@peaje/proxy 0.1.2 → 0.2.1

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Sandra Carrillo
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -90,9 +90,21 @@ export default { fetch: async (req: Request) => (await peaje(req)) ?? app(req) }
 
 - The catalog paths: `/llms.txt`, `/openapi.json`, `/mcp`, `/.well-known/*` Peaje files, `/developers`, `/docs` and the rest of the kit list.
 - `/r/*` priced links and `/checkout_sessions/*`.
-- Your priced API routes from the dashboard (`GET /api/forecast`, `/api/history/:city`, `/api/batch/*`), matching the method. Catch-alls at the root (`/*`, `/:id`) are never forwarded from your domain: they would send the whole site to the gateway.
+- Your priced API routes from the dashboard (`GET /api/forecast`, `/api/history/:city`, `/api/batch/*`), matching the method, but only under `apiPrefixes` (default `['/api/', '/v1/']`). Catch-alls at the root (`/*`, `/:id`) are never forwarded from your domain: they would send the whole site to the gateway.
 
-The forwarded request keeps method, body and query, and carries `x-forwarded-host` and `x-forwarded-proto` so the 402 challenge names your domain (strict x402 clients abort when it does not). If the gateway is unreachable, the catalog paths are still forwarded from a built-in list; priced API routes resume when the manifest loads.
+The forwarded request keeps method, body, query and `authorization` (the MPP credential), and carries `x-forwarded-host` and `x-forwarded-proto` so the 402 challenge names your domain (strict x402 clients abort when it does not). It leaves out the `cookie` header: your visitors' session cookies never leave your domain, and a priced route's handler no longer receives cookies through Peaje. If the gateway is unreachable, the catalog paths are still forwarded; priced API routes resume when the manifest loads.
+
+### What the manifest cannot do (since 0.2.0)
+
+- Add fixed paths or prefixes. Those come only from the list bundled in this package; anything extra in the manifest is ignored.
+- Forward an API route outside `apiPrefixes`. A route priced elsewhere (`GET /weather/:city`) keeps charging at the gateway URL and you get one warning in the logs naming it. To charge it on your domain: `{ slug, apiPrefixes: ['/api/', '/v1/', '/weather/'] }`.
+- Touch the root `/` or reserved app paths, whatever `apiPrefixes` says: `/login`, `/logout`, `/signin`, `/signup`, `/register`, `/auth`, `/oauth`, `/session`, `/account`, `/admin`, `/dashboard`, `/api/auth`, `/_next`, `/_vercel`, `/static`, `/assets`, `/favicon.ico`, `/robots.txt`, `/sitemap.xml` and everything under them.
+
+Upgrading from 0.1.x: if your priced routes live outside `/api/` and `/v1/`, add their prefix to `apiPrefixes` before you deploy 0.2.0.
+
+## Bot visits (since 0.2.1)
+
+When a known AI bot (GPTBot, ClaudeBot, OAI-SearchBot, PerplexityBot, Googlebot) reads a page your app serves itself, such as your home page or a blog post, the proxy tells the gateway in the background, so the read shows up in your agent visits. The gateway never sees those requests otherwise. It sends only the path, without the query string, and the bot's user agent: no IP, no cookies, and visits from people are never reported. The Vercel adapter runs it in `waitUntil`, Hono on Workers in `executionCtx.waitUntil`, and `peajeFetch(request, waitUntil)` takes one; elsewhere it runs alongside the response with a 3 s timeout. Turn it off with `{ slug, reportBotVisits: false }`.
