Cloudflare web के बड़े हिस्से के सामने बैठता है। कई teams के लिए यह CDN, DNS provider, firewall और abusive automation के खिलाफ पहली रक्षा-रेखा है, सब एक ही जगह। इसके bot products इसी position के लिए बनाए गए हैं: वे traffic को जल्दी देखते हैं, तय करते हैं कि उसे challenge या stop करना चाहिए या नहीं, और site owners को यह control देते हैं कि crawlers, जिनमें AI crawlers भी शामिल हैं, उनकी content तक कैसे पहुँचें।
आपके application को एक अलग सवाल का जवाब देना होता है। जब request edge पार कर लेती है, तो आपके code को यह जानना होता है कि acting कौन कर रहा है या क्या कर रहा है, ताकि वह सही experience चुन सके। क्या यह एक person है, एक person जो AI assistant के साथ काम कर रहा है, customer के लिए acting कर रहा एक agent है, या कुछ ऐसा है जिसे evidence समझा नहीं सकता? और आपके code को कितनी confidence होनी चाहिए?
यही Proof of Actor का काम है। यह एक focused, application-level layer है जो स्पष्ट evidence basis के साथ actor class लौटाता है, और यह निर्णय लेने वाले code तक पहुँचता है। यह page दोनों की निष्पक्ष तुलना करता है, Cloudflare की अपनी documentation as of November 2026 के आधार पर, ताकि आप देख सकें कि कौन कहाँ fit बैठता है।
संक्षेप में
| Cloudflare bot products | Proof of Actor | |
|---|---|---|
| किसके लिए बनाया गया | edge पर infrastructure और content की सुरक्षा | product और policy decisions के लिए आपके application को actor context देना |
| कहाँ चलता है | आपके origin के सामने Cloudflare का edge network | आपका server, edge layer, approved browser pages, HTTP API या MCP server |
| मुख्य output | challenges और rule actions; Enterprise Bot Management के लिए 1 से 99 तक का bot score और bot fields | Human, Human + AI, Agent या Unknown, plus basis: verified, declared, inferred या unknown |
| output कहाँ जाता है | Cloudflare rules, analytics और Workers | आपका application code और route तथा workflow के अनुसार actor analytics |
| AI-assisted लोग | bot score में अलग category नहीं | declared या supported integration के माध्यम से observed होने पर अपनी अलग class, Human + AI |
| अस्पष्ट traffic | scored और edge rules द्वारा handled | Unknown, first-class result के रूप में, और per-route आपका fallback |
| signed agents | Web Bot Auth verification और signed agent signals | RFC 9421 signature checks, आपके code में verified basis के रूप में reported |
| MCP servers और API callers | edge पर HTTP traffic के रूप में protected | tool call या API request को handle करने वाले server के भीतर caller context |
| CDN dependency | Cloudflare के network से गुजरने वाले traffic पर लागू | आप चाहे कोई CDN use करें या नहीं, उससे स्वतंत्र |
| install पर default | product और आपके enabled settings पर निर्भर | observation mode; policy जोड़ने तक कुछ नहीं बदलता |
इस page का बाकी हिस्सा हर row को समझाता है।
क्या AI agent traffic के लिए Cloudflare Bot Management का विकल्प ढूँढ रहे हैं?
