Cloudflare staat voor een groot deel van het web. Voor veel teams is het de CDN, de DNS-provider, de firewall en de eerste verdedigingslinie tegen misbruikende automatisering, allemaal op één plek. De botproducten zijn voor die positie ontworpen: ze zien verkeer vroeg, beslissen of het moet worden uitgedaagd of gestopt, en geven site-eigenaren controle over hoe crawlers, inclusief AI-crawlers, hun content bereiken.
Je applicatie moet een andere vraag beantwoorden. Zodra een verzoek door de edge is, moet je code weten wie of wat er handelt, zodat het de juiste ervaring kan kiezen. Is dit een persoon, een persoon die met een AI-assistent werkt, een agent die namens een klant handelt, of iets dat het bewijs niet kan verklaren? En hoe zeker moet je code zijn?
Dat is de taak waarvoor Proof of Actor is gebouwd. Het is een gerichte laag op applicatieniveau die een actorclassificatie teruggeeft met een expliciete bewijsbasis, geleverd aan de code die de beslissing eigenaar is. Deze pagina vergelijkt de twee eerlijk, met gebruik van Cloudflare's eigen documentatie van november 2026, zodat je kunt zien waar elk thuishoort.
De korte versie
| Cloudflare botproducten | Proof of Actor | |
|---|---|---|
| Gebouwd voor | Infrastructuur en content beschermen aan de edge | Je applicatie actorcontext geven voor product- en beleidsbeslissingen |
| Waar het draait | Het edge network van Cloudflare, vóór je origin | Je server, edge layer, goedgekeurde browserpagina's, HTTP API of MCP server |
| Hoofdoutput | Uitdagingen en rule actions; voor Enterprise Bot Management, een bot score van 1 tot 99 en botvelden | Human, Human + AI, Agent of Unknown, plus een basis: verified, declared, inferred of unknown |
| Waar de output terechtkomt | Cloudflare rules, analytics en Workers | Je applicatiecode en actoranalytics per route en workflow |
| AI-ondersteunde mensen | Geen aparte categorie in de bot score | Hun eigen class, Human + AI, wanneer gedeclareerd of waargenomen via een ondersteunde integratie |
| Onduidelijk verkeer | Gescoord en afgehandeld door edge rules | Unknown als eersteklas resultaat met een fallback die je per route instelt |
| Gesigneerde agents | Web Bot Auth-verificatie en signed agent-signalen | RFC 9421-signature checks gerapporteerd als een verified-basis in je code |
| MCP servers en API callers | Beschermd als HTTP-verkeer aan de edge | Callercontext in de server die de tool call of API request afhandelt |
| Afhankelijkheid van CDN | Geldt voor verkeer dat door Cloudflare's network gaat | Onafhankelijk van welke CDN, indien enige, je gebruikt |
| Standaard bij installatie | Hangt af van het product en de instellingen die je inschakelt | Observatiemodus; niets verandert totdat je een policy toevoegt |
De rest van deze pagina legt elke rij uit.
Op zoek naar een Cloudflare Bot Management-alternatief voor AI-agentverkeer?
De meeste teams die naar een alternatief zoeken, zijn niet ontevreden over de edge. Ze hebben een nieuwe vraag waar de edge niet voor ontworpen is: een AI-agent, een AI-ondersteunde persoon en een gewone bezoeker bereiken allemaal hetzelfde aanmeldformulier, dezelfde API route of hetzelfde MCP tool, en het product moet hen anders behandelen. Hier is een duidelijke splitsing.
Waar Proof of Actor de beslissing vervangt. Als je momenteel bot scores of botvelden gebruikt om productgedrag te sturen, bijvoorbeeld het labelen van AI-gegenereerde inzendingen, agents naar een gestructureerd endpoint routeren, of een fallback kiezen voor onduidelijke callers op een specifieke workflow, dan past Proof of Actor beter bij die taak. Het geeft een actorclassificatie, Human, Human + AI, Agent of Unknown, met een bewijsbasis, direct aan je applicatiecode terug. De routing- en beleidsbeslissing verschuift naar de code die al weet wat elke route doet, en het werkt op dezelfde manier ongeacht welke CDN je gebruikt.
