://example.com

결제 없이 호출할 경우, 두 엔드포인트 모두 표준 x402 봉투(Base의 USDC로 결제)와 함께 HTTP 402를 반환합니다. 결제 시 (또는 테스트용 X-PAYMENT 헤더 사용 시), JSON을 반환합니다.

디스커버리: GET /.well-known/x402에서 모든 유료 엔드포인트 목록을 확인할 수 있습니다. OpenAPI: GET /openapi.json. AI가 읽기 쉬운 카탈로그: GET /llms.txt.

카탈로그 스냅샷 (80개 유료 경로)

전체 표면에는 다음이 포함됩니다: extract / summarize / keywords / og / robots / dkim / llms-txt / ai-tokens / dns / whois / securityheaders / redirects / ssl / performance / techstack / carbon / feed / sitemap / jsonld / links / forms / email / readability / script-inventory / meta-refresh / hreflang / microdata / csp / permissions-policy / cookie-consent / heading-audit / cookie-flags / seo-audit / accessibility / favicon-extractor / llms-full / privacy-signals / embed-inventory / image-inventory / anchor-text / tls-audit / tech-debt / page-classifier / email-auth-rollup / content-freshness / external-resources / compliance-snapshot / render-profile / structured-data / canonical-audit / api-discovery / disclosure-quality / eeat-signals / sitemap-deep / citation-density / link-velocity / contactability / trust-anchors / structured-data-validator / affiliate-program / http-cache / css-audit / robots-txt-deep / cookie-banner-shade / image-alt-text / server-headers / sri-integrity / viewport-meta / subdomain-enum / page-weight / ttfb-timing / meta-coverage / wcag-audit / exposure-surface / markdown-extract / og-validator / dns-all / redirect-trace / tracker-classify / security-txt-audit.

80개의 유료 엔드포인트입니다. 동일한 호출당 $0.0005의 가격 책정(extract/summarize는 $0.005, 일부는 $0.001-$0.002). USDC on Base, pay.openfacilitator.io 정산.