Pon en marcha el gateway en 5 minutos

El gateway de acciones somete los reembolsos de Stripe de tus agentes a su política de Burnbound. Corre en tu cuenta, con tu clave de Stripe: Burnbound no la ve nunca. Esta guía lo pone en Render, Railway, Fly.io o Docker Compose en pocos minutos, desde el asistente Conectar tu gateway del panel. Cómo se decide un reembolso está en Gateway de acciones (reembolsos de Stripe).

1. Crea el gateway en Burnbound

En el panel, en Organización → Gateway de acciones, pulsa Crear el gateway. Copia ahora su identificador y su secreto (bbgw_…): el secreto solo se muestra una vez. Si lo pierdes, rótalo y usa el nuevo.

2. Crea una clave restringida de Stripe

En Stripe, Developers → API keys → Create restricted key, primero en modo de prueba (rk_test_…), solo con:

Una clave live (rk_live_…) necesita además GATEWAY_ALLOW_LIVE=1, cuando el gateway ya funcione en modo de prueba.

3. Elige la plataforma

Debajo de los datos del gateway, el asistente Conectar tu gateway muestra las variables de cada plataforma con el identificador de tu gateway ya puesto. Cada plantilla fija la imagen ghcr.io/martinvarelaa/burnbound-action-gateway en una versión, nunca latest, y comprueba la salud en /healthz. Los dos secretos, BURNBOUND_GATEWAY_SECRET y STRIPE_SECRET_KEY, van a los secretos de la plataforma, nunca a un fichero.

• Render. Deploy to Render crea el servicio desde el Blueprint y pide una sola vez el identificador y los dos secretos. Usa una instancia de pago: una gratuita se duerme y el primer reembolso después caducaría.
• Railway. New → Docker Image con la imagen fijada, las variables (los secretos como variables selladas) y un dominio en Networking. Railway pone PORT y el gateway escucha en él.
• Fly.io. Desde una carpeta con la plantilla fly.toml: fly launch --copy-config --no-deploy, el identificador en fly.toml, fly secrets set STRIPE_SECRET_KEY=… BURNBOUND_GATEWAY_SECRET=… y fly deploy.
• Docker Compose, junto a tus agentes. El asistente muestra docker-compose.yml. Escribe los dos secretos en secrets/stripe_secret_key y secrets/burnbound_gateway_secret, pon BURNBOUND_GATEWAY_ID=<id> en el fichero de entorno de Compose junto a él (el asistente muestra el comando) y ejecuta docker compose up -d. El puerto solo se publica en el loopback de la máquina.

En una plataforma, el gateway queda accesible desde internet. Ya rechaza cualquier petición sin una clave de agente de tu organización, y las plantillas no abren nada más.

4. Ejecuta check

Antes del primer reembolso, ejecuta la prueba del propio gateway:

node gateway.mjs check

Desde la Shell de Render, railway ssh, fly ssh console -C "node gateway.mjs check" o docker compose run --rm gateway node gateway.mjs check. Comprueba, por orden, que la configuración carga, que Burnbound responde y acepta la firma del gateway, y que la clave de Stripe puede leer cargos en el modo que dice GATEWAY_ALLOW_LIVE. Termina con check passed, o con una línea por problema y código de salida 1. Nunca imprime la clave de Stripe ni el secreto del gateway, solo sus 4 últimos caracteres.

Cuando check pasa, el panel muestra el gateway conectado y cuánto hace de su última llamada a Burnbound. Más de 24 horas sin contacto muestra un aviso: comprueba que el gateway está en marcha y que su secreto es el actual.

5. Apunta tus agentes a él

Pon BURNBOUND_GATEWAY_URL en el entorno del servidor MCP con la URL https:// del gateway (con Compose en la misma máquina, http:// con la dirección de loopback y el puerto 8787) y permite Stripe · refund en el agente. Los detalles están en los pasos 4 y 5 de la guía de reembolsos.

Burnbound se configura en el inicio rápido. La misma política cubre los pagos x402 del agente a las APIs del catálogo.