Waar Proof of Actor Cloudflare aanvult. Proof of Actor is geen netwerkbeveiligingsproduct. Volgens de documentatie van Cloudflare van november 2026 detecteert en mitigeert DDoS protection automatisch aanvallen en is die beschikbaar op alle plannen, en controleert de Web Application Firewall inkomende web- en API-verzoeken tegen beheerde en aangepaste regels. Behoud die laag. Volumetrische aanvallen, exploitpogingen en misbruikende automatisering moeten worden gestopt voordat ze je origin bereiken, en Proof of Actor probeert dat niet te doen.
Dus het directe antwoord op "is dit een alternatief?" is: ja voor actorclassificatie en per-route routing in je app, en nee voor edge DDoS- en WAF-bescherming. De meeste productie teams eindigen met beide lagen, die elk de taak uitvoeren waarvoor ze zijn gebouwd.
Waar Cloudflare's botproducten voor zijn gebouwd
Volgens de documentatie van Cloudflare van november 2026 biedt het drie botspecifieke producten:
- Bot Fight Mode, beschikbaar op het Free plan, dat gedetecteerd botverkeer over een domein uitdaagt met één schakelaar.
- Super Bot Fight Mode, voor Pro, Business en Enterprise-plannen zonder de Bot Management add-on, dat configureerbare acties per botcategorie toevoegt.
- Bot Management voor Enterprise, dat bot scores per verzoek, aangepaste regels, per-endpoint afhandeling en gedetailleerde analytics toevoegt.
De bot score is, in de woorden van Cloudflare, een score van 1 tot 99 die aangeeft hoe waarschijnlijk het is dat een verzoek van een bot kwam, waarbij 1 betekent dat met hoge zekerheid het verzoek geautomatiseerd was en 99 betekent dat met hoge zekerheid het van een mens kwam. De documentatie van Cloudflare stelt dat gedetailleerde scores beschikbaar zijn voor Enterprise-klanten die Bot Management hebben aangeschaft, terwijl andere plannen gegroepeerde resultaten zien zoals geautomatiseerd, waarschijnlijk geautomatiseerd, waarschijnlijk menselijk en verified bot. Scores kunnen worden gebruikt in WAF custom rules om verzoeken te blokkeren, uit te dagen of toe te staan, en zijn ook beschikbaar in Workers.
Cloudflare onderhoudt ook verified bots, die in de documentatie worden beschreven als bots of agents die transparant zijn over wie ze zijn en wat ze doen, zoals zoekmachine crawlers, monitoringdiensten en door gebruikers aangestuurde agents. Verificatie berust op methoden zoals een Web Bot Auth-signature of IP-validatie, plus niet-misbruikend gedrag.
Voor AI-verkeer in het bijzonder geeft AI Crawl Control site-eigenaren inzicht in welke AI-diensten hun content benaderen, laat het hen individuele crawlers toestaan of blokkeren, en volgt het hoe goed crawlers robots.txt volgen. De documentatie van Cloudflare vermeldt dat het beschikbaar is op alle plannen.
Dit zijn sterke tools voor de taak waarvoor ze zijn ontworpen: aan de edge beslissen welk geautomatiseerd verkeer je origin en content bereikt.
Waar elk draait, en waar de output terechtkomt
Het meest praktische verschil is locatie.
De botproducten van Cloudflare draaien op het network van Cloudflare, vóór je origin. Hun output komt terecht waar de controles van Cloudflare leven: WAF custom rules, bot analytics, en, volgens de bot management variables reference van Cloudflare, het request.cf object in Cloudflare Workers. Dat is de juiste plek om te beslissen of een verzoek moet worden gestopt of uitgedaagd.
Proof of Actor draait waar je applicatielogica leeft: Node.js middleware, Next.js, de edge layer die je beheert, een browsercollector op pagina's die je goedkeurt, een generieke HTTP API, of je MCP server. De output komt terecht in je applicatiecode als een gestructureerd resultaat, en in actoranalytics uitgesplitst per route en workflow. Zie de integratiepaden voor details.
