Web Bot Auth

Web Bot Auth କ'ଣ

Web Bot Auth ହେଉଛି ଏକ IETF working group ର ନାମ ଏବଂ authenticated automated web traffic ସମ୍ବନ୍ଧୀୟ ତାହାର Internet-Draft କାର୍ଯ୍ୟ। ଧାରଣାଟି ସରଳ: crawlers, AI assistants ଏବଂ autonomous agents HTTP Message Signatures (RFC 9421) ବ୍ୟବହାର କରି ତାଙ୍କର HTTP requests ଉପରେ signature କରନ୍ତି, ଏବଂ ସେମାନେ ନିୟନ୍ତ୍ରଣ କରୁଥିବା ଏକ identifier ତଳେ ସେହି signature ଯାଞ୍ଚ କରିପାରୁଥିବା public keys ପ୍ରକାଶ କରନ୍ତି। ତାହାପରେ ଏକ website ସତ୍ୟାପନ କରିପାରେ ଯେ ଗୋଟିଏ request ପ୍ରକୃତରେ ଏହାରେ ନାମିତ operator ଠାରୁ ଆସିଛି, ଯେଉଁଠାରେ କେହି ମଧ୍ୟ copy କରିପାରୁଥିବା user-agent string ଉପରେ ଭରସା କରିବାକୁ ପଡ଼େନି। ଏହା product team ପାଇଁ କ'ଣ ଅର୍ଥ କରେ, ତାହା ପାଇଁ Web Bot Auth for product teams ଦେଖନ୍ତୁ; implementation steps ପାଇଁ, signed AI agent requests କିପରି verify କରିବେ ଉପରେ guide ଦେଖନ୍ତୁ।

November 2026 ଅବଧିରେ, working group ର core document ହେଉଛି draft-ietf-webbotauth-httpsig-protocol, ଯାହା in-band key discovery ପାଇଁ ଏକ Signature-Agent header, JSON Web Key Sets ଉପରେ ଆଧାରିତ ଏକ key directory format, ଏବଂ ସେ directory serve ହେଉଥିବା ଏକ well-known URI ବ୍ୟାଖ୍ୟା କରେ। working group documents page ଏହାକୁ related individual drafts ସହିତ ତାଲିକାଭୁକ୍ତ କରେ। ଏଗୁଡ଼ିକ Internet-Drafts, ଯାହାର ଅର୍ଥ ସେଗୁଡ଼ିକ work in progress। keys କିପରି discover ହୁଏ, request components ମଧ୍ୟରୁ କ'ଣ signed ହେବା ଦରକାର, ଏବଂ କେଉଁ headers operator information carry କରେ, ଏପରି details versions ମଧ୍ୟରେ ପରିବର୍ତ୍ତିତ ହୋଇପାରେ। Implementers ମାନେ କୌଣସି snapshot ଠାରୁ ନୁହେଁ, ବର୍ତ୍ତମାନର drafts କୁ track କରିବା ଉଚିତ।

ଏହା କାହିଁକି ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ

Websites ଏବଂ APIs ଦୀର୍ଘ ସମୟ ଧରି user-agent strings ଏବଂ IP ranges ଦ୍ୱାରା bots କୁ ଚିହ୍ନଟ କରିଆସୁଛନ୍ତି। ଉଭୟର ସୀମା ଅଛି: user-agent strings ସହଜରେ spoof କରାଯାଇପାରେ (user-agent spoofing ଦେଖନ୍ତୁ), ଏବଂ IP ranges ପରିବର୍ତ୍ତନ ହୁଏ ଏବଂ cloud providers ମଧ୍ୟରେ share ହୁଏ। AI agents ଯେତେବେଳେ ଲୋକଙ୍କ ପକ୍ଷରୁ browse କରିବା, APIs call କରିବା ଏବଂ MCP servers ବ୍ୟବହାର କରିବା ଆରମ୍ଭ କରନ୍ତି, applications କୁ ସହଯୋଗୀ automated clients ଏବଂ anonymous ones ମଧ୍ୟରେ ତଫାତ କହିବା ପାଇଁ ଅଧିକ ଦୃଢ଼ ଉପାୟ ଆବଶ୍ୟକ ହୁଏ।

Signed requests ସେହି ଅଧିକ ଦୃଢ଼ ଆଧାର ଦିଏ। ଏକ verified signature ଏକ application କୁ ନିୟମିତ ଭାବରେ ଜଣାଶୁଣା operator କୁ ଚିହ୍ନିବାକୁ, human-shaped interface ପରିବର୍ତ୍ତେ ଏକ structured path ଦେବାକୁ, ଏବଂ ତାହାର activity କୁ ସଠିକ୍ ଭାବରେ ମାପିବାକୁ ସାହାଯ୍ୟ କରେ।

