O Cloudflare fica na frente de uma grande parte da web. Para muitas equipes, ele é a CDN, o provedor de DNS, o firewall e a primeira linha de defesa contra automação abusiva, tudo em um só lugar. Seus produtos de bot foram projetados para essa posição: eles veem o tráfego cedo, decidem se ele deve ser desafiado ou interrompido e dão aos proprietários do site controle sobre como os crawlers, incluindo crawlers de IA, acessam o conteúdo.
A sua aplicação precisa responder a uma pergunta diferente. Depois que uma solicitação passa pela borda, o seu código precisa saber quem ou o que está agindo para poder escolher a experiência certa. É uma pessoa, uma pessoa trabalhando com um assistente de IA, um agente agindo em nome de um cliente ou algo que a evidência não consegue explicar? E quanta certeza o seu código deve ter?
Esse é o trabalho para o qual o Proof of Actor foi construído. É uma camada focada, no nível da aplicação, que retorna uma classe de ator com uma base de evidência explícita, entregue ao código que controla a decisão. Esta página compara os dois de forma justa, usando a documentação do próprio Cloudflare em novembro de 2026, para que você veja onde cada um se encaixa.
Resumo rápido
| Produtos de bot do Cloudflare | Proof of Actor | |
|---|---|---|
| Criado para | Proteger infraestrutura e conteúdo na borda | Dar à sua aplicação contexto de ator para decisões de produto e política |
| Onde roda | Rede de borda do Cloudflare, na frente da sua origem | Seu servidor, camada de borda, páginas aprovadas no navegador, HTTP API ou MCP server |
| Principal saída | Desafios e ações de regra; para Enterprise Bot Management, um bot score de 1 a 99 e campos de bot | Human, Human + AI, Agent ou Unknown, mais uma base: verified, declared, inferred ou unknown |
| Onde a saída aparece | Regras do Cloudflare, analytics e Workers | Código da sua aplicação e analytics de atores por rota e workflow |
| Pessoas assistidas por IA | Não é uma categoria separada no bot score | Sua própria classe, Human + AI, quando declarada ou observada por meio de uma integração suportada |
| Tráfego incerto | Pontuado e tratado por regras de borda | Unknown como resultado de primeira classe com um fallback que você define por rota |
| Agentes assinados | Verificação via Web Bot Auth e sinais de signed agent | Verificações de assinatura RFC 9421 reportadas como base verified no seu código |
| Servidores MCP e chamadores de API | Protegidos como tráfego HTTP na borda | Contexto do chamador dentro do servidor que trata a chamada da tool ou a solicitação da API |
| Dependência de CDN | Aplica-se ao tráfego que passa pela rede do Cloudflare | Independente da CDN, se houver, que você usar |
| Padrão na instalação | Depende do produto e das configurações que você habilitar | Modo de observação; nada muda até você adicionar uma policy |
O restante desta página explica cada linha.
Procurando uma alternativa ao Cloudflare Bot Management para tráfego de agentes de IA?
A maioria das equipes que procura uma alternativa não está insatisfeita com a borda. Elas têm uma nova pergunta que a borda não foi projetada para responder: um agente de IA, uma pessoa assistida por IA e um visitante comum estão todos acessando o mesmo formulário de cadastro, rota de API ou tool do MCP, e o produto precisa tratá-los de forma diferente. Aqui está uma divisão simples.
Onde o Proof of Actor substitui a decisão. Se hoje você usa bot scores ou campos de bot para orientar o comportamento do produto, por exemplo rotulando envios redigidos por IA, encaminhando agents para um endpoint estruturado ou escolhendo um fallback para chamadores incertos em um workflow específico, o Proof of Actor é a melhor opção para essa tarefa. Ele retorna uma classe de ator, Human, Human + AI, Agent ou Unknown, com uma base de evidência, diretamente para o código da sua aplicação. A decisão de roteamento e policy passa para o código que já sabe o que cada rota faz, e funciona da mesma forma independentemente da CDN que você usar.