विकल्प खोजने वाली अधिकांश teams edge से नाराज़ नहीं होतीं। उनके पास एक नया सवाल होता है जिसका जवाब edge देने के लिए नहीं बनाया गया था: एक AI agent, एक AI-assisted person और एक सामान्य visitor एक ही signup form, API route या MCP tool तक पहुँच रहे हैं, और product को उनके साथ अलग-अलग तरीके से व्यवहार करना है। इसे सरल रूप में बाँटते हैं।
जहाँ Proof of Actor निर्णय replace करता है। यदि आप अभी bot scores या bot fields का उपयोग product behaviour चलाने के लिए करते हैं, जैसे AI-drafted submissions को label करना, agents को structured endpoint पर route करना, या किसी specific workflow पर अस्पष्ट callers के लिए fallback चुनना, तो उस काम के लिए Proof of Actor बेहतर fit है। यह आपके application code को सीधे actor class, Human, Human + AI, Agent या Unknown, एक evidence basis के साथ देता है। routing और policy decision उस code में चले जाते हैं जो पहले से जानता है कि हर route क्या करता है, और यह उसी तरह काम करता है चाहे आप कोई भी CDN use करें।
जहाँ Proof of Actor Cloudflare के साथ add करता है। Proof of Actor कोई network security product नहीं है। Cloudflare की documentation as of November 2026 के अनुसार, उसका DDoS protection attacks को automatically detect और mitigate करता है और सभी plans पर उपलब्ध है, और उसका Web Application Firewall आने वाले web और API requests को managed और custom rules के खिलाफ check करता है। उस layer को बनाए रखें। Volumetric attacks, exploit attempts और abusive automation को आपके origin तक पहुँचने से पहले ही रोकना चाहिए, और Proof of Actor ऐसा करने की कोशिश नहीं करता।
तो सीधे प्रश्न "क्या यह एक विकल्प है?" का उत्तर है: आपके app में actor classification और per-route routing के लिए हाँ, और edge DDoS तथा WAF protection के लिए नहीं। अधिकांश production teams अंततः दोनों layers के साथ काम करती हैं, हर एक वही काम करती है जिसके लिए वह बनी थी।
Cloudflare के bot products किसके लिए बने हैं
Cloudflare की documentation as of November 2026 के अनुसार, वह तीन bot-specific products देता है:
- Bot Fight Mode, Free plan पर उपलब्ध, जो एक single toggle से पूरे domain पर detected bot traffic को challenge करता है।
- Super Bot Fight Mode, Pro, Business और Enterprise plans के लिए बिना Bot Management add-on के, जो bot category के अनुसार configurable actions जोड़ता है।
- Bot Management for Enterprise, जो प्रति-request bot scores, custom rules, per-endpoint handling और detailed analytics जोड़ता है।
bot score Cloudflare के शब्दों में 1 से 99 तक का score है, जो बताता है कि request bot से आई होने की कितनी संभावना है, जहाँ 1 का मतलब है कि request के automated होने का confidence बहुत अधिक है और 99 का मतलब है कि request के human से आने का confidence बहुत अधिक है। Cloudflare की documentation कहती है कि granular scores उन Enterprise customers के लिए उपलब्ध हैं जिन्होंने Bot Management खरीदा है, जबकि अन्य plans में automated, likely automated, likely human और verified bot जैसे grouped results दिखते हैं। Scores को WAF custom rules में requests को block, challenge या allow करने के लिए इस्तेमाल किया जा सकता है, और वे Workers में भी उपलब्ध हैं।
Cloudflare verified bots भी रखता है, जिन्हें उसकी documentation ऐसे bots या agents के रूप में वर्णित करती है जो इस बारे में पारदर्शी होते हैं कि वे कौन हैं और क्या करते हैं, जैसे search engine crawlers, monitoring services और user-driven agents। Verification Web Bot Auth signature या IP validation जैसी विधियों, साथ ही non-abusive behaviour पर निर्भर करता है।
AI traffic के लिए विशेष रूप से, AI Crawl Control site owners को यह visibility देता है कि कौन सी AI services उनकी content तक पहुँचती हैं, उन्हें individual crawlers को allow या block करने देता है, और यह track करता है कि crawlers robots.txt का कितना पालन करते हैं। Cloudflare की documentation इसे सभी plans पर उपलब्ध बताती है।
ये उसी काम के लिए मजबूत tools हैं जिसके लिए इन्हें बनाया गया है: edge पर यह तय करना कि कौन सा automated traffic आपके origin और आपकी content तक पहुँचे।
प्रत्येक कहाँ चलता है, और output कहाँ पहुँचता है
सबसे व्यावहारिक अंतर location का है।
Cloudflare के bot products Cloudflare के network पर, आपके origin के सामने चलते हैं। उनका output वहीं जाता है जहाँ Cloudflare के controls रहते हैं: WAF custom rules, bot analytics, और Cloudflare के bot management variables reference के अनुसार, Cloudflare Workers में request.cf object। यह तय करने के लिए सही जगह है कि किसी request को रोकना है या challenge करना है।