 
 ## Options
 
@@ -101,6 +113,8 @@ The forwarded request keeps method, body and query, and carries `x-forwarded-hos
 | `slug` | required, the business slug from your dashboard |
 | `secret` | `process.env.PEAJE_ORIGIN_SECRET` |
 | `gateway` | `process.env.PEAJE_GATEWAY_URL` or `https://api.usepeaje.com` |
+| `apiPrefixes` | `['/api/', '/v1/']`: where your priced API routes live; the root and reserved paths are never accepted |
+| `reportBotVisits` | `true`: tell the gateway when an AI bot reads a page of your app, for your agent visits |
 
 ## License
 

package/dist/{chunk-IU5YMR4J.js → chunk-SWB3HJVY.js}

@@ -25,9 +25,54 @@ var RUTAS_DINAMICAS = [
   { path: "/r/:slug", prefijo: "/r/", nota: "links con precio: el 402 en tu dominio" },
   { path: "/checkout_sessions/:id", prefijo: "/checkout_sessions/", nota: "leer una sesi\xF3n de checkout ACP" }
 ];
+var PREFIJOS_API_POR_DEFECTO = ["/api/", "/v1/"];
+var PATHS_RESERVADOS = [
+  "/",
+  "/login",
+  "/logout",
+  "/signin",
+  "/signout",
+  "/signup",
+  "/sign-in",
+  "/sign-out",
+  "/sign-up",
+  "/register",
+  "/auth",
+  "/oauth",
+  "/session",
+  "/account",
+  "/admin",
+  "/dashboard",
+  "/_next",
+  "/_vercel",
+  "/api/auth",
+  "/static",
+  "/assets",
+  "/favicon.ico",
+  "/robots.txt",
+  "/sitemap.xml"
+];
 var PEAJE_FETCH_HEADER = "x-peaje-fetch";
 var PEAJE_HOST_HEADER = "x-peaje-forwarded-host";
 
+// ../shared/src/kit/bots.ts
+var BOTS_DE_VISITA = [
+  { patron: /OAI-SearchBot/i, tipo: "openai-searchbot" },
+  { patron: /PerplexityBot/i, tipo: "perplexitybot" },
+  { patron: /Googlebot/i, tipo: "googlebot" },
+  { patron: /ClaudeBot|anthropic-ai/i, tipo: "claudebot" },
+  { patron: /GPTBot/i, tipo: "gptbot" }
+];
+function tipoDeBot(ua) {
+  if (!ua) return null;
+  for (const b of BOTS_DE_VISITA) if (b.patron.test(ua)) return b.tipo;
+  return null;
+}
+var PEAJE_VERIFICADOR_HEADER = "x-peaje-verificador";
+var NO_ES_PAGINA = /\.(png|jpe?g|gif|webp|avif|svg|ico|css|m?js|map|woff2?|ttf|otf|eot|mp4|webm|mp3|wav)$/i;
+var MAX_PATH_LECTURA = 500;
+var MAX_UA_LECTURA = 300;
+
 // ../shared/src/kit/proxy-runtime.ts
 var PEAJE_ORIGIN_HEADER = "x-peaje-origin";
 function iguales(a, b) {
@@ -36,6 +81,38 @@ function iguales(a, b) {
   for (let i = 0; i < a.length; i++) d |= a.charCodeAt(i) ^ b.charCodeAt(i);
   return d === 0;
 }
+var HEADERS_NO_REENVIADOS = ["cookie"];
+function esReservado(path) {
+  const canon = pathCanonico(path).toLowerCase();
+  return PATHS_RESERVADOS.some((r) => r === "/" ? canon === "/" : canon === r || canon.startsWith(`${r}/`));
+}
+function prefijosApiValidos(prefijos = PREFIJOS_API_POR_DEFECTO) {
+  const out = [];
+  for (const crudo of prefijos) {
+    const segs = segmentosCanonicos(String(crudo ?? "")).map((s) => s.toLowerCase());
+    if (segs.length === 0) continue;
+    const path = `/${segs.join("/")}`;
+    if (esReservado(path)) continue;
+    if (!out.includes(`${path}/`)) out.push(`${path}/`);
+  }
+  return out;
+}
+function patronPermitido(patron, prefijos) {
+  if (!patronReenviable(patron)) return false;
+  const segs = patron.split("/").filter(Boolean);
+  const literal = (s) => s !== "*" && !s.startsWith(":");
+  const bajoPrefijo = prefijos.some((pre) => {
+    const ps = pre.split("/").filter(Boolean);
+    return segs.length > ps.length && ps.every((s, i) => literal(segs[i]) && segs[i].toLowerCase() === s);
+  });
+  if (!bajoPrefijo) return false;
+  const literales = [];
+  for (const s of segs) {
+    if (!literal(s)) break;
+    literales.push(s);
+  }
+  return !esReservado(`/${literales.join("/")}`);
+}
 function coincidePatron(patron, pathname) {
   const p = patron.split("/").filter(Boolean);