Onde o Proof of Actor complementa o Cloudflare. O Proof of Actor não é um produto de segurança de rede. De acordo com a documentação do Cloudflare em novembro de 2026, sua proteção contra DDoS detecta e mitiga ataques automaticamente e está disponível em todos os planos, e seu Web Application Firewall verifica solicitações web e de API recebidas em relação a regras gerenciadas e personalizadas. Mantenha essa camada. Ataques volumétricos, tentativas de exploração e automação abusiva devem ser interrompidos antes de alcançar sua origem, e o Proof of Actor não tenta fazer isso.
Então a resposta direta para "isso é uma alternativa?" é: sim para classificação de atores e roteamento por rota na sua app, e não para proteção de DDoS e WAF na borda. A maioria das equipes em produção acaba com as duas camadas, cada uma fazendo o trabalho para o qual foi criada.
Para que os produtos de bot do Cloudflare foram criados
De acordo com a documentação do Cloudflare em novembro de 2026, ele oferece três produtos específicos para bots:
- Bot Fight Mode, disponível no plano Free, que desafia o tráfego de bot detectado em todo o domínio com um único seletor.
- Super Bot Fight Mode, para planos Pro, Business e Enterprise sem o complemento Bot Management, que adiciona ações configuráveis por categoria de bot.
- Bot Management for Enterprise, que adiciona bot scores por solicitação, regras personalizadas, tratamento por endpoint e analytics detalhados.
O bot score é, nas palavras do Cloudflare, uma pontuação de 1 a 99 que indica quão provável é que uma solicitação tenha vindo de um bot, em que 1 significa alta confiança de que a solicitação foi automatizada e 99 significa alta confiança de que veio de um ser humano. A documentação do Cloudflare afirma que pontuações granulares estão disponíveis para clientes Enterprise que adquiriram Bot Management, enquanto outros planos veem resultados agrupados como automated, likely automated, likely human e verified bot. As pontuações podem ser usadas em regras personalizadas do WAF para bloquear, desafiar ou permitir solicitações, e também estão disponíveis em Workers.
O Cloudflare também mantém verified bots, que sua documentação descreve como bots ou agents que são transparentes sobre quem são e o que fazem, como crawlers de mecanismos de busca, serviços de monitoramento e agents conduzidos por usuários. A verificação depende de métodos como uma assinatura Web Bot Auth ou validação de IP, além de comportamento não abusivo.
Para tráfego de IA especificamente, o AI Crawl Control dá aos proprietários do site visibilidade sobre quais serviços de IA acessam seu conteúdo, permite permitir ou bloquear crawlers individuais e acompanha o quão bem os crawlers seguem robots.txt. A documentação do Cloudflare lista esse recurso como disponível em todos os planos.
Essas são ferramentas fortes para o trabalho para o qual foram projetadas: decidir na borda qual tráfego automatizado alcança sua origem e seu conteúdo.
Onde cada um roda e onde sua saída aparece
A diferença mais prática é a localização.
Os produtos de bot do Cloudflare rodam na rede do Cloudflare, na frente da sua origem. A saída deles aparece onde os controles do Cloudflare vivem: regras personalizadas do WAF, analytics de bot e, de acordo com a referência de variáveis de bot management do Cloudflare, o objeto request.cf em Cloudflare Workers. Esse é o lugar certo para decidir se uma solicitação deve ser interrompida ou desafiada.
O Proof of Actor roda onde sua lógica de aplicação vive: middleware de Node.js, Next.js, a camada de borda que você controla, um coletor de navegador nas páginas que você aprova, um HTTP API genérico ou seu MCP server. A saída dele aparece no código da sua aplicação como um resultado estruturado e em analytics de atores segmentados por rota e workflow. Veja os caminhos de integração para detalhes.
Essa localização importa para decisões de produto. Seu código sabe a que workflow uma rota pertence, se o seu próprio assistente executou uma ação, se um cliente se identificou e qual é o impacto de negócio daquela rota. Uma decisão por rota como "sirva ao agent verificado o endpoint estruturado, mantenha as pessoas no fluxo normal, rotule envios assistidos por IA" pertence ao lado desse conhecimento. O Proof of Actor coloca o contexto de ator exatamente ali e, como roda na sua stack em vez de na rede de um único provedor, funciona da mesma forma atrás do Cloudflare, de outra CDN ou sem CDN nenhuma.
Pontuações versus uma classe com base
Uma pontuação é uma entrada eficiente para uma regra de proteção: escolha um limiar e aja acima ou abaixo dele. Ela foi projetada para responder quão provável é que uma solicitação tenha sido automatizada.
Decisões de produto precisam de uma resposta mais rica. O Proof of Actor retorna uma de quatro classes:
- Human: sinais observáveis indicam interação dirigida por uma pessoa.
- Human + AI: uma pessoa dirigiu a interação com assistência de IA que foi declarada ou observada por meio de uma integração suportada.
- Agent: interação automatizada ou originada por agent.
- Unknown: a evidência não sustenta uma determinação confiável.
Cada resultado também carrega sua base de evidência: verified, por exemplo uma assinatura HTTP RFC 9421 verificada em relação a uma chave publicada; declared, quando um cliente ou sua aplicação informou isso; inferred, claramente rotulada como inferência; ou unknown. Sua equipe pode ler cada resultado e ver a evidência por trás dele, que é o que você precisa quando a decisão afeta a experiência de um cliente, e não apenas uma superfície de ataque.
Agentes de IA, agents assinados e pessoas assistidas por IA
O Cloudflare investiu em verificação de agents. De acordo com sua documentação em novembro de 2026, o Cloudflare oferece suporte a Web Bot Auth, um método de autenticação que usa assinaturas criptográficas em mensagens HTTP, com base em RFC 9421, para verificar bots e agents. A documentação descreve um sinal de signed agent, exposto como o campo cf.bot_management.signed_agent para clientes Enterprise com Bot Management, e a partir de 1 de julho de 2026 um campo de acesso Direct versus Intermediary que distingue bots de operador único de serviços agentic que muitos usuários finais podem operar. O Cloudflare também oferece políticas de acesso para crawlers e agents de IA em todos os planos.
O Proof of Actor trata solicitações assinadas como uma parte de um quadro mais amplo. Quando uma solicitação carrega um HTTP Message Signature válido verificado em relação a uma chave publicada, o resultado é Agent com uma base verified, entregue diretamente ao seu manipulador de rota. O guia sobre verificação de solicitações de agent assinadas mostra o fluxo. Uma assinatura válida prova qual chave assinou a solicitação, não o que esse agent está autorizado a fazer, então a autorização continua na sua aplicação, onde ela pertence.
A diferença maior são as pessoas no meio. Alguns dos seus usuários trabalham com um assistente de IA ao lado deles: redigindo tickets de suporte, preenchendo formulários, avançando no onboarding. A pontuação de bot na borda foi criada para separar automação de pessoas e não tem motivo para destacar esse grupo. Seu produto muitas vezes tem. O Proof of Actor reporta Human + AI como sua própria classe, somente quando a assistência é declarada ou observada por meio de uma integração suportada, para que você possa rotular envios redigidos por IA, medir como usuários assistidos por IA avançam em um workflow ou oferecer a eles um caminho mais fluido. Leia mais na entrada de glossário interação assistida por IA.
Unknown é um resultado, não um limiar
Todo sistema de detecção encontra tráfego que não consegue explicar. Na borda, o tráfego incerto é tratado pela regra sob a qual a pontuação cai. Isso mantém a proteção consistente em toda uma zona.
