তুলনা

Proof of Actor বনাম API bot protection: keys বলে কে pay করে, actor context বলে কে কাজ করছে

API gateway, WAF bot rules, API keys এবং rate limits আপনার API-কে available এবং accountable রাখে। এগুলো এই বলে দেয় না যে কোনো request একটি app-এ থাকা একজন ব্যক্তি, AI-সহ কাজ করা একজন ব্যক্তি, নাকি একটি autonomous agent থেকে এসেছে। এখানে দেখানো হয়েছে কীভাবে API-এর জন্য bot management, Proof of Actor-এর সঙ্গে তুলনায় দাঁড়ায়, এবং দুটো একসাথে কীভাবে কাজ করে।

প্রাথমিক access পান কীভাবে কাজ করে তা অন্বেষণ করুন

দ্বারা Toshendra SharmaFounder & CEO, AgentCredia · Updated November 13, 2026

API আগে একটি সহজ traffic model-এ চলত। একজন developer register করত, একটি key পেত, একটি integration লিখত, আর সেই integration নির্দিষ্ট সময়সূচি অনুযায়ী বা ব্যবহারকারী কিছু ক্লিক করলে আপনার endpoint-গুলোকে call করত। API-এর জন্য bot management সেই model-এর চারপাশে গড়ে উঠেছে: key authenticate করা, volume সীমিত করা, স্পষ্ট abusive traffic filter করা, এবং বাকি সবার জন্য service available রাখা।

সেই model এখনও প্রযোজ্য, এবং এর জন্য তৈরি tool-ও এখনও গুরুত্বপূর্ণ। যেটা বদলেছে, তা হলো call-গুলোর পিছনে কে আছে। একই API key এখন আপনার customer-এর app ব্যবহার করা একজন ব্যক্তি, কাজ করানোর জন্য AI assistant-কে বলা একজন ব্যক্তি, এবং রাতে বহু ধাপের কাজ চালানো একটি autonomous agent-এর request বহন করতে পারে। আপনার existing control-গুলো একটি key এবং একটি request rate দেখে। কিন্তু আপনার product, support এবং policy সিদ্ধান্তে প্রায়ই আরও কিছু জানা দরকার হয়।

Proof of Actor সেই gap পূরণ করে। এটি আপনার API-কে বলে প্রতিটি request-এ কে বা কী কাজ করছে এবং evidence জানায়, তারপর সিদ্ধান্তটি আপনার code-এর হাতে ছেড়ে দেয়। এই page-এ এটিকে API bot protection-এর প্রধান layer-গুলোর সঙ্গে তুলনা করা হয়েছে, যাতে আপনি বুঝতে পারেন প্রতিটি কোথায় প্রযোজ্য।

সংক্ষিপ্ত সংস্করণ

	API bot protection	Proof of Actor
প্রধান প্রশ্ন	এই request কি অনুমোদিত, authenticated এবং limit-এর মধ্যে আছে?	কে বা কী কাজ করছে, এবং evidence কী?
সাধারণ layer	API gateway, WAF bot rules, API keys, rate limits	আপনার API বা MCP server-এর ভিতরে actor classification
চিহ্নিত করে	key-এর owner account বা integration	প্রতিটি request-এর পিছনের actor: Human, Human + AI, Agent বা Unknown
Output	Allow, reject, throttle; কখনও bot score	একটি class এবং basis: verified, declared, inferred বা unknown
অস্পষ্ট traffic	key valid হলে সাধারণত allow হয়, অথবা rule অনুযায়ী reject হয়	Unknown, আপনার বেছে নেওয়া route-ভিত্তিক fallback-সহ
response কে সিদ্ধান্ত নেয়	Gateway এবং WAF configuration	আপনার application code
install করার পর default	Enforcement	Observation; আপনি policy যোগ না করা পর্যন্ত কিছুই বদলায় না
সবচেয়ে ভালো কাজে লাগে	Availability, abuse filtering, quota, accountability	প্রতিটি actor-কে সঠিকভাবে serve করা এবং API usage বোঝা

