Cloudflare стоит перед большой частью web. Для многих команд это CDN, DNS provider, firewall и первая линия defense от вредоносной автоматизации, все в одном месте. Его bot products созданы именно для этой роли: они видят traffic рано, решают, нужно ли его challenge или остановить, и дают владельцам site контроль над тем, как crawlers, включая AI crawlers, обращаются к их content.
Ваш application должен отвечать на другой вопрос. Когда request уже прошел edge, вашему code нужно знать, кто или что действует, чтобы выбрать правильный experience. Это человек, человек с AI-assistant, agent, действующий от имени customer, или что-то, что evidence не может объяснить? И насколько уверенным должен быть ваш code?
Именно для этого создан Proof of Actor. Это сфокусированный layer на уровне application, который возвращает class actor с явной evidence basis и передает его в code, который принимает решение. На этой странице мы сравниваем оба решения объективно, опираясь на собственную документацию Cloudflare на ноябрь 2026 года, чтобы вы могли увидеть, где уместно каждое из них.
Кратко
| Бот-продукты Cloudflare | Proof of Actor | |
|---|---|---|
| Для чего создано | Защита инфраструктуры и content на edge | Предоставление вашему application контекста actor для product и policy-решений |
| Где работает | Edge network Cloudflare, перед вашим origin | Ваш server, edge layer, одобренные browser pages, HTTP API или MCP server |
| Основной результат | Challenges и rule actions; для Enterprise Bot Management - bot score от 1 до 99 и bot fields | Human, Human + AI, Agent или Unknown, плюс basis: verified, declared, inferred или unknown |
| Куда попадает результат | Правила Cloudflare, analytics и Workers | Код вашего application и analytics actor по route и workflow |
| Люди с AI-помощью | Не отдельная категория в bot score | Собственный класс, Human + AI, если он declared или observed через поддерживаемую integration |
| Неясный traffic | Оценивается и обрабатывается правилами edge | Unknown как результат первого класса с fallback, который вы задаете для каждого route |
| Подписанные agents | Проверка Web Bot Auth и signed agent signals | Проверки подписи RFC 9421, сообщаемые вашему code как verified basis |
| MCP servers и API callers | Защищаются как HTTP traffic на edge | Context caller внутри server, который обрабатывает tool call или API request |
| Зависимость от CDN | Применяется к traffic, который проходит через network Cloudflare | Независимо от того, какой CDN вы используете, если используете его вообще |
| По умолчанию после установки | Зависит от продукта и включенных настроек | Observation mode; ничего не меняется, пока вы не добавите policy |
Дальше на странице поясняется каждая строка.
Ищете альтернативу Cloudflare Bot Management для трафика AI-agents?
Большинство команд, которые ищут альтернативу, недовольны не edge. У них появился новый вопрос, на который edge не был рассчитан: AI agent, человек с AI-помощью и обычный visitor одновременно обращаются к одной и той же форме регистрации, API route или MCP tool, а продукту нужно обращаться с ними по-разному. Вот простое разделение.
Где Proof of Actor заменяет решение. Если вы уже используете bot scores или bot fields, чтобы управлять поведением product, например помечаете отправки, подготовленные AI, направляете agents на структурированный endpoint или выбираете fallback для неясных callers в конкретном workflow, Proof of Actor лучше подходит для этой задачи. Он возвращает class actor - Human, Human + AI, Agent или Unknown - с basis доказательств прямо в code вашего application. Решение о routing и policy переносится в code, который уже знает, что делает каждый route, и это работает одинаково с любым CDN.
Где Proof of Actor дополняет Cloudflare. Proof of Actor не является network security product. Согласно документации Cloudflare на ноябрь 2026 года, его DDoS protection автоматически обнаруживает и смягчает атаки и доступна на всех планах, а его Web Application Firewall проверяет входящие web и API requests по управляемым и пользовательским rules. Этот layer нужен. Объемные атаки, попытки эксплуатации и вредоносная автоматизация должны быть остановлены до того, как дойдут до вашего origin, и Proof of Actor не пытается делать это.
Поэтому прямой ответ на вопрос «это альтернатива?» такой: да - для классификации actor и per-route routing в вашем app, и нет - для защиты edge от DDoS и WAF. Большинство production-команд в итоге используют оба layer, и каждый выполняет свою задачу.
Для чего созданы бот-продукты Cloudflare
Согласно документации Cloudflare на ноябрь 2026 года, она предлагает три bot-specific продукта:
- Bot Fight Mode, доступный на плане Free, который challenge обнаруженный bot traffic по всему domain одним переключателем.
