API’ler eskiden basit bir trafik modeline sahipti. Bir geliştirici kayıt olur, bir anahtar alır, bir entegrasyon yazar ve bu entegrasyon belirli aralıklarla ya da bir kullanıcı bir şeye tıkladığında uç noktalarınızı çağırırdı. API’ler için bot yönetimi bu model etrafında gelişti: anahtarı doğrula, hacmi sınırla, açıkça kötüye kullanılan trafiği filtrele ve hizmeti diğer herkes için kullanılabilir tut.
Bu model hala geçerlidir ve bunun için geliştirilen araçlar hala önemlidir. Değişen şey, çağrıların arkasında kimin olduğu. Aynı API anahtarı artık müşterinizin uygulamasını kullanan bir kişiden, işi bir AI asistanına yaptıran bir kişiden ve gece boyunca çok adımlı bir görev yürüten otonom bir ajandan istek taşıyabilir. Mevcut kontrolleriniz bir anahtarı ve bir istek hızını görür. Ürününüz, destek süreçleriniz ve policy kararlarınız çoğu zaman daha fazlasını bilmek ister.
Proof of Actor bu boşluğu doldurur. API’nize her istekte kimin veya neyin eylemde bulunduğunu söyler ve dayanağını belirtir, ardından kararı kodunuza bırakır. Bu sayfa, API bot korumasının ana katmanlarıyla karşılaştırmalı olarak bunu gösterir; böylece her birinin nereye oturduğunu görebilirsiniz.
Kısa özet
| API bot koruması | Proof of Actor | |
|---|---|---|
| Ana soru | Bu istek izinli mi, kimliği doğrulanmış mı ve sınırlar içinde mi? | Kim veya ne eylemde bulunuyor ve kanıt nedir? |
| Tipik katmanlar | API gateway, WAF bot kuralları, API anahtarları, hız limitleri | API’nizin veya MCP server’ınızın içinde aktör sınıflandırması |
| Ne belirler | Anahtarın sahibi olan hesap veya entegrasyon | Her isteğin arkasındaki aktör: Human, Human + AI, Agent veya Unknown |
| Çıktı | Allow, reject, throttle; bazen bir bot skoru | verified, declared, inferred veya unknown dayanağıyla birlikte bir sınıf |
| Belirsiz trafik | Genellikle anahtar geçerliyse izin verilir ya da bir kural tarafından reddedilir | Unknown, route başına sizin seçtiğiniz bir fallback ile |
| Yanıtı kim belirler | Gateway ve WAF yapılandırması | Uygulama kodunuz |
| Kurulumdaki varsayılan | Enforcement | Observation; bir policy ekleyene kadar hiçbir şey değişmez |
| En güçlü olduğu alan | Kullanılabilirlik, kötüye kullanım filtresi, kotalar, hesap verebilirlik | Her aktöre doğru hizmet vermek ve API kullanımını anlamak |
Aşağıdaki bölümler her parçayı açıklar.
API bot koruması neyi iyi yapar
Her katmanın hangi işi yaptığını açıkça belirtmek önemlidir, çünkü Proof of Actor bunların yerine geçmek için değil, yanlarında çalışmak için tasarlanmıştır.
API gateway’leri
Gateway, API’nizin ön kapısıdır. Bağlantıları sonlandırır, API anahtarlarını veya token’ları kimlik doğrular, istekleri doğru servise yönlendirir, kotaları uygular ve çoğu zaman faturalama ile analitik için kullanım verilerini kaydeder. "Bu çağıran içeri girebilir mi ve hangi kapıdan?" sorusunu her uç noktada hızlı ve tutarlı şekilde yanıtlar.
WAF bot kuralları
Bot kurallarına sahip bir web application firewall, trafiği bilinen saldırı kalıpları ve kötüye kullanılan otomasyon açısından inceler. Enjeksiyon denemelerini filtreleyebilir, kötüye kullanım geçmişi olan kaynaklardan gelen trafiği engelleyebilir ve scraping ya da credential saldırılarına benzeyen istekleri challenge edebilir veya düşürebilir. Kodunuza hiç ulaşmaması gereken trafiğe karşı en güçlü savunmanızdır.
API anahtarları ve token’lar
Anahtarlar ve token’lar size hesap verebilirlik sağlar. Her istek bir hesaba eşlenir; böylece hangi entegrasyonun çağrı yaptığını bilirsiniz, erişimi iptal edebilirsiniz ve kullanımı atayabilirsiniz. Kapsamlı token’lar bunun da ötesine geçer ve bir çağıranın ne yapabileceğini sınırlar.
Hız limitleri
Hız limitleri kullanılabilirliği korur. Bir entegrasyonun herkes için ayrılmış kapasiteyi tüketmesini engeller ve brute-force ile enumeration girişimlerini yavaşlatır. Anahtar ve route bazlı limitler standart ve etkili bir kontroldür.