নিচের section-গুলো প্রতিটি অংশ ব্যাখ্যা করে।

API bot protection কী ভালো করে

প্রতিটি layer কী কাজ করে তা নির্দিষ্ট করে বলা মূল্যবান, কারণ Proof of Actor এগুলোর পাশে বসার জন্য তৈরি, কোনোটি replace করার জন্য নয়।

API gateway

Gateway হলো আপনার API-এর front door। এটি connection terminate করে, API key বা token authenticate করে, request-গুলোকে সঠিক service-এ route করে, quota enforce করে এবং প্রায়ই billing ও analytics-এর জন্য usage record করে। এটি দ্রুত এবং ধারাবাহিকভাবে প্রতিটি endpoint জুড়ে এই প্রশ্নের উত্তর দেয়: "এই caller-কে ঢুকতে দেওয়া হবে কি, এবং কোন দরজা দিয়ে?"

WAF bot rules

Bot rules-সহ একটি web application firewall পরিচিত attack pattern এবং abusive automation-এর জন্য traffic inspect করে। এটি injection attempt filter করতে পারে, abuse-এর ইতিহাস থাকা source থেকে traffic block করতে পারে, এবং scraping বা credential attack-এর মতো দেখায় এমন request-কে challenge বা drop করতে পারে। যে traffic কখনও আপনার code-এ পৌঁছানো উচিত নয়, তার বিরুদ্ধে এটি আপনার সেরা defence।

API keys এবং tokens

Key এবং token আপনাকে accountability দেয়। প্রতিটি request একটি account-এর সঙ্গে map হয়, তাই আপনি জানেন কার integration call করেছে, access revoke করতে পারেন, এবং usage attribute করতে পারেন। Scoped token আরও এগিয়ে গিয়ে caller কী করতে পারে তা সীমিত করে।

Rate limits

Rate limit availability রক্ষা করে। এগুলো একটি integration-কে অন্য সবার জন্য বরাদ্দ capacity খেয়ে ফেলতে বাধা দেয়, এবং brute-force ও enumeration attempt ধীর করে। প্রতি-key এবং প্রতি-route limit একটি standard, কার্যকর control।

একসাথে এই layer-গুলো protection এবং accountability-এর প্রশ্নগুলোর খুব ভালো উত্তর দেয়। সেগুলো রাখুন।

যে প্রশ্নের উত্তর দেওয়ার জন্য এগুলো তৈরি হয়নি

এই layer-গুলোর কোনোটাই authenticated request-এর পিছনে কী ধরনের actor আছে তা বলার জন্য তৈরি নয়। একটি valid key বলে কোন account integration-এর মালিক। এটি বলে না:

এই নির্দিষ্ট call-টি কি আপনার customer-এর app-এ button চাপা একজন ব্যক্তির কাছ থেকে এসেছে,
কোনো ব্যক্তি কি কাজটি করার জন্য AI assistant-কে বলেছে,
কোনো autonomous agent কি দীর্ঘ কাজের একটি step হিসেবে call-টি করেছে,
নাকি কেউই নিশ্চিতভাবে বলতে পারে না।

এই পার্থক্যটি প্রতি মাসে আরও গুরুত্বপূর্ণ হচ্ছে। একটি CRM integration, scheduling tool বা developer platform যে API serve করে, তা increasingly একই key-এর মাধ্যমে agent traffic পায়, যা human-driven app-ও serve করে। আপনি যদি agents-কে structured response দিতে চান, agents-driven high-impact write-এর জন্য confirmation চাইতে চান, AI-assisted submission label করতে চান, বা কেবল আপনার API usage-এর কতটা agent-driven তা মাপতে চান, তাহলে actor context দরকার।

Proof of Actor একটি API-তে কী যোগ করে

Proof of Actor প্রতিটি interaction-এর জন্য চারটি class-এর একটি ফেরত দেয়:

