Web Bot Auth

Web Bot Auth คืออะไร

Web Bot Auth คือชื่อของ กลุ่มทำงานของ IETF และงาน Internet-Draft ของกลุ่มนี้เกี่ยวกับการยืนยันตัวตนของทราฟฟิกเว็บจากระบบอัตโนมัติ แนวคิดนั้นตรงไปตรงมา: crawler, ผู้ช่วย AI และเอเจนต์อัตโนมัติเซ็นคำขอ HTTP ของตนโดยใช้ HTTP Message Signatures (RFC 9421) และเผยแพร่คีย์สาธารณะที่ใช้ตรวจสอบลายเซ็นเหล่านั้นภายใต้ตัวระบุที่ควบคุมเอง เว็บไซต์จึงสามารถยืนยันได้ว่าคำขอมาจากผู้ดำเนินการที่ระบุจริง ไม่ใช่พึ่งพา user-agent string ที่ใครก็ลอกได้ สำหรับความหมายของเรื่องนี้ต่อทีมผลิตภัณฑ์ ดู Web Bot Auth สำหรับทีมผลิตภัณฑ์; สำหรับขั้นตอนการนำไปใช้ ดูคู่มือ วิธีตรวจสอบคำขอของเอเจนต์ AI ที่ลงลายเซ็นแล้ว.

ณ เดือนพฤศจิกายน 2026 เอกสารหลักของกลุ่มทำงานคือ draft-ietf-webbotauth-httpsig-protocol ซึ่งกำหนด header Signature-Agent สำหรับการค้นหาคีย์แบบ in-band รูปแบบไดเรกทอรีคีย์ที่อิง JSON Web Key Sets และ URI well-known ที่ใช้ให้บริการไดเรกทอรีนั้น หน้ารายการเอกสารของกลุ่มทำงาน แสดงเอกสารนี้ควบคู่กับ draft อื่นที่เกี่ยวข้อง เอกสารเหล่านี้เป็น Internet-Drafts ซึ่งหมายความว่ายังอยู่ระหว่างพัฒนา รายละเอียดอย่างวิธีค้นหาคีย์ ส่วนประกอบของคำขอที่ต้องลงลายเซ็น และ header ที่ใช้ส่งข้อมูลของผู้ดำเนินการ อาจเปลี่ยนได้ระหว่างเวอร์ชัน ผู้พัฒนาควรติดตาม draft ปัจจุบัน ไม่ใช่ snapshot ใดๆ

ทำไมเรื่องนี้จึงสำคัญ

เว็บไซต์และ API ใช้ user-agent string และช่วง IP ในการระบุบอทมานานแล้ว แต่ทั้งสองวิธีมีข้อจำกัด: user-agent string ปลอมได้ง่ายมาก (ดู user-agent spoofing) และช่วง IP เปลี่ยนแปลงได้และถูกแชร์ข้ามผู้ให้บริการคลาวด์ เมื่อเอเจนต์ AI เริ่มเข้ามาเรียกดูเว็บไซต์ เรียกใช้ API และใช้ MCP servers ในนามของผู้คน แอปพลิเคชันจึงต้องมีวิธีที่แข็งแรงกว่านี้เพื่อแยกไคลเอนต์อัตโนมัติที่ร่วมมือกันออกจากไคลเอนต์ที่ไม่ระบุตัวตน

คำขอที่ลงลายเซ็นแล้วช่วยให้มีฐานที่แข็งแรงกว่านี้ ลายเซ็นที่ตรวจสอบแล้วทำให้แอปพลิเคชันรับรู้ผู้ดำเนินการที่รู้จักได้อย่างสม่ำเสมอ ส่งต่อไปยังเส้นทางที่มีโครงสร้างแทนที่จะเป็นอินเทอร์เฟซที่เลียนแบบมนุษย์ และวัดกิจกรรมของมันได้อย่างแม่นยำ

มันทำงานอย่างไรในภาพรวม

1. ผู้ดำเนินการสร้าง key pair และเผยแพร่ public key ไว้ในตำแหน่งที่ผูกกับตัวตนของตน โดยทั่วไปคือเส้นทาง http-message-signatures-directory well-known ภายใต้โดเมนของตน
2. คำขอแต่ละรายการมี header Signature-Input และ Signature ที่ครอบคลุมส่วนประกอบของคำขอที่เลือกไว้ พร้อม key identifier และ header Signature-Agent ที่ชี้ไปยังไดเรกทอรีคีย์
3. ไซต์ที่รับคำขอดึงหรือแคชคีย์ที่ผู้ดำเนินการเผยแพร่ไว้ สร้าง signature base ใหม่ และตรวจสอบลายเซ็น
4. เมื่อสำเร็จ ไซต์จะทราบว่าคำขอนั้นถูกสร้างโดยผู้ถือคีย์นั้น ซึ่งเชื่อมโยงกับตัวระบุที่เผยแพร่นั้น

