Cloudflare si trova davanti a una grande parte del web. Per molti team è il CDN, il provider DNS, il firewall e la prima linea di difesa contro l'automazione abusiva, tutto in un unico punto. I suoi prodotti bot sono progettati per quel ruolo: vedono il traffico presto, decidono se deve essere messo alla prova o fermato e danno ai proprietari dei siti il controllo su come i crawler, inclusi i crawler AI, raggiungono i contenuti.
La tua application deve rispondere a una domanda diversa. Una volta che una richiesta ha superato l'edge, il tuo codice deve sapere chi o cosa sta agendo così da poter scegliere l'esperienza giusta. È una persona, una persona che lavora con un assistente AI, un agent che agisce per un cliente, oppure qualcosa che le evidenze non riescono a spiegare? E quanto dovrebbe essere sicuro il tuo codice?
Questo è il lavoro per cui è stato creato Proof of Actor. È un livello mirato, a livello di applicazione, che restituisce una classe dell'attore con una base di evidenze esplicita, consegnata al codice che possiede la decisione. Questa pagina confronta i due in modo equo, usando la documentazione di Cloudflare aggiornata a novembre 2026, così puoi vedere dove appartiene ciascuno.
Versione breve
| Prodotti bot di Cloudflare | Proof of Actor | |
|---|---|---|
| Pensato per | Proteggere infrastruttura e contenuti all'edge | Dare alla tua application il contesto dell'attore per decisioni di prodotto e policy |
| Dove funziona | Rete edge di Cloudflare, davanti al tuo origin | Il tuo server, il livello edge, le pagine browser approvate, HTTP API o MCP server |
| Output principale | Challenge e azioni di regola; per Enterprise Bot Management, un bot score da 1 a 99 e campi bot | Human, Human + AI, Agent o Unknown, più una base: verified, declared, inferred o unknown |
| Dove arriva l'output | Regole, analytics e Workers di Cloudflare | Il codice della tua application e le analytics degli attori per route e workflow |
| Persone assistite dall'AI | Non una categoria separata nel bot score | Una classe propria, Human + AI, quando dichiarata o osservata tramite un'integrazione supportata |
| Traffico poco chiaro | Valutato e gestito da regole edge | Unknown come risultato di primo livello con un fallback che imposti per ogni route |
| Agent firmati | Verifica Web Bot Auth e segnali di agent firmati | Controlli di firma RFC 9421 riportati come base verified nel tuo codice |
| MCP server e chiamanti API | Protetti come traffico HTTP all'edge | Contesto del chiamante dentro il server che gestisce la tool call o la richiesta API |
| Dipendenza dal CDN | Si applica al traffico che passa attraverso la rete di Cloudflare | Indipendente dal CDN, se ce n'è uno, che usi |
| Stato predefinito all'installazione | Dipende dal prodotto e dalle impostazioni che attivi | Modalità di osservazione; non cambia nulla finché non aggiungi una policy |
Il resto di questa pagina spiega ogni riga.
Cerchi un'alternativa a Cloudflare Bot Management per il traffico di agenti AI?
La maggior parte dei team che cerca un'alternativa non è insoddisfatta dell'edge. Ha una nuova domanda a cui l'edge non è stato progettato per rispondere: un agent AI, una persona assistita dall'AI e un visitatore normale stanno tutti raggiungendo lo stesso modulo di iscrizione, la stessa route API o lo stesso tool MCP, e il prodotto deve trattarli in modo diverso. Ecco una suddivisione semplice.
Dove Proof of Actor sostituisce la decisione. Se oggi usi bot score o campi bot per guidare il comportamento del prodotto, per esempio etichettare invii redatti dall'AI, indirizzare gli agent verso un endpoint strutturato o scegliere un fallback per chiamanti poco chiari in un workflow specifico, Proof of Actor è la scelta migliore per quel lavoro. Restituisce una classe dell'attore, Human, Human + AI, Agent o Unknown, con una base di evidenze, direttamente al codice della tua application. La decisione di routing e di policy si sposta nel codice che già sa cosa fa ogni route e funziona allo stesso modo qualunque CDN tu usi.