- Super Bot Fight Mode, для планов Pro, Business и Enterprise без add-on Bot Management, который добавляет настраиваемые actions для каждой bot category.
- Bot Management for Enterprise, который добавляет bot scores на каждый request, custom rules, per-endpoint обработку и подробную analytics.
Bot score - по словам Cloudflare - это score от 1 до 99, который показывает, насколько вероятно, что request пришел от bot: 1 означает высокую уверенность, что request был автоматизирован, а 99 означает высокую уверенность, что он пришел от человека. В документации Cloudflare указано, что детализированные scores доступны клиентам Enterprise, которые приобрели Bot Management, тогда как другие планы видят сгруппированные результаты вроде automated, likely automated, likely human и verified bot. Scores можно использовать в custom rules WAF, чтобы block, challenge или allow requests, а также они доступны в Workers.
Cloudflare также поддерживает verified bots, которые в документации описаны как bots или agents, открыто сообщающие, кто они и что делают, например поисковые crawlers, monitoring services и user-driven agents. Проверка опирается на такие методы, как подпись Web Bot Auth или IP validation, а также на ненавязчивое поведение.
Для AI traffic отдельно у Cloudflare есть AI Crawl Control, который дает владельцам site видимость того, какие AI services обращаются к их content, позволяет allow или block отдельные crawlers и отслеживает, насколько хорошо crawlers соблюдают robots.txt. В документации Cloudflare он указан как доступный на всех планах.
Это сильные tools для своей задачи: решать на edge, какой автоматизированный traffic может дойти до вашего origin и вашего content.
Где работает каждое решение и куда попадает его результат
Самое практичное различие - в расположении.
Бот-продукты Cloudflare работают в network Cloudflare, перед вашим origin. Их результат попадает туда, где живут controls Cloudflare: custom rules WAF, bot analytics и, согласно справочнику variables для bot management Cloudflare, object request.cf в Cloudflare Workers. Это правильное место, чтобы решить, нужно ли request остановить или challenge.
Proof of Actor работает там, где живет логика вашего application: middleware Node.js, Next.js, edge layer, который вы контролируете, browser collector на страницах, которые вы одобрили, универсальный HTTP API или ваш MCP server. Его результат попадает в code вашего application как структурированный результат и в analytics actor, разбитую по route и workflow. Подробности см. в integration paths.
Это расположение важно для product decisions. Ваш code знает, к какому workflow относится route, выполнял ли action ваш собственный assistant, объявил ли клиент свою identity и каково business impact этого route. Решение на уровне route вроде «отдать verified agent структурированный endpoint, оставить людей на обычном flow, пометить отправки с AI-помощью» должно находиться рядом с этим знанием. Proof of Actor помещает context actor именно туда, и поскольку он работает в вашем stack, а не в network одного provider, он работает одинаково за Cloudflare, за другим CDN или без CDN вообще.
Scores versus class с basis
Score - это эффективный input для rule защиты: выберите threshold и действуйте выше или ниже него. Он предназначен для ответа на вопрос, насколько вероятно, что request автоматизирован.
Product decisions требуют более богатого ответа. Proof of Actor возвращает один из четырех classes:
- Human: наблюдаемые signals указывают на interaction, которым управляет человек.
- Human + AI: человек управлял interaction с помощью AI-assistance, который был declared или observed через поддерживаемую integration.
- Agent: automated или agent-origin interaction.
- Unknown: evidence не поддерживают надежное определение.
Каждый результат также содержит свой evidence basis: verified, например RFC 9421 HTTP Message Signature, проверенная по опубликованному key; declared, если это сообщил client или ваш application; inferred, явно помеченное как inference; или unknown. Ваша team может читать каждый result и видеть evidence за ним - это именно то, что нужно, когда решение влияет на experience customer, а не только на attack surface.
AI agents, signed agents и люди с AI-помощью
Cloudflare инвестировала в проверку agents. Согласно ее документации на ноябрь 2026 года, Cloudflare поддерживает Web Bot Auth - method authentication, который использует cryptographic signatures в HTTP messages, основанные на RFC 9421, для проверки bots и agents. В документации описан сигнал signed agent, который для клиентов Enterprise с Bot Management предоставляется в поле cf.bot_management.signed_agent, а с 1 июля 2026 года - поле Direct versus Intermediary access, различающее bots с одним оператором и agentic services, которыми могут пользоваться многие end users. Cloudflare также предлагает политики доступа для AI crawler и agents на всех планах.
