Web Bot Auth
Web Bot Auth ist ein Verfahren, mit dem Bots und KI-Agenten ihre HTTP-Anfragen kryptografisch signieren, damit Websites den Betreiber zuverlässig erkennen.
Web Bot Auth nutzt HTTP Message Signatures nach RFC 9421: Jede Anfrage trägt eine Signatur über ausgewählte Teile wie Pfad, Host und Zeitpunkt. Der Betreiber veröffentlicht seine Schlüssel in einem Verzeichnis, auf das der Header Signature-Agent verweisen kann. Die Website prüft die Signatur und weiss, wessen Agent anfragt.
Cloudflare hat das Verfahren 2025 vorgeschlagen; es wird in der IETF weiterentwickelt. Erste Anbieter von KI-Agenten signieren ihre Anfragen bereits auf diese Weise.
Beispiel
Ein Rechercheagent ruft eine Produktseite ab und signiert die Anfrage mit seinem Ed25519-Schlüssel. Die Website lädt den öffentlichen Schlüssel aus dem Verzeichnis des Betreibers, prüft die Signatur und lässt den Agenten durch, statt ihn als unbekannten Bot zu blockieren.
Abgrenzung
Web Bot Auth belegt, wer eine Anfrage stellt, nicht ob die Handlung erlaubt ist. Bot-Erkennung schätzt anhand von Verhalten; Web Bot Auth beweist mit Kryptografie. Für Käufe kommen Verfahren wie Verifiable Intent oder ein Agenten-Mandat hinzu.
In der Praxis
- Als Website: Hinterlegen Sie die Schlüsselverzeichnisse der Agenten, die Sie zulassen wollen, und prüfen Sie jede signierte Anfrage.
- Als Betreiber eines Agenten: Signieren Sie alle Anfragen und veröffentlichen Sie Ihre Schlüