Saltar para o conteúdo principal
Quando um auditor pede “prove que seu tráfego de IA é governado”, você não quer tirar print de um console. O OrcaRouter transforma sua postura ao vivo de guardrail e firewall em um relatório de evidência assinado e publicamente verificável mapeado a um framework regulatório — SOC 2, HIPAA, GDPR, o EU AI Act e mais. Esta página é a superfície de API para esse fluxo: como navegar pelo catálogo, instalar um pack, gerar um relatório e deixar um auditor verificar a assinatura sem uma conta OrcaRouter. Compliance é o terceiro plano na pilha de controle do OrcaRouter, ao lado de Guardrails (texto) e do Firewall (chamadas de ferramenta). Um compliance pack é apenas um pacote pré-criado desses dois — instalar um materializa uma política real e editável de guardrail e firewall no seu workspace.
Todas as rotas /api/compliance/* autenticam com seu token de sessão / acesso do console (o mesmo login que você usa para o dashboard), não uma chave de relay sk-orca-…. Configure tudo a partir do console; a superfície REST abaixo é para automatizar a coleta de evidências no CI.

​
1. O que a referência da api de compliance cobre

Dois grupos de rotas, duas audiências:
GrupoAutenticaçãoAudiência
/api/compliance/*Sessão de consoleVocê + seus auditores (dentro do workspace)
/api/public/compliance/*Nenhuma (token / assinatura)Qualquer um verificando um relatório
Leituras no primeiro grupo — navegar pelo catálogo, packs instalados, prontidão, residência e metadados de relatório — são abertas a todo membro do workspace e gratuitas. Toda escrita (instalar um pack, ir ao ar, gerar ou baixar relatórios, mudar residência, compartilhar) exige Admin do workspace (aplicado no servidor). Um plano pago é adicionalmente exigido para instalar um pack, colocá-lo no ar e exportar CSV/JSON ou gerar mais do que o único relatório gratuito — mas não para mudar a residência ou gerar seu primeiro PDF.

​
2. Navegue pelo catálogo e verifique a prontidão

Comece somente-leitura. Estes três endpoints não exigem papel especial e não custam nada:
Retorna o registro de frameworks. O OrcaRouter traz packs para os principais regimes de segurança, privacidade e governança de IA — incluindo soc2, hipaa, gdpr, uk_gdpr, eu_ai_act, iso_27001, iso_42001, nist_ai_rmf, nist_800_53, pci_dss, glba, ccpa e uma longa cauda de leis regionais de privacidade (PIPL, APPI, PIPA, LGPD, PIPEDA, DPDP e os estatutos estaduais dos EUA). O OWASP Top 10 para Aplicações de LLM (owasp_llm) também vem como um pack de primeira classe — ele materializa controles reais de guardrail e firewall (injeção de prompt, saída insegura, divulgação sensível, agência excessiva) assim como todo outro framework.
Lista os packs já materializados neste workspace, cada um com seu modo de ciclo de vida (observe ou enforce) e a política de guardrail + firewall que ele criou.
Pontua sua postura atual contra o checklist de cada framework: quais controles seus guardrails e regras de firewall ao vivo já satisfazem, e quais ainda são lacunas organizacionais que você mesmo deve fechar. Leia isto antes de instalar qualquer coisa.

​
3. Instale um pack

Instalar um pack é o momento de valor: ele escreve um Guardrail real (plano de texto/dados) e uma WorkspaceFirewallPolicy mais regras (plano de chamada de ferramenta) no seu workspace, marcados para o framework. Ambos são totalmente editáveis depois — o pack é um ponto de partida, não um template travado. 
# Admin + plano pago. Instala primeiro em observe mode.
curl -X POST https://api.orcarouter.ai/api/compliance/packs/soc2/install \
  -H "Authorization: Bearer $ORCA_CONSOLE_TOKEN"
Novos packs caem em observe mode — ações de guardrail coagidas para flag, firewall em shadow/somente-log — para que você possa observar a cobertura antes que qualquer coisa bloqueie tráfego ao vivo. Quando estiver pronto, promova-o: 
curl -X POST https://api.orcarouter.ai/api/compliance/packs/soc2/golive \
  -H "Authorization: Bearer $ORCA_CONSOLE_TOKEN"
golive vira a política materializada de guardrail e firewall para enforcement. Rode-o depois de revisar os modos de enforcement para saber exatamente o que deny e mask farão ao tráfego ao vivo.
Outras escritas de pack (todas Admin): POST …/packs/:key/controls para conectar um único controle, POST …/packs/:key/update para re-sincronizar depois que o catálogo muda e DELETE …/packs/:key para desinstalar.