Dove Proof of Actor si aggiunge a Cloudflare. Proof of Actor non è un prodotto di sicurezza di rete. Secondo la documentazione di Cloudflare aggiornata a novembre 2026, la sua DDoS protection rileva e mitiga automaticamente gli attacchi ed è disponibile su tutti i piani, e la sua Web Application Firewall controlla le richieste web e API in ingresso rispetto a regole gestite e personalizzate. Mantieni quel livello. Gli attacchi volumetrici, i tentativi di exploit e l'automazione abusiva devono essere fermati prima di arrivare al tuo origin, e Proof of Actor non cerca di fare questo.
Quindi la risposta diretta a "è un'alternativa?" è: sì per la classificazione dell'attore e il routing per-route nella tua app, e no per la protezione edge DDoS e WAF. La maggior parte dei team di produzione finisce per usare entrambi i livelli, ognuno per il lavoro per cui è stato creato.
Per cosa sono progettati i prodotti bot di Cloudflare
Secondo la documentazione di Cloudflare aggiornata a novembre 2026, offre tre prodotti specifici per i bot:
- Bot Fight Mode, disponibile sul piano Free, che mette alla prova il traffico bot rilevato su un dominio con un singolo interruttore.
- Super Bot Fight Mode, per i piani Pro, Business ed Enterprise senza il componente aggiuntivo Bot Management, che aggiunge azioni configurabili per categoria di bot.
- Bot Management for Enterprise, che aggiunge bot score per richiesta, regole personalizzate, gestione per endpoint e analytics dettagliate.
Il bot score è, nelle parole di Cloudflare, un punteggio da 1 a 99 che indica quanto è probabile che una richiesta provenga da un bot, dove 1 significa alta confidenza che la richiesta sia stata automatizzata e 99 significa alta confidenza che provenga da un essere umano. La documentazione di Cloudflare indica che i punteggi granulari sono disponibili per i clienti Enterprise che hanno acquistato Bot Management, mentre gli altri piani vedono risultati raggruppati come automated, likely automated, likely human e verified bot. I punteggi possono essere usati nelle regole personalizzate del WAF per bloccare, mettere alla prova o consentire le richieste, e sono anche disponibili in Workers.
Cloudflare gestisce anche i verified bots, che la sua documentazione descrive come bot o agent che sono trasparenti su chi sono e cosa fanno, come i crawler dei motori di ricerca, i servizi di monitoraggio e gli agent guidati dagli utenti. La verifica si basa su metodi come una firma Web Bot Auth o la validazione IP, oltre a un comportamento non abusivo.
Per il traffico AI in particolare, AI Crawl Control offre ai proprietari dei siti visibilità su quali servizi AI accedono ai contenuti, consente di permettere o bloccare singoli crawler e traccia quanto bene i crawler seguono robots.txt. La documentazione di Cloudflare lo indica come disponibile su tutti i piani.
Sono strumenti solidi per il compito per cui sono stati progettati: decidere all'edge quale traffico automatizzato raggiunge il tuo origin e i tuoi contenuti.
Dove funziona ciascuno e dove arriva il suo output
La differenza più pratica è la posizione.
I prodotti bot di Cloudflare funzionano sulla rete di Cloudflare, davanti al tuo origin. Il loro output arriva dove vivono i controlli di Cloudflare: regole personalizzate del WAF, analytics bot e, secondo il riferimento sulle variabili di bot management di Cloudflare, l'oggetto request.cf in Cloudflare Workers. È il posto giusto per decidere se una richiesta debba essere bloccata o messa alla prova.
Proof of Actor funziona dove vive la logica della tua application: middleware Node.js, Next.js, il livello edge che controlli, un collector del browser sulle pagine che approvi, un generico HTTP API o il tuo MCP server. Il suo output arriva nel codice della tua application come risultato strutturato e nelle analytics degli attori suddivise per route e workflow. Vedi i percorsi di integrazione per i dettagli.