ଉଚ୍ଚ ସ୍ତରରେ ଏହା କିପରି କାମ କରେ

1. Operator ଏକ key pair generate କରେ ଏବଂ ତାହାର identity ସହିତ ଯୋଡ଼ାଯାଇଥିବା ଏକ location ରେ public key ପ୍ରକାଶ କରେ, ସାଧାରଣତଃ ତାଙ୍କର domain ତଳେ ଥିବା http-message-signatures-directory well-known path ରେ।
2. ପ୍ରତ୍ୟେକ request ରେ Signature-Input ଏବଂ Signature headers ଥାଏ, ଯେଉଁମାନେ selected request components କୁ cover କରନ୍ତି, ସହିତ ଏକ key identifier, ଏବଂ key directory ଦିଗରେ ଇଙ୍ଗিত କରୁଥିବା ଏକ Signature-Agent header।
3. Receiving site operator ର published keys fetch କିମ୍ବା cache କରେ, signature base ପୁନର୍ନିର୍ମାଣ କରେ ଏବଂ signature verify କରେ।
4. Success ହେଲେ, site ଜାଣେ ଯେ request ସେହି key ଧାରକଙ୍କ ଦ୍ୱାରା, ଏବଂ ସେହି published identifier ସହିତ ସଂଯୁକ୍ତ ଭାବରେ, ଉତ୍ପାଦିତ ହୋଇଥିଲା।

ଏହା କ'ଣ ସ୍ଥାପନ କରେ, ଏବଂ କ'ଣ କରେନି

Web Bot Auth signature automated client କୁ authenticate କରେ। ଏହା ଏହି ପ୍ରଶ୍ନଗୁଡ଼ିକର ଉତ୍ତର ଦିଏନି:

• operator ଯାହା କରିବାକୁ ଚାହୁଁଛି, ସେଥିପାଇଁ ଅନୁମତିପ୍ରାପ୍ତ କି ନୁହେଁ (agent authorization),
• ଗୋଟିଏ person ଏହି action କୁ ନିର୍ଦ୍ଦେଶ କରିଥିଲେ କିମ୍ବା ଅନୁମୋଦନ କରିଥିଲେ କି ନାହିଁ (delegated authority),
• action ଟି safe କି ନୁହେଁ କିମ୍ବା returned content ଉଚିତ ଭାବରେ use ହେବ କି ନାହିଁ।

ସେଗୁଡ଼ିକ ଏପରି ନିଷ୍ପତ୍ତି ରହେ receiving application ର own authentication, authorization ଏବଂ policy ପାଇଁ। signed AI agent requests କ'ଣ ପ୍ରମାଣ କରେ, ଏବଂ କ'ଣ ପ୍ରମାଣ କରେନି ଉପରେ ଆମ blog post ଏହି boundary କୁ ଆଲୋଚନା କରେ।

ସାଧାରଣ ଭ୍ରାନ୍ତିଧାରଣା

• "ପ୍ରତ୍ୟେକ bot ଶୀଘ୍ର signed ହେବ।" Adoption client by client ବଢ଼େ। Applications ଦୀର୍ଘ ସମୟ ଧରି signed, declared ଏବଂ anonymous traffic ର ଏକ mix ଦେଖିବ, ତେଣୁ ପ୍ରତ୍ୟେକକୁ handle କରିବା ପାଇଁ ସେମାନଙ୍କୁ ଏକ clear way ଆବଶ୍ୟକ।
• "Signature ଏକ bot କୁ good କରେ।" ଏହା bot କୁ known କରେ। Known ହେଉଛି policy ପାଇଁ starting point, policy ନିଜେ ନୁହେଁ।
• "Draft final ଅଟେ।" ଏହା ଏକ evolving Internet-Draft। Current text ଉପରେ build କରନ୍ତୁ ଏବଂ revision ଆଶା କରନ୍ତୁ।

Proof of Actor ସହିତ ଏହାର ସମ୍ପର୍କ

Proof of Actor ଏକ validated signature କୁ basis verified ସହିତ evidence ଭାବରେ ନେଇଥାଏ, ଯାହା ପ୍ରମାଣ କରୁଥିବା key ଏବଂ identifier ପର୍ଯ୍ୟନ୍ତ ସୀମିତ। ଏହାକୁ declared names ଏବଂ inferred signals ଠାରୁ ପୃଥକ ରଖେ, ଏବଂ identity କୁ permission ରେ କେବେ ମଧ୍ୟ ପରିଣତ କରେନି। Proof of Actor ଏହି standards ପକ୍୵ ହେବା ସହିତ signed requests verify କରିବା ପାଇଁ designed; Route ରେ ଆପଣଙ୍କର own policies ନିଷ୍ପତ୍ତି କରେ ଯେ ଏକ verified agent କ'ଣ କରିପାରିବ।

ଏହା APIs ଏବଂ MCP servers ମଧ୍ୟରେ କିପରି fit ହୁଏ, କିମ୍ବା early access ପାଇଁ apply କରନ୍ତୁ ଦେଖନ୍ତୁ।

Sources

• IETF Web Bot Auth working group: charter, chairs and status
• Web Bot Auth working group documents: current working group and related drafts
• draft-ietf-webbotauth-httpsig-protocol: Signature-Agent, the JWKS key directory and its well-known URI (work in progress as of November 2026)
• RFC 9421: HTTP Message Signatures: the signature standard Web Bot Auth builds on