**Diseño API-first** - intégralo con cualquier stack de seguridad.

</td>
</tr>
</table>



---


## 🔄 Cómo funciona

<div align="center">

### El pipeline de detección de cuatro etapas

</div>

<details> 
<summary><b>🎨 Haga clic aquí para expandir el diagrama interactivo</b></summary>```mermaid
flowchart TD
    Start([🌐 Incoming Request]) --> Stage0{🔓 Stage 0<br/>Whitelist Check}
    
    Stage0 -->|✅ Whitelisted IP/Path| Allow[✅ ALLOW<br/>Pass to Backend]
    Stage0 -->|❌ Not Whitelisted| Stage1{⚡ Stage 1<br/>Local Rules}
    
    Stage1 -->|🎯 Attack Pattern Match| Honeypot[🍯 HONEYPOT<br/>Deceptive Response]
    Stage1 -->|❓ Unknown Pattern| Stage2{💾 Stage 2<br/>Database Patterns}
    
    Stage2 -->|📚 Known Attack| Honeypot
    Stage2 -->|🆕 Novel Attack| Stage3{🤖 Stage 3<br/>LLM Analysis}
    
    Stage3 -->|🚨 Attack Confirmed| Honeypot
    Stage3 -->|✅ Legitimate| Allow
    
    Honeypot --> TI[🔍 Threat Intelligence<br/>Enrichment]
    TI --> Notify[📢 Notifications<br/>If Rules Match]
    Notify --> Learn[📖 Learn & Store<br/>Pattern]
    
    Allow --> Backend[🎯 Your Application]
    Backend --> Response[📦 Real Response]
    
    Learn --> LogAttack[(📊 Attack Database)]
    
    style Start fill:#4c6ef5,stroke:#364fc7,stroke-width:3px,color:#fff
    style Stage0 fill:#7950f2,stroke:#5f3dc4,stroke-width:2px,color:#fff
    style Stage1 fill:#7950f2,stroke:#5f3dc4,stroke-width:2px,color:#fff
    style Stage2 fill:#7950f2,stroke:#5f3dc4,stroke-width:2px,color:#fff
    style Stage3 fill:#7950f2,stroke:#5f3dc4,stroke-width:2px,color:#fff
    style Allow fill:#51cf66,stroke:#2f9e44,stroke-width:3px,color:#fff
    style Honeypot fill:#ff6b6b,stroke:#c92a2a,stroke-width:3px,color:#fff
    style TI fill:#ff922b,stroke:#e8590c,stroke-width:2px,color:#fff
    style Notify fill:#fab005,stroke:#f08c00,stroke-width:2px,color:#fff
    style Learn fill:#20c997,stroke:#12b886,stroke-width:2px,color:#fff
    style Backend fill:#339af0,stroke:#1c7ed6,stroke-width:2px,color:#fff
    style Response fill:#51cf66,stroke:#2f9e44,stroke-width:2px,color:#fff
    style LogAttack fill:#868e96,stroke:#495057,stroke-width:2px,color:#fff

---

## 🎛️ Dos Modos de Detección

<div align="center">

Elige tu filosofía de seguridad: **confía pero verifica** vs **confianza cero**

</div>

<table>
<tr>
<th width="50%">🔍 Modo de Detección (Predeterminado)</th>
<th width="50%">🛡️ Modo de Lista Permitida (Confianza Cero Estricta)</th>
</tr>

<tr>
<td valign="top">

### Filosofía
> **"Confía, pero verifica"** - Analiza todo de forma inteligente

### Configuración```json
{
  "detection": {
    "mode": "detection",
    "enable_local_rules": true,
    "enable_llm": true,
    "whitelist_ips": [],      // Optional
    "whitelist_paths": []     // Optional
  }
}

### Mejor para
- ✅ Aplicaciones web públicas
- ✅ APIs REST con clientes desconocidos
- ✅ Plataformas de comercio electrónico
- ✅ Productos SaaS
- ✅ Entrega de contenido
- ✅ Sitios web de marketing

### Ventajas
- 🎯 Detección inteligente de amenazas
- 📊 Aprende de todo el tráfico
- 🔄 Se adapta a nuevos ataques
- 🌐 Funciona con usuarios dinámicos
- 📈 Construye base de datos de inteligencia

### Desventajas
- ⚠️ Requiere ajustes para falsos positivos
- 🤖 Depende de la precisión de la IA
- ⏱️ Período de aprendizaje inicial

</td>

<td valign="top">

### Filosofía
> **"Denegar por defecto"** - Solo pasa la confianza explícita

### Configuración```json
{
  "detection": {
    "mode": "allowlist",
    "whitelist_ips": [
      "192.168.1.100",
      "10.0.0.0/24"
    ],
    "whitelist_paths": [
      "/health",
      "/metrics"
    ]
  }
}