   const parts = segmentosCanonicos(pathname);
@@ -72,50 +149,77 @@ function patronReenviable(patron) {
   if (segs.length === 0) return false;
   return !(segs.length === 1 && (segs[0] === "*" || segs[0].startsWith(":")));
 }
+function lecturaDeBot(input) {
+  const method = input.method.toUpperCase();
+  if (method !== "GET" && method !== "HEAD") return null;
+  const h = input.headers;
+  if (h.has(PEAJE_ORIGIN_HEADER) || h.has(PEAJE_FETCH_HEADER) || h.has(PEAJE_VERIFICADOR_HEADER)) return null;
+  const ua = h.get("user-agent");
+  if (!ua || !tipoDeBot(ua)) return null;
+  const path = input.pathname;
+  if (!path.startsWith("/") || path.startsWith("/_next/") || path.startsWith("/_vercel/") || NO_ES_PAGINA.test(path)) return null;
+  return { path: path.slice(0, MAX_PATH_LECTURA), method, userAgent: ua.slice(0, MAX_UA_LECTURA) };
+}
 function crearProxyRuntime(opciones) {
   const base = opciones.base.replace(/\/+$/, "");
   const ttl = opciones.ttlMs ?? 6e4;
   const fetchImpl = opciones.fetchImpl ?? fetch;
-  let cache = {
-    at: 0,
-    rutas: opciones.respaldo?.rutas ?? [],
-    prefijos: opciones.respaldo?.prefijos ?? [],
-    patrones: opciones.respaldo?.patrones ?? []
-  };
+  const rutas = [...opciones.fijas?.rutas ?? RUTAS_PROXY.map((r) => r.path)];
+  const prefijos = [...opciones.fijas?.prefijos ?? RUTAS_DINAMICAS.map((r) => r.prefijo)];
+  const prefijosApi = prefijosApiValidos(opciones.prefijosApi ?? PREFIJOS_API_POR_DEFECTO);
+  let cache = { at: 0, patrones: [] };
   let refrescando = null;
   async function refrescar() {
     try {
       const res = await fetchImpl(`${base}/kit/manifest.json`, { signal: AbortSignal.timeout(5e3) });
       if (!res.ok) throw new Error(String(res.status));
       const m = await res.json();
-      cache = {
-        at: Date.now(),
-        rutas: Array.isArray(m.rutas) ? m.rutas : cache.rutas,
-        prefijos: Array.isArray(m.prefijos) ? m.prefijos : cache.prefijos,
-        patrones: Array.isArray(m.patrones) ? m.patrones : cache.patrones
-      };
+      const patrones2 = Array.isArray(m.patrones) ? m.patrones.filter((p) => typeof p?.method === "string" && typeof p?.path === "string") : cache.patrones;
+      cache = { at: Date.now(), patrones: patrones2 };
     } catch {
       cache = { ...cache, at: Date.now() };
     } finally {
       refrescando = null;
     }
   }
-  async function listas() {
+  async function patrones() {
     const vencido = Date.now() - cache.at >= ttl;
     if (vencido) {
       refrescando ??= refrescar();
       if (cache.at === 0) await refrescando;
     }
-    return cache;
+    return cache.patrones;
   }
   return {
+    /** Los prefijos de API efectivos, normalizados (para los avisos). */
+    prefijosApi,
     /** Rutas de API con precio que este sitio no puede cobrar por falta de secreto. */
     async sinSecreto() {
       if (opciones.secreto) return [];
-      return (await listas()).patrones.filter((p) => patronReenviable(p.path));
+      return (await patrones()).filter((p) => patronPermitido(p.path, prefijosApi));
+    },
+    /** Rutas de API con precio que no se reenvían por caer fuera de `prefijosApi` o en un path reservado. */
+    async fueraDePrefijos() {
+      return (await patrones()).filter((p) => patronReenviable(p.path) && !patronPermitido(p.path, prefijosApi));
     },
     /** Fuerza la carga del manifiesto (útil al arrancar o en tests). */
     cargar: () => refrescando ??= refrescar(),
+    /**
+     * Si la request es un bot leyendo una página del sitio, le avisa al
+     * gateway y devuelve la promesa del aviso (para `waitUntil`); si no, null.
+     * El aviso nunca lanza ni demora la página: 3 s de tope y se descarta la
+     * respuesta.
