@peaje/proxy 0.1.2 → 0.2.0

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Sandra Carrillo
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -90,9 +90,17 @@ export default { fetch: async (req: Request) => (await peaje(req)) ?? app(req) }
 
 - The catalog paths: `/llms.txt`, `/openapi.json`, `/mcp`, `/.well-known/*` Peaje files, `/developers`, `/docs` and the rest of the kit list.
 - `/r/*` priced links and `/checkout_sessions/*`.
-- Your priced API routes from the dashboard (`GET /api/forecast`, `/api/history/:city`, `/api/batch/*`), matching the method. Catch-alls at the root (`/*`, `/:id`) are never forwarded from your domain: they would send the whole site to the gateway.
+- Your priced API routes from the dashboard (`GET /api/forecast`, `/api/history/:city`, `/api/batch/*`), matching the method, but only under `apiPrefixes` (default `['/api/', '/v1/']`). Catch-alls at the root (`/*`, `/:id`) are never forwarded from your domain: they would send the whole site to the gateway.
 
-The forwarded request keeps method, body and query, and carries `x-forwarded-host` and `x-forwarded-proto` so the 402 challenge names your domain (strict x402 clients abort when it does not). If the gateway is unreachable, the catalog paths are still forwarded from a built-in list; priced API routes resume when the manifest loads.
+The forwarded request keeps method, body, query and `authorization` (the MPP credential), and carries `x-forwarded-host` and `x-forwarded-proto` so the 402 challenge names your domain (strict x402 clients abort when it does not). It leaves out the `cookie` header: your visitors' session cookies never leave your domain, and a priced route's handler no longer receives cookies through Peaje. If the gateway is unreachable, the catalog paths are still forwarded; priced API routes resume when the manifest loads.
+
+### What the manifest cannot do (since 0.2.0)
+
+- Add fixed paths or prefixes. Those come only from the list bundled in this package; anything extra in the manifest is ignored.
+- Forward an API route outside `apiPrefixes`. A route priced elsewhere (`GET /weather/:city`) keeps charging at the gateway URL and you get one warning in the logs naming it. To charge it on your domain: `{ slug, apiPrefixes: ['/api/', '/v1/', '/weather/'] }`.
+- Touch the root `/` or reserved app paths, whatever `apiPrefixes` says: `/login`, `/logout`, `/signin`, `/signup`, `/register`, `/auth`, `/oauth`, `/session`, `/account`, `/admin`, `/dashboard`, `/api/auth`, `/_next`, `/_vercel`, `/static`, `/assets`, `/favicon.ico`, `/robots.txt`, `/sitemap.xml` and everything under them.
+
+Upgrading from 0.1.x: if your priced routes live outside `/api/` and `/v1/`, add their prefix to `apiPrefixes` before you deploy 0.2.0.
 
 ## Options
 
@@ -101,6 +109,7 @@ The forwarded request keeps method, body and query, and carries `x-forwarded-hos
 | `slug` | required, the business slug from your dashboard |
 | `secret` | `process.env.PEAJE_ORIGIN_SECRET` |
 | `gateway` | `process.env.PEAJE_GATEWAY_URL` or `https://api.usepeaje.com` |
+| `apiPrefixes` | `['/api/', '/v1/']`: where your priced API routes live; the root and reserved paths are never accepted |
 
 ## License
 

package/dist/{chunk-IU5YMR4J.js → chunk-QHUY5N5S.js}

@@ -25,6 +25,33 @@ var RUTAS_DINAMICAS = [
   { path: "/r/:slug", prefijo: "/r/", nota: "links con precio: el 402 en tu dominio" },
   { path: "/checkout_sessions/:id", prefijo: "/checkout_sessions/", nota: "leer una sesi\xF3n de checkout ACP" }
 ];
+var PREFIJOS_API_POR_DEFECTO = ["/api/", "/v1/"];
+var PATHS_RESERVADOS = [
+  "/",
+  "/login",
+  "/logout",
+  "/signin",
+  "/signout",
+  "/signup",
+  "/sign-in",
+  "/sign-out",
+  "/sign-up",
+  "/register",
+  "/auth",
+  "/oauth",
+  "/session",
+  "/account",
+  "/admin",
+  "/dashboard",
+  "/_next",
+  "/_vercel",
+  "/api/auth",
+  "/static",
+  "/assets",
+  "/favicon.ico",
+  "/robots.txt",
+  "/sitemap.xml"
+];
 var PEAJE_FETCH_HEADER = "x-peaje-fetch";
 var PEAJE_HOST_HEADER = "x-peaje-forwarded-host";
 