Human: observable signals দেখায় human-directed interaction।
Human + AI: একজন ব্যক্তি AI assistance নিয়ে interaction চালিয়েছে, যা একটি supported integration-এর মাধ্যমে declared বা observed হয়েছে।
Agent: automated বা agent-origin interaction।
Unknown: evidence নির্ভরযোগ্য সিদ্ধান্ত সমর্থন করে না।

প্রতিটি result তার evidence basis-ও জানায়:

Verified: উদাহরণস্বরূপ, published key-এর against একটি HTTP Message Signature (RFC 9421) checked হয়েছে।
Declared: client বা আপনার own application এটি জানিয়েছে।
Inferred: behavioral বা contextual signal, যেটি স্পষ্টভাবে inference হিসেবে labeled।
Unknown: নির্ভরযোগ্য basis নেই।

API-এর ক্ষেত্রে verified basis বিশেষভাবে useful। যে agent-রা তাদের request sign করে, তাদের published key-এর against check করা যায়, যা IETF-এর Web Bot Auth work-এর পিছনের approach। background-এর জন্য product teams-এর জন্য Web Bot Auth explainer দেখুন, এবং implementation side-এর জন্য signed agent request verify করা guide দেখুন।

এখানে একটি limit গুরুত্বপূর্ণ। একটি valid signature প্রমাণ করে কোন key request-টি sign করেছে। এটি প্রমাণ করে না যে agent-টির action করার authorization আছে। Authorization সেখানে থাকে যেখানে তার স্থান, অর্থাৎ আপনার API-এর own access control-এ। agent authorization entry এই পার্থক্য ব্যাখ্যা করে।

Score এবং key বনাম actor evidence

কিছু bot protection product প্রতিটি request-এ একটি score attach করে। Block সিদ্ধান্তের জন্য score কার্যকর। কিন্তু API product সিদ্ধান্তের জন্য এটি কম useful, কারণ এটি বলে না কোনো legitimate request human-driven ছিল কি না বা agent-driven ছিল কি না, এবং verified fact-কে inference থেকে আলাদা করে না।

API key-এর বিপরীত limit আছে। এটি ownership-এর ক্ষেত্রে precise, কিন্তু actor সম্পর্কে নীরব। একজন customer-এর key এক ঘণ্টার মধ্যে চারটি class-ই বহন করতে পারে।

Proof of Actor দুই ধরনের distinction-ই দৃশ্যমান রাখে। আপনার API key থেকে account, Proof of Actor থেকে actor class, এবং তাকে সমর্থন করা basis দেখে। প্রতিটি layer যে প্রশ্নে দক্ষ, সেটির উত্তর দেয়।

কোনটি কোথায় চলে

Gateway এবং WAF আপনার network-এর edge-এ বা আপনার service-গুলোর সামনে চলে। Protection এবং quota-এর জন্য এই অবস্থান সঠিক।

Proof of Actor সেখানে চলে যেখানে আপনার API logic থাকে। Founding team-রা Node.js middleware, Next.js, আপনার নিয়ন্ত্রণাধীন edge layer, generic HTTP API, অথবা MCP server integration-এর মাধ্যমে integrate করতে পারে। সম্পূর্ণ তালিকার জন্য integrations দেখুন। যেহেতু এটি আপনার application-এর ভিতরে চলে, তাই এটি আপনার API যা জানে তা ব্যবহার করতে পারে: route, workflow, client নিজেকে কী বলেছে, এবং signature verify হয়েছে কি না।

Routing decision আপনার code-এই থাকে

Proof of Actor default ভাবে কিছু block করে না। এটি observation mode-এ শুরু হয়, তাই এটি install করলে আপনার API কীভাবে response দেয় তাতে কোনো পরিবর্তন হয় না। আপনি endpoint অনুযায়ী actor mix দেখেন, individual result-এর evidence review করেন, এবং আপনার Unknown rate পর্যবেক্ষণ করেন।

আপনি প্রস্তুত হলে, route, actor class এবং basis অনুযায়ী application-defined policy লেখেন। সাধারণ outcome হলো:

Allow: request-টি স্বাভাবিকভাবে serve করুন।
Adapt: verified agent-এর জন্য structured বা reduced response দিন।
Challenge: অতিরিক্ত confirmation step চাইুন, উদাহরণস্বরূপ high-impact write-এর জন্য human approval।
Review: action-টি একজন মানুষ যাচাই করার জন্য queue-তে রাখুন।
Rate-limit: একটি নির্দিষ্ট route-এ একটি নির্দিষ্ট class এবং basis-এর জন্য আরও কঠোর limit প্রয়োগ করুন।

আপনি policy-টি enforce করার আগে real traffic-এর বিরুদ্ধে preview করতে পারেন, তারপর route-by-route enforce করতে পারেন। actor-aware policy নিরাপদে roll out করা guide-এ এই process covered আছে, আর agents-কে block না করে sensitive action protect করা common pattern দেখায়।

Unknown API caller সামলানো

প্রতিটি API-ই এমন traffic পায় যেটি confidence-সহ classify করা যায় না। Traditional control-এ valid key মানে সাধারণত request pass করবে, আর invalid key মানে করবে না। মাঝামাঝি কিছু নেই।

Proof of Actor আপনাকে একটি স্পষ্ট Unknown result দেয় এবং route অনুযায়ী fallback বেছে নেওয়ার সুযোগ দেয়। Read-only catalog endpoint খোলা রাখা যেতে পারে। Account change-এর ক্ষেত্রে আপনার existing stricter check বজায় রাখা যেতে পারে। Bulk export review-তে যেতে পারে। বিস্তারিত জানতে Unknown traffic সামলানো এবং unknown automated traffic দেখুন।

তারা কীভাবে একসাথে কাজ করে

সবচেয়ে শক্তিশালী API setup প্রতিটি layer-কে তার নিজের কাজের জন্য ব্যবহার করে:

Edge-এ, WAF abusive এবং malformed traffic filter করে।
Gateway-এ, key authenticate হয়, quota enforce হয় এবং usage record হয়।
API-এর ভিতরে, Proof of Actor যে request-গুলো পার হয়ে আসে সেগুলো classify করে এবং তার basis জানায়।
আপনার handler-এ, policy class এবং basis ব্যবহার করে response বেছে নেয়: human-driven call-এর জন্য normal handling, verified agent-এর জন্য structured response, agent-driven high-impact write-এর জন্য confirmation step, Unknown-এর জন্য fallback।
Analytics-এ, আপনার team দেখে কোন endpoint এবং workflow কোন actor class ব্যবহার করছে, gateway থেকে আসা account data-র সঙ্গে।

এই stack-এ কিছুই duplicate নয়। Gateway account জানে, WAF threat pattern জানে, আর Proof of Actor actor-কে জানে।

কখন কোনটিতে মনোযোগ দেবেন

যখন আপনার প্রধান সমস্যা abuse, availability বা unmetered usage: auth endpoint-এর বিরুদ্ধে credential attack, aggressive scraping, বা একটি integration-এর অন্যদের capacity খেয়ে ফেলা - তখন আগে API bot protection-এ মনোযোগ দিন।

যখন আপনার প্রধান প্রশ্ন caller-দের নিয়ে: আপনার API traffic-এর কতটা agent-driven, কোন agent কোন endpoint call করে, human-driven এবং agent-driven usage কোথায় আলাদা, এবং কোন route-এ actor-aware policy দরকার - তখন Proof of Actor-এ মনোযোগ দিন। APIs use case এবং API-এর জন্য AI agent identification আরও গভীরে যায়।

Production API চালানো বেশিরভাগ team-কে দুটো প্রশ্নেরই উত্তর দরকার।

শুরু করুন

Proof of Actor private beta-তে আছে। নির্বাচিত founding developer team-রা agreed usage limit-এর মধ্যে up to 12 months পর্যন্ত free access পেতে পারে, কোনো automatic billing ছাড়া। early access-এর জন্য apply করুন এবং যে API ও caller-গুলো সম্পর্কে আপনি বুঝতে চান, সেগুলো আমাদের জানান।

ডেভেলপারদের জন্য

What your code receives

Every interaction resolves to one result record. Your application reads the class and the basis and applies its own policy.