+     */
+    reportarLectura(input) {
+      const lectura = lecturaDeBot(input);
+      if (!lectura) return null;
+      return fetchImpl(`${base}/kit/visita`, {
+        method: "POST",
+        headers: { "content-type": "application/json" },
+        body: JSON.stringify(lectura),
+        signal: AbortSignal.timeout(3e3)
+      }).then((res) => res.body?.cancel()).catch(() => void 0);
+    },
     /**
      * Decide si la request va al gateway. `method` y `pathname` de la request,
      * `search` con el `?` incluido, y los headers para cortar bucles.
@@ -124,14 +228,18 @@ function crearProxyRuntime(opciones) {
       const secreto = opciones.secreto || null;
       const prueba = input.headers.get(PEAJE_ORIGIN_HEADER);
       if (secreto && prueba && iguales(prueba, secreto)) return null;
-      const { rutas, prefijos, patrones } = await listas();
       const path = input.pathname;
       const canon = pathCanonico(path).toLowerCase();
       const esFetchDePeaje = input.headers.get(PEAJE_FETCH_HEADER) !== null;
       const fija = (rutas.includes(path) || rutas.some((r) => r.toLowerCase() === canon)) && !(canon === "/llms.txt" && esFetchDePeaje);
       const prefijo = prefijos.some((p) => path.startsWith(p) || canon.startsWith(p.toLowerCase()));
-      const method = input.method.toUpperCase();
-      const patron = secreto !== null && patrones.some((p) => p.method.toUpperCase() === method && patronReenviable(p.path) && coincidePatron(p.path, path));
+      let patron = false;
+      if (!fija && !prefijo && secreto !== null && !esReservado(path) && prefijosApi.some((pre) => canon.startsWith(pre))) {
+        const method = input.method.toUpperCase();
+        patron = (await patrones()).some(
+          (p) => p.method.toUpperCase() === method && patronPermitido(p.path, prefijosApi) && coincidePatron(p.path, path)
+        );
+      }
       if (!fija && !prefijo && !patron) return null;
       return { destino: `${base}${path}${input.search ?? ""}` };
     }
@@ -276,6 +384,24 @@ function baseDe({ slug, gateway }) {
 }
 var SALTO = ["host", "connection", "keep-alive", "proxy-connection", "transfer-encoding", "upgrade", "te", "trailer", "content-length"];
 var avisado = false;
+function avisar(runtime, conSecreto) {
+  if (!conSecreto) {
+    void runtime.sinSecreto().then((faltan) => {
+      if (faltan.length > 0) {
+        console.warn(
+          `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
+        );
+      }
+    });
+  }
+  void runtime.fueraDePrefijos().then((fuera) => {
+    if (fuera.length > 0) {
+      console.warn(
+        `[peaje] ${fuera.length} priced API route(s) are outside apiPrefixes (${runtime.prefijosApi.join(", ") || "none"}) or on a reserved path, so they are charged only at the gateway URL, not on this domain: ${fuera.map((p) => `${p.method} ${p.path}`).join(", ")}. A route under a prefix of its own (/weather/:city) is charged here once that prefix is in the apiPrefixes option; a single path at the root or a reserved path never is.`
+      );
+    }
+  });
+}
 function _reiniciarAviso() {
   avisado = false;
 }
@@ -284,24 +410,14 @@ function crearPeaje(opciones) {
   const base = baseDe(opciones);
   const secreto = opciones.secret ?? env("PEAJE_ORIGIN_SECRET") ?? null;
   const fetchImpl = opciones.fetch ?? ((...a) => fetch(...a));
-  const runtime = crearProxyRuntime({
-    base,
-    secreto,
-    fetchImpl,
-    respaldo: { rutas: RUTAS_PROXY.map((x) => x.path), prefijos: RUTAS_DINAMICAS.map((x) => x.prefijo), patrones: [] }
-  });
+  const runtime = crearProxyRuntime({ base, secreto, fetchImpl, prefijosApi: opciones.apiPrefixes ?? PREFIJOS_API_POR_DEFECTO });
+  const reportar = opciones.reportBotVisits !== false;
   return {
     base,
     async decidir({ method, url, headers }) {
