Web Bot Auth

Web Bot Auth என்றால் என்ன

Web Bot Auth என்பது தானியங்கி web traffic ஐ அங்கீகரிப்பதற்கான IETF working group மற்றும் அதன் Internet-Draft பணியின் பெயர். கருத்து எளிதானது: crawlers, AI assistants மற்றும் autonomous agents தங்கள் HTTP கோரிக்கைகளில் HTTP Message Signatures (RFC 9421) பயன்படுத்தி கையொப்பமிடுகின்றன, மேலும் அந்த கையொப்பங்களை சரிபார்க்கும் public keys ஐ தாங்கள் கட்டுப்படுத்தும் ஒரு identifier கீழ் வெளியிடுகின்றன. இதன் மூலம் ஒரு website, யார் வேண்டுமானாலும் நகலெடுக்கக்கூடிய user-agent string மீது நம்பிக்கை வைப்பதற்குப் பதிலாக, கோரிக்கை உண்மையில் அது பெயரிடும் operator இடமிருந்து வந்ததா என்பதை உறுதிப்படுத்த முடியும். இது product team க்கு என்ன பொருள் என்பதற்கு Web Bot Auth for product teams ஐப் பார்க்கவும்; செயல்படுத்தும் படிகளுக்கு how to verify signed AI agent requests வழிகாட்டியைப் பார்க்கவும்.

November 2026 நிலவரப்படி, working group இன் முக்கிய ஆவணம் draft-ietf-webbotauth-httpsig-protocol ஆகும். இது in-band key discovery க்கான Signature-Agent header, JSON Web Key Sets அடிப்படையிலான key directory format, மற்றும் அந்த directory வழங்கப்படும் well-known URI ஆகியவற்றை வரையறுக்கிறது. working group documents page தொடர்புடைய தனிப்பட்ட drafts உடன் இதையும் பட்டியலிடுகிறது. இவை Internet-Drafts என்பதால், இவை பணிநடைப் பொருட்கள். keys எவ்வாறு கண்டறியப்படுகின்றன, எந்த request components கையொப்பமிடப்பட வேண்டும், operator தகவலை எந்த headers எடுத்துச்செல்ல வேண்டும் போன்ற விவரங்கள் version க்களுக்கு இடையில் மாறலாம். Implementers snapshot களை விட தற்போதைய drafts ஐத் தொடர்ந்து பார்க்க வேண்டும்.

இது ஏன் முக்கியம்

Websites மற்றும் APIs நீண்ட காலமாக user-agent strings மற்றும் IP ranges மூலம் bots ஐ அடையாளம் கண்டுள்ளன. இரண்டுக்கும் வரம்புகள் உள்ளன: user-agent strings ஐ எளிதாக spoof செய்யலாம் (user-agent spoofing ஐப் பார்க்கவும்), மேலும் IP ranges மாறிக்கொண்டே இருக்கும் மற்றும் cloud providers முழுவதும் பகிரப்படும். AI agents மக்கள் சார்பாக browse செய்ய, APIs ஐ call செய்ய, MCP servers ஐ பயன்படுத்தத் தொடங்கும்போது, ஒத்துழைக்கும் தானியங்கி clients ஐ பெயரற்றவற்றிலிருந்து வேறுபடுத்த applications க்கு இன்னும் வலுவான முறை தேவைப்படுகிறது.

கையொப்பமிடப்பட்ட கோரிக்கைகள் அந்த வலுவான அடித்தளத்தை அளிக்கின்றன. சரிபார்க்கப்பட்ட signature, ஒரு application க்கு அறியப்பட்ட operator ஐ ஒரே மாதிரியாக அடையாளம் காண, மனிதருக்கென வடிவமைக்கப்பட்ட interface க்கு பதிலாக கட்டமைக்கப்பட்ட பாதையை வழங்க, மற்றும் அதன் activity ஐ துல்லியமாக அளவிட உதவுகிறது.