@@ -36,6 +63,38 @@ function iguales(a, b) {
   for (let i = 0; i < a.length; i++) d |= a.charCodeAt(i) ^ b.charCodeAt(i);
   return d === 0;
 }
+var HEADERS_NO_REENVIADOS = ["cookie"];
+function esReservado(path) {
+  const canon = pathCanonico(path).toLowerCase();
+  return PATHS_RESERVADOS.some((r) => r === "/" ? canon === "/" : canon === r || canon.startsWith(`${r}/`));
+}
+function prefijosApiValidos(prefijos = PREFIJOS_API_POR_DEFECTO) {
+  const out = [];
+  for (const crudo of prefijos) {
+    const segs = segmentosCanonicos(String(crudo ?? "")).map((s) => s.toLowerCase());
+    if (segs.length === 0) continue;
+    const path = `/${segs.join("/")}`;
+    if (esReservado(path)) continue;
+    if (!out.includes(`${path}/`)) out.push(`${path}/`);
+  }
+  return out;
+}
+function patronPermitido(patron, prefijos) {
+  if (!patronReenviable(patron)) return false;
+  const segs = patron.split("/").filter(Boolean);
+  const literal = (s) => s !== "*" && !s.startsWith(":");
+  const bajoPrefijo = prefijos.some((pre) => {
+    const ps = pre.split("/").filter(Boolean);
+    return segs.length > ps.length && ps.every((s, i) => literal(segs[i]) && segs[i].toLowerCase() === s);
+  });
+  if (!bajoPrefijo) return false;
+  const literales = [];
+  for (const s of segs) {
+    if (!literal(s)) break;
+    literales.push(s);
+  }
+  return !esReservado(`/${literales.join("/")}`);
+}
 function coincidePatron(patron, pathname) {
   const p = patron.split("/").filter(Boolean);
   const parts = segmentosCanonicos(pathname);
@@ -76,43 +135,43 @@ function crearProxyRuntime(opciones) {
   const base = opciones.base.replace(/\/+$/, "");
   const ttl = opciones.ttlMs ?? 6e4;
   const fetchImpl = opciones.fetchImpl ?? fetch;
-  let cache = {
-    at: 0,
-    rutas: opciones.respaldo?.rutas ?? [],
-    prefijos: opciones.respaldo?.prefijos ?? [],
-    patrones: opciones.respaldo?.patrones ?? []
-  };
+  const rutas = [...opciones.fijas?.rutas ?? RUTAS_PROXY.map((r) => r.path)];
+  const prefijos = [...opciones.fijas?.prefijos ?? RUTAS_DINAMICAS.map((r) => r.prefijo)];
+  const prefijosApi = prefijosApiValidos(opciones.prefijosApi ?? PREFIJOS_API_POR_DEFECTO);
+  let cache = { at: 0, patrones: [] };
   let refrescando = null;
   async function refrescar() {
     try {
       const res = await fetchImpl(`${base}/kit/manifest.json`, { signal: AbortSignal.timeout(5e3) });
       if (!res.ok) throw new Error(String(res.status));
       const m = await res.json();
-      cache = {
-        at: Date.now(),
-        rutas: Array.isArray(m.rutas) ? m.rutas : cache.rutas,
-        prefijos: Array.isArray(m.prefijos) ? m.prefijos : cache.prefijos,
-        patrones: Array.isArray(m.patrones) ? m.patrones : cache.patrones
-      };
+      const patrones2 = Array.isArray(m.patrones) ? m.patrones.filter((p) => typeof p?.method === "string" && typeof p?.path === "string") : cache.patrones;
+      cache = { at: Date.now(), patrones: patrones2 };
     } catch {
       cache = { ...cache, at: Date.now() };
     } finally {
       refrescando = null;
     }
   }
-  async function listas() {
+  async function patrones() {
     const vencido = Date.now() - cache.at >= ttl;
     if (vencido) {
       refrescando ??= refrescar();
       if (cache.at === 0) await refrescando;
     }
-    return cache;
+    return cache.patrones;
   }
   return {
+    /** Los prefijos de API efectivos, normalizados (para los avisos). */
+    prefijosApi,
     /** Rutas de API con precio que este sitio no puede cobrar por falta de secreto. */
     async sinSecreto() {
       if (opciones.secreto) return [];
-      return (await listas()).patrones.filter((p) => patronReenviable(p.path));
+      return (await patrones()).filter((p) => patronPermitido(p.path, prefijosApi));
+    },
+    /** Rutas de API con precio que no se reenvían por caer fuera de `prefijosApi` o en un path reservado. */
+    async fueraDePrefijos() {
+      return (await patrones()).filter((p) => patronReenviable(p.path) && !patronPermitido(p.path, prefijosApi));
     },
     /** Fuerza la carga del manifiesto (útil al arrancar o en tests). */
     cargar: () => refrescando ??= refrescar(),
@@ -124,14 +183,18 @@ function crearProxyRuntime(opciones) {
       const secreto = opciones.secreto || null;
       const prueba = input.headers.get(PEAJE_ORIGIN_HEADER);
       if (secreto && prueba && iguales(prueba, secreto)) return null;
-      const { rutas, prefijos, patrones } = await listas();
       const path = input.pathname;
       const canon = pathCanonico(path).toLowerCase();
       const esFetchDePeaje = input.headers.get(PEAJE_FETCH_HEADER) !== null;
       const fija = (rutas.includes(path) || rutas.some((r) => r.toLowerCase() === canon)) && !(canon === "/llms.txt" && esFetchDePeaje);
       const prefijo = prefijos.some((p) => path.startsWith(p) || canon.startsWith(p.toLowerCase()));
-      const method = input.method.toUpperCase();
-      const patron = secreto !== null && patrones.some((p) => p.method.toUpperCase() === method && patronReenviable(p.path) && coincidePatron(p.path, path));
+      let patron = false;
+      if (!fija && !prefijo && secreto !== null && !esReservado(path) && prefijosApi.some((pre) => canon.startsWith(pre))) {
+        const method = input.method.toUpperCase();
+        patron = (await patrones()).some(
+          (p) => p.method.toUpperCase() === method && patronPermitido(p.path, prefijosApi) && coincidePatron(p.path, path)
+        );
+      }
       if (!fija && !prefijo && !patron) return null;
       return { destino: `${base}${path}${input.search ?? ""}` };
     }
@@ -276,6 +339,24 @@ function baseDe({ slug, gateway }) {
 }
 var SALTO = ["host", "connection", "keep-alive", "proxy-connection", "transfer-encoding", "upgrade", "te", "trailer", "content-length"];
 var avisado = false;
+function avisar(runtime, conSecreto) {
+  if (!conSecreto) {
+    void runtime.sinSecreto().then((faltan) => {
+      if (faltan.length > 0) {
+        console.warn(
+          `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
+        );
+      }
+    });
+  }
+  void runtime.fueraDePrefijos().then((fuera) => {
+    if (fuera.length > 0) {
+      console.warn(
+        `[peaje] ${fuera.length} priced API route(s) are outside apiPrefixes (${runtime.prefijosApi.join(", ") || "none"}) or on a reserved path, so they are charged only at the gateway URL, not on this domain: ${fuera.map((p) => `${p.method} ${p.path}`).join(", ")}. A route under a prefix of its own (/weather/:city) is charged here once that prefix is in the apiPrefixes option; a single path at the root or a reserved path never is.`
+      );
+    }
+  });
+}
 function _reiniciarAviso() {
   avisado = false;
 }
@@ -284,24 +365,13 @@ function crearPeaje(opciones) {
   const base = baseDe(opciones);
   const secreto = opciones.secret ?? env("PEAJE_ORIGIN_SECRET") ?? null;
   const fetchImpl = opciones.fetch ?? ((...a) => fetch(...a));
-  const runtime = crearProxyRuntime({
-    base,
-    secreto,
-    fetchImpl,
-    respaldo: { rutas: RUTAS_PROXY.map((x) => x.path), prefijos: RUTAS_DINAMICAS.map((x) => x.prefijo), patrones: [] }
-  });
+  const runtime = crearProxyRuntime({ base, secreto, fetchImpl, prefijosApi: opciones.apiPrefixes ?? PREFIJOS_API_POR_DEFECTO });
   return {
     base,
     async decidir({ method, url, headers }) {
-      if (!secreto && !avisado) {
+      if (!avisado) {
         avisado = true;
-        void runtime.sinSecreto().then((faltan) => {
-          if (faltan.length > 0) {
-            console.warn(
-              `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
-            );
-          }
-        });
+        avisar(runtime, Boolean(secreto));
       }
       const d = await runtime.decidir({ method, pathname: url.pathname, search: url.search, headers });
       return d?.destino ?? null;
@@ -309,6 +379,7 @@ function crearPeaje(opciones) {
     async reenviar(destino, { method, url, headers, body }) {
       const salida = new Headers(headers);
       for (const h of SALTO) salida.delete(h);
+      for (const h of HEADERS_NO_REENVIADOS) salida.delete(h);
       const primero = (h) => headers.get(h)?.split(",")[0]?.trim() || null;
       const host = primero("x-forwarded-host") ?? url.host;
       salida.set("x-forwarded-host", host);
@@ -340,6 +411,7 @@ var src_default = peajeFetch;
 
 export {
   PEAJE_HOST_HEADER,
+  HEADERS_NO_REENVIADOS,
   GATEWAY_POR_DEFECTO,
   baseDe,
   _reiniciarAviso,

package/dist/express.cjs

@@ -53,6 +53,33 @@ var RUTAS_DINAMICAS = [
   { path: "/r/:slug", prefijo: "/r/", nota: "links con precio: el 402 en tu dominio" },
   { path: "/checkout_sessions/:id", prefijo: "/checkout_sessions/", nota: "leer una sesi\xF3n de checkout ACP" }
 ];
+var PREFIJOS_API_POR_DEFECTO = ["/api/", "/v1/"];
+var PATHS_RESERVADOS = [
+  "/",
+  "/login",
+  "/logout",
+  "/signin",
+  "/signout",
+  "/signup",
+  "/sign-in",
+  "/sign-out",
+  "/sign-up",
+  "/register",
+  "/auth",
+  "/oauth",
+  "/session",
+  "/account",
+  "/admin",
+  "/dashboard",
+  "/_next",
+  "/_vercel",
+  "/api/auth",
+  "/static",
+  "/assets",
+  "/favicon.ico",
+  "/robots.txt",
+  "/sitemap.xml"
+];
 var PEAJE_FETCH_HEADER = "x-peaje-fetch";
 var PEAJE_HOST_HEADER = "x-peaje-forwarded-host";
 
