storefront-guard

Name: storefront-guard
Author: maxigirl123

本地服务

github.com/maxigirl123安全06 周前更新

代码仓库

关于 storefront-guard

Fortik 是供 AI 购物 Agent 在付款前核验商家店铺的服务，通过公开来源评估域名、证书、诈骗记录和实体信息，并返回可解释的信任评分与建议。它无需商家预先注册，支持 MCP、HTTP 和 REST 接入。

主要功能

01核验域名注册与证书历史
02检查 HTTPS 与已知诈骗名单
03交叉核验企业及法律实体
04返回信任评分和行动建议
05提供 MCP、HTTP 与 REST 接口

适用场景

01付款前判断店铺是否可信
02根据建议暂停或阻止交易
03通过反馈记录交易结果

MCP 相关

提供本地 stdio MCP 服务和远程 streamable HTTP MCP 服务。MCP 客户端可调用 `verify_storefront` 获取商家核验结果。

配置

本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。

mcp.json · 通用配置

{
  "mcpServers": {
    "maxigirl123-storefront-guard": {
      "command": "npx",
      "args": [
        "-y",
        "storefront-guard-mcp-server"
      ],
      "env": {
        "GOOGLE_SAFE_BROWSING_API_KEY": "<GOOGLE_SAFE_BROWSING_API_KEY>",
        "SAM_GOV_API_KEY": "<SAM_GOV_API_KEY>",
        "URLHAUS_AUTH_KEY": "<URLHAUS_AUTH_KEY>"
      }
    }
  }
}

启动命令npx -y storefront-guard-mcp-server

需要配置的环境变量

GOOGLE_SAFE_BROWSING_API_KEY密钥Google Safe Browsing API key for scam domain checks. Optional — degrades gracefully if not set.

SAM_GOV_API_KEY密钥SAM.gov API key for US federal exclusions check. Optional — skipped if not set.

URLHAUS_AUTH_KEY密钥URLhaus Auth-Key for malware URL lookups. Optional — degrades gracefully if not set.

本地服务需要在你的电脑上安装运行环境（如 Node.js 18+）。各客户端的配置文件位置不同，请参考客户端文档。

安装包

npmstorefront-guard-mcp-server0.3.2stdio

工具

收录的工具列表 · 更新于 2 周前

参数	类型	必填	说明
domain	string	是	要验证的店面裸域名，例如 'example-shop.com'。如果提供的是完整 URL，请去掉协议和路径。

详细介绍

Fortik

面向 Agentic Commerce 的实时商家验证。 购物 Agent 在付款之前，使用域名调用 verify_storefront，即可在两秒内获得信任评分和可供 Agent 采取行动的通俗易懂的判定结果。

Fortik 是 AI 购物 Agent 在结账前使用的信任检查工具。它不要求商家提前注册，而是在检查时直接从独立的公开来源收集证据。

fortik.io

这与 Visa 的 Trusted Agent Protocol 等商家侧 Agent 验证协议正好相反：这类协议让商家确认传入的 Agent 是否真实可信。Fortik 则让 Agent 在付款前确认商家是否真实可信。

检查内容

域名注册时长和近期变更 — 通过免费的公开 RDAP 查询。如果域名是在几天前注册的，或其注册数据在过去两周内发生过变更，就属于危险信号。
SSL 证书签发历史 — 通过免费的公开 Certificate Transparency 日志（crt.sh）查询。即使域名本身看起来很老、值得信任，在一个长期存在的域名上近期重新签发证书，也可能表明发生了接管或托管服务变更。
HTTPS 有效性 — 网站当前是否提供有效证书。
已知诈骗黑名单 — URLhaus 和 Google Safe Browsing。
公司注册信息 — 通过 OpenCorporates 查询美国实体。
法定名称验证 — 与 GLEIF 实体注册信息交叉核对。
网站流量排名 — Tranco 前 100 万网站排名。
联邦排除名单 — SAM.gov 禁止交易检查。
FDA 执法记录 — 在存在其他风险时作为佐证信号。

信任评分中的每项扣分都会在 reasons 数组中附带通俗易懂的原因 — 这是有意设计成可解释的启发式方法，而非黑盒模型。

设置

需要 Node.js 18+。

npm install
npm run build

将 .env.example 复制为 .env，并填写你的密钥。

运行

作为本地 MCP 服务（stdio）：

npm start

作为带 x402 付款功能的远程 MCP 服务（streamable HTTP）：

npm run start:http
# POST http://localhost:3000/mcp

作为按调用付费的 x402 HTTP API：

npm run start:x402
# POST http://localhost:4021/verify   { "domain": "example-shop.com" }

作为 REST API（API 密钥认证）：

npm run start:rest
# POST http://localhost:4022/verify   { "domain": "example-shop.com" }
# Header: X-API-KEY: your-key

同时运行全部三个服务：

npm run start:all
# MCP:  http://localhost:3000/mcp
# x402: http://localhost:4021/verify
# REST: http://localhost:4022/verify

反馈端点

交易完成后提交结果数据，帮助为未来的 ML 评分构建训练数据：

POST http://localhost:4022/feedback
Header: X-API-KEY: your-key
Body: { "domain": "example-shop.com", "outcome": "legit" | "scam" }

如何使用 recommendation 字段

每个验证结果都会在顶层返回 recommendation 字符串，以及数值型 trustScore。Agent 应根据该字段分支处理，而不是针对原始评分自行实现阈值逻辑。

值	建议的 Agent 行为
`proceed`	无提示地完成交易。信任评分表明风险较低，且置信度较高。
`pause_for_confirmation`	付款前暂停，并向用户显示 `recommendationReason`。
`do_not_proceed`	阻止交易并主动通知用户 — 不要静默失败。

recommendationReason 是一行通俗易懂的说明，可直接向用户显示。

定价

通过 x402 每次调用 $0.01。将你的钱包地址设为 PAY_TO_ADDRESS，并将网络设为 X402_NETWORK（默认值：base）。

环境变量

变量	必填	说明
`PAY_TO_ADDRESS`	是（x402）	用于 USDC 付款的钱包地址
`X402_NETWORK`	否	区块链网络（默认值：`base`）
`PRICE_USD`	否	每次调用的价格（默认值：`0.01`）
`API_KEYS`	是（REST）	以逗号分隔的有效 API 密钥
`GOOGLE_SAFE_BROWSING_API_KEY`	否	未设置时会自动降级运行
`SAM_GOV_API_KEY`	否	未设置时会自动降级运行
`URLHAUS_AUTH_KEY`	否	未设置时会自动降级运行
`FEEDBACK_LOG`	否	反馈 JSONL 日志的路径（默认值：`feedback.jsonl`）
`MCP_PORT`	否	MCP 服务端口（默认值：`3000`）
`X402_PORT`	否	x402 服务端口（默认值：`4021`）
`REST_PORT`	否	REST API 端口（默认值：`4022`）