-      if (!secreto && !avisado) {
+      if (!avisado) {
         avisado = true;
-        void runtime.sinSecreto().then((faltan) => {
-          if (faltan.length > 0) {
-            console.warn(
-              `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
-            );
-          }
-        });
+        avisar(runtime, Boolean(secreto));
       }
       const d = await runtime.decidir({ method, pathname: url.pathname, search: url.search, headers });
       return d?.destino ?? null;
@@ -309,6 +425,7 @@ function crearPeaje(opciones) {
     async reenviar(destino, { method, url, headers, body }) {
       const salida = new Headers(headers);
       for (const h of SALTO) salida.delete(h);
+      for (const h of HEADERS_NO_REENVIADOS) salida.delete(h);
       const primero = (h) => headers.get(h)?.split(",")[0]?.trim() || null;
       const host = primero("x-forwarded-host") ?? url.host;
       salida.set("x-forwarded-host", host);
@@ -322,16 +439,26 @@ function crearPeaje(opciones) {
       vuelta.delete("transfer-encoding");
       vuelta.delete("connection");
       return new Response(method === "HEAD" ? null : res.body, { status: res.status, statusText: res.statusText, headers: vuelta });
+    },
+    reportarLectura({ method, url, headers }) {
+      return reportar ? runtime.reportarLectura({ method, pathname: url.pathname, headers }) : null;
     }
   };
 }
 function peajeFetch(opciones) {
   const peaje = crearPeaje(opciones);
-  return async (request) => {
+  return async (request, waitUntil) => {
     const url = new URL(request.url);
     const entrada = { method: request.method.toUpperCase(), url, headers: request.headers };
     const destino = await peaje.decidir(entrada);
-    if (!destino) return null;
+    if (!destino) {
+      const lectura = peaje.reportarLectura(entrada);
+      if (lectura) {
+        if (waitUntil) waitUntil(lectura);
+        else void lectura;
+      }
+      return null;
+    }
     const body = entrada.method === "GET" || entrada.method === "HEAD" ? null : await request.arrayBuffer();
     return peaje.reenviar(destino, { ...entrada, body });
   };
@@ -340,6 +467,7 @@ var src_default = peajeFetch;
 
 export {
   PEAJE_HOST_HEADER,
+  HEADERS_NO_REENVIADOS,
   GATEWAY_POR_DEFECTO,
   baseDe,
   _reiniciarAviso,

package/dist/express.cjs

@@ -53,9 +53,54 @@ var RUTAS_DINAMICAS = [
   { path: "/r/:slug", prefijo: "/r/", nota: "links con precio: el 402 en tu dominio" },
   { path: "/checkout_sessions/:id", prefijo: "/checkout_sessions/", nota: "leer una sesi\xF3n de checkout ACP" }
 ];
+var PREFIJOS_API_POR_DEFECTO = ["/api/", "/v1/"];
+var PATHS_RESERVADOS = [
+  "/",
+  "/login",
+  "/logout",
+  "/signin",
+  "/signout",
+  "/signup",
+  "/sign-in",
+  "/sign-out",
+  "/sign-up",
+  "/register",
+  "/auth",
+  "/oauth",
+  "/session",
+  "/account",
+  "/admin",
+  "/dashboard",
+  "/_next",
+  "/_vercel",
+  "/api/auth",
+  "/static",
+  "/assets",
+  "/favicon.ico",
+  "/robots.txt",
+  "/sitemap.xml"
+];
 var PEAJE_FETCH_HEADER = "x-peaje-fetch";
 var PEAJE_HOST_HEADER = "x-peaje-forwarded-host";
 
+// ../shared/src/kit/bots.ts
+var BOTS_DE_VISITA = [
+  { patron: /OAI-SearchBot/i, tipo: "openai-searchbot" },
+  { patron: /PerplexityBot/i, tipo: "perplexitybot" },
+  { patron: /Googlebot/i, tipo: "googlebot" },
+  { patron: /ClaudeBot|anthropic-ai/i, tipo: "claudebot" },
+  { patron: /GPTBot/i, tipo: "gptbot" }
+];
+function tipoDeBot(ua) {
+  if (!ua) return null;
+  for (const b of BOTS_DE_VISITA) if (b.patron.test(ua)) return b.tipo;
+  return null;
+}
+var PEAJE_VERIFICADOR_HEADER = "x-peaje-verificador";
+var NO_ES_PAGINA = /\.(png|jpe?g|gif|webp|avif|svg|ico|css|m?js|map|woff2?|ttf|otf|eot|mp4|webm|mp3|wav)$/i;
+var MAX_PATH_LECTURA = 500;
+var MAX_UA_LECTURA = 300;
