Cloudflare, web'in büyük bir bölümünün önünde yer alır. Birçok ekip için CDN, DNS sağlayıcısı, firewall ve kötüye kullanılan otomasyona karşı ilk savunma hattı tek bir yerde toplanmıştır. Bot ürünleri tam bu konum için tasarlanmıştır: trafiği erken görür, challenge edilip edilmeyeceğine ya da durdurulup durdurulmayacağına karar verir ve site sahiplerine, AI crawler'lar dahil olmak üzere crawler'ların içeriklerine nasıl ulaşacağını kontrol etme imkânı verir.
Uygulamanızın cevaplaması gereken soru farklıdır. Bir istek edge'i geçtikten sonra, kodunuz doğru deneyimi seçebilmek için kimin ya da neyin işlem yaptığını bilmek zorundadır. Bu bir insan mı, bir AI asistanıyla çalışan bir insan mı, bir müşteri adına hareket eden bir agent mı, yoksa kanıtın açıklayamadığı bir şey mi? Ve kodunuz buna ne kadar emin olarak yaklaşmalı?
Proof of Actor tam olarak bu iş için tasarlanmıştır. Kararı veren kodun kendisine iletilen, açık bir evidence basis ile birlikte bir actor sınıfı döndüren, odaklı ve uygulama düzeyinde bir katmandır. Bu sayfa, Cloudflare'in November 2026 itibarıyla kendi dokümantasyonunu kullanarak ikisini adil biçimde karşılaştırır, böylece her birinin nerede konumlandığını görebilirsiniz.
Kısa özet
| Cloudflare bot ürünleri | Proof of Actor | |
|---|---|---|
| İçin tasarlandı | Altyapıyı ve içeriği edge'de korumak | Uygulamanıza ürün ve policy kararları için actor bağlamı vermek |
| Çalıştığı yer | Cloudflare'in edge ağı, origin'inizin önünde | Server'ınız, edge katmanınız, onaylanmış browser sayfaları, HTTP API veya MCP server |
| Ana çıktı | Challenge'lar ve rule eylemleri; Enterprise Bot Management için 1'den 99'a bot skoru ve bot alanları | Human, Human + AI, Agent ya da Unknown, ayrıca bir basis: verified, declared, inferred veya unknown |
| Çıktının ulaştığı yer | Cloudflare rule'ları, analytics ve Workers | Uygulama kodunuz ve route ile workflow bazında actor analytics |
| AI destekli insanlar | Bot skorunda ayrı bir kategori değil | Desteklenen bir entegrasyonla declared edildiğinde ya da gözlemlendiğinde kendi sınıfları, Human + AI |
| Belirsiz trafik | Skorlanır ve edge rule'ları tarafından işlenir | Birinci sınıf sonuç olarak Unknown, route başına tanımladığınız bir fallback ile |
| İmzalı agent'lar | Web Bot Auth doğrulaması ve imzalı agent sinyalleri | Kodunuzda verified basis olarak bildirilen RFC 9421 signature kontrolleri |
| MCP server'lar ve API çağırıcıları | Edge'de HTTP trafiği olarak korunur | Tool çağrısını ya da API isteğini işleyen server içinde caller bağlamı |
| CDN bağımlılığı | Cloudflare ağından geçen trafik için geçerlidir | Herhangi bir CDN kullanıp kullanmamanızdan bağımsızdır |
| Kurulumda varsayılan | Etkinleştirdiğiniz ürün ve ayarlara bağlıdır | Observation mode; bir policy ekleyene kadar hiçbir şey değişmez |
Bu sayfanın geri kalanı her satırı açıklıyor.
AI agent trafiği için bir Cloudflare Bot Management alternatifi mi arıyorsunuz?
Alternatif arayan ekiplerin çoğu edge'den memnun değildir. Onların sorunu, edge'in tasarlanmadığı yeni bir sorudur: bir AI agent, AI destekli bir insan ve sıradan bir ziyaretçi aynı signup formuna, API route'una ya da MCP tool'una ulaşıyordur ve ürünün bunları farklı şekilde ele alması gerekiyordur. Aşağıda net bir ayrım var.
Proof of Actor'ın kararın yerini aldığı durum. Hâlihazırda bot skorlarını veya bot alanlarını ürün davranışını yönlendirmek için kullanıyorsanız, örneğin AI ile hazırlanmış gönderileri etiketlemek, agent'ları yapılandırılmış bir endpoint'e yönlendirmek veya belirli bir workflow'da belirsiz çağırıcılar için bir fallback seçmek gibi, bu iş için daha uygun çözüm Proof of Actor'dır. Uygulama kodunuza doğrudan bir actor sınıfı, Human, Human + AI, Agent ya da Unknown, ve bir evidence basis döndürür. Routing ve policy kararı, zaten her route'un ne yaptığını bilen kodun içine taşınır ve hangi CDN'i kullanırsanız kullanın aynı şekilde çalışır.