Die locatie is belangrijk voor productbeslissingen. Je code weet bij welke workflow een route hoort, of je eigen assistent een actie heeft uitgevoerd, of een client zichzelf heeft gedeclareerd, en wat de zakelijke impact van die route is. Een beslissing per route zoals "serveer een verified agent het gestructureerde endpoint, houd mensen op de normale flow, label AI-gegenereerde inzendingen" hoort naast die kennis. Proof of Actor plaatst de actorcontext precies daar, en omdat het in je stack draait in plaats van in het network van één provider, werkt het hetzelfde achter Cloudflare, een andere CDN of helemaal geen CDN.
Scores versus een class met een basis
Een score is een efficiënte input voor een beschermingsregel: kies een drempel en handel erboven of eronder.
Productbeslissingen hebben een rijker antwoord nodig. Proof of Actor geeft een van vier classes terug:
- Human: waarneembare signalen wijzen op mensgestuurde interactie.
- Human + AI: een persoon stuurde de interactie met AI-ondersteuning die gedeclareerd of waargenomen werd via een ondersteunde integratie.
- Agent: geautomatiseerde of agent-afkomstige interactie.
- Unknown: het bewijs ondersteunt geen betrouwbare vaststelling.
Elk resultaat bevat ook zijn bewijsbasis: verified, bijvoorbeeld een RFC 9421 HTTP Message Signature gecontroleerd tegen een gepubliceerde sleutel; declared, wanneer een client of je applicatie dat heeft vermeld; inferred, duidelijk gelabeld als inferentie; of unknown. Je team kan elk resultaat lezen en het bewijs erachter zien, wat je nodig hebt wanneer de beslissing de ervaring van een klant beïnvloedt in plaats van een aanvalsoppervlak.
AI-agents, gesigneerde agents en AI-ondersteunde mensen
Cloudflare heeft geïnvesteerd in agentverificatie. Volgens de documentatie van november 2026 ondersteunt Cloudflare Web Bot Auth, een authenticatiemethode die cryptografische signatures in HTTP messages gebruikt, gebaseerd op RFC 9421, om bots en agents te verifiëren. De docs beschrijven een signed agent-signaal, zichtbaar als het cf.bot_management.signed_agent-veld voor Enterprise-klanten met Bot Management, en vanaf 1 juli 2026 een Direct versus Intermediary access field dat single-operator bots onderscheidt van agentic services die veel eindgebruikers kunnen bedienen. Cloudflare biedt ook beleid voor AI-crawlers en agenttoegang over alle plannen.
Proof of Actor behandelt gesigneerde verzoeken als één onderdeel van een breder geheel. Wanneer een verzoek een geldige HTTP Message Signature bevat die is gecontroleerd tegen een gepubliceerde sleutel, is het resultaat Agent met een verified basis, rechtstreeks geleverd aan je route handler. De gids over het verifiëren van gesigneerde agentverzoeken laat de flow zien. Een geldige signature bewijst welke sleutel het verzoek heeft ondertekend, niet wat die agent mag doen, dus authorisatie blijft in je applicatie waar die thuishoort.
Het grotere verschil zijn de mensen in het midden. Sommige van je gebruikers werken naast een AI-assistent: supporttickets opstellen, formulieren invullen, onboarding doorlopen. Edge bot scoring is ontworpen om automatisering van mensen te scheiden, en heeft geen reden om deze groep af te bakenen. Je product doet dat vaak wel. Proof of Actor rapporteert Human + AI als een eigen class, alleen wanneer de ondersteuning gedeclareerd is of waargenomen wordt via een ondersteunde integratie, zodat je AI-gegenereerde inzendingen kunt labelen, kunt meten hoe AI-ondersteunde gebruikers door een workflow bewegen, of hen een soepeler pad kunt geven. Lees meer in de glossariumvermelding AI-assisted interaction.
Unknown is een resultaat, geen drempel
Elk detectiesysteem komt verkeer tegen dat het niet kan verklaren. Aan de edge wordt onduidelijk verkeer afgehandeld door de regel waar de score onder valt. Dat houdt de bescherming consistent over een hele zone.