இது உயர்நிலையில் எப்படி செயல்படுகிறது

1. Operator ஒரு key pair ஐ உருவாக்கி, அதன் identity உடன் இணைக்கப்பட்ட இடத்தில் public key ஐ வெளியிடுகிறது, பொதுவாக அதன் domain கீழுள்ள http-message-signatures-directory well-known path இல்.
2. ஒவ்வொரு கோரிக்கையிலும் தேர்ந்தெடுக்கப்பட்ட request components ஐ உள்ளடக்கும் Signature-Input மற்றும் Signature headers, மேலும் ஒரு key identifier, மற்றும் key directory ஐச் சுட்டும் ஒரு Signature-Agent header இருக்கும்.
3. பெறும் site operator வெளியிட்ட keys ஐ fetch செய்யவோ அல்லது cache செய்யவோ செய்து, signature base ஐ மீண்டும் உருவாக்கி, signature ஐ verify செய்கிறது.
4. வெற்றியடைந்தால், அந்த key க்கு உரிய holder, அந்த வெளியிடப்பட்ட identifier உடன் தொடர்புடையவரே இந்த கோரிக்கையை உருவாக்கினார் என்பதை site அறியும்.

இது எதை நிறுவுகிறது, எதை நிறுவாது

Web Bot Auth signature தானியங்கி client ஐ authenticate செய்கிறது. ஆனால் இது பின்வருவனவற்றிற்கு பதில் அளிக்காது:

• operator கேட்டதைச் செய்ய அனுமதி பெற்றுள்ளாரா என்பதை (agent authorization),
• ஒரு நபர் அந்த செயலுக்கு அறிவுறுத்தினாரா அல்லது ஒப்புதல் அளித்தாரா என்பதை (delegated authority),
• அந்த செயல் பாதுகாப்பானதா அல்லது திரும்ப வரும் content பொருத்தமாக பயன்படுத்தப்படுமா என்பதையும்.

அவை பெறும் application's own authentication, authorization மற்றும் policy முடிவுகளாகவே இருக்கும். what signed AI agent requests prove, and what they don't என்ற எங்கள் blog post இந்த எல்லையை ஆராய்கிறது.

பொதுவான தவறான புரிதல்கள்

• "விரைவில் ஒவ்வொரு bot-மும் கையொப்பமிடும்." Adoption client தோறும் வளர்கிறது. Applications நீண்ட காலத்திற்கு signed, declared மற்றும் anonymous traffic கலவையையே காணும், எனவே ஒவ்வொன்றையும் கையாள தெளிவான வழி தேவை.
• "ஒரு signature bot ஐ நல்லதாக்குகிறது." அது bot ஐ அறியத்தக்கதாக ஆக்குகிறது. அறியத்தக்கது என்பது policy க்கான தொடக்கப் புள்ளி, policy தானல்ல.
• "இந்த draft இறுதியானது." இது வளர்ந்து கொண்டிருக்கும் Internet-Draft. தற்போதைய உரையை அடிப்படையாகக் கொண்டு உருவாக்குங்கள், திருத்தங்களை எதிர்பாருங்கள்.

Proof of Actor இதனுடன் எப்படி தொடர்புபடுகிறது

Proof of Actor ஒரு சரிபார்க்கப்பட்ட signature ஐ basis verified உடைய evidence ஆகக் கருதுகிறது, அது நிரூபிக்கும் key மற்றும் identifier க்கு வரம்புப்படுத்தப்பட்டதாக. அது இதை declared names மற்றும் inferred signals இலிருந்து தனியாக வைத்திருக்கிறது, மேலும் அடையாளத்தை அனுமதியாக மாற்றாது. இந்த standards முதிரும் நிலையில் signed requests ஐ verify செய்ய Proof of Actor வடிவமைக்கப்பட்டுள்ளது; Route இல் உள்ள உங்கள் சொந்த policies ஒரு verified agent என்ன செய்யலாம் என்பதை தீர்மானிக்கின்றன.

இது APIs மற்றும் MCP servers இல் எப்படி பொருந்துகிறது என்பதைப் பாருங்கள், அல்லது apply for early access செய்யவும்.

Sources

• IETF Web Bot Auth working group: charter, chairs மற்றும் status
• Web Bot Auth working group documents: current working group மற்றும் தொடர்புடைய drafts
• draft-ietf-webbotauth-httpsig-protocol: Signature-Agent, JWKS key directory மற்றும் அதன் well-known URI (November 2026 நிலவரப்படி work in progress)
• RFC 9421: HTTP Message Signatures: Web Bot Auth அடிப்படையாகக் கொண்ட signature standard