Proof of Actor'ın Cloudflare'e eklendiği durum. Proof of Actor bir network security ürünü değildir. Cloudflare'in November 2026 tarihli dokümantasyonuna göre, DDoS protection saldırıları otomatik olarak algılar ve azaltır ve tüm planlarda kullanılabilir; Web Application Firewall ise gelen web ve API isteklerini yönetilen ve özel rule'lara karşı denetler. Bu katmanı koruyun. Volumetrik saldırılar, exploit girişimleri ve kötüye kullanılan otomasyon, origin'inize ulaşmadan önce durdurulmalıdır ve Proof of Actor bunu yapmaya çalışmaz.
Dolayısıyla doğrudan cevap şudur: uygulamanızdaki actor sınıflandırması ve route bazlı routing için evet, edge DDoS ve WAF koruması için hayır. Çoğu production ekip sonunda her iki katmanı da kullanır, her biri kendi işi için.
Cloudflare'in bot ürünleri ne için tasarlandı
Cloudflare'in November 2026 tarihli dokümantasyonuna göre, üç bot odaklı ürün sunar:
- Bot Fight Mode, Free plan'da kullanılabilir ve tek bir anahtarla alan genelinde tespit edilen bot trafiğine challenge uygular.
- Super Bot Fight Mode, Bot Management eklentisi olmayan Pro, Business ve Enterprise planları için kullanılabilir ve bot kategorisi başına yapılandırılabilir eylemler ekler.
- Bot Management for Enterprise, istek bazında bot skorları, özel rule'lar, endpoint bazlı işleme ve ayrıntılı analytics ekler.
Bot skoru, Cloudflare'in ifadesiyle, bir isteğin bot'tan gelmiş olma olasılığını gösteren 1 ile 99 arasındaki bir skordur; 1, isteğin otomatik olduğundan yüksek güven duyulduğu, 99 ise isteğin insandan geldiğinden yüksek güven duyulduğu anlamına gelir. Cloudflare dokümantasyonu, ayrıntılı skorların Bot Management satın almış Enterprise müşterileri için kullanılabilir olduğunu, diğer planlarda ise automated, likely automated, likely human ve verified bot gibi gruplandırılmış sonuçlar görüldüğünü belirtir. Skorlar, WAF custom rule'larında istekleri block, challenge veya allow etmek için kullanılabilir ve Workers içinde de mevcuttur.
Cloudflare ayrıca, dokümantasyonunun arama motoru crawler'ları, monitoring hizmetleri ve kullanıcı güdümlü agent'lar gibi kim oldukları ve ne yaptıkları konusunda şeffaf olan botları veya agent'ları bu şekilde tanımladığı verified bot'ları da yönetir. Doğrulama, Web Bot Auth signature'ı veya IP validation gibi yöntemlere ve ayrıca kötüye kullanılmayan davranışa dayanır.
Özellikle AI trafiği için AI Crawl Control, site sahiplerine hangi AI hizmetlerinin içeriklerine eriştiğini görme, tek tek crawler'ları allow veya block etme ve crawler'ların robots.txt'ye ne kadar uyduğunu izleme imkânı verir. Cloudflare'in dokümantasyonu bunu tüm planlarda kullanılabilir olarak listeler.
Bunlar, tasarlandıkları iş için güçlü araçlardır: edge'de hangi otomatik trafiğin origin'inize ve içeriğinize ulaşacağını belirlemek.
Her biri nerede çalışır ve çıktısı nereye ulaşır
En pratik fark konumdur.
Cloudflare'in bot ürünleri, Cloudflare'in ağında, origin'inizin önünde çalışır. Çıktıları Cloudflare kontrollerinin bulunduğu yere ulaşır: WAF custom rule'ları, bot analytics ve Cloudflare bot management variables reference'a göre Cloudflare Workers içindeki request.cf object. Bir isteğin durdurulup durdurulmayacağına ya da challenge edilip edilmeyeceğine karar vermek için doğru yer burasıdır.
Proof of Actor, uygulama mantığınızın yaşadığı yerde çalışır: Node.js middleware, Next.js, kontrol ettiğiniz edge katmanı, onayladığınız sayfalardaki bir browser collector, genel bir HTTP API veya MCP server. Çıktısı, yapılandırılmış bir sonuç olarak uygulama kodunuza ve route ile workflow bazında ayrılmış actor analytics'e ulaşır. Ayrıntılar için integration paths bölümüne bakın.