@@ -64,6 +91,38 @@ function iguales(a, b) {
   for (let i = 0; i < a.length; i++) d |= a.charCodeAt(i) ^ b.charCodeAt(i);
   return d === 0;
 }
+var HEADERS_NO_REENVIADOS = ["cookie"];
+function esReservado(path) {
+  const canon = pathCanonico(path).toLowerCase();
+  return PATHS_RESERVADOS.some((r) => r === "/" ? canon === "/" : canon === r || canon.startsWith(`${r}/`));
+}
+function prefijosApiValidos(prefijos = PREFIJOS_API_POR_DEFECTO) {
+  const out = [];
+  for (const crudo of prefijos) {
+    const segs = segmentosCanonicos(String(crudo ?? "")).map((s) => s.toLowerCase());
+    if (segs.length === 0) continue;
+    const path = `/${segs.join("/")}`;
+    if (esReservado(path)) continue;
+    if (!out.includes(`${path}/`)) out.push(`${path}/`);
+  }
+  return out;
+}
+function patronPermitido(patron, prefijos) {
+  if (!patronReenviable(patron)) return false;
+  const segs = patron.split("/").filter(Boolean);
+  const literal = (s) => s !== "*" && !s.startsWith(":");
+  const bajoPrefijo = prefijos.some((pre) => {
+    const ps = pre.split("/").filter(Boolean);
+    return segs.length > ps.length && ps.every((s, i) => literal(segs[i]) && segs[i].toLowerCase() === s);
+  });
+  if (!bajoPrefijo) return false;
+  const literales = [];
+  for (const s of segs) {
+    if (!literal(s)) break;
+    literales.push(s);
+  }
+  return !esReservado(`/${literales.join("/")}`);
+}
 function coincidePatron(patron, pathname) {
   const p = patron.split("/").filter(Boolean);
   const parts = segmentosCanonicos(pathname);
@@ -104,43 +163,43 @@ function crearProxyRuntime(opciones) {
   const base = opciones.base.replace(/\/+$/, "");
   const ttl = opciones.ttlMs ?? 6e4;
   const fetchImpl = opciones.fetchImpl ?? fetch;
-  let cache = {
-    at: 0,
-    rutas: opciones.respaldo?.rutas ?? [],
-    prefijos: opciones.respaldo?.prefijos ?? [],
-    patrones: opciones.respaldo?.patrones ?? []
-  };
+  const rutas = [...opciones.fijas?.rutas ?? RUTAS_PROXY.map((r) => r.path)];
+  const prefijos = [...opciones.fijas?.prefijos ?? RUTAS_DINAMICAS.map((r) => r.prefijo)];
+  const prefijosApi = prefijosApiValidos(opciones.prefijosApi ?? PREFIJOS_API_POR_DEFECTO);
+  let cache = { at: 0, patrones: [] };
   let refrescando = null;
   async function refrescar() {
     try {
       const res = await fetchImpl(`${base}/kit/manifest.json`, { signal: AbortSignal.timeout(5e3) });
       if (!res.ok) throw new Error(String(res.status));
       const m = await res.json();
-      cache = {
-        at: Date.now(),
-        rutas: Array.isArray(m.rutas) ? m.rutas : cache.rutas,
-        prefijos: Array.isArray(m.prefijos) ? m.prefijos : cache.prefijos,
-        patrones: Array.isArray(m.patrones) ? m.patrones : cache.patrones
-      };
+      const patrones2 = Array.isArray(m.patrones) ? m.patrones.filter((p) => typeof p?.method === "string" && typeof p?.path === "string") : cache.patrones;
+      cache = { at: Date.now(), patrones: patrones2 };
     } catch {
       cache = { ...cache, at: Date.now() };
     } finally {
       refrescando = null;
     }
   }
-  async function listas() {
+  async function patrones() {
     const vencido = Date.now() - cache.at >= ttl;
     if (vencido) {
       refrescando ??= refrescar();
       if (cache.at === 0) await refrescando;
     }
-    return cache;
+    return cache.patrones;
   }
   return {
+    /** Los prefijos de API efectivos, normalizados (para los avisos). */
+    prefijosApi,
     /** Rutas de API con precio que este sitio no puede cobrar por falta de secreto. */
     async sinSecreto() {
       if (opciones.secreto) return [];
-      return (await listas()).patrones.filter((p) => patronReenviable(p.path));
+      return (await patrones()).filter((p) => patronPermitido(p.path, prefijosApi));
+    },
+    /** Rutas de API con precio que no se reenvían por caer fuera de `prefijosApi` o en un path reservado. */
+    async fueraDePrefijos() {
+      return (await patrones()).filter((p) => patronReenviable(p.path) && !patronPermitido(p.path, prefijosApi));
     },
     /** Fuerza la carga del manifiesto (útil al arrancar o en tests). */
     cargar: () => refrescando ??= refrescar(),
@@ -152,14 +211,18 @@ function crearProxyRuntime(opciones) {
       const secreto = opciones.secreto || null;
       const prueba = input.headers.get(PEAJE_ORIGIN_HEADER);
       if (secreto && prueba && iguales(prueba, secreto)) return null;
-      const { rutas, prefijos, patrones } = await listas();
       const path = input.pathname;
       const canon = pathCanonico(path).toLowerCase();
       const esFetchDePeaje = input.headers.get(PEAJE_FETCH_HEADER) !== null;
       const fija = (rutas.includes(path) || rutas.some((r) => r.toLowerCase() === canon)) && !(canon === "/llms.txt" && esFetchDePeaje);
       const prefijo = prefijos.some((p) => path.startsWith(p) || canon.startsWith(p.toLowerCase()));
-      const method = input.method.toUpperCase();
-      const patron = secreto !== null && patrones.some((p) => p.method.toUpperCase() === method && patronReenviable(p.path) && coincidePatron(p.path, path));
+      let patron = false;
+      if (!fija && !prefijo && secreto !== null && !esReservado(path) && prefijosApi.some((pre) => canon.startsWith(pre))) {
+        const method = input.method.toUpperCase();
+        patron = (await patrones()).some(
+          (p) => p.method.toUpperCase() === method && patronPermitido(p.path, prefijosApi) && coincidePatron(p.path, path)
+        );
+      }
       if (!fija && !prefijo && !patron) return null;
       return { destino: `${base}${path}${input.search ?? ""}` };
     }
@@ -304,29 +367,36 @@ function baseDe({ slug, gateway }) {
 }
 var SALTO = ["host", "connection", "keep-alive", "proxy-connection", "transfer-encoding", "upgrade", "te", "trailer", "content-length"];
 var avisado = false;
+function avisar(runtime, conSecreto) {
+  if (!conSecreto) {
+    void runtime.sinSecreto().then((faltan) => {
+      if (faltan.length > 0) {
+        console.warn(
+          `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
+        );
+      }
+    });
+  }
+  void runtime.fueraDePrefijos().then((fuera) => {
+    if (fuera.length > 0) {
+      console.warn(
+        `[peaje] ${fuera.length} priced API route(s) are outside apiPrefixes (${runtime.prefijosApi.join(", ") || "none"}) or on a reserved path, so they are charged only at the gateway URL, not on this domain: ${fuera.map((p) => `${p.method} ${p.path}`).join(", ")}. A route under a prefix of its own (/weather/:city) is charged here once that prefix is in the apiPrefixes option; a single path at the root or a reserved path never is.`
+      );
+    }
+  });
+}
 function crearPeaje(opciones) {
   if (!opciones?.slug) throw new Error("@peaje/proxy: `slug` is required (the business slug from your Peaje dashboard).");
   const base = baseDe(opciones);
   const secreto = opciones.secret ?? env("PEAJE_ORIGIN_SECRET") ?? null;
   const fetchImpl = opciones.fetch ?? ((...a) => fetch(...a));
-  const runtime = crearProxyRuntime({
-    base,
-    secreto,
-    fetchImpl,
-    respaldo: { rutas: RUTAS_PROXY.map((x) => x.path), prefijos: RUTAS_DINAMICAS.map((x) => x.prefijo), patrones: [] }
-  });
+  const runtime = crearProxyRuntime({ base, secreto, fetchImpl, prefijosApi: opciones.apiPrefixes ?? PREFIJOS_API_POR_DEFECTO });
   return {
     base,
     async decidir({ method, url, headers }) {
-      if (!secreto && !avisado) {
+      if (!avisado) {
         avisado = true;
-        void runtime.sinSecreto().then((faltan) => {
-          if (faltan.length > 0) {
-            console.warn(
-              `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
-            );
-          }
-        });
+        avisar(runtime, Boolean(secreto));
       }
       const d = await runtime.decidir({ method, pathname: url.pathname, search: url.search, headers });
       return d?.destino ?? null;
@@ -334,6 +404,7 @@ function crearPeaje(opciones) {
     async reenviar(destino, { method, url, headers, body }) {
       const salida = new Headers(headers);
       for (const h of SALTO) salida.delete(h);
+      for (const h of HEADERS_NO_REENVIADOS) salida.delete(h);
       const primero = (h) => headers.get(h)?.split(",")[0]?.trim() || null;
       const host = primero("x-forwarded-host") ?? url.host;
       salida.set("x-forwarded-host", host);