+
 // ../shared/src/kit/proxy-runtime.ts
 var PEAJE_ORIGIN_HEADER = "x-peaje-origin";
 function iguales(a, b) {
@@ -64,6 +109,38 @@ function iguales(a, b) {
   for (let i = 0; i < a.length; i++) d |= a.charCodeAt(i) ^ b.charCodeAt(i);
   return d === 0;
 }
+var HEADERS_NO_REENVIADOS = ["cookie"];
+function esReservado(path) {
+  const canon = pathCanonico(path).toLowerCase();
+  return PATHS_RESERVADOS.some((r) => r === "/" ? canon === "/" : canon === r || canon.startsWith(`${r}/`));
+}
+function prefijosApiValidos(prefijos = PREFIJOS_API_POR_DEFECTO) {
+  const out = [];
+  for (const crudo of prefijos) {
+    const segs = segmentosCanonicos(String(crudo ?? "")).map((s) => s.toLowerCase());
+    if (segs.length === 0) continue;
+    const path = `/${segs.join("/")}`;
+    if (esReservado(path)) continue;
+    if (!out.includes(`${path}/`)) out.push(`${path}/`);
+  }
+  return out;
+}
+function patronPermitido(patron, prefijos) {
+  if (!patronReenviable(patron)) return false;
+  const segs = patron.split("/").filter(Boolean);
+  const literal = (s) => s !== "*" && !s.startsWith(":");
+  const bajoPrefijo = prefijos.some((pre) => {
+    const ps = pre.split("/").filter(Boolean);
+    return segs.length > ps.length && ps.every((s, i) => literal(segs[i]) && segs[i].toLowerCase() === s);
+  });
+  if (!bajoPrefijo) return false;
+  const literales = [];
+  for (const s of segs) {
+    if (!literal(s)) break;
+    literales.push(s);
+  }
+  return !esReservado(`/${literales.join("/")}`);
+}
 function coincidePatron(patron, pathname) {
   const p = patron.split("/").filter(Boolean);
   const parts = segmentosCanonicos(pathname);
@@ -100,50 +177,77 @@ function patronReenviable(patron) {
   if (segs.length === 0) return false;
   return !(segs.length === 1 && (segs[0] === "*" || segs[0].startsWith(":")));
 }
+function lecturaDeBot(input) {
+  const method = input.method.toUpperCase();
+  if (method !== "GET" && method !== "HEAD") return null;
+  const h = input.headers;
+  if (h.has(PEAJE_ORIGIN_HEADER) || h.has(PEAJE_FETCH_HEADER) || h.has(PEAJE_VERIFICADOR_HEADER)) return null;
+  const ua = h.get("user-agent");
+  if (!ua || !tipoDeBot(ua)) return null;
+  const path = input.pathname;
+  if (!path.startsWith("/") || path.startsWith("/_next/") || path.startsWith("/_vercel/") || NO_ES_PAGINA.test(path)) return null;
+  return { path: path.slice(0, MAX_PATH_LECTURA), method, userAgent: ua.slice(0, MAX_UA_LECTURA) };
+}
 function crearProxyRuntime(opciones) {
   const base = opciones.base.replace(/\/+$/, "");
   const ttl = opciones.ttlMs ?? 6e4;
   const fetchImpl = opciones.fetchImpl ?? fetch;
-  let cache = {
-    at: 0,
-    rutas: opciones.respaldo?.rutas ?? [],
-    prefijos: opciones.respaldo?.prefijos ?? [],
-    patrones: opciones.respaldo?.patrones ?? []
-  };
+  const rutas = [...opciones.fijas?.rutas ?? RUTAS_PROXY.map((r) => r.path)];
+  const prefijos = [...opciones.fijas?.prefijos ?? RUTAS_DINAMICAS.map((r) => r.prefijo)];
+  const prefijosApi = prefijosApiValidos(opciones.prefijosApi ?? PREFIJOS_API_POR_DEFECTO);
+  let cache = { at: 0, patrones: [] };
   let refrescando = null;
   async function refrescar() {
     try {
       const res = await fetchImpl(`${base}/kit/manifest.json`, { signal: AbortSignal.timeout(5e3) });
       if (!res.ok) throw new Error(String(res.status));
       const m = await res.json();
-      cache = {
-        at: Date.now(),
-        rutas: Array.isArray(m.rutas) ? m.rutas : cache.rutas,
-        prefijos: Array.isArray(m.prefijos) ? m.prefijos : cache.prefijos,
-        patrones: Array.isArray(m.patrones) ? m.patrones : cache.patrones
-      };
+      const patrones2 = Array.isArray(m.patrones) ? m.patrones.filter((p) => typeof p?.method === "string" && typeof p?.path === "string") : cache.patrones;