​
4. Gere um relatório de evidência assinado

O relatório é o artefato que você entrega a um auditor. Cada um é renderizado a partir da sua postura ao vivo, com hash de conteúdo via SHA-256 e assinado com Ed25519 para que não possa ser editado silenciosamente após o fato. 
curl -X POST https://api.orcarouter.ai/api/compliance/reports \
  -H "Authorization: Bearer $ORCA_CONSOLE_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"framework":"soc2","format":"pdf"}'
Os formatos são pdf, json e csv.
Seu primeiro relatório PDF é gratuito para que você possa demonstrar o artefato. A exportação CSV/JSON e relatórios adicionais fazem parte do plano pago — o relatório é a evidência vendável, então o gateway retorna uma mensagem amigável de upgrade em vez de um erro rígido quando você atinge o limite gratuito.
Liste e busque relatórios com GET …/reports e GET …/reports/:id; baixe o arquivo renderizado com GET …/reports/:id/download (Admin).

​
5. Deixe um auditor verificá-lo — sem conta necessária

Três endpoints públicos tornam um relatório verificável de forma independente por qualquer um que tenha o arquivo:

Obtenha a chave pública

GET /api/public/compliance/pubkey retorna a chave pública Ed25519 com a qual seus relatórios são assinados.

Verifique uma assinatura

POST /api/public/compliance/verify verifica a assinatura e o hash de conteúdo de um relatório e diz ao chamador se ele foi adulterado.

Compartilhe com um auditor

Cunhe um link somente-leitura a partir de POST …/reports/:id/share (Admin); o auditor abre GET /api/public/compliance/share/:token — sem login.
Como a verificação é pública e checável offline, um auditor nunca toca no seu workspace nem no seu tráfego — ele confirma a criptografia e lê a evidência.

​
6. Residência de dados

Residência aqui é a região sob a qual sua evidência de compliance é carimbada e armazenada — us, eu, uk, ap, cn ou global. Ela governa onde os relatórios vivem e a partir de qual região eles podem ser servidos; um relatório é retido se lido de uma região não correspondente. (Este é um controle de artefato de evidência, não geo-pinning do seu tráfego de inferência.) 
curl -X PUT https://api.orcarouter.ai/api/compliance/residency \
  -H "Authorization: Bearer $ORCA_CONSOLE_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"region":"eu"}'
Leia a configuração atual com GET …/residency (qualquer membro); mudá-la é Admin.

​
7. Retenção, erasure e auditoria

O plano de compliance é apoiado pelas mesmas garantias de ciclo de vida de dados que se aplicam por todo o gateway:
Logs de requisição são mantidos 30 dias por padrão e 180 dias no máximo — o gateway limita qualquer coisa maior. A retenção alimenta diretamente seu score de prontidão.
Uma requisição de exclusão de conta abre um período de carência de 30 dias (o padrão), após o qual a PII da conta é irreversivelmente removida: a cascata redige os identificadores nos logs de requisição retidos e purga os matches de guardrail, eventos de firewall e registros de agent-trace com escopo de usuário.
A seção de changelog de um relatório de compliance é extraída do log de auditoria do workspace, com escopo para o período do relatório. E-mails de membros e admins são mascarados por padrão no relatório exportado (ex.: j•••@acme.com) a menos que PII completa seja explicitamente requisitada no momento da geração. Veja o catálogo de ações de auditoria.

​
Para onde ir a seguir

API de Guardrail

A política de plano de texto/dados que um compliance pack materializa.

API de Firewall

O plano de política de chamada de ferramenta que o pack escreve ao lado dela.

Pilha de controle

Como guardrails, firewall e compliance se compõem em uma única postura.

Códigos de erro

Todo status que o gateway pode retornar, incluindo paywall e portões de papel.
Para definições de termos — compliance pack, relatório assinado, residência de dados, direito ao apagamento — veja o glossário de conceitos.