package/dist/express.js

@@ -1,6 +1,6 @@
 import {
   crearPeaje
-} from "./chunk-IU5YMR4J.js";
+} from "./chunk-QHUY5N5S.js";
 
 // src/express.ts
 import { Readable } from "stream";

package/dist/hono.cjs

@@ -52,6 +52,33 @@ var RUTAS_DINAMICAS = [
   { path: "/r/:slug", prefijo: "/r/", nota: "links con precio: el 402 en tu dominio" },
   { path: "/checkout_sessions/:id", prefijo: "/checkout_sessions/", nota: "leer una sesi\xF3n de checkout ACP" }
 ];
+var PREFIJOS_API_POR_DEFECTO = ["/api/", "/v1/"];
+var PATHS_RESERVADOS = [
+  "/",
+  "/login",
+  "/logout",
+  "/signin",
+  "/signout",
+  "/signup",
+  "/sign-in",
+  "/sign-out",
+  "/sign-up",
+  "/register",
+  "/auth",
+  "/oauth",
+  "/session",
+  "/account",
+  "/admin",
+  "/dashboard",
+  "/_next",
+  "/_vercel",
+  "/api/auth",
+  "/static",
+  "/assets",
+  "/favicon.ico",
+  "/robots.txt",
+  "/sitemap.xml"
+];
 var PEAJE_FETCH_HEADER = "x-peaje-fetch";
 var PEAJE_HOST_HEADER = "x-peaje-forwarded-host";
 
