Web Bot Auth

Web Bot Auth అంటే ఏమిటి

Web Bot Auth అనేది ఆటోమేటెడ్ వెబ్ ట్రాఫిక్‌ను ధృవీకరించడానికి ఉన్న IETF వర్కింగ్ గ్రూప్ మరియు దాని Internet-Draft పనికి ఉన్న పేరు. భావన సరళం: క్రాలర్‌లు, AI అసిస్టెంట్‌లు మరియు స్వయంచాలక ఏజెంట్‌లు తమ HTTP అభ్యర్థనలను HTTP Message Signatures (RFC 9421) ఉపయోగించి సంతకం చేస్తాయి, మరియు ఆ సంతకాలను ధృవీకరించే పబ్లిక్ కీలు తాము నియంత్రించే గుర్తింపుదారులో ప్రచురిస్తాయి. అప్పుడు ఒక వెబ్‌సైట్, ఎవరైనా కాపీ చేయగల user-agent string‌పై ఆధారపడకుండా, ఆ అభ్యర్థన నిజంగా తాను పేర్కొన్న ఆపరేటర్ నుంచే వచ్చిందో లేదో నిర్ధారించగలదు. ఇది ఒక ప్రాడక్ట్ టీమ్‌కు ఏమి సూచిస్తుందో తెలుసుకోవడానికి Web Bot Auth for product teams చూడండి; అమలు దశల కోసం how to verify signed AI agent requests గైడ్ చూడండి.

November 2026 నాటికి, వర్కింగ్ గ్రూప్ యొక్క ప్రధాన డాక్యుమెంట్ draft-ietf-webbotauth-httpsig-protocol. ఇది in-band key discovery కోసం ఒక Signature-Agent header, JSON Web Key Sets ఆధారిత key directory format, మరియు ఆ directory అందుబాటులో ఉండే well-known URIని నిర్వచిస్తుంది. working group documents page సంబంధిత individual drafts‌తో పాటు దీన్నీ జాబితా చేస్తుంది. ఇవి Internet-Drafts కాబట్టి, ఇవి ఇంకా పనిలో ఉన్న దశలో ఉన్నాయి. keys ఎలా discover అవుతాయి, ఏ request components తప్పనిసరిగా సంతకం చేయాలి, ఏ headers operator సమాచారాన్ని మోస్తాయి వంటి వివరాలు versionల మధ్య మారవచ్చు. Implementers ఏ snapshot‌కన్నా ప్రస్తుత drafts‌ను అనుసరించాలి.

ఇది ఎందుకు ముఖ్యమో

వెబ్‌సైట్‌లు మరియు APIs చాలా కాలంగా bots‌ను user-agent strings మరియు IP ranges ద్వారా గుర్తిస్తున్నాయి. రెండింటికీ పరిమితులు ఉన్నాయి: user-agent strings‌ను సులభంగా spoof చేయవచ్చు (చూడండి user-agent spoofing), మరియు IP ranges మారిపోతుంటాయి, అలాగే cloud providers అంతటా పంచుకోబడతాయి. AI agent‌లు ప్రజల తరఫున బ్రౌజ్ చేయడం, APIs‌ను పిలవడం, మరియు MCP servers ఉపయోగించడం మొదలుపెట్టినప్పుడు, అనామక క్లయింట్‌ల నుండి సహకరిస్తున్న ఆటోమేటెడ్ క్లయింట్‌లను వేరు చేయడానికి అప్లికేషన్‌లకు మరింత బలమైన మార్గం అవసరం.

సంతకం చేసిన అభ్యర్థనలు ఆ మరింత బలమైన పునాదిని ఇస్తాయి. ఒక ధృవీకరించిన signature ద్వారా అప్లికేషన్ తెలిసిన ఆపరేటర్‌ను స్థిరంగా గుర్తించగలదు, మనిషి-ఆకారంలోని interface బదులు నిర్మిత మార్గాన్ని ఇవ్వగలదు, మరియు దాని కార్యకలాపాలను ఖచ్చితంగా కొలవగలదు.