Proof of Actor рассматривает signed requests как одну часть более общей картины. Когда request содержит valid HTTP Message Signature, проверенную по опубликованному key, результат - Agent с basis verified, который напрямую передается вашему route handler. В руководстве по verifying signed agent requests показан этот flow. Valid signature подтверждает, какой key подписал request, но не то, на что этот agent authorized, поэтому authorization остается в вашем application, где ей и место.
Более важное различие - это люди посередине. Некоторые ваши users работают рядом с AI assistant: составляют support tickets, заполняют forms, проходят onboarding. Edge bot scoring создан, чтобы отличать automation от people, и у него нет причины выделять эту группу отдельно. Ваш product часто это делает. Proof of Actor сообщает Human + AI как отдельный class, только когда assistance declared или observed через поддерживаемую integration, чтобы вы могли помечать отправки, созданные с AI, измерять, как users с AI-помощью проходят workflow, или давать им более плавный путь. Подробнее см. в глоссарии AI-assisted interaction.
Unknown - это результат, а не threshold
Любая system обнаруживает traffic, который не может объяснить. На edge неясный traffic обрабатывается по тому rule, под который попадает score. Это обеспечивает единообразную protection для всей zone.
Внутри application одна настройка редко подходит для каждого route. Неясный request к public documentation page и неясный request на изменение учетных credentials заслуживают разного handling. Proof of Actor возвращает Unknown как результат первого класса, отслеживает вашу Unknown rate во времени и позволяет выбрать fallback для каждого route: разрешить на public content, оставить существующие checks на account changes, отправить на review для high-impact actions. Руководство по handling Unknown traffic описывает эти patterns, а запись Unknown classification объясняет, почему честный Unknown лучше, чем вынужденная guess.
MCP servers и APIs
Cloudflare защищает MCP servers и APIs так же, как и любой HTTP traffic, проходящий через ее network. Это ценно, и это происходит до того, как request достигает вашего service.
Что MCP server или API обычно нужно дальше - так это context caller внутри handler: какой agent вызывает этот tool, подтверждена ли эта identity или она только declared, и следует ли разрешить этот tool call, адаптировать его, rate-limit или отправить на review. Proof of Actor поставляется с integration для MCP server и универсальным HTTP API, чтобы context поступал туда, где выполняется логика tool или endpoint. См. MCP server caller identification и кейс APIs use case с примерами.
Как использовать оба решения вместе
Наиболее сильная схема дает каждому tool свой layer:
- На edge Cloudflare поглощает атаки, challenge для вредоносной автоматизации, проверяет известных bots и применяет ваши policies для AI crawler.
- В вашем application Proof of Actor классифицирует traffic, который доходит до вас, как Human, Human + AI, Agent или Unknown, с basis.
- В вашем code per-route policies используют этот context, чтобы allow, adapt, challenge, отправлять на review или rate-limit, с явным fallback для Unknown.
- В analytics команды product и security видят, какие routes и workflows использует каждый class actor.
Proof of Actor начинает в observation mode, поэтому добавление его за Cloudflare в первый день ничего не меняет. Вы видите реальную смесь actor, preview policy на живом traffic и включаете enforcement по одному route за раз. Руководство по safe rollout actor-aware policies описывает этот процесс. Proof of Actor не выполняет identity checks, KYC или biometrics; он сообщает, кто или что действует, и оставляет decision вам.
Когда что выбирать
Выбирайте бот-продукты Cloudflare, когда ваша главная потребность - защита edge: остановить вредоносную автоматизацию до того, как она достигнет вашего origin, challenge подозрительный traffic по всей zone и контролировать, как AI crawlers получают доступ к вашему content.
Выбирайте Proof of Actor, когда ваша главная потребность - контекст actor на уровне application: понимать, используют ли каждый route люди, люди с AI-помощью или agents, видеть evidence за каждым result, намеренно обрабатывать Unknown, давать handler MCP server и API caller context и писать per-route product policies, которые работают независимо от вашего CDN.
Если вы управляете production website, API или MCP server, вам, скорее всего, нужны оба ответа, и именно поэтому оба решения удобно работают в одном stack. Для более широкого сравнения категорий см. Proof of Actor vs bot management.
Начать
Proof of Actor находится в private beta. В рамках founding developer program отобранные teams могут получить до 12 месяцев бесплатно в пределах согласованных limits использования, без автоматического billing. Подайте заявку на ранний доступ и расскажите, какой application, API или MCP server вы хотите понять первым.
Сведения о продукте Cloudflare на этой странице основаны на публичной документации Cloudflare, включая bot score reference и Web Bot Auth reference, DDoS protection overview и WAF overview, по состоянию на ноябрь 2026 года.
Cloudflare является товарным знаком Cloudflare, Inc.