+      cache = { at: Date.now(), patrones: patrones2 };
     } catch {
       cache = { ...cache, at: Date.now() };
     } finally {
       refrescando = null;
     }
   }
-  async function listas() {
+  async function patrones() {
     const vencido = Date.now() - cache.at >= ttl;
     if (vencido) {
       refrescando ??= refrescar();
       if (cache.at === 0) await refrescando;
     }
-    return cache;
+    return cache.patrones;
   }
   return {
+    /** Los prefijos de API efectivos, normalizados (para los avisos). */
+    prefijosApi,
     /** Rutas de API con precio que este sitio no puede cobrar por falta de secreto. */
     async sinSecreto() {
       if (opciones.secreto) return [];
-      return (await listas()).patrones.filter((p) => patronReenviable(p.path));
+      return (await patrones()).filter((p) => patronPermitido(p.path, prefijosApi));
+    },
+    /** Rutas de API con precio que no se reenvían por caer fuera de `prefijosApi` o en un path reservado. */
+    async fueraDePrefijos() {
+      return (await patrones()).filter((p) => patronReenviable(p.path) && !patronPermitido(p.path, prefijosApi));
     },
     /** Fuerza la carga del manifiesto (útil al arrancar o en tests). */
     cargar: () => refrescando ??= refrescar(),
+    /**
+     * Si la request es un bot leyendo una página del sitio, le avisa al
+     * gateway y devuelve la promesa del aviso (para `waitUntil`); si no, null.
+     * El aviso nunca lanza ni demora la página: 3 s de tope y se descarta la
+     * respuesta.
+     */
+    reportarLectura(input) {
+      const lectura = lecturaDeBot(input);
+      if (!lectura) return null;
+      return fetchImpl(`${base}/kit/visita`, {
+        method: "POST",
+        headers: { "content-type": "application/json" },
+        body: JSON.stringify(lectura),
+        signal: AbortSignal.timeout(3e3)
+      }).then((res) => res.body?.cancel()).catch(() => void 0);
+    },
     /**
      * Decide si la request va al gateway. `method` y `pathname` de la request,
      * `search` con el `?` incluido, y los headers para cortar bucles.
@@ -152,14 +256,18 @@ function crearProxyRuntime(opciones) {
       const secreto = opciones.secreto || null;
       const prueba = input.headers.get(PEAJE_ORIGIN_HEADER);
       if (secreto && prueba && iguales(prueba, secreto)) return null;
-      const { rutas, prefijos, patrones } = await listas();
       const path = input.pathname;
       const canon = pathCanonico(path).toLowerCase();
       const esFetchDePeaje = input.headers.get(PEAJE_FETCH_HEADER) !== null;
       const fija = (rutas.includes(path) || rutas.some((r) => r.toLowerCase() === canon)) && !(canon === "/llms.txt" && esFetchDePeaje);
       const prefijo = prefijos.some((p) => path.startsWith(p) || canon.startsWith(p.toLowerCase()));
-      const method = input.method.toUpperCase();
-      const patron = secreto !== null && patrones.some((p) => p.method.toUpperCase() === method && patronReenviable(p.path) && coincidePatron(p.path, path));
+      let patron = false;
+      if (!fija && !prefijo && secreto !== null && !esReservado(path) && prefijosApi.some((pre) => canon.startsWith(pre))) {
+        const method = input.method.toUpperCase();
+        patron = (await patrones()).some(
+          (p) => p.method.toUpperCase() === method && patronPermitido(p.path, prefijosApi) && coincidePatron(p.path, path)
+        );
+      }
       if (!fija && !prefijo && !patron) return null;
       return { destino: `${base}${path}${input.search ?? ""}` };
     }
@@ -304,29 +412,37 @@ function baseDe({ slug, gateway }) {
 }
 var SALTO = ["host", "connection", "keep-alive", "proxy-connection", "transfer-encoding", "upgrade", "te", "trailer", "content-length"];
 var avisado = false;
