$ whoami

allow. challenge. block.

monapi ist eine selbst-gehostete Decision-API: IP, Domain oder E-Mail rein, erklärbare Entscheidung raus — mit Score, Signalen und Belegen. Kein US-Dienst, kein Drittland-Transfer, keine Blackbox.

./console — live testen git clone — github

monapi — engine response

$ curl -H 'X-API-Key: …' api.monapi.io/v1/check/ip/185.220.101.1?profile=checkout

{
  "decision": "challenge",
  "score": 40,
  "confidence": 0.7,
  "profile": "checkout",
  "signals": [
    {
      "id": "feed:tor_exits:0",
      "category": "anonymizer",
      "weight": 40,
      "source": "tor_exits",
      "severity": "high"
    }
  ],
  "enrichment": {
    "asn": 60729,
    "asn_organization": "TORSERVERS-NET",
    "country_iso": "DE",
    "hostname": "berlin01.tor-exit.artikel10.org"
  },
  "timing_ms": { "total": 96 }
}

allow

score < 30 — saubere Signale, normaler Verkehr

challenge

30–79 — unsicher: soft-block, captcha, throttle

block

≥ 80 — eindeutig: disposable, known abuse, botnet

Schwellen und Gewichte sind Policy, nicht Physik — pro Profil konfigurierbar.

$ cat features.txt

feeds

firehol L1-L3, tor exits, disposable domains — alle 15 min frisch

ipv4+ipv6

beide Protokolle, kein stiller allow-Fallback

enrichment

ASN, Organisation, Land, rDNS — lokale MMDB, kein Account

profiles

?profile=checkout — Schwellen und Gewichte pro Oberfläche

email checks

Syntax, MX, disposable, Rollen-Adressen, Tippfehler — ohne SMTP-Probing

self-hosted

SQLite + In-Memory-Trie, keine externen Calls zur Laufzeit

$ ls integrations/

Zwei Zeilen statt hundert.

Die API ist einfaches HTTP. Die Pakete gibt es, damit Timeout, Fail-open und Typen nicht jeder neu schreibt — und damit ein Agent dieselbe Entscheidung als Werkzeug bekommt, inklusive einem, das seine eigenen Urteile erklärt.

./docs/clients

integrate

$ npm install @monapi/client

const { decision, score, signals } =
  await checkEmail("kontakt@gamil.com", "lead")
// challenge — email:domain_typo, did_you_mean: gmail.com

$ claude mcp add monapi -- uv run monapi-mcp

# 6 Tools: E-Mail/IP/Domain prüfen, Batch, erklären, Profile

$ grep dsgvo README.md

IP-Adressen sind personenbezogene Daten.

Jeder Request an IPQualityScore, Sift oder Castle ist ein Drittland-Transfer — mit SCC-Papierkram und Transfer Impact Assessment. monapi läuft bei Ihnen: Feeds und Geo-Datenbank werden lokal vorgehalten, zur Laufzeit verlässt nichts Ihre Infrastruktur. Das Thema ist damit erledigt, nicht verwaltet.

deploy

$ git clone github.com/dplusf/monapi-engine && cd monapi-engine/engine

$ docker compose up --build

# api auf :18000, worker synct feeds, geoip täglich frisch

$ cat OPERATOR

Gebaut und betrieben von der projektsued GmbH in Kirchheim b. München. Wir bauen und betreiben solche Systeme auch für andere: Monitoring, Anti-Abuse, Plattform-Betrieb.

./kontakt