Birlikte ele alındıklarında bu katmanlar koruma ve hesap verebilirlik sorularını çok iyi yanıtlar. Bunları koruyun.
Yanıtlamak için tasarlanmadıkları soru
Bu katmanların hiçbiri, kimliği doğrulanmış bir isteğin arkasında ne tür bir aktör olduğunu söylemek için tasarlanmadı. Geçerli bir anahtar, entegrasyonun hangi hesaba ait olduğunu söyler. Ancak şunları söylemez:
- bu özel çağrının müşterinizin uygulamasında bir düğmeye dokunan bir kişiden gelip gelmediğini,
- bir kişinin bir AI asistanından eylemi yapmasını isteyip istemediğini,
- bir otonom ajanın bu çağrıyı daha uzun bir görevin bir adımı olarak yapıp yapmadığını,
- ya da kimsenin bunu ayırt edip edemediğini.
Bu ayrım her ay daha da önemli hale geliyor. Bir CRM entegrasyonuna, bir zamanlama aracına veya bir geliştirici platformuna hizmet veren bir API, giderek aynı anahtarlar üzerinden ajan trafiği de alıyor. Ajanlara yapılandırılmış bir yanıt vermek, ajanların yönlendirdiği yüksek etkili yazma işlemleri için onay istemek, AI destekli gönderimleri etiketlemek veya yalnızca API kullanımınızın ne kadarının ajan kaynaklı olduğunu ölçmek istiyorsanız, aktör bağlamına ihtiyacınız vardır.
Proof of Actor bir API’ye ne katar
Proof of Actor, her etkileşim için dört sınıftan birini döndürür:
- Human: gözlemlenebilir sinyaller insan yönlendirmeli etkileşime işaret eder.
- Human + AI: bir kişi etkileşimi AI desteğiyle yönlendirmiştir ve bu, desteklenen bir integration üzerinden beyan edilmiş ya da gözlemlenmiştir.
- Agent: otomatik veya ajan kaynaklı etkileşim.
- Unknown: kanıt güvenilir bir sonuca izin vermez.
Her sonuç ayrıca evidence basis bilgisini de verir:
- Verified: örneğin yayımlanmış bir anahtara karşı doğrulanan bir HTTP Message Signature (RFC 9421).
- Declared: istemci veya kendi uygulamanız bunu beyan etmiştir.
- Inferred: davranışsal veya bağlamsal sinyaller, açıkça çıkarım olarak etiketlenmiş şekilde.
- Unknown: güvenilir dayanak yok.
API’ler için verified dayanak özellikle faydalıdır. İsteklerini imzalayan ajanlar, yayımlanmış anahtarlarıyla kontrol edilebilir; bu, IETF Web Bot Auth çalışmasının arkasındaki yaklaşımdır. Arka plan için Web Bot Auth product teams için açıklama yazısını, uygulama tarafı için ise imzalanmış ajan isteklerini doğrulama kılavuzunu okuyun.
Burada bir sınır önemlidir. Geçerli bir imza, isteği hangi anahtarın imzaladığını kanıtlar. Ancak ajanın eylemi gerçekleştirmeye yetkili olduğunu kanıtlamaz. Yetkilendirme, ait olduğu yerde, yani API’nizin kendi access control’ünde kalır. agent authorization girdisi bu farkı açıklar.
Skorlar ve anahtarlar ile aktör kanıtı
Bazı bot koruma ürünleri her isteğe bir skor ekler. Bir skor, bloklama kararı için etkilidir. Ancak API ürün kararları için daha az kullanışlıdır, çünkü geçerli bir isteğin insan mı yoksa ajan mı tarafından yönlendirildiğini söylemez ve doğrulanmış gerçekleri çıkarımdan ayırmaz.
API anahtarlarının tam tersi bir sınırı vardır. Sahiplik konusunda nettirler, aktör konusunda sessizdirler. Bir müşterinin anahtarı tek bir saat içinde dört sınıfın hepsini taşıyabilir.
Proof of Actor her iki ayrımı da görünür tutar. API’niz anahtardan hesabı, Proof of Actor’dan aktör sınıfını ve bunu destekleyen dayanağı görür. Her katman, iyi olduğu soruyu yanıtlar.
Her biri nerede çalışır
Gateway’ler ve WAF’ler ağınızın kenarında veya servislerinizin önünde çalışır. Bu konum, koruma ve kotalar için doğrudur.
Proof of Actor ise API mantığınızın yaşadığı yerde çalışır. Founding ekipler Node.js middleware, Next.js, kontrol ettiğiniz bir edge katmanı, genel HTTP API veya bir MCP server integration üzerinden bağlanabilir. Tam liste için integrations sayfasına bakın. Uygulamanızın içinde çalıştığı için, API’nizin bildiklerini kullanabilir: route, workflow, bir istemcinin kendini beyan edip etmediği ve bir imzanın doğrulanıp doğrulanmadığı.