@@ -63,6 +90,38 @@ function iguales(a, b) {
   for (let i = 0; i < a.length; i++) d |= a.charCodeAt(i) ^ b.charCodeAt(i);
   return d === 0;
 }
+var HEADERS_NO_REENVIADOS = ["cookie"];
+function esReservado(path) {
+  const canon = pathCanonico(path).toLowerCase();
+  return PATHS_RESERVADOS.some((r) => r === "/" ? canon === "/" : canon === r || canon.startsWith(`${r}/`));
+}
+function prefijosApiValidos(prefijos = PREFIJOS_API_POR_DEFECTO) {
+  const out = [];
+  for (const crudo of prefijos) {
+    const segs = segmentosCanonicos(String(crudo ?? "")).map((s) => s.toLowerCase());
+    if (segs.length === 0) continue;
+    const path = `/${segs.join("/")}`;
+    if (esReservado(path)) continue;
+    if (!out.includes(`${path}/`)) out.push(`${path}/`);
+  }
+  return out;
+}
+function patronPermitido(patron, prefijos) {
+  if (!patronReenviable(patron)) return false;
+  const segs = patron.split("/").filter(Boolean);
+  const literal = (s) => s !== "*" && !s.startsWith(":");
+  const bajoPrefijo = prefijos.some((pre) => {
+    const ps = pre.split("/").filter(Boolean);
+    return segs.length > ps.length && ps.every((s, i) => literal(segs[i]) && segs[i].toLowerCase() === s);
+  });
+  if (!bajoPrefijo) return false;
+  const literales = [];
+  for (const s of segs) {
+    if (!literal(s)) break;
+    literales.push(s);
+  }
+  return !esReservado(`/${literales.join("/")}`);
+}
 function coincidePatron(patron, pathname) {
   const p = patron.split("/").filter(Boolean);
   const parts = segmentosCanonicos(pathname);
@@ -103,43 +162,43 @@ function crearProxyRuntime(opciones) {
   const base = opciones.base.replace(/\/+$/, "");
   const ttl = opciones.ttlMs ?? 6e4;
   const fetchImpl = opciones.fetchImpl ?? fetch;
-  let cache = {
-    at: 0,
-    rutas: opciones.respaldo?.rutas ?? [],
-    prefijos: opciones.respaldo?.prefijos ?? [],
-    patrones: opciones.respaldo?.patrones ?? []
-  };
+  const rutas = [...opciones.fijas?.rutas ?? RUTAS_PROXY.map((r) => r.path)];
+  const prefijos = [...opciones.fijas?.prefijos ?? RUTAS_DINAMICAS.map((r) => r.prefijo)];
+  const prefijosApi = prefijosApiValidos(opciones.prefijosApi ?? PREFIJOS_API_POR_DEFECTO);
+  let cache = { at: 0, patrones: [] };
   let refrescando = null;
   async function refrescar() {
     try {
       const res = await fetchImpl(`${base}/kit/manifest.json`, { signal: AbortSignal.timeout(5e3) });
       if (!res.ok) throw new Error(String(res.status));
       const m = await res.json();
-      cache = {
-        at: Date.now(),
-        rutas: Array.isArray(m.rutas) ? m.rutas : cache.rutas,
-        prefijos: Array.isArray(m.prefijos) ? m.prefijos : cache.prefijos,
-        patrones: Array.isArray(m.patrones) ? m.patrones : cache.patrones
-      };
+      const patrones2 = Array.isArray(m.patrones) ? m.patrones.filter((p) => typeof p?.method === "string" && typeof p?.path === "string") : cache.patrones;
+      cache = { at: Date.now(), patrones: patrones2 };
     } catch {
       cache = { ...cache, at: Date.now() };
     } finally {
       refrescando = null;
     }
   }
-  async function listas() {
+  async function patrones() {
     const vencido = Date.now() - cache.at >= ttl;
     if (vencido) {
       refrescando ??= refrescar();
       if (cache.at === 0) await refrescando;
     }
-    return cache;
+    return cache.patrones;
   }
   return {
+    /** Los prefijos de API efectivos, normalizados (para los avisos). */
+    prefijosApi,
     /** Rutas de API con precio que este sitio no puede cobrar por falta de secreto. */
     async sinSecreto() {
       if (opciones.secreto) return [];
-      return (await listas()).patrones.filter((p) => patronReenviable(p.path));
+      return (await patrones()).filter((p) => patronPermitido(p.path, prefijosApi));
+    },
+    /** Rutas de API con precio que no se reenvían por caer fuera de `prefijosApi` o en un path reservado. */
+    async fueraDePrefijos() {
+      return (await patrones()).filter((p) => patronReenviable(p.path) && !patronPermitido(p.path, prefijosApi));
     },
     /** Fuerza la carga del manifiesto (útil al arrancar o en tests). */
     cargar: () => refrescando ??= refrescar(),
@@ -151,14 +210,18 @@ function crearProxyRuntime(opciones) {
       const secreto = opciones.secreto || null;
       const prueba = input.headers.get(PEAJE_ORIGIN_HEADER);
       if (secreto && prueba && iguales(prueba, secreto)) return null;
-      const { rutas, prefijos, patrones } = await listas();
       const path = input.pathname;
       const canon = pathCanonico(path).toLowerCase();
       const esFetchDePeaje = input.headers.get(PEAJE_FETCH_HEADER) !== null;
       const fija = (rutas.includes(path) || rutas.some((r) => r.toLowerCase() === canon)) && !(canon === "/llms.txt" && esFetchDePeaje);
       const prefijo = prefijos.some((p) => path.startsWith(p) || canon.startsWith(p.toLowerCase()));
-      const method = input.method.toUpperCase();
-      const patron = secreto !== null && patrones.some((p) => p.method.toUpperCase() === method && patronReenviable(p.path) && coincidePatron(p.path, path));
+      let patron = false;
+      if (!fija && !prefijo && secreto !== null && !esReservado(path) && prefijosApi.some((pre) => canon.startsWith(pre))) {
+        const method = input.method.toUpperCase();
+        patron = (await patrones()).some(
+          (p) => p.method.toUpperCase() === method && patronPermitido(p.path, prefijosApi) && coincidePatron(p.path, path)
+        );
+      }
       if (!fija && !prefijo && !patron) return null;
       return { destino: `${base}${path}${input.search ?? ""}` };
     }
@@ -303,29 +366,36 @@ function baseDe({ slug, gateway }) {
 }
 var SALTO = ["host", "connection", "keep-alive", "proxy-connection", "transfer-encoding", "upgrade", "te", "trailer", "content-length"];
 var avisado = false;
+function avisar(runtime, conSecreto) {
+  if (!conSecreto) {
+    void runtime.sinSecreto().then((faltan) => {
+      if (faltan.length > 0) {
+        console.warn(
+          `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
+        );
+      }
+    });
+  }
+  void runtime.fueraDePrefijos().then((fuera) => {
+    if (fuera.length > 0) {
+      console.warn(
+        `[peaje] ${fuera.length} priced API route(s) are outside apiPrefixes (${runtime.prefijosApi.join(", ") || "none"}) or on a reserved path, so they are charged only at the gateway URL, not on this domain: ${fuera.map((p) => `${p.method} ${p.path}`).join(", ")}. A route under a prefix of its own (/weather/:city) is charged here once that prefix is in the apiPrefixes option; a single path at the root or a reserved path never is.`
+      );
+    }
+  });
+}
 function crearPeaje(opciones) {
   if (!opciones?.slug) throw new Error("@peaje/proxy: `slug` is required (the business slug from your Peaje dashboard).");
   const base = baseDe(opciones);
   const secreto = opciones.secret ?? env("PEAJE_ORIGIN_SECRET") ?? null;
   const fetchImpl = opciones.fetch ?? ((...a) => fetch(...a));
-  const runtime = crearProxyRuntime({
-    base,
-    secreto,
-    fetchImpl,
-    respaldo: { rutas: RUTAS_PROXY.map((x) => x.path), prefijos: RUTAS_DINAMICAS.map((x) => x.prefijo), patrones: [] }
-  });
+  const runtime = crearProxyRuntime({ base, secreto, fetchImpl, prefijosApi: opciones.apiPrefixes ?? PREFIJOS_API_POR_DEFECTO });
   return {
     base,
     async decidir({ method, url, headers }) {
-      if (!secreto && !avisado) {
+      if (!avisado) {
         avisado = true;
-        void runtime.sinSecreto().then((faltan) => {
-          if (faltan.length > 0) {
-            console.warn(
-              `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
-            );
-          }
-        });
+        avisar(runtime, Boolean(secreto));
       }
       const d = await runtime.decidir({ method, pathname: url.pathname, search: url.search, headers });
       return d?.destino ?? null;
@@ -333,6 +403,7 @@ function crearPeaje(opciones) {
     async reenviar(destino, { method, url, headers, body }) {
       const salida = new Headers(headers);
       for (const h of SALTO) salida.delete(h);
+      for (const h of HEADERS_NO_REENVIADOS) salida.delete(h);
       const primero = (h) => headers.get(h)?.split(",")[0]?.trim() || null;
       const host = primero("x-forwarded-host") ?? url.host;
       salida.set("x-forwarded-host", host);

package/dist/hono.js

@@ -1,6 +1,6 @@
 import {
   peajeFetch
-} from "./chunk-IU5YMR4J.js";
+} from "./chunk-QHUY5N5S.js";
 
 // src/hono.ts
 function peajeHono(opciones) {

package/dist/index.cjs

@@ -56,6 +56,33 @@ var RUTAS_DINAMICAS = [
   { path: "/r/:slug", prefijo: "/r/", nota: "links con precio: el 402 en tu dominio" },
   { path: "/checkout_sessions/:id", prefijo: "/checkout_sessions/", nota: "leer una sesi\xF3n de checkout ACP" }
 ];
+var PREFIJOS_API_POR_DEFECTO = ["/api/", "/v1/"];
+var PATHS_RESERVADOS = [
+  "/",
+  "/login",
+  "/logout",
+  "/signin",
+  "/signout",
+  "/signup",
+  "/sign-in",
+  "/sign-out",
+  "/sign-up",
+  "/register",
+  "/auth",
+  "/oauth",
+  "/session",
+  "/account",
+  "/admin",
+  "/dashboard",
+  "/_next",
+  "/_vercel",
+  "/api/auth",
+  "/static",
+  "/assets",
+  "/favicon.ico",
+  "/robots.txt",
+  "/sitemap.xml"
+];
 var PEAJE_FETCH_HEADER = "x-peaje-fetch";
 var PEAJE_HOST_HEADER = "x-peaje-forwarded-host";
 