สิ่งที่มันยืนยันได้ และสิ่งที่มันไม่ได้ยืนยัน

ลายเซ็น Web Bot Auth ยืนยันตัวตนของไคลเอนต์อัตโนมัติ มันไม่ตอบคำถามว่า:

• ผู้ดำเนินการได้รับอนุญาตให้ทำตามที่ร้องขอหรือไม่ (agent authorization)
• มีบุคคลคนใดสั่งการหรืออนุมัติการกระทำนั้นหรือไม่ (delegated authority)
• การกระทำนั้นปลอดภัยหรือเนื้อหาที่ส่งกลับมาจะถูกใช้อย่างเหมาะสมหรือไม่

เรื่องเหล่านี้ยังคงเป็นการตัดสินใจของการยืนยันตัวตน การอนุญาต และนโยบายของแอปพลิเคชันที่รับคำขอเอง บทความของเราเรื่อง สิ่งที่คำขอของเอเจนต์ AI ที่ลงลายเซ็นแล้วพิสูจน์ได้ และสิ่งที่พิสูจน์ไม่ได้ อธิบายขอบเขตนี้เพิ่มเติม

ความเข้าใจผิดที่พบบ่อย

• "บอททุกตัวจะเซ็นในไม่ช้า" การนำไปใช้จะเติบโตแบบทีละไคลเอนต์ แอปพลิเคชันจะเห็นทราฟฟิกที่มีทั้งแบบลงลายเซ็น แบบประกาศไว้ และแบบไม่ระบุตัวตนไปอีกนาน ดังนั้นจึงต้องมีวิธีจัดการแต่ละแบบอย่างชัดเจน
• "ลายเซ็นทำให้บอทเป็นสิ่งที่ดี" มันทำให้บอทเป็นที่รู้จัก Known คือจุดเริ่มต้นของนโยบาย ไม่ใช่นโยบายเอง
• "draft นี้เป็นฉบับสุดท้ายแล้ว" มันคือ Internet-Draft ที่ยังพัฒนาอยู่ ให้พัฒนาระบบตามข้อความปัจจุบันและคาดว่าจะมีการปรับแก้

Proof of Actor เกี่ยวข้องอย่างไร

Proof of Actor มองลายเซ็นที่ผ่านการตรวจสอบแล้วเป็นหลักฐานที่มีฐานเป็น Verified โดยจำกัดขอบเขตตามคีย์และตัวระบุที่มันพิสูจน์ได้ มันแยกสิ่งนี้ออกจากชื่อที่ประกาศเองและสัญญาณที่อนุมานได้ และไม่เปลี่ยนตัวตนให้กลายเป็นสิทธิ์อนุญาต Proof of Actor ถูกออกแบบมาเพื่อยืนยันคำขอที่ลงลายเซ็นแล้วเมื่อมาตรฐานเหล่านี้พัฒนาต่อไป นโยบายของคุณเองใน Route จะเป็นตัวตัดสินว่าเอเจนต์ที่ตรวจสอบแล้วทำอะไรได้บ้าง

ดูว่ามันเข้ากับ APIs และ MCP servers อย่างไร หรือ สมัครขอสิทธิ์เข้าถึงก่อน

แหล่งอ้างอิง

• กลุ่มทำงาน IETF Web Bot Auth: charter, chairs และสถานะ
• เอกสารของกลุ่มทำงาน Web Bot Auth: draft ปัจจุบันของกลุ่มทำงานและ draft ที่เกี่ยวข้อง
• draft-ietf-webbotauth-httpsig-protocol: Signature-Agent, ไดเรกทอรีคีย์ JWKS และ URI well-known ของมัน (อยู่ระหว่างพัฒนา ณ เดือนพฤศจิกายน 2026)
• RFC 9421: HTTP Message Signatures: มาตรฐานลายเซ็นที่ Web Bot Auth สร้างบนพื้นฐานนี้