ఇది ఉన్నత స్థాయిలో ఎలా పనిచేస్తుంది

1. ఆపరేటర్ ఒక key pair‌ను తయారు చేసి, తన గుర్తింపుతో అనుసంధానమైన స్థానంలో public key‌ను ప్రచురిస్తాడు, సాధారణంగా తన domain కింద ఉన్న http-message-signatures-directory well-known pathలో.
2. ప్రతి request‌లో ఎంపిక చేసిన request components‌ను కవర్ చేసే Signature-Input మరియు Signature headers, plus ఒక key identifier, మరియు key directoryని సూచించే ఒక Signature-Agent header ఉంటాయి.
3. అభ్యర్థనను స్వీకరించిన site ఆపరేటర్ ప్రచురించిన keys‌ను fetch చేయడం లేదా cache చేయడం, signature base‌ను మళ్లీ నిర్మించడం, మరియు signature‌ను verify చేయడం చేస్తుంది.
4. విజయవంతమైతే, ఆ అభ్యర్థన ఆ ప్రచురించిన గుర్తింపుదారుకు అనుసంధానమైన ఆ keyను కలిగిన వ్యక్తి ద్వారా తయారైందని siteకు తెలుస్తుంది.

ఇది ఏమి నిర్ధారిస్తుంది, ఏమి నిర్ధారించదో

Web Bot Auth signature ఆటోమేటెడ్ క్లయింట్‌ను authenticate చేస్తుంది. కానీ ఇది ఈ ప్రశ్నలకు సమాధానం ఇవ్వదు:

• ఆపరేటర్ అడుగుతున్నదాన్ని చేయడానికి అనుమతి ఉందా అనే విషయం (agent authorization),
• ఒక వ్యక్తి ఆ చర్యను సూచించాడా లేదా ఆమోదించాడా అనే విషయం (delegated authority),
• ఆ చర్య సురక్షితమా లేదా తిరిగి వచ్చిన content తగిన విధంగా ఉపయోగించబడుతుందా అనే విషయం.

ఇవి స్వీకరించే అప్లికేషన్ యొక్క స్వంత authentication, authorization మరియు policy పరిధిలోనే నిర్ణయించాల్సిన అంశాలు. మా బ్లాగ్ పోస్టు what signed AI agent requests prove, and what they don't ఈ సరిహద్దును వివరంగా పరిశీలిస్తుంది.

సాధారణ అపోహలు

• "త్వరలో ప్రతి bot సంతకం చేస్తుంది." స్వీకరణ client నుంచి clientకు పెరుగుతుంది. అప్లికేషన్‌లు చాలా కాలం పాటు signed, declared మరియు anonymous traffic మిశ్రమాన్ని చూస్తాయి, కాబట్టి ప్రతి ఒక్కదాన్ని నిర్వహించడానికి స్పష్టమైన మార్గం అవసరం.
• "ఒక signature botను మంచిదిగా మార్చుతుంది." అది bot‌ను తెలిసినదిగా చేస్తుంది. తెలిసినదనే విషయం policyకి ప్రారంభ స్థానం, policy కాదు.
• "ఈ draft తుది రూపం." ఇది మారుతూ ఉండే Internet-Draft. ప్రస్తుత text‌పై build చేయండి, మరియు revisions ఉంటాయని భావించండి.

Proof of Actor దీనితో ఎలా సంబంధం కలిగి ఉంది

Proof of Actor ధృవీకరించిన signature‌ను verified basisతో evidenceగా పరిగణిస్తుంది, అది నిరూపించే key మరియు identifierకు పరిమితం చేస్తుంది. అది declared పేర్లు మరియు inferred signals నుండి దాన్ని వేరుగా ఉంచుతుంది, మరియు identityని permissionగా ఎప్పుడూ మార్చదు. ఈ standards పరిపక్వమవుతున్న కొద్దీ signed requests‌ను verify చేయడానికి Proof of Actor రూపొందించబడింది; Routeలోని మీ own policies ఒక verified agent ఏమి చేయగలదో నిర్ణయిస్తాయి.

ఇది APIs మరియు MCP serversలో ఎలా సరిపోతుందో చూడండి, లేదా apply for early access చేయండి.

మూలాలు

• IETF Web Bot Auth working group: charter, chairs మరియు status
• Web Bot Auth working group documents: ప్రస్తుత వర్కింగ్ గ్రూప్ మరియు సంబంధిత drafts
• draft-ietf-webbotauth-httpsig-protocol: Signature-Agent, JWKS key directory మరియు దాని well-known URI (November 2026 నాటికి పనిలో ఉన్నది)
• RFC 9421: HTTP Message Signatures: Web Bot Auth ఆధారపడే signature standard