@@ -67,6 +94,38 @@ function iguales(a, b) {
   for (let i = 0; i < a.length; i++) d |= a.charCodeAt(i) ^ b.charCodeAt(i);
   return d === 0;
 }
+var HEADERS_NO_REENVIADOS = ["cookie"];
+function esReservado(path) {
+  const canon = pathCanonico(path).toLowerCase();
+  return PATHS_RESERVADOS.some((r) => r === "/" ? canon === "/" : canon === r || canon.startsWith(`${r}/`));
+}
+function prefijosApiValidos(prefijos = PREFIJOS_API_POR_DEFECTO) {
+  const out = [];
+  for (const crudo of prefijos) {
+    const segs = segmentosCanonicos(String(crudo ?? "")).map((s) => s.toLowerCase());
+    if (segs.length === 0) continue;
+    const path = `/${segs.join("/")}`;
+    if (esReservado(path)) continue;
+    if (!out.includes(`${path}/`)) out.push(`${path}/`);
+  }
+  return out;
+}
+function patronPermitido(patron, prefijos) {
+  if (!patronReenviable(patron)) return false;
+  const segs = patron.split("/").filter(Boolean);
+  const literal = (s) => s !== "*" && !s.startsWith(":");
+  const bajoPrefijo = prefijos.some((pre) => {
+    const ps = pre.split("/").filter(Boolean);
+    return segs.length > ps.length && ps.every((s, i) => literal(segs[i]) && segs[i].toLowerCase() === s);
+  });
+  if (!bajoPrefijo) return false;
+  const literales = [];
+  for (const s of segs) {
+    if (!literal(s)) break;
+    literales.push(s);
+  }
+  return !esReservado(`/${literales.join("/")}`);
+}
 function coincidePatron(patron, pathname) {
   const p = patron.split("/").filter(Boolean);
   const parts = segmentosCanonicos(pathname);
@@ -107,43 +166,43 @@ function crearProxyRuntime(opciones) {
   const base = opciones.base.replace(/\/+$/, "");
   const ttl = opciones.ttlMs ?? 6e4;
   const fetchImpl = opciones.fetchImpl ?? fetch;
-  let cache = {
-    at: 0,
-    rutas: opciones.respaldo?.rutas ?? [],
-    prefijos: opciones.respaldo?.prefijos ?? [],
-    patrones: opciones.respaldo?.patrones ?? []
-  };
+  const rutas = [...opciones.fijas?.rutas ?? RUTAS_PROXY.map((r) => r.path)];
+  const prefijos = [...opciones.fijas?.prefijos ?? RUTAS_DINAMICAS.map((r) => r.prefijo)];
+  const prefijosApi = prefijosApiValidos(opciones.prefijosApi ?? PREFIJOS_API_POR_DEFECTO);
+  let cache = { at: 0, patrones: [] };
   let refrescando = null;
   async function refrescar() {
     try {
       const res = await fetchImpl(`${base}/kit/manifest.json`, { signal: AbortSignal.timeout(5e3) });
       if (!res.ok) throw new Error(String(res.status));
       const m = await res.json();
-      cache = {
-        at: Date.now(),
-        rutas: Array.isArray(m.rutas) ? m.rutas : cache.rutas,
-        prefijos: Array.isArray(m.prefijos) ? m.prefijos : cache.prefijos,
-        patrones: Array.isArray(m.patrones) ? m.patrones : cache.patrones
-      };
+      const patrones2 = Array.isArray(m.patrones) ? m.patrones.filter((p) => typeof p?.method === "string" && typeof p?.path === "string") : cache.patrones;
+      cache = { at: Date.now(), patrones: patrones2 };
     } catch {
       cache = { ...cache, at: Date.now() };
     } finally {
       refrescando = null;
     }
   }
-  async function listas() {
+  async function patrones() {
     const vencido = Date.now() - cache.at >= ttl;
     if (vencido) {
       refrescando ??= refrescar();
       if (cache.at === 0) await refrescando;
     }
-    return cache;
+    return cache.patrones;
   }
   return {
+    /** Los prefijos de API efectivos, normalizados (para los avisos). */
+    prefijosApi,
     /** Rutas de API con precio que este sitio no puede cobrar por falta de secreto. */
     async sinSecreto() {
       if (opciones.secreto) return [];
-      return (await listas()).patrones.filter((p) => patronReenviable(p.path));
+      return (await patrones()).filter((p) => patronPermitido(p.path, prefijosApi));
+    },
+    /** Rutas de API con precio que no se reenvían por caer fuera de `prefijosApi` o en un path reservado. */
+    async fueraDePrefijos() {
+      return (await patrones()).filter((p) => patronReenviable(p.path) && !patronPermitido(p.path, prefijosApi));
     },
     /** Fuerza la carga del manifiesto (útil al arrancar o en tests). */
     cargar: () => refrescando ??= refrescar(),
@@ -155,14 +214,18 @@ function crearProxyRuntime(opciones) {
       const secreto = opciones.secreto || null;
       const prueba = input.headers.get(PEAJE_ORIGIN_HEADER);
       if (secreto && prueba && iguales(prueba, secreto)) return null;
-      const { rutas, prefijos, patrones } = await listas();
       const path = input.pathname;
       const canon = pathCanonico(path).toLowerCase();
       const esFetchDePeaje = input.headers.get(PEAJE_FETCH_HEADER) !== null;
       const fija = (rutas.includes(path) || rutas.some((r) => r.toLowerCase() === canon)) && !(canon === "/llms.txt" && esFetchDePeaje);
       const prefijo = prefijos.some((p) => path.startsWith(p) || canon.startsWith(p.toLowerCase()));
-      const method = input.method.toUpperCase();
-      const patron = secreto !== null && patrones.some((p) => p.method.toUpperCase() === method && patronReenviable(p.path) && coincidePatron(p.path, path));
+      let patron = false;
+      if (!fija && !prefijo && secreto !== null && !esReservado(path) && prefijosApi.some((pre) => canon.startsWith(pre))) {
+        const method = input.method.toUpperCase();
+        patron = (await patrones()).some(
+          (p) => p.method.toUpperCase() === method && patronPermitido(p.path, prefijosApi) && coincidePatron(p.path, path)
+        );
+      }
       if (!fija && !prefijo && !patron) return null;
       return { destino: `${base}${path}${input.search ?? ""}` };
     }
@@ -307,6 +370,24 @@ function baseDe({ slug, gateway }) {
 }
 var SALTO = ["host", "connection", "keep-alive", "proxy-connection", "transfer-encoding", "upgrade", "te", "trailer", "content-length"];
 var avisado = false;
+function avisar(runtime, conSecreto) {
+  if (!conSecreto) {
+    void runtime.sinSecreto().then((faltan) => {
+      if (faltan.length > 0) {
+        console.warn(
+          `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
+        );
+      }
+    });
+  }
+  void runtime.fueraDePrefijos().then((fuera) => {
+    if (fuera.length > 0) {
+      console.warn(
+        `[peaje] ${fuera.length} priced API route(s) are outside apiPrefixes (${runtime.prefijosApi.join(", ") || "none"}) or on a reserved path, so they are charged only at the gateway URL, not on this domain: ${fuera.map((p) => `${p.method} ${p.path}`).join(", ")}. A route under a prefix of its own (/weather/:city) is charged here once that prefix is in the apiPrefixes option; a single path at the root or a reserved path never is.`
+      );
+    }
+  });
+}
 function _reiniciarAviso() {
   avisado = false;
 }
@@ -315,24 +396,13 @@ function crearPeaje(opciones) {
   const base = baseDe(opciones);
   const secreto = opciones.secret ?? env("PEAJE_ORIGIN_SECRET") ?? null;
   const fetchImpl = opciones.fetch ?? ((...a) => fetch(...a));
-  const runtime = crearProxyRuntime({
-    base,
-    secreto,
-    fetchImpl,
-    respaldo: { rutas: RUTAS_PROXY.map((x) => x.path), prefijos: RUTAS_DINAMICAS.map((x) => x.prefijo), patrones: [] }
-  });
+  const runtime = crearProxyRuntime({ base, secreto, fetchImpl, prefijosApi: opciones.apiPrefixes ?? PREFIJOS_API_POR_DEFECTO });
   return {
     base,
     async decidir({ method, url, headers }) {
-      if (!secreto && !avisado) {
+      if (!avisado) {
         avisado = true;
-        void runtime.sinSecreto().then((faltan) => {
-          if (faltan.length > 0) {
-            console.warn(
-              `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
-            );
-          }
-        });
+        avisar(runtime, Boolean(secreto));
       }
       const d = await runtime.decidir({ method, pathname: url.pathname, search: url.search, headers });
       return d?.destino ?? null;
@@ -340,6 +410,7 @@ function crearPeaje(opciones) {
     async reenviar(destino, { method, url, headers, body }) {
       const salida = new Headers(headers);
       for (const h of SALTO) salida.delete(h);
+      for (const h of HEADERS_NO_REENVIADOS) salida.delete(h);
       const primero = (h) => headers.get(h)?.split(",")[0]?.trim() || null;
       const host = primero("x-forwarded-host") ?? url.host;
       salida.set("x-forwarded-host", host);