Binnen een applicatie past één instelling zelden bij elke route. Een onduidelijk verzoek naar een publieke documentatiepagina en een onduidelijk verzoek om accountgegevens te wijzigen verdienen verschillende afhandeling. Proof of Actor geeft Unknown terug als een eersteklas resultaat, volgt je Unknown-rate in de tijd, en laat je de fallback per route kiezen: toestaan op publieke content, bestaande checks behouden op accountwijzigingen, naar review sturen bij acties met hoge impact. De gids over het afhandelen van Unknown-verkeer behandelt de patronen, en de vermelding Unknown classification legt uit waarom een eerlijke Unknown beter is dan een geforceerde gok.
MCP servers en API's
Cloudflare beschermt MCP servers en API's op dezelfde manier als elk HTTP-verkeer dat door zijn network gaat. Dat is waardevol, en het gebeurt voordat het verzoek je service bereikt.
Wat een MCP server of API daarna meestal nodig heeft, is callercontext in de handler: welke agent roept dit tool aan, is die identiteit geverifieerd of alleen gedeclareerd, en moet deze tool call worden toegestaan, aangepast, rate-limited of naar review gestuurd. Proof of Actor levert een MCP server-integratie en een generieke HTTP API, zodat die context aankomt waar de tool- of endpointlogica draait. Zie MCP server caller identification en de APIs use case voor voorbeelden.
Hoe je beide samen gebruikt
De sterkste opstelling geeft elk hulpmiddel zijn eigen laag:
- Aan de edge, Cloudflare absorbeert aanvallen, daagt misbruikende automatisering uit, verifieert bekende bots en past je AI-crawlerbeleid toe.
- In je applicatie, Proof of Actor classificeert het verkeer dat je bereikt als Human, Human + AI, Agent of Unknown, met een basis.
- In je code, policies per route gebruiken die context om toe te staan, aan te passen, uit te dagen, naar review te sturen of te rate-limitten, met een expliciete fallback voor Unknown.
- In je analytics, zien product- en beveiligingsteams welke routes en workflows elke actorclass gebruikt.
Proof of Actor begint in observatiemodus, dus het toevoegen achter Cloudflare verandert op dag één niets. Je ziet je werkelijke actormix, je bekijkt een policy vooraf op live verkeer, en je handhaaft één route tegelijk. De gids over actorbewuste policies veilig uitrollen loopt erdoorheen. Proof of Actor voert geen identiteitscontroles, KYC of biometrie uit; het rapporteert wie of wat handelt en laat de beslissing aan jou.
Wanneer je welke kiest
Kies Cloudflare's botproducten wanneer je belangrijkste behoefte edgebescherming is: misbruikende automatisering stoppen voordat het je origin bereikt, verdacht verkeer over een zone uitdagen, en beheren hoe AI-crawlers je content benaderen.
Kies Proof of Actor wanneer je belangrijkste behoefte actorcontext op applicatieniveau is: weten of mensen, AI-ondersteunde mensen of agents elke route gebruiken, het bewijs achter elk resultaat zien, Unknown bewust afhandelen, MCP server- en API-handlers callercontext geven, en per-route productpolicies schrijven die werken ongeacht je CDN.
Als je een productiewebsite, API of MCP server runt, heb je waarschijnlijk beide antwoorden nodig, en daarom passen de twee comfortabel in dezelfde stack. Voor de bredere categorievergelijking, zie Proof of Actor vs bot management.
Aan de slag
Proof of Actor is in private beta. Via het founding developer program kunnen geselecteerde teams tot 12 maanden gratis ontvangen binnen afgesproken gebruikslimieten, zonder automatische facturering. Vraag early access aan en vertel ons welke applicatie, API of MCP server je eerst wilt begrijpen.
Productdetails over Cloudflare op deze pagina zijn gebaseerd op de openbare documentatie van Cloudflare, waaronder de bot score reference en de Web Bot Auth reference, het DDoS protection overview en het WAF overview, per november 2026.
Cloudflare is een handelsmerk van Cloudflare, Inc.