Proof of Actor वहाँ चलता है जहाँ आपका application logic रहता है: Node.js middleware, Next.js, आपके द्वारा नियंत्रित edge layer, आपके द्वारा अनुमोदित pages पर browser collector, एक generic HTTP API, या आपका MCP server। इसका output आपके application code में structured result के रूप में जाता है, और route तथा workflow के अनुसार विभाजित actor analytics में भी। विवरण के लिए integration paths देखें।
यह location product decisions के लिए महत्वपूर्ण है। आपका code जानता है कि कोई route किस workflow का हिस्सा है, क्या आपकी own assistant ने action perform किया, क्या client ने अपने आप को declare किया, और उस route का business impact क्या है। ऐसा per-route decision जैसे "verified agent को structured endpoint दें, लोगों को normal flow पर रखें, AI-assisted submissions को label करें" उसी knowledge के पास होना चाहिए। Proof of Actor actor context को ठीक वहीं रखता है, और क्योंकि यह आपके stack में चलता है, किसी एक provider के network में नहीं, यह Cloudflare, किसी दूसरे CDN, या बिल्कुल CDN न होने पर भी एक जैसा काम करता है।
score बनाम basis के साथ class
Score एक protection rule के लिए efficient input है: threshold चुनें और उसके ऊपर या नीचे action लें। यह इस सवाल का जवाब देने के लिए बनाया गया है कि request के automated होने की कितनी संभावना है।
Product decisions को अधिक समृद्ध जवाब चाहिए। Proof of Actor चार classes में से एक लौटाता है:
- Human: observable signals मानव-निर्देशित interaction का संकेत देते हैं।
- Human + AI: एक person ने AI सहायता के साथ interaction को निर्देशित किया, जो declared थी या supported integration के माध्यम से observed हुई।
- Agent: automated या agent-origin interaction।
- Unknown: evidence विश्वसनीय निर्धारण का समर्थन नहीं करता।
हर result के साथ उसका evidence basis भी आता है: verified, उदाहरण के लिए RFC 9421 HTTP Message Signature जिसे published key के खिलाफ check किया गया हो; declared, जब client या आपका application ने ऐसा बताया हो; inferred, जिसे स्पष्ट रूप से inference के रूप में label किया गया हो; या unknown। आपकी team हर result पढ़ सकती है और उसके पीछे का evidence देख सकती है, जो तब चाहिए जब decision attack surface के बजाय customer experience को प्रभावित करता है।
AI agents, signed agents और AI-assisted people
Cloudflare ने agent verification में निवेश किया है। उसकी documentation as of November 2026 के अनुसार, Cloudflare Web Bot Auth support करता है, एक authentication method जो bots और agents को verify करने के लिए HTTP messages में cryptographic signatures का उपयोग करती है, RFC 9421 के आधार पर। उसकी docs एक signed agent signal का वर्णन करती हैं, जो Bot Management वाले Enterprise customers के लिए cf.bot_management.signed_agent field के रूप में expose होता है, और July 1, 2026 से Direct versus Intermediary access field आता है जो single-operator bots को उन agentic services से अलग करता है जिन्हें कई end users operate कर सकते हैं। Cloudflare सभी plans में AI crawler और agent access policies भी देता है।
Proof of Actor signed requests को व्यापक चित्र का एक हिस्सा मानता है। जब किसी request में published key के against checked एक valid HTTP Message Signature होता है, तो result Agent होता है, verified basis के साथ, सीधे आपके route handler तक पहुँचाया गया। verifying signed agent requests पर guide flow दिखाती है। Valid signature यह साबित करती है कि request पर किस key ने sign किया, न कि वह agent क्या करने के लिए authorized है, इसलिए authorization आपके application में रहती है जहाँ उसकी जगह है।
बड़ा अंतर बीच के लोगों का है। आपके कुछ users AI assistant के साथ काम करते हैं: support tickets का draft बनाना, forms भरना, onboarding से गुजरना। Edge bot scoring automation और लोगों के बीच अंतर करने के लिए बनाया गया है, और उसके पास इस group को अलग करने का कोई कारण नहीं है। आपका product अक्सर ऐसा करता है। Proof of Actor Human + AI को अपनी अलग class के रूप में report करता है, केवल तब जब सहायता declared हो या supported integration के माध्यम से observed हो, ताकि आप AI-drafted submissions को label कर सकें, देख सकें कि AI-assisted users किसी workflow में कैसे आगे बढ़ते हैं, या उन्हें एक smoother path दे सकें। अधिक जानकारी के लिए AI-assisted interaction glossary entry देखें।