package/dist/index.d.cts

@@ -10,6 +10,13 @@ type OpcionesPeaje = {
     secret?: string;
     /** URL pública del gateway. Por defecto `PEAJE_GATEWAY_URL` o la de producción. */
     gateway?: string;
+    /**
+     * Prefijos bajo los que viven tus rutas de API con precio. Una ruta del
+     * dashboard fuera de ellos cobra solo en la URL del gateway, no en tu
+     * dominio. Por defecto `['/api/', '/v1/']`. La raíz y los paths reservados
+     * (`/login`, `/auth`, `/api/auth`, `/_next`...) nunca se aceptan.
+     */
+    apiPrefixes?: string[];
     /** Para tests o runtimes sin fetch global. */
     fetch?: typeof fetch;
 };

package/dist/index.d.ts

@@ -10,6 +10,13 @@ type OpcionesPeaje = {
     secret?: string;
     /** URL pública del gateway. Por defecto `PEAJE_GATEWAY_URL` o la de producción. */
     gateway?: string;
+    /**
+     * Prefijos bajo los que viven tus rutas de API con precio. Una ruta del
+     * dashboard fuera de ellos cobra solo en la URL del gateway, no en tu
+     * dominio. Por defecto `['/api/', '/v1/']`. La raíz y los paths reservados
+     * (`/login`, `/auth`, `/api/auth`, `/_next`...) nunca se aceptan.
+     */
+    apiPrefixes?: string[];
     /** Para tests o runtimes sin fetch global. */
     fetch?: typeof fetch;
 };

package/dist/index.js

@@ -5,7 +5,7 @@ import {
   crearPeaje,
   peajeFetch,
   src_default
-} from "./chunk-IU5YMR4J.js";
+} from "./chunk-QHUY5N5S.js";
 export {
   GATEWAY_POR_DEFECTO,
   _reiniciarAviso,

package/dist/vercel.cjs

@@ -52,6 +52,33 @@ var RUTAS_DINAMICAS = [
   { path: "/r/:slug", prefijo: "/r/", nota: "links con precio: el 402 en tu dominio" },
   { path: "/checkout_sessions/:id", prefijo: "/checkout_sessions/", nota: "leer una sesi\xF3n de checkout ACP" }
 ];
+var PREFIJOS_API_POR_DEFECTO = ["/api/", "/v1/"];
+var PATHS_RESERVADOS = [
+  "/",
+  "/login",
+  "/logout",
+  "/signin",
+  "/signout",
+  "/signup",
+  "/sign-in",
+  "/sign-out",
+  "/sign-up",
+  "/register",
+  "/auth",
+  "/oauth",
+  "/session",
+  "/account",
+  "/admin",
+  "/dashboard",
+  "/_next",
+  "/_vercel",
+  "/api/auth",
+  "/static",
+  "/assets",
+  "/favicon.ico",
+  "/robots.txt",
+  "/sitemap.xml"
+];
 var PEAJE_FETCH_HEADER = "x-peaje-fetch";
 var PEAJE_HOST_HEADER = "x-peaje-forwarded-host";
 