Questa posizione conta per le decisioni di prodotto. Il tuo codice sa a quale workflow appartiene una route, se la tua assistente ha eseguito un'azione, se un client si è dichiarato e qual è l'impatto business di quella route. Una decisione per-route come "servi all'agent verificato l'endpoint strutturato, mantieni le persone sul flusso normale, etichetta gli invii assistiti dall'AI" appartiene accanto a quella conoscenza. Proof of Actor mette il contesto dell'attore esattamente lì e, poiché funziona nel tuo stack invece che nella rete di un singolo provider, opera allo stesso modo dietro Cloudflare, dietro un altro CDN o senza alcun CDN.
Punteggi rispetto a una classe con una base
Un punteggio è un input efficiente per una regola di protezione: scegli una soglia e agisci sopra o sotto di essa. È progettato per rispondere a quanto sia probabile che una richiesta sia automatizzata.
Le decisioni di prodotto richiedono una risposta più ricca. Proof of Actor restituisce una delle quattro classi:
- Human: i segnali osservabili indicano un'interazione guidata da un essere umano.
- Human + AI: una persona ha guidato l'interazione con assistenza AI dichiarata o osservata tramite un'integrazione supportata.
- Agent: interazione automatizzata o di origine agent.
- Unknown: le evidenze non supportano una determinazione affidabile.
Ogni risultato porta anche la sua base di evidenze: verified, per esempio una firma HTTP Message Signature RFC 9421 controllata rispetto a una chiave pubblicata; declared, quando un client o la tua application lo ha dichiarato; inferred, chiaramente etichettato come inferenza; oppure unknown. Il tuo team può leggere ogni risultato e vedere le evidenze dietro di esso, ed è ciò che serve quando la decisione influenza l'esperienza di un cliente invece di una superficie di attacco.
Agenti AI, agent firmati e persone assistite dall'AI
Cloudflare ha investito nella verifica degli agent. Secondo la sua documentazione aggiornata a novembre 2026, Cloudflare supporta Web Bot Auth, un metodo di autenticazione che usa firme crittografiche nei messaggi HTTP, basato su RFC 9421, per verificare bot e agent. La sua documentazione descrive un segnale signed agent, esposto come campo cf.bot_management.signed_agent per i clienti Enterprise con Bot Management, e dal 1 luglio 2026 un campo di accesso Direct versus Intermediary che distingue i bot a operatore singolo dai servizi agentic che molti utenti finali possono operare. Cloudflare offre anche policy di accesso per crawler AI e agent su tutti i piani.
Proof of Actor considera le richieste firmate come una parte di un quadro più ampio. Quando una richiesta porta una HTTP Message Signature valida controllata rispetto a una chiave pubblicata, il risultato è Agent con una base verified, consegnato direttamente al gestore della route. La guida su verifica delle richieste signed agent mostra il flusso. Una firma valida prova quale chiave ha firmato la richiesta, non che cosa quell'agent sia autorizzato a fare, quindi l'autorizzazione resta nella tua application, dove deve stare.
La differenza più grande è la persona in mezzo. Alcuni dei tuoi utenti lavorano con un assistente AI accanto a loro: redigono ticket di supporto, compilano moduli, avanzano nell'onboarding. Il bot scoring edge è progettato per separare l'automazione dalle persone e non ha motivo di ritagliare questo gruppo. Il tuo prodotto spesso sì. Proof of Actor riporta Human + AI come classe propria, solo quando l'assistenza è dichiarata o osservata tramite un'integrazione supportata, così puoi etichettare gli invii redatti dall'AI, misurare come gli utenti assistiti dall'AI si muovono in un workflow o offrire loro un percorso più fluido. Leggi di più nella voce del glossario interazione assistita dall'AI.
Unknown è un risultato, non una soglia
Ogni sistema di rilevamento incontra traffico che non sa spiegare. All'edge, il traffico poco chiaro viene gestito dalla regola sotto cui cade il punteggio. Questo mantiene la protezione coerente su un'intera zone.