Bu konum ürün kararları için önemlidir. Kodunuz, bir route'un hangi workflow'a ait olduğunu, kendi assistant'ınızın bir eylemi gerçekleştirip gerçekleştirmediğini, bir client'ın kendini declared edip etmediğini ve o route'un iş etkisinin ne olduğunu bilir. Bir verified agent'a yapılandırılmış endpoint'i sunmak, insanları normal akışta tutmak, AI destekli gönderileri etiketlemek gibi route bazlı bir karar tam da bu bilginin yanında olmalıdır. Proof of Actor actor bağlamını tam oraya yerleştirir ve bir sağlayıcının ağında değil de kendi stack'inizde çalıştığı için Cloudflare arkasında, başka bir CDN arkasında ya da hiç CDN olmadan aynı şekilde çalışır.
Skorlar ile basis'li bir sınıf arasındaki fark
Skor, bir protection rule için verimli bir girdidir: bir eşik seçersiniz ve onun üstünde ya da altında işlem yaparsınız. Bu, bir isteğin ne kadar otomatik olma ihtimali olduğunu cevaplamak için tasarlanmıştır.
Ürün kararları daha zengin bir cevap gerektirir. Proof of Actor dört sınıftan birini döndürür:
- Human: gözlemlenebilir sinyaller insan tarafından yönlendirilen etkileşime işaret eder.
- Human + AI: bir kişi, desteklenen bir entegrasyon aracılığıyla declared edilmiş ya da gözlemlenmiş AI desteğiyle etkileşimi yönlendirmiştir.
- Agent: otomatik ya da agent kaynaklı etkileşim.
- Unknown: kanıt güvenilir bir belirlemeyi desteklememektedir.
Her sonuç ayrıca bir evidence basis taşır: örneğin yayınlanmış bir anahtara karşı kontrol edilen RFC 9421 HTTP Message Signature ise verified; client ya da uygulamanız bunu belirttiyse declared; açıkça inference olarak etiketlendiyse inferred; ya da unknown. Ekibiniz her sonucu okuyabilir ve arkasındaki kanıtı görebilir. Bir saldırı yüzeyinden ziyade bir müşterinin deneyimini etkileyen kararlar için gereken budur.
AI agent'lar, imzalı agent'lar ve AI destekli insanlar
Cloudflare, agent doğrulamasına yatırım yapmıştır. November 2026 itibarıyla dokümantasyonuna göre Cloudflare, botları ve agent'ları doğrulamak için RFC 9421 temelli, HTTP mesajlarında kriptografik signature kullanan bir kimlik doğrulama yöntemi olan Web Bot Auth'u destekler. Dokümanları, Enterprise Bot Management müşterileri için cf.bot_management.signed_agent field olarak sunulan bir signed agent sinyalini tanımlar ve July 1, 2026 tarihinden itibaren tek operatörlü botlar ile çok sayıda son kullanıcının çalıştırabildiği agentic hizmetleri ayıran Direct versus Intermediary access field'ını belirtir. Cloudflare ayrıca planlar genelinde AI crawler ve agent erişim policy'leri sunar.
Proof of Actor, imzalı istekleri daha geniş bir resmin parçası olarak ele alır. Bir istek, yayınlanmış bir anahtar ile kontrol edilen geçerli bir HTTP Message Signature taşıyorsa, sonuç doğrudan route handler'ınıza iletilen verified basis ile birlikte Agent olur. İmzalı agent isteklerini doğrulama kılavuzu akışı gösterir. Geçerli bir signature, hangi anahtarın isteği imzaladığını kanıtlar, bu agent'ın ne yapmaya yetkili olduğunu değil; bu yüzden authorization ait olduğu yerde, yani uygulamanızda kalır.
Daha büyük fark, aradaki insanlardır. Bazı kullanıcılarınız bir AI assistant ile birlikte çalışır: support ticket taslakları yazar, formları doldurur, onboarding'den geçer. Edge bot skorlaması, otomasyonu insanlardan ayırmak için tasarlanmıştır ve bu gruba özel bir alan açmak için bir nedeni yoktur. Ürününüz ise çoğu zaman buna ihtiyaç duyar. Proof of Actor, destek yalnızca declared edildiğinde ya da desteklenen bir entegrasyon aracılığıyla gözlemlendiğinde Human + AI'yi kendi başına bir sınıf olarak raporlar; böylece AI ile hazırlanmış gönderileri etiketleyebilir, AI destekli kullanıcıların bir workflow içinde nasıl ilerlediğini ölçebilir ya da onlara daha akıcı bir yol sunabilirsiniz. Daha fazlası için AI-assisted interaction sözlük girişine bakın.
Unknown bir eşik değil, bir sonuçtur
Her detection sistemi açıklayamadığı trafikle karşılaşır. Edge'de belirsiz trafik, skorun düştüğü rule ne ise onun tarafından işlenir. Bu, korumayı tüm zone boyunca tutarlı kılar.