@@ -63,6 +90,38 @@ function iguales(a, b) {
   for (let i = 0; i < a.length; i++) d |= a.charCodeAt(i) ^ b.charCodeAt(i);
   return d === 0;
 }
+var HEADERS_NO_REENVIADOS = ["cookie"];
+function esReservado(path) {
+  const canon = pathCanonico(path).toLowerCase();
+  return PATHS_RESERVADOS.some((r) => r === "/" ? canon === "/" : canon === r || canon.startsWith(`${r}/`));
+}
+function prefijosApiValidos(prefijos = PREFIJOS_API_POR_DEFECTO) {
+  const out = [];
+  for (const crudo of prefijos) {
+    const segs = segmentosCanonicos(String(crudo ?? "")).map((s) => s.toLowerCase());
+    if (segs.length === 0) continue;
+    const path = `/${segs.join("/")}`;
+    if (esReservado(path)) continue;
+    if (!out.includes(`${path}/`)) out.push(`${path}/`);
+  }
+  return out;
+}
+function patronPermitido(patron, prefijos) {
+  if (!patronReenviable(patron)) return false;
+  const segs = patron.split("/").filter(Boolean);
+  const literal = (s) => s !== "*" && !s.startsWith(":");
+  const bajoPrefijo = prefijos.some((pre) => {
+    const ps = pre.split("/").filter(Boolean);
+    return segs.length > ps.length && ps.every((s, i) => literal(segs[i]) && segs[i].toLowerCase() === s);
+  });
+  if (!bajoPrefijo) return false;
+  const literales = [];
+  for (const s of segs) {
+    if (!literal(s)) break;
+    literales.push(s);
+  }
+  return !esReservado(`/${literales.join("/")}`);
+}
 function coincidePatron(patron, pathname) {
   const p = patron.split("/").filter(Boolean);
   const parts = segmentosCanonicos(pathname);
@@ -103,43 +162,43 @@ function crearProxyRuntime(opciones) {
   const base = opciones.base.replace(/\/+$/, "");
   const ttl = opciones.ttlMs ?? 6e4;
   const fetchImpl = opciones.fetchImpl ?? fetch;
-  let cache = {
-    at: 0,
-    rutas: opciones.respaldo?.rutas ?? [],
-    prefijos: opciones.respaldo?.prefijos ?? [],
-    patrones: opciones.respaldo?.patrones ?? []
-  };
+  const rutas = [...opciones.fijas?.rutas ?? RUTAS_PROXY.map((r) => r.path)];
+  const prefijos = [...opciones.fijas?.prefijos ?? RUTAS_DINAMICAS.map((r) => r.prefijo)];
+  const prefijosApi = prefijosApiValidos(opciones.prefijosApi ?? PREFIJOS_API_POR_DEFECTO);
+  let cache = { at: 0, patrones: [] };
   let refrescando = null;
   async function refrescar() {
     try {
       const res = await fetchImpl(`${base}/kit/manifest.json`, { signal: AbortSignal.timeout(5e3) });
       if (!res.ok) throw new Error(String(res.status));
       const m = await res.json();
-      cache = {
-        at: Date.now(),
-        rutas: Array.isArray(m.rutas) ? m.rutas : cache.rutas,
-        prefijos: Array.isArray(m.prefijos) ? m.prefijos : cache.prefijos,
-        patrones: Array.isArray(m.patrones) ? m.patrones : cache.patrones
-      };
+      const patrones2 = Array.isArray(m.patrones) ? m.patrones.filter((p) => typeof p?.method === "string" && typeof p?.path === "string") : cache.patrones;
+      cache = { at: Date.now(), patrones: patrones2 };
     } catch {
       cache = { ...cache, at: Date.now() };
     } finally {
       refrescando = null;
     }
   }
-  async function listas() {
+  async function patrones() {
     const vencido = Date.now() - cache.at >= ttl;
     if (vencido) {
       refrescando ??= refrescar();
       if (cache.at === 0) await refrescando;
     }
-    return cache;
+    return cache.patrones;
   }
   return {
+    /** Los prefijos de API efectivos, normalizados (para los avisos). */
+    prefijosApi,
     /** Rutas de API con precio que este sitio no puede cobrar por falta de secreto. */
     async sinSecreto() {
       if (opciones.secreto) return [];
-      return (await listas()).patrones.filter((p) => patronReenviable(p.path));
+      return (await patrones()).filter((p) => patronPermitido(p.path, prefijosApi));
+    },
+    /** Rutas de API con precio que no se reenvían por caer fuera de `prefijosApi` o en un path reservado. */
+    async fueraDePrefijos() {
+      return (await patrones()).filter((p) => patronReenviable(p.path) && !patronPermitido(p.path, prefijosApi));
     },
     /** Fuerza la carga del manifiesto (útil al arrancar o en tests). */
     cargar: () => refrescando ??= refrescar(),
@@ -151,14 +210,18 @@ function crearProxyRuntime(opciones) {
       const secreto = opciones.secreto || null;
       const prueba = input.headers.get(PEAJE_ORIGIN_HEADER);
       if (secreto && prueba && iguales(prueba, secreto)) return null;
-      const { rutas, prefijos, patrones } = await listas();
       const path = input.pathname;
       const canon = pathCanonico(path).toLowerCase();
       const esFetchDePeaje = input.headers.get(PEAJE_FETCH_HEADER) !== null;
       const fija = (rutas.includes(path) || rutas.some((r) => r.toLowerCase() === canon)) && !(canon === "/llms.txt" && esFetchDePeaje);
       const prefijo = prefijos.some((p) => path.startsWith(p) || canon.startsWith(p.toLowerCase()));
-      const method = input.method.toUpperCase();
-      const patron = secreto !== null && patrones.some((p) => p.method.toUpperCase() === method && patronReenviable(p.path) && coincidePatron(p.path, path));
+      let patron = false;
+      if (!fija && !prefijo && secreto !== null && !esReservado(path) && prefijosApi.some((pre) => canon.startsWith(pre))) {
+        const method = input.method.toUpperCase();
+        patron = (await patrones()).some(
+          (p) => p.method.toUpperCase() === method && patronPermitido(p.path, prefijosApi) && coincidePatron(p.path, path)
+        );
+      }
       if (!fija && !prefijo && !patron) return null;
       return { destino: `${base}${path}${input.search ?? ""}` };
     }
@@ -303,29 +366,36 @@ function baseDe({ slug, gateway }) {
 }
 var SALTO = ["host", "connection", "keep-alive", "proxy-connection", "transfer-encoding", "upgrade", "te", "trailer", "content-length"];
 var avisado = false;
+function avisar(runtime, conSecreto) {
+  if (!conSecreto) {
+    void runtime.sinSecreto().then((faltan) => {
+      if (faltan.length > 0) {
+        console.warn(
+          `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
+        );
+      }
+    });
+  }
+  void runtime.fueraDePrefijos().then((fuera) => {
+    if (fuera.length > 0) {
+      console.warn(
+        `[peaje] ${fuera.length} priced API route(s) are outside apiPrefixes (${runtime.prefijosApi.join(", ") || "none"}) or on a reserved path, so they are charged only at the gateway URL, not on this domain: ${fuera.map((p) => `${p.method} ${p.path}`).join(", ")}. A route under a prefix of its own (/weather/:city) is charged here once that prefix is in the apiPrefixes option; a single path at the root or a reserved path never is.`
+      );
+    }
+  });
+}
 function crearPeaje(opciones) {
   if (!opciones?.slug) throw new Error("@peaje/proxy: `slug` is required (the business slug from your Peaje dashboard).");
   const base = baseDe(opciones);
   const secreto = opciones.secret ?? env("PEAJE_ORIGIN_SECRET") ?? null;
   const fetchImpl = opciones.fetch ?? ((...a) => fetch(...a));
-  const runtime = crearProxyRuntime({
-    base,
-    secreto,
-    fetchImpl,
-    respaldo: { rutas: RUTAS_PROXY.map((x) => x.path), prefijos: RUTAS_DINAMICAS.map((x) => x.prefijo), patrones: [] }
-  });
+  const runtime = crearProxyRuntime({ base, secreto, fetchImpl, prefijosApi: opciones.apiPrefixes ?? PREFIJOS_API_POR_DEFECTO });
   return {
     base,
     async decidir({ method, url, headers }) {
-      if (!secreto && !avisado) {
+      if (!avisado) {
         avisado = true;
-        void runtime.sinSecreto().then((faltan) => {
-          if (faltan.length > 0) {
-            console.warn(
-              `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
-            );
-          }
-        });
+        avisar(runtime, Boolean(secreto));
       }
       const d = await runtime.decidir({ method, pathname: url.pathname, search: url.search, headers });
       return d?.destino ?? null;
@@ -333,6 +403,7 @@ function crearPeaje(opciones) {
     async reenviar(destino, { method, url, headers, body }) {
       const salida = new Headers(headers);
       for (const h of SALTO) salida.delete(h);
+      for (const h of HEADERS_NO_REENVIADOS) salida.delete(h);
       const primero = (h) => headers.get(h)?.split(",")[0]?.trim() || null;
       const host = primero("x-forwarded-host") ?? url.host;
       salida.set("x-forwarded-host", host);
@@ -371,6 +442,7 @@ function peajeVercel(opciones, siguiente) {
     const destino = await peaje.decidir(entrada);
     if (destino) {
       const headers = new Headers(request.headers);
+      for (const h of HEADERS_NO_REENVIADOS) headers.delete(h);
       headers.set("x-forwarded-host", url.host);
       headers.set(PEAJE_HOST_HEADER, url.host);
       headers.set("x-forwarded-proto", url.protocol.replace(":", ""));

package/dist/vercel.js

@@ -1,7 +1,8 @@
 import {
+  HEADERS_NO_REENVIADOS,
   PEAJE_HOST_HEADER,
   crearPeaje
-} from "./chunk-IU5YMR4J.js";
+} from "./chunk-QHUY5N5S.js";
 
 // src/vercel.ts
 function respuestaMiddleware(control, requestHeaders) {
@@ -24,6 +25,7 @@ function peajeVercel(opciones, siguiente) {
     const destino = await peaje.decidir(entrada);
     if (destino) {
       const headers = new Headers(request.headers);
+      for (const h of HEADERS_NO_REENVIADOS) headers.delete(h);
       headers.set("x-forwarded-host", url.host);
       headers.set(PEAJE_HOST_HEADER, url.host);
       headers.set("x-forwarded-proto", url.protocol.replace(":", ""));

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@peaje/proxy",
-  "version": "0.1.2",
+  "version": "0.2.0",
   "description": "Peaje for any server: answer HTTP 402 (MPP, x402) for your priced API routes on your own domain. Fetch handler plus Express, Hono and Vercel Routing Middleware adapters.",
   "license": "MIT",
   "repository": {
@@ -8,10 +8,13 @@
     "url": "git+https://github.com/sandragcarrillo/peaje.git",
     "directory": "packages/peaje-proxy"
   },
+  "homepage": "https://github.com/sandragcarrillo/peaje/tree/main/packages/peaje-proxy#readme",
+  "bugs": "https://github.com/sandragcarrillo/peaje/issues",
   "type": "module",
   "sideEffects": false,
   "files": [
-    "dist"
+    "dist",
+    "LICENSE"
   ],
   "main": "./dist/index.cjs",
   "module": "./dist/index.js",