Policies

Eine Policy ist ein JSON-serialisierbares Rule-Set, an einen Agent gebunden. Genau eine Policy pro Agent, mutable. Die Policy-Engine bewertet eine Policy bei jedem Intent, Grant, Issue, Redeem und Checkout — Pure Function, deterministisch, voll testbar. Agents können ihre Policy lesen aber niemals modifizieren. Modifikation ist nur über Dashboard oder API-Key möglich — Agent-Tokens bekommen immer 403.

Enforcement-Levels

Level	Verhalten
`enforce`	Transaktion blockieren. Returnt `policy_denied`.
`approve`	Erlauben aber für menschliche Genehmigung flaggen.
`warn`	Advisory loggen; Transaktion läuft weiter.

Feld-Referenz

Limits

Feld	Typ	Notizen
`maxTransactionEuros`	number	Per-Transaction-Cap
`dailyLimitEuros`	number	UTC-Tag rolling Sum
`weeklyLimitEuros`	number	ISO-Woche, Reset am Montag
`monthlyLimitEuros`	number	Kalendermonat
`autoApproveLimitEuros`	number	Darunter kein Mensch nötig
`requireApprovalAbove`	number	Darüber Mensch erforderlich

Merchant + Geo

Feld	Typ	Notizen
`merchantAllowlist`	string[]	Allowlist von Merchant-Namen
`merchantBlocklist`	string[]	Blocklist
`allowedMccs`	string[]	MCC-Codes
`blockedMccs`	string[]	MCC-Codes
`allowedCountries`	string[]	ISO 3166-1 Alpha-2
`blockedCountries`	string[]	ISO 3166-1 Alpha-2
`lockToFirstMerchant`	boolean	Karte an ersten gesehenen Merchant binden

Zeit + Cooldown

Feld	Typ	Notizen
`activeHoursStart` / `activeHoursEnd`	int 0–23	UTC-Stunden-Window
`timezone`	string	IANA-tz-String
`allowedDays`	enum[]	`mon`–`sun`
`cooldownMinutes`	int	Min Minuten zwischen Belastungen

Lifecycle

Feld	Typ	Notizen
`expiresAfterMinutes`	int	Policy auto-expirieren
`expirationAction`	enum	`freeze` · `close` · `notify`
`maxUsageCount`	int	Karte nach N Belastungen sperren

Required Behavior

Feld	Typ	Notizen
`requireIntent`	boolean	Sacred — Default true, niemals stillschweigend abgeworfen
`requireAttestation`	boolean	Signed Attestation pro Charge erforderlich
`attestationWindowMinutes`	int	Validity-Window für Attestation
`amountTolerancePercent`	number	Erlaubte Abweichung Actual vs Expected

Policy erstellen

curl -X POST https://api.getovra.com/policies \
  -H "Authorization: Bearer $OVRA_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Nur Subscriptions",
    "description": "Recurring SaaS, sub EUR 250",
    "enforcementLevel": "enforce",
    "maxTransactionEuros": 250,
    "monthlyLimitEuros": 1000,
    "merchantAllowlist": ["hetzner.com", "openai.com", "anthropic.com"],
    "allowedCountries": ["DE", "US", "GB"],
    "autoApproveLimitEuros": 50
  }'

Policy updaten

curl -X PATCH https://api.getovra.com/policies/po_... \
  -H "Authorization: Bearer $OVRA_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{ "monthlyLimitEuros": 1500 }'

Updates propagieren live — auch auf die card-issuer-native Control-Surface.

Pre-built Presets

policy-presets.ts shippt Templates für gängige Patterns:

Nur Travel

Allowed MCCs: 4111, 4112, 4131, 4511, 7011, 7012. Country-Allowlist matcht deine Reise-Länder. Hartes Tageslimit.

Subscriptions

Merchant-Allowlist bekannter SaaS-Provider. lockToFirstMerchant true. Monatslimit.

Dev-Tools

MCC 5734/5735/7372 (Software). Per-Transaction-Ceiling. Auto-Approve sub-€20.

Risk-Thresholds (per Policy)

Du kannst die Default-70/85/95-Risk-Thresholds per Policy überschreiben:

curl -X PATCH https://api.getovra.com/risk/config \
  -H "Authorization: Bearer $OVRA_API_KEY" \
  -d '{
    "thresholdReview": 60,
    "thresholdDeny": 80,
    "thresholdFreeze": 95,
    "autoFreezeEnabled": false
  }'

Constraint: thresholdReview < thresholdDeny < thresholdFreeze. Siehe Steuerung für Risk-Engine-Details.

Surfaces

Surface	Capability
REST	`/policies`, `/risk/config`, `/risk/violations`
SDK	`ovra.policies.*`
MCP	`ovra_policy` (read-only)
Dashboard	`/dashboard/policies`, `/dashboard/risk`

Weiter

Steuerung

Die zwei Engines die Policy und Risk gemeinsam lesen.

Intents

Wogegen Policy-Decisions getroffen werden.

Karten

Wie Policy auf card-issuer-native Controls synct.

Erste Schritte

Die sechs Säulen

Kern-Primitive

Zahlungsmodi

Plattform

Enforcement-Levels

Feld-Referenz

Limits

Merchant + Geo

Zeit + Cooldown

Lifecycle

Required Behavior

Policy erstellen

Policy updaten

Pre-built Presets

Risk-Thresholds (per Policy)

Surfaces

Weiter

Steuerung

Intents

Karten

​Enforcement-Levels

​Feld-Referenz

​Limits

​Merchant + Geo

​Zeit + Cooldown

​Lifecycle

​Required Behavior

​Policy erstellen

​Policy updaten

​Pre-built Presets

​Risk-Thresholds (per Policy)

​Surfaces

​Weiter

Steuerung

Intents

Karten

Enforcement-Levels

Feld-Referenz

Limits

Merchant + Geo

Zeit + Cooldown

Lifecycle

Required Behavior

Policy erstellen

Policy updaten

Pre-built Presets

Risk-Thresholds (per Policy)

Surfaces

Weiter