Bir application içinde ise tek bir ayar nadiren her route'a uyar. Public bir documentation sayfasına gelen belirsiz bir istek ile account credentials değiştirmeye gelen belirsiz bir istek farklı şekilde ele alınmayı hak eder. Proof of Actor, birinci sınıf sonuç olarak Unknown döndürür, zaman içindeki Unknown oranınızı izler ve her route için fallback seçmenize izin verir: public içerikte allow edin, account değişikliklerinde mevcut kontrolleri koruyun, yüksek etkili eylemlerde review'a gönderin. Unknown trafiği ele alma kılavuzu desenleri kapsar ve Unknown classification girişi neden dürüst bir Unknown'un zorla yapılmış bir tahminden daha iyi olduğunu açıklar.
MCP server'lar ve API'ler
Cloudflare, MCP server'ları ve API'leri, ağından geçen her HTTP trafiğini koruduğu gibi korur. Bu değerlidir ve istek hizmetinize ulaşmadan önce gerçekleşir.
Bir MCP server'ın veya API'nin genellikle bundan sonra ihtiyaç duyduğu şey, handler içindeki caller bağlamıdır: bu tool'u hangi agent çağırıyor, bu kimlik verified mı yoksa yalnızca declared mı, ve bu tool çağrısına allow mı edilmeli, adapt mi edilmeli, rate-limit mi uygulanmalı yoksa review'a mı gönderilmeli. Proof of Actor, bir MCP server entegrasyonu ve genel bir HTTP API sunar, böylece bu bağlam tool veya endpoint mantığının çalıştığı yere gelir. Örnekler için MCP server çağırıcı tanımlama ve API'ler kullanım örneği bölümlerine bakın.
İkisini birlikte nasıl kullanırsınız
En güçlü kurulum, her araca kendi katmanını verir:
- Edge'de, Cloudflare saldırıları emer, kötüye kullanılan otomasyonu challenge eder, bilinen botları doğrular ve AI crawler policy'lerinizi uygular.
- Uygulamanızda, Proof of Actor size ulaşan trafiği bir basis ile birlikte Human, Human + AI, Agent ya da Unknown olarak sınıflandırır.
- Kodunuzda, route bazlı policy'ler bu bağlamı kullanarak allow eder, adapt eder, challenge eder, review'a gönderir veya rate-limit uygular; Unknown için açık bir fallback ile.
- Analytics'inizde, product ve security ekipleri her actor sınıfının hangi route ve workflow'ları kullandığını görür.
Proof of Actor observation mode ile başlar, bu yüzden Cloudflare'in arkasına eklemek ilk gün hiçbir şeyi değiştirmez. Gerçek actor karışımınızı görür, canlı trafik üzerinde bir policy'yi preview edersiniz ve bir route'u bir seferde enforce edersiniz. Actor-aware policy'leri güvenli biçimde devreye alma kılavuzu bunu adım adım anlatır. Proof of Actor kimlik kontrolleri, KYC veya biometrics yapmaz; kim ya da neyin işlem yaptığını raporlar ve kararı size bırakır.
Hangisini ne zaman seçmelisiniz
Ana ihtiyacınız edge korumasıysa Cloudflare'in bot ürünlerini seçin: kötüye kullanılan otomasyonu origin'inize ulaşmadan durdurmak, şüpheli trafiğe zone genelinde challenge uygulamak ve AI crawler'ların içeriğinize nasıl erişeceğini kontrol etmek.
Ana ihtiyacınız application-level actor bağlamıysa Proof of Actor'ı seçin: her route'u insanların, AI destekli insanların veya agent'ların kullanıp kullanmadığını bilmek, her sonucun arkasındaki kanıtı görmek, Unknown'u bilinçli biçimde ele almak, MCP server ve API handler'larına caller bağlamı vermek ve CDN'inizden bağımsız çalışan route bazlı ürün policy'leri yazmak.
Eğer production bir website, API veya MCP server çalıştırıyorsanız, muhtemelen her iki cevaba da ihtiyacınız vardır; bu yüzden ikisi aynı stack içinde rahatça yan yana durur. Daha geniş kategori karşılaştırması için Proof of Actor vs bot management bölümüne bakın.
Başlayın
Proof of Actor private beta aşamasındadır. Founding Developer Program aracılığıyla, seçilen ekipler üzerinde anlaşılan kullanım sınırları dahilinde 12 ay'a kadar ücretsiz kullanım elde edebilir ve otomatik faturalama olmaz. Erken erişim için başvurun ve ilk olarak hangi application, API veya MCP server'ı anlamak istediğinizi bize bildirin.
Bu sayfadaki Cloudflare ürün ayrıntıları, Cloudflare'in public dokümantasyonuna dayanır. Buna bot score reference ve Web Bot Auth reference, DDoS protection overview ve WAF overview dahildir; tarih November 2026 itibarıyladır.
Cloudflare, Cloudflare, Inc.'in ticari markasıdır.