+function avisar(runtime, conSecreto) {
+  if (!conSecreto) {
+    void runtime.sinSecreto().then((faltan) => {
+      if (faltan.length > 0) {
+        console.warn(
+          `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
+        );
+      }
+    });
+  }
+  void runtime.fueraDePrefijos().then((fuera) => {
+    if (fuera.length > 0) {
+      console.warn(
+        `[peaje] ${fuera.length} priced API route(s) are outside apiPrefixes (${runtime.prefijosApi.join(", ") || "none"}) or on a reserved path, so they are charged only at the gateway URL, not on this domain: ${fuera.map((p) => `${p.method} ${p.path}`).join(", ")}. A route under a prefix of its own (/weather/:city) is charged here once that prefix is in the apiPrefixes option; a single path at the root or a reserved path never is.`
+      );
+    }
+  });
+}
 function crearPeaje(opciones) {
   if (!opciones?.slug) throw new Error("@peaje/proxy: `slug` is required (the business slug from your Peaje dashboard).");
   const base = baseDe(opciones);
   const secreto = opciones.secret ?? env("PEAJE_ORIGIN_SECRET") ?? null;
   const fetchImpl = opciones.fetch ?? ((...a) => fetch(...a));
-  const runtime = crearProxyRuntime({
-    base,
-    secreto,
-    fetchImpl,
-    respaldo: { rutas: RUTAS_PROXY.map((x) => x.path), prefijos: RUTAS_DINAMICAS.map((x) => x.prefijo), patrones: [] }
-  });
+  const runtime = crearProxyRuntime({ base, secreto, fetchImpl, prefijosApi: opciones.apiPrefixes ?? PREFIJOS_API_POR_DEFECTO });
+  const reportar = opciones.reportBotVisits !== false;
   return {
     base,
     async decidir({ method, url, headers }) {
-      if (!secreto && !avisado) {
+      if (!avisado) {
         avisado = true;
-        void runtime.sinSecreto().then((faltan) => {
-          if (faltan.length > 0) {
-            console.warn(
-              `[peaje] ${faltan.length} priced API route(s) are not charged on this domain because PEAJE_ORIGIN_SECRET is not set: ${faltan.map((p) => `${p.method} ${p.path}`).join(", ")}. Copy it from the Kit page of your Peaje dashboard into your hosting environment variables.`
-            );
-          }
-        });
+        avisar(runtime, Boolean(secreto));
       }
       const d = await runtime.decidir({ method, pathname: url.pathname, search: url.search, headers });
       return d?.destino ?? null;
@@ -334,6 +450,7 @@ function crearPeaje(opciones) {
     async reenviar(destino, { method, url, headers, body }) {
       const salida = new Headers(headers);
       for (const h of SALTO) salida.delete(h);
+      for (const h of HEADERS_NO_REENVIADOS) salida.delete(h);
       const primero = (h) => headers.get(h)?.split(",")[0]?.trim() || null;
       const host = primero("x-forwarded-host") ?? url.host;
       salida.set("x-forwarded-host", host);
@@ -347,6 +464,9 @@ function crearPeaje(opciones) {
       vuelta.delete("transfer-encoding");
       vuelta.delete("connection");
       return new Response(method === "HEAD" ? null : res.body, { status: res.status, statusText: res.statusText, headers: vuelta });
+    },
+    reportarLectura({ method, url, headers }) {
+      return reportar ? runtime.reportarLectura({ method, pathname: url.pathname, headers }) : null;
     }
   };
 }
@@ -406,7 +526,10 @@ function peajeExpress(opciones) {
     const r = req;
     const entrada = { method: (r.method ?? "GET").toUpperCase(), url: urlDe(r), headers: headersDe(r) };
     peaje.decidir(entrada).then(async (destino) => {
-      if (!destino) return next();
+      if (!destino) {
+        void peaje.reportarLectura(entrada);
+        return next();
+      }
       const body = entrada.method === "GET" || entrada.method === "HEAD" ? null : await bodyDe(r);
       await enviar(res, await peaje.reenviar(destino, { ...entrada, body }));
     }).catch((e) => {