Dentro de uma aplicação, uma única configuração raramente serve para todas as rotas. Uma solicitação incerta para uma página pública de documentação e uma solicitação incerta para alterar credenciais da conta merecem tratamentos diferentes. O Proof of Actor retorna Unknown como um resultado de primeira classe, acompanha sua taxa de Unknown ao longo do tempo e permite que você escolha o fallback por rota: permitir em conteúdo público, manter as verificações existentes em alterações de conta, enviar para revisão em ações de alto impacto. O guia sobre como lidar com tráfego Unknown cobre os padrões, e a entrada classificação Unknown explica por que um Unknown honesto é melhor do que um palpite forçado.
MCP servers e APIs
O Cloudflare protege MCP servers e APIs da mesma forma que protege qualquer tráfego HTTP que passa pela sua rede. Isso é valioso, e acontece antes que a solicitação chegue ao seu serviço.
O que um MCP server ou API normalmente precisa em seguida é contexto do chamador dentro do handler: qual agent está chamando essa tool, essa identidade é verificada ou apenas declarada, e essa chamada de tool deve ser permitida, adaptada, limitada por taxa ou enviada para revisão. O Proof of Actor oferece uma integração de MCP server e um HTTP API genérico para que esse contexto chegue ao mesmo lugar onde a lógica da tool ou do endpoint é executada. Veja identificação do chamador em MCP server e o caso de uso de APIs para exemplos.
Como usar os dois juntos
A configuração mais forte dá a cada ferramenta sua própria camada:
- Na borda, o Cloudflare absorve ataques, desafia automação abusiva, verifica bots conhecidos e aplica suas policies de crawler de IA.
- Na sua aplicação, o Proof of Actor classifica o tráfego que chega como Human, Human + AI, Agent ou Unknown, com uma base.
- No seu código, as policies por rota usam esse contexto para permitir, adaptar, desafiar, enviar para revisão ou aplicar rate-limit, com um fallback explícito para Unknown.
- No seu analytics, equipes de produto e segurança veem quais rotas e workflows cada classe de ator usa.
O Proof of Actor começa em modo de observação, então adicioná-lo atrás do Cloudflare não muda nada no primeiro dia. Você vê sua composição real de atores, pré-visualiza uma policy contra tráfego ao vivo e aplica enforcement em uma rota por vez. O guia sobre implantar policies conscientes de ator com segurança mostra o passo a passo. O Proof of Actor não faz verificações de identidade, KYC ou biometria; ele informa quem ou o que está agindo e deixa a decisão com você.
Quando escolher cada um
Escolha os produtos de bot do Cloudflare quando sua necessidade principal for proteção de borda: interromper automação abusiva antes que ela alcance sua origem, desafiar tráfego suspeito em uma zona inteira e controlar como os crawlers de IA acessam seu conteúdo.
Escolha o Proof of Actor quando sua necessidade principal for contexto de ator no nível da aplicação: saber se pessoas, pessoas assistidas por IA ou agents usam cada rota, ver a evidência por trás de cada resultado, lidar com Unknown de forma deliberada, dar contexto do chamador a handlers de MCP server e API, e escrever policies de produto por rota que funcionem independentemente da sua CDN.
Se você opera um site em produção, uma API ou um MCP server, provavelmente precisa das duas respostas, e é por isso que as duas soluções convivem bem na mesma stack. Para a comparação mais ampla da categoria, veja Proof of Actor vs bot management.
Comece agora
O Proof of Actor está em beta privado. Por meio do founding developer program, equipes selecionadas podem receber até 12 months free dentro de limites de uso acordados, sem cobrança automática. Solicite acesso antecipado e diga qual application, API ou MCP server você quer entender primeiro.
Os detalhes do produto sobre o Cloudflare nesta página são baseados na documentação pública do Cloudflare, incluindo a referência de bot score e a referência de Web Bot Auth, a visão geral de proteção contra DDoS e a visão geral de WAF, em novembro de 2026.
Cloudflare é uma marca registrada da Cloudflare, Inc.