Unknown एक result है, threshold नहीं
हर detection system को ऐसा traffic मिलता है जिसे वह समझा नहीं सकता। Edge पर, अस्पष्ट traffic को उस rule के अनुसार handle किया जाता है जिसके नीचे score आता है। इससे पूरे zone में protection consistent रहती है।
Application के भीतर, एक setting शायद ही हर route के लिए उपयुक्त होती है। public documentation page पर आया अस्पष्ट request और account credentials बदलने का अस्पष्ट request अलग handling के हकदार हैं। Proof of Actor Unknown को first-class result के रूप में लौटाता है, समय के साथ आपके Unknown rate को track करता है, और आपको per-route fallback चुनने देता है: public content पर allow करें, account changes पर existing checks बनाए रखें, high-impact actions पर review के लिए भेजें। Unknown traffic को handle करना पर guide patterns कवर करती है, और Unknown classification entry बताती है कि ईमानदार Unknown जबरन अनुमान से बेहतर क्यों है।
MCP servers और APIs
Cloudflare MCP servers और APIs को उसी तरह protect करता है जैसे वह अपने network से गुजरने वाले किसी भी HTTP traffic को protect करता है। यह मूल्यवान है, और request के आपकी service तक पहुँचने से पहले होता है।
इसके बाद MCP server या API को आमतौर पर handler के भीतर caller context चाहिए: कौन सा agent इस tool को call कर रहा है, क्या वह identity verified है या केवल declared, और क्या इस tool call को allow, adapt, rate-limit या review के लिए भेजना चाहिए। Proof of Actor एक MCP server integration और एक generic HTTP API देता है ताकि यह context वहीं पहुँचे जहाँ tool या endpoint logic चलता है। उदाहरणों के लिए MCP server caller identification और APIs use case देखें।
दोनों को साथ कैसे उपयोग करें
सबसे मजबूत setup हर tool को अपनी परत देता है:
- Edge पर, Cloudflare attacks absorb करता है, abusive automation को challenge करता है, known bots को verify करता है और आपकी AI crawler policies लागू करता है।
- आपके application में, Proof of Actor आपके पास आने वाले traffic को Human, Human + AI, Agent या Unknown के रूप में class करता है, एक basis के साथ।
- आपके code में, per-route policies उस context का उपयोग allow, adapt, challenge, review के लिए भेजने या rate-limit करने में करते हैं, Unknown के लिए स्पष्ट fallback के साथ।
- आपके analytics में, product और security teams देखते हैं कि कौन सी routes और workflows हर actor class उपयोग करती है।
Proof of Actor observation mode से शुरू होता है, इसलिए इसे Cloudflare के पीछे जोड़ने से पहले दिन कुछ नहीं बदलता। आप अपना वास्तविक actor mix देखते हैं, live traffic के विरुद्ध policy preview करते हैं, और एक route at a time enforce करते हैं। actor-aware policies को safely roll out करने पर guide यह प्रक्रिया बताती है। Proof of Actor कोई identity checks, KYC या biometrics perform नहीं करता; यह बताता है कि कौन या क्या acting कर रहा है और निर्णय आपको छोड़ देता है।
किसे कब चुनें
Cloudflare के bot products चुनें जब आपकी मुख्य आवश्यकता edge protection हो: abusive automation को आपके origin तक पहुँचने से पहले रोकना, पूरे zone में suspicious traffic को challenge करना, और AI crawlers को आपकी content तक कैसे पहुँच मिले यह control करना।
Proof of Actor चुनें जब आपकी मुख्य आवश्यकता application-level actor context हो: यह जानना कि कौन लोग, AI-assisted लोग या agents हर route का उपयोग करते हैं, हर result के पीछे evidence देखना, Unknown को जानबूझकर handle करना, MCP server और API handlers को caller context देना, और ऐसे per-route product policies लिखना जो आपके CDN पर निर्भर न हों।
यदि आप production website, API या MCP server चलाते हैं, तो आपको संभवतः दोनों answers चाहिए, और यही कारण है कि दोनों एक ही stack में अच्छी तरह साथ बैठते हैं। व्यापक category comparison के लिए Proof of Actor vs bot management देखें।
शुरुआत करें
Proof of Actor private beta में है। founding developer program के माध्यम से, चुनी गई teams तय usage limits के भीतर, बिना automatic billing के, up to 12 months free प्राप्त कर सकती हैं। early access के लिए आवेदन करें और हमें बताएं कि आप किस application, API या MCP server को सबसे पहले समझना चाहते हैं।
इस page पर Cloudflare के product विवरण Cloudflare की public documentation पर आधारित हैं, जिनमें bot score reference और Web Bot Auth reference, DDoS protection overview और WAF overview शामिल हैं, as of November 2026।
Cloudflare, Cloudflare, Inc. का trademark है।