Zum Hauptinhalt springen
Wenn ein Auditor verlangt „beweisen Sie, dass Ihr KI-Traffic gesteuert ist”, möchten Sie keine Konsole screenshotten. OrcaRouter verwandelt Ihre Live-Guardrail- und Firewall-Haltung in einen signierten, öffentlich verifizierbaren Evidenz-Report, gemappt auf ein regulatorisches Framework — SOC 2, HIPAA, GDPR, den EU AI Act und mehr. Diese Seite ist die API-Surface für diesen Workflow: wie Sie den Katalog durchsuchen, ein Pack installieren, einen Report generieren und einen Auditor die Signatur ohne OrcaRouter-Konto verifizieren lassen. Compliance ist die dritte Plane in OrcaRouters Control-Stack, neben Guardrails (Text) und der Firewall (Tool-Calls). Ein Compliance-Pack ist einfach ein vorgefertigtes Bündel dieser beiden — eines zu installieren materialisiert eine echte, editierbare Guardrail- und Firewall-Policy in Ihrem Workspace.
Alle /api/compliance/*-Routen authentifizieren mit Ihrem Konsolen-Session- / Access-Token (derselbe Login, den Sie für das Dashboard nutzen), nicht mit einem sk-orca-…-Relay-Key. Konfigurieren Sie alles aus der Konsole; die REST-Surface unten dient der Automatisierung der Evidenzsammlung in CI.

​
1. Was die Compliance-API-Referenz abdeckt

Zwei Routengruppen, zwei Zielgruppen:
GruppeAuthZielgruppe
/api/compliance/*Konsolen-SessionSie + Ihre Auditoren (im Workspace)
/api/public/compliance/*Keine (Token / Signatur)Jeder, der einen Report verifiziert
Lesevorgänge in der ersten Gruppe — Durchsuchen des Katalogs, installierte Packs, Readiness, Residency und Report-Metadaten — sind für jedes Workspace-Mitglied offen und kostenlos. Jeder Schreibvorgang (ein Pack installieren, live gehen, Reports generieren oder herunterladen, Residency ändern, teilen) erfordert Workspace-Admin (server-durchgesetzt). Ein kostenpflichtiger Plan ist zusätzlich erforderlich, um ein Pack zu installieren, es live zu nehmen und CSV/JSON zu exportieren oder mehr als den einen kostenlosen Report zu generieren — aber nicht, um die Residency zu ändern oder Ihr erstes PDF zu generieren.

​
2. Den Katalog durchsuchen und Readiness prüfen

Beginnen Sie read-only. Diese drei Endpunkte benötigen keine spezielle Rolle und kosten nichts:
Gibt die Framework-Registry zurück. OrcaRouter liefert Packs für die großen Sicherheits-, Datenschutz- und KI-Governance-Regime — einschließlich soc2, hipaa, gdpr, uk_gdpr, eu_ai_act, iso_27001, iso_42001, nist_ai_rmf, nist_800_53, pci_dss, glba, ccpa und einem langen Schweif regionaler Datenschutzgesetze (PIPL, APPI, PIPA, LGPD, PIPEDA, DPDP und die US-Bundesstaatengesetze). OWASP Top 10 for LLM Applications (owasp_llm) wird ebenfalls als First-Class-Pack ausgeliefert — es materialisiert echte Guardrail- und Firewall-Kontrollen (Prompt-Injection, Insecure Output, Sensitive Disclosure, Excessive Agency) genau wie jedes andere Framework.
Listet die bereits in diesem Workspace materialisierten Packs auf, jedes mit seinem Lebenszyklus-Mode (observe oder enforce) und der Guardrail- + Firewall-Policy, die es erstellt hat.
Bewertet Ihre aktuelle Haltung gegen die Checkliste jedes Frameworks: welche Kontrollen Ihre Live-Guardrails und Firewall-Regeln bereits erfüllen und welche noch organisatorische Lücken sind, die Sie selbst schließen müssen. Lesen Sie das, bevor Sie irgendetwas installieren.

​
3. Ein Pack installieren

Ein Pack zu installieren ist der Wertmoment: Es schreibt ein echtes Guardrail (Text-/Daten-Plane) und eine WorkspaceFirewallPolicy plus Regeln (Tool-Call-Plane) in Ihren Workspace, getaggt auf das Framework. Beide sind danach vollständig editierbar — das Pack ist ein Ausgangspunkt, kein gesperrtes Template. 
# Admin + kostenpflichtiger Plan. Installiert zuerst im observe-Mode.
curl -X POST https://api.orcarouter.ai/api/compliance/packs/soc2/install \
  -H "Authorization: Bearer $ORCA_CONSOLE_TOKEN"
Neue Packs landen im observe-Mode — Guardrail-Aktionen auf flag gezwungen, Firewall in Shadow/Log-only — sodass Sie die Abdeckung beobachten können, bevor irgendetwas Live-Traffic blockiert. Wenn Sie bereit sind, promoten Sie es: 
curl -X POST https://api.orcarouter.ai/api/compliance/packs/soc2/golive \
  -H "Authorization: Bearer $ORCA_CONSOLE_TOKEN"
golive kippt die materialisierte Guardrail- und Firewall-Policy in die Durchsetzung. Führen Sie es aus, nachdem Sie die Enforcement-Modes durchgesehen haben, sodass Sie genau wissen, was deny und mask mit Live-Traffic tun werden.
Andere Pack-Schreibvorgänge (alle Admin): POST …/packs/:key/controls, um eine einzelne Kontrolle zu verdrahten, POST …/packs/:key/update, um nach Katalogänderungen neu zu synchronisieren, und DELETE …/packs/:key, um zu deinstallieren.