### Mejor para
- ✅ Paneles de administración
- ✅ Paneles internos
- ✅ Servicios solo VPN
- ✅ APIs de backend (privadas)
- ✅ Herramientas de gestión de bases de datos
- ✅ Webhooks de CI/CD

### Ventajas
- 🔒 Seguridad máxima
- ⚡ Latencia cero (sin IA)
- 🎯 Cero falsos positivos
- 💰 Cero costos de API
- 🛡️ Perfecto para objetivos de alto valor

### Desventajas
- ❌ Requiere IPs/rutas conocidas
- 📋 Gestión manual de listas blancas
- 🚫 Bloquea legítimos desconocidos
- 🔧 Menos flexible

</td>
</tr>

<tr>
<td colspan="2" align="center">

### 💡 **Consejo profesional:** Enfoque híbrido

Comience con el **Modo de incorporación** (7 días) para descubrir automáticamente patrones legítimos, luego cambie a su modo preferido:

</td>
</tr>
<tr>
<td colspan="2" align="left">

<pre><code>{
  "execution_mode": {
    "mode": "onboarding",              // Auto-aprender durante 7 días
    "onboarding_duration_days": 7,
    "onboarding_auto_whitelist": true  // Añadir automáticamente a la lista blanca
  }
}</code></pre>

</td>
</tr>
<tr>
<td colspan="2" align="center">

Después de la incorporación → Cambie al **Modo de detección** o **Modo de lista blanca** según sus necesidades

</td>
</tr>

</table>

**🎬 Modos de ejecución:**

| Modo | Propósito | Bloqueo | Aprendizaje | Duración |
|------|-----------|---------|-------------|----------|
| **🎓 Onboarding** | Aprender tráfico legítimo | ❌ No | ✅ Sí | 7 días (predeterminado) |
| **🛡️ Detection** | Protección completa | ✅ Sí | ✅ Sí | Producción |

Consulte [DETECTION_MODES.md](https://github.com/0tsystemspublicrepos/ifritproxy/blob/HEAD/docs/DETECTION_MODES.md) para una comparación detallada y casos de uso.



---


## 📊 Panel y Gestión

<div align="center">

### 🎯 Panel de inteligencia en tiempo real

Acceda en **`http://localhost:8443/`** con autenticación mediante token de API

</div>

**Resumen del panel:**

El panel de IFRIT proporciona visibilidad en tiempo real de su postura de seguridad con:

- **📊 Distribución del nivel de amenaza** - Desglose visual de amenazas CRÍTICAS/ALTAS/MEDIAS/BAJAS
- **🎯 Atacantes más riesgosos** - Clasificación en tiempo real con puntuaciones de riesgo, países y banderas (Tor, VPN, Hosting)
- **⚡ Rendimiento de la canalización de detección** - Métricas etapa por etapa que muestran la eficiencia de la caché
- **📈 Tendencias de ataques** - Desglose de tipos de ataque de 24 horas con barras visuales
- **🌍 Información geográfica** - Ubicaciones de origen de ataques con banderas


### ⌨️ Gestión CLI

Control completo de línea de comandos de su inteligencia de seguridad:

<table>
<tr>
<td width="50%" valign="top">

#### 🚨 Inteligencia de Ataques```bash
# View recent attacks
./ifrit-cli attack list

# Detailed analysis
./ifrit-cli attack view 42

# Statistics
./ifrit-cli attack stats

# Filter by source
./ifrit-cli attack by-ip 45.67.89.1

# Filter by target
./ifrit-cli attack by-path /api/users

# Export to JSON
./ifrit-cli attack export \
  --format json \
  --output attacks.json

</td>
<td width="50%" valign="top">

#### 👤 Perfiles de Atacante```bash
# List all attackers
./ifrit-cli attacker list

# Profile details
./ifrit-cli attacker view 5

# Search by IP
./ifrit-cli attacker search 45.67.89.1

# Top attackers
./ifrit-cli attacker top 10

</td>
</tr>
<tr>
<td width="50%" valign="top">

#### 🔍 Inteligencia de amenazas```bash
# Recent threat intel
./ifrit-cli threat list

# IP details
./ifrit-cli threat view 45.67.89.1

# Top risky IPs
./ifrit-cli threat top 10

# Statistics
./ifrit-cli threat stats

# Force re-enrich IP
./ifrit-cli threat enrich 45.67.89.1

**🔄 Independiente de la base de datos:** ¡Los mismos comandos funcionan tanto para SQLite como para PostgreSQL!

</td>
</tr>
</table>



### 🔌 API REST

<div align="center">

**API JSON para integración perfecta con tu stack de seguridad**

</div>

Integra IFRIT con SIEM, herramientas de monitorización o paneles personalizados utilizando nuestra completa API REST.

#### 🔐 Autenticación

Todos los endpoints de la API requieren autenticación mediante token API:```bash
# Include in every request
curl -H "X-API-Token: YOUR_TOKEN_HERE" \
  http://localhost:8443/api/...