Result record

{
  "route": "GET /api/v1/catalog",
  "class": "agent",
  "basis": "verified",
  "evidence": [
    { "signal": "http_message_signature", "result": "valid", "keyid": "assistant.example" },
    { "signal": "client_declaration", "value": "assistant.example" }
  ],
  "observed_at": "2026-11-13T10:42:07Z"
}

class: Human, Human + AI, Agent বা Unknown।
basis: evidence কতটা শক্তিশালী: verified, declared, inferred বা unknown।
evidence: result-এর পেছনের signals, যাতে আপনার team কারণটি দেখতে পারে।

observation mode-এ শুরু করুন: results আপনার logs-এর পাশে record করুন এবং আপনি কোনো policy বেছে না নেওয়া পর্যন্ত কিছুই পরিবর্তন করবেন না। Node.js integration guide পড়ুন

প্রায়শই জিজ্ঞাসিত প্রশ্ন

Proof of Actor কি আমার API gateway বা WAF-কে replace করে?

না। আপনার gateway এখনও key authenticate করে এবং quota enforce করে, আর আপনার WAF এখনও abusive traffic filter করে। Proof of Actor আপনার API-এর ভিতরে চলে এবং যেসব request পার হয়ে আসে, সেগুলিতে actor context যোগ করে। আপনার existing control-গুলো চালু রাখুন।

প্রতিটি caller-এর API key থাকলে actor context-এর দরকার কেন?

একটি API key সেই account চিহ্নিত করে, যা integration-এর owner। এটি বলে না যে নির্দিষ্ট request-টি এসেছে কি না আপনার customer-এর app-এ ক্লিক করা একজন ব্যক্তির কাছ থেকে, AI assistant ব্যবহার করা একজন ব্যক্তির কাছ থেকে, নাকি কোনো autonomous agent থেকে যে একটি task চালাচ্ছে। Proof of Actor সেটি তার basis-সহ রিপোর্ট করে।

Proof of Actor কি কোন agent আমার API-তে call করছে তা verify করতে পারে?

যখন কোনো client তার request-গুলোকে HTTP Message Signatures (RFC 9421) দিয়ে sign করে এবং তার key প্রকাশ করে, তখন Proof of Actor signature check করে এবং একটি verified basis রিপোর্ট করে। একটি valid signature প্রমাণ করে কোন key request-টি sign করেছে। এটি প্রমাণ করে না যে agent-টির action নেওয়ার authorization আছে, তাই authorization আপনার code-এই থাকে।

Proof of Actor কি আমার API traffic-এ rate-limiting বা blocking শুরু করবে?

না। এটি observation mode-এ শুরু করে এবং default ভাবে কিছুই block করে না। Rate-limit হলো একটি outcome, যা আপনি policy-তে route, actor class এবং basis অনুযায়ী বেছে নিতে পারেন, এবং enforcement আপনার own code-এ থাকে।

আমি কীভাবে একটি API-তে Proof of Actor যোগ করব?

Founding team-রা Node.js middleware, Next.js, একটি edge integration, অথবা generic HTTP API ব্যবহার করতে পারে। MCP server-গুলোর জন্য আলাদা integration আছে। বিস্তারিত জানতে integrations page দেখুন।

যে caller-দের classify করা যায় না তাদের ক্ষেত্রে কী হয়?

তাদের Unknown হিসেবে report করা হয়, যা একটি first-class result। আপনি route অনুযায়ী fallback বেছে নেন, উদাহরণস্বরূপ read-only endpoint-এ allow করুন এবং write endpoint-এ আপনার stricter check-গুলো বজায় রাখুন।

কে আপনার app ব্যবহার করছে, তা জানুন।

Founding developer-এর একটি ছোট group-এর জন্য private beta।

প্রাথমিক access পান মূল্য দেখুন

আগে কথা বলতে চান? Founders-এর সঙ্গে কথা বলুন