​
4. Einen signierten Evidenz-Report generieren

Der Report ist das Artefakt, das Sie einem Auditor übergeben. Jeder wird aus Ihrer Live-Haltung gerendert, mit SHA-256 inhaltsgehasht und mit Ed25519 signiert, sodass er nicht nachträglich stillschweigend bearbeitet werden kann. 
curl -X POST https://api.orcarouter.ai/api/compliance/reports \
  -H "Authorization: Bearer $ORCA_CONSOLE_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"framework":"soc2","format":"pdf"}'
Formate sind pdf, json und csv.
Ihr erster PDF-Report ist kostenlos, sodass Sie das Artefakt demonstrieren können. CSV/JSON-Export und zusätzliche Reports sind Teil des kostenpflichtigen Plans — der Report ist die verkaufbare Evidenz, sodass das Gateway eine freundliche Upgrade-Nachricht statt eines harten Fehlers zurückgibt, wenn Sie die kostenlose Obergrenze erreichen.
Listen und holen Sie Reports mit GET …/reports und GET …/reports/:id; laden Sie die gerenderte Datei mit GET …/reports/:id/download (Admin) herunter.

​
5. Lassen Sie einen Auditor es verifizieren — kein Konto erforderlich

Drei öffentliche Endpunkte machen einen Report von jedem, der die Datei hält, unabhängig prüfbar:

Den Public Key holen

GET /api/public/compliance/pubkey gibt den Ed25519-Public-Key zurück, mit dem Ihre Reports signiert sind.

Eine Signatur verifizieren

POST /api/public/compliance/verify prüft die Signatur und den Inhalts-Hash eines Reports und sagt dem Aufrufer, ob er manipuliert wurde.

Mit einem Auditor teilen

Prägen Sie einen read-only Link aus POST …/reports/:id/share (Admin); der Auditor öffnet GET /api/public/compliance/share/:token — kein Login.
Da die Verifikation öffentlich und offline-prüfbar ist, berührt ein Auditor nie Ihren Workspace oder Ihren Traffic — er bestätigt die Kryptografie und liest die Evidenz.

​
6. Data-Residency

Residency hier ist die Region, unter der Ihre Compliance-Evidenz gestempelt und gespeichert wird — us, eu, uk, ap, cn oder global. Sie regelt, wo Reports leben und aus welcher Region sie ausgeliefert werden dürfen; ein Report wird zurückgehalten, wenn er aus einer nicht passenden Region gelesen wird. (Dies ist eine Kontrolle für Evidenz-Artefakte, nicht das Geo-Pinning Ihres Inferenz-Traffics.) 
curl -X PUT https://api.orcarouter.ai/api/compliance/residency \
  -H "Authorization: Bearer $ORCA_CONSOLE_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"region":"eu"}'
Lesen Sie die aktuelle Einstellung mit GET …/residency (jedes Mitglied); das Ändern ist Admin.

​
7. Retention, Erasure und Audit

Die Compliance-Plane ist durch dieselben Daten-Lebenszyklus-Garantien gestützt, die gatewayweit gelten:
Request-Logs werden standardmäßig 30 Tage und maximal 180 Tage aufbewahrt — das Gateway klemmt alles Längere ab. Die Retention fließt direkt in Ihren Readiness-Score ein.
Ein Kontolöschungsantrag öffnet eine 30-Tage-Gnadenfrist (der Default), nach der die PII des Kontos unwiderruflich gescrubbt wird: Die Kaskade redigiert die Identifikatoren auf aufbewahrten Request-Logs und purgt die user-bezogenen Guardrail-Matches, Firewall-Events und Agent-Trace-Datensätze.
Der Change-Log-Abschnitt eines Compliance-Reports wird aus dem Workspace-Audit-Log gezogen, gescoped auf den Report-Zeitraum. Mitglied- und Admin-E-Mails werden im exportierten Report standardmäßig maskiert (z. B. j•••@acme.com), sofern nicht zur Generierungszeit ausdrücklich volle PII angefragt wird. Siehe den Audit-Action-Katalog.

​
Wohin als Nächstes

Guardrail-API

Die Text-/Daten-Plane-Policy, die ein Compliance-Pack materialisiert.

Firewall-API

Die Tool-Call-Policy-Plane, die das Pack daneben schreibt.

Control-Stack

Wie Guardrails, Firewall und Compliance zu einer Haltung komponieren.

Fehlercodes

Jeder Status, den das Gateway zurückgeben kann, einschließlich Paywall- und Rollen-Gates.
Für Begriffsdefinitionen — Compliance-Pack, signierter Report, Data-Residency, Recht auf Löschung — siehe das Konzept-Glossar.