Dentro un'applicazione, una singola impostazione raramente va bene per ogni route. Una richiesta poco chiara a una pagina di documentazione pubblica e una richiesta poco chiara per modificare le credenziali dell'account meritano un trattamento diverso. Proof of Actor restituisce Unknown come risultato di primo livello, traccia il tuo tasso di Unknown nel tempo e ti permette di scegliere il fallback per route: consentilo sui contenuti pubblici, mantieni i controlli esistenti sulle modifiche dell'account, invialo a review per azioni ad alto impatto. La guida su gestione del traffico Unknown copre i modelli, e la voce classificazione Unknown spiega perché un Unknown onesto è meglio di una supposizione forzata.
MCP server e API
Cloudflare protegge MCP server e API nello stesso modo in cui protegge qualsiasi traffico HTTP che passa attraverso la sua rete. È utile, e avviene prima che la richiesta raggiunga il tuo servizio.
Ciò di cui un MCP server o un API di solito ha bisogno subito dopo è il contesto del chiamante dentro l'handler: quale agent sta chiamando questo tool, quell'identità è verificata o solo dichiarata, e questa tool call dovrebbe essere consentita, adattata, rate-limitata o inviata a review. Proof of Actor offre un'integrazione MCP server e un HTTP API generico così che quel contesto arrivi dove gira la logica del tool o dell'endpoint. Vedi identificazione del chiamante per MCP server e il caso d'uso API per esempi.
Come usarli insieme
La configurazione più solida assegna a ogni strumento il proprio livello:
- All'edge, Cloudflare assorbe gli attacchi, mette alla prova l'automazione abusiva, verifica i bot noti e applica le tue policy per i crawler AI.
- Nella tua application, Proof of Actor classifica il traffico che arriva come Human, Human + AI, Agent o Unknown, con una base.
- Nel tuo codice, le policy per route usano quel contesto per consentire, adattare, mettere alla prova, inviare a review o rate-limitare, con un fallback esplicito per Unknown.
- Nelle tue analytics, i team di prodotto e sicurezza vedono quali route e workflow usa ogni classe di attore.
Proof of Actor inizia in modalità di osservazione, quindi aggiungerlo dietro Cloudflare non cambia nulla il primo giorno. Vedi il tuo mix reale di attori, fai un'anteprima di una policy sul traffico live e attivi l'enforcement una route alla volta. La guida su rilascio sicuro di policy consapevoli dell'attore lo spiega passo per passo. Proof of Actor non esegue controlli di identità, KYC o biometria; riporta chi o cosa sta agendo e lascia a te la decisione.
Quando scegliere l'uno o l'altro
Scegli i prodotti bot di Cloudflare quando il tuo bisogno principale è la protezione edge: fermare l'automazione abusiva prima che raggiunga il tuo origin, mettere alla prova il traffico sospetto su una zone e controllare come i crawler AI accedono ai contenuti.
Scegli Proof of Actor quando il tuo bisogno principale è il contesto dell'attore a livello di applicazione: sapere se persone, persone assistite dall'AI o agent usano ogni route, vedere le evidenze dietro ogni risultato, gestire Unknown in modo deliberato, dare ai gestori di MCP server e API il contesto del chiamante e scrivere policy di prodotto per route che funzionano indipendentemente dal tuo CDN.
Se gestisci un sito web, un API o un MCP server in produzione, probabilmente ti servono entrambe le risposte, ed è per questo che i due strumenti convivono bene nello stesso stack. Per un confronto più ampio della categoria, vedi Proof of Actor vs bot management.
Inizia
Proof of Actor è in private beta. Attraverso il founding developer program, i team selezionati possono ricevere fino a 12 months free entro limiti di utilizzo concordati, senza billing automatico. Richiedi l'accesso anticipato e dicci quale application, API o MCP server vuoi capire per primo.
I dettagli di prodotto su Cloudflare in questa pagina si basano sulla documentazione pubblica di Cloudflare, inclusi il riferimento al bot score e il riferimento a Web Bot Auth, la panoramica sulla DDoS protection e la panoramica sul WAF, aggiornati a novembre 2026.
Cloudflare è un marchio di Cloudflare, Inc.