Web Bot Auth

Web Bot Auth nedir

Web Bot Auth, otomatik web trafiğini kimlik doğrulama üzerine yürütülen bir IETF çalışma grubu ve onun Internet-Draft çalışmasının adıdır. Fikir basittir: crawler'lar, AI asistanlar ve otonom agent'lar HTTP isteklerini HTTP Message Signatures (RFC 9421) kullanarak imzalar ve bu imzaları doğrulayan açık anahtarları, kontrol ettikleri bir tanımlayıcı altında yayımlar. Böylece bir website, bir isteğin gerçekten adını verdiği operatörden gelip gelmediğini, herkesin kopyalayabileceği bir user-agent string'e güvenmek yerine doğrulayabilir. Bunun bir product team için ne anlama geldiğini görmek için product team'ler için Web Bot Auth bölümüne bakın; uygulama adımları için imzalı AI agent isteklerinin nasıl doğrulanacağı rehberine bakın.

November 2026 itibarıyla, çalışma grubunun temel belgesi draft-ietf-webbotauth-httpsig-protocol'dur. Bu belge, in-band anahtar keşfi için bir Signature-Agent header'ı, JSON Web Key Sets tabanlı bir anahtar dizini biçimini ve o dizinin sunulduğu iyi bilinen bir URI'yi tanımlar. Çalışma grubu belgeleri sayfası, bunu ilgili bireysel taslaklarla birlikte listeler. Bunlar Internet-Draft'tır, yani üzerinde çalışılmaktadır. Anahtarların nasıl keşfedildiği, hangi istek bileşenlerinin imzalanması gerektiği ve hangi header'ların operatör bilgisini taşıdığı gibi ayrıntılar sürümler arasında değişebilir. Uygulayıcılar herhangi bir anlık sürüm yerine mevcut taslakları takip etmelidir.

Neden önemlidir

Websiteler ve API'ler uzun süredir botları user-agent string'leri ve IP aralıklarıyla tanımlar. Her ikisinin de sınırları vardır: user-agent string'leri kolayca taklit edilebilir (bkz. user-agent spoofing), IP aralıkları ise değişir ve cloud sağlayıcıları arasında paylaşılır. AI agent'lar insanlar adına gezinmeye, API'leri çağırmaya ve MCP server'larını kullanmaya başladıkça, uygulamaların işbirliği yapan otomatik istemcileri anonim olanlardan ayırmak için daha sağlam bir yola ihtiyacı olur.

İmzalı istekler bu daha sağlam zemini sağlar. Doğrulanmış bir imza, bir uygulamanın tanıdığı bir operatörü tutarlı biçimde tanımasına, ona insan benzeri bir arayüz yerine yapılandırılmış bir yol sunmasına ve etkinliğini doğru biçimde ölçmesine olanak verir.

Üst düzeyde nasıl çalışır

1. Operatör bir anahtar çifti oluşturur ve açık anahtarı, kimliğiyle bağlantılı bir konumda, genellikle kendi alan adı altındaki http-message-signatures-directory iyi bilinen yolunda yayımlar.
2. Her istek, seçilmiş istek bileşenlerini kapsayan Signature-Input ve Signature header'larını, ayrıca bir anahtar tanımlayıcısını ve anahtar dizinine işaret eden bir Signature-Agent header'ını içerir.
3. İsteği alan site, operatörün yayımladığı anahtarları getirir ya da önbelleğe alır, signature base'i yeniden oluşturur ve imzayı doğrular.
4. İşlem başarılı olursa site, isteğin o yayımlanmış tanımlayıcıyla ilişkilendirilmiş anahtarın sahibi tarafından üretildiğini bilir.

Neyi ortaya koyar, neyi koymaz

Bir Web Bot Auth imzası otomatik istemciyi kimlik doğrular. Şu soruları yanıtlamaz:

• operatörün istediği şeyi yapmaya yetkili olup olmadığı (agent authorization),
• bir kişinin eylemi talimatlandırıp onaylayıp onaylamadığı (delegated authority),
• eylemin güvenli olup olmadığı ya da dönen içeriğin uygun şekilde kullanılıp kullanılmayacağı.

Bunlar, alanı alan uygulamanın kendi kimlik doğrulama, yetkilendirme ve policy kararlarına kalır. İmzalı AI agent isteklerinin neyi kanıtladığı ve neyi kanıtlamadığı başlıklı blog yazımız bu sınırı inceliyor.

Yaygın yanlış anlamalar

• "Yakında her bot imza atacak." Benimsenme client client büyür. Uygulamalar uzun süre imzalı, declared ve anonim trafiğin bir karışımını görecektir, bu yüzden her birini ele almak için net bir yola ihtiyaç vardır.
• "Bir imza bot'u iyi yapar." Bir bot'u tanınır hale getirir. Tanınır olmak, bir policy için başlangıç noktasıdır, policy'nin kendisi değil.
• "Taslak nihai halidir." Bu gelişen bir Internet-Draft'tır. Mevcut metin üzerinden geliştirin ve revizyon bekleyin.

Proof of Actor bununla nasıl ilişkilidir

Proof of Actor, doğrulanmış bir imzayı kanıt olarak ele alır; dayanak olarak Verified kullanır ve bunu kanıtladığı anahtar ve tanımlayıcıyla sınırlar. Bunu declared adlardan ve inferred sinyallerden ayrı tutar ve kimliği hiçbir zaman yetkiye dönüştürmez. Proof of Actor, bu standartlar olgunlaştıkça imzalı istekleri doğrulamak için tasarlanmıştır; Route içindeki kendi policy'leriniz, doğrulanmış bir agent'ın ne yapabileceğine karar verir.

Bunun API'ler ve MCP server'ları içinde nasıl yer aldığını görün ya da erken erişim için başvurun.

Kaynaklar

• IETF Web Bot Auth çalışma grubu: charter, chairs ve durum
• Web Bot Auth çalışma grubu belgeleri: mevcut çalışma grubu ve ilgili taslaklar
• draft-ietf-webbotauth-httpsig-protocol: Signature-Agent, JWKS anahtar dizini ve onun iyi bilinen URI'si (November 2026 itibarıyla üzerinde çalışılmaktadır)
• RFC 9421: HTTP Message Signatures: Web Bot Auth'un üzerine kurulduğu imza standardı