Yönlendirme kararları kodunuzda kalır
Proof of Actor varsayılan olarak hiçbir şeyi engellemez. observation mode ile başlar, bu yüzden kurulumu API’nizin yanıt verme şeklini değiştirmez. Endpoint bazında aktör karışımınızı görür, tekil sonuçlar için kanıtı inceler ve Unknown oranınızı izlersiniz.
Hazır olduğunuzda, route başına, aktör sınıfı başına ve dayanak başına uygulama tanımlı policy’ler yazarsınız. Tipik sonuçlar şunlardır:
- Allow: isteğe normal şekilde hizmet ver.
- Adapt: doğrulanmış bir ajan için yapılandırılmış veya azaltılmış bir yanıt döndür.
- Challenge: ek bir doğrulama adımı iste, örneğin yüksek etkili bir yazma işlemi için insan onayı.
- Review: eylemi bir kişinin incelemesi için kuyruğa al.
- Rate-limit: belirli bir route üzerinde belirli bir sınıf ve dayanak için daha sıkı bir limit uygula.
Bir policy’yi gerçek trafik üzerinde enforcement öncesinde önizleyebilir, ardından route bazında enforcement yapabilirsiniz. aktör farkındalıklı policy’leri güvenli şekilde devreye alma kılavuzu süreci anlatır; ajanları engellemeden hassas eylemleri koruma ise yaygın kalıpları gösterir.
Unknown API çağıranlarını ele alma
Her API, güvenle sınıflandırılamayan trafik alır. Geleneksel kontrollerde geçerli bir anahtar genellikle isteğin geçmesi, geçersiz bir anahtar ise geçmemesi anlamına gelir. Arada başka bir seçenek yoktur.
Proof of Actor size açık bir Unknown sonucu verir ve route başına fallback’i seçmenize izin verir. Salt okunur katalog uç noktaları açık kalabilir. Hesap değişiklikleri mevcut daha sıkı kontrollerinizi koruyabilir. Toplu dışa aktarmalar review’a gidebilir. Ayrıntılar için Unknown trafiği ele alma ve unknown otomatik trafik yazılarına bakın.
Birlikte nasıl çalışırlar
En güçlü API kurulumu, her katmanı kendi işi için kullanır:
- Edge’de, WAF kötüye kullanılan ve hatalı biçimlendirilmiş trafiği filtreler.
- Gateway’de, anahtarlar kimlik doğrulanır, kotalar uygulanır ve kullanım kaydedilir.
- API’nin içinde, Proof of Actor içeri giren her isteği sınıflandırır ve dayanağını belirtir.
- Handler’larınızda, policy’ler sınıf ve dayanak bilgisini kullanarak yanıtı seçer: insan yönlendirmeli bir çağrı için normal işleme, doğrulanmış bir ajan için yapılandırılmış bir yanıt, ajan yönlendirmeli yüksek etkili bir yazma işlemi için onay adımı, Unknown için bir fallback.
- Analitikte, ekibiniz gateway’den gelen hesap verilerinin yanında her aktör sınıfının hangi uç noktaları ve workflow’ları kullandığını görür.
Bu yığında hiçbir şey tekrar etmez. Gateway hesabı bilir, WAF tehdit kalıplarını bilir, Proof of Actor ise aktörü bilir.
Ne zaman hangisine odaklanmalı
Ana probleminiz kötüye kullanım, kullanılabilirlik veya ölçülmeyen kullanım ise önce API bot korumasına odaklanın: auth uç noktalarına yönelik credential saldırıları, agresif scraping veya tek bir entegrasyonun diğerlerini aç bırakması gibi.
Ana sorularınız çağıranlarınızla ilgiliyse Proof of Actor’a odaklanın: API trafiğinizin ne kadarının ajan kaynaklı olduğu, hangi ajanların hangi uç noktaları çağırdığı, insan yönlendirmeli ve ajan yönlendirmeli kullanımın nerede farklılaştığı ve hangi route’ların aktör farkındalıklı bir policy gerektirdiği gibi. APIs use case ve AI agent identification for APIs daha derine iner.
Üretimde çalışan bir API yöneten çoğu ekibin her ikisine de ihtiyacı vardır.
Başlayın
Proof of Actor özel beta aşamasındadır. Seçilen founding developer ekipleri, üzerinde anlaşılan kullanım sınırları dahilinde ve otomatik faturalama olmadan, 12 aya kadar ücretsiz erişim alabilir. Erken erişim için başvurun ve bize anlamak istediğiniz API’yi ve çağıranları anlatın.