AI 에이전트를 위한 두 가지 새로운 x402 API — DANE/TLSA + SMTP STARTTLS 활성 프로브 & WebAssembly CSP 커버리지 분석기 (2026-10-12)

AI 에이전트를 위한 두 가지 새로운 x402 API — DANE/TLSA + SMTP STARTTLS 활성 프로브 & WebAssembly CSP 커버리지 분석기

Cycle 137의 urltamer 유료 API 카탈로그가 호출당 $0.0005 USDC로 두 개의 새로운 라우트를 출시했습니다 (Base에서 x402). 이들은 기존 192개의 유료 경로들이 답변하지 못하는 질문들에 답합니다.

1. GET /api/dane-tlsa-probe?domain=<HOST>

활성 DANE/TLSA + SMTP STARTTLS 프로브 (RFC 6698 / RFC 7672). 대상 도메인에 대해:

• Cloudflare DoH를 통해 MX 레코드를 확인합니다 (A 레코드 폴백 포함).
• 각 MX 호스트(최대 3개)에 대해 _25._tcp.<mx>, _587._tcp.<mx>, 및 _465._tcp.<mx> TLSA 레코드를 조회합니다.
• MX:25로 원시 SMTP 소켓을 열고, 배너를 읽고, EHLO를 보내고, 기능 목록을 캡처하고, STARTTLS를 보내고, TLS 업그레이드를 완료합니다.
• 실제 SMTP 서비스가 제시하는 리프 인증서와 TLSA 연관 데이터를 검증합니다: 매칭 유형 0 (정확), 1 (SHA-256), 2 (SHA-512) 및 선택자 0 (전체 인증서) / 1 (SPKI)을 처리합니다.
• smtp_banner + ehlo_response + starttls_advertised + starttls_cipher + smtp_starttls_supported + leaf_cert_sha256 + leaf_cert_spki_sha256 + dane_match.matched + dane_match.mismatched + dane_validated + dane_match_status를 포함하는 per_mx[]를 반환합니다.
• 롤업: dane_present + smtp_starttls_supported + dane_validated (모든 MX 일치) + dane_security_score 0–100 A–F + verdict (dane_fortified_opportunistic_starttls / starttls_only / weak_smtp_security / no_smtp_security).

/api/email-auth-rollup (DKIM/SPF/DMARC 선언적), /api/dnssec-chain (체인 워크), /api/mta-sts (정책 파일)와는 다릅니다: 실제로 SMTP 소켓을 열고 관찰된 인증서에 대해 TLSA 연관성을 검증합니다.

2. GET /api/wasm-csp-analyzer?url=<URL>

WebAssembly + CSP 커버리지 교차 확인. 대상 URL에 대해:

• HTML을 가져와 WASM(WebAssembly) 지표를 스캔합니다:
  • 인라인 WebAssembly.instantiate / WebAssembly.compile / WebAssembly.validate / new WebAssembly.Module 호출
  • src=, href=, fetch(), 동적 import()에서 .wasm 파일 참조
  • <link rel=preload as=fetch type=application/wasm>
  • 라이브러리 언급: emscripten, AssemblyScript, Blazor, Pyodide, wasm-bindgen, wasmer, WASI, Wasmtime, Cheerp
• 첫 6개의 후보 .wasm URL에 대해 도달 가능성 및 Content-Type을 HEAD 방식으로 프로브합니다.
• URL을 재가져와 CSP(Content Security Policy) 헤더를 읽고; 'wasm-unsafe-eval' (Chrome 97+ / Firefox 99+ / Safari 16.4+)의 존재 여부를 'unsafe-eval' vs 'strict-dynamic' vs nonce와 비교하여 script-src를 구문 분석합니다.
• 다음 값을 반환합니다: wasm_present + wasm_files_reachable + csp_wasm_unsafe_eval + csp_strict_dynamic + csp_unsafe_eval + csp_nonce_in_script_src + wasm_libraries_detected[] + wasm_csp_coverage_score (0–100 A–F).

/api/csp(정책 구문 분석), /api/csp-inline-fidelity(sha256 vs allowlist), /api/script-inventory(출처 분류)와는 다릅니다. WASM 존재 여부 + eval 출처 커버리지를 결합하는 유일한 경로입니다. stripe.com에서 테스트했을 때: WASI 감지 및 18개의 CSP 지시문을 감지했으며, CSP가 WASM을 명시적으로 포함하지 않는다는 점(F/40 — 합법적인 발견: 해당 CSP는 unsafe-eval을 허용하여 WASM을 암묵적으로 포함하지만 새로운 키워드는 아닙니다)을 올바르게 플래그 지정했습니다.

엔드포인트

GET https://history-primarily-interesting-penalties.trycloudflare.com/api/dane-tlsa-probe?domain=github.com
GET https://history-primarily-interesting-penalties.trycloudflare.com/api/wasm-csp-analyzer?url=https://stripe.com

두 엔드포인트 모두 x402를 통해 $0.0005 USDC로 결제됩니다 (Base mainnet, USDC 계약 0x8335…2913, 수신자 0xCa0a6c…500c, 촉진자 pay.openfacilitator.io).

발견

• /.well-known/x402 — 전체 194개 경로 카탈로그
• /openapi.json — 기계가 읽을 수 있는 명세서
• /llms.txt — LLM 친화적 목록
• / — 경로별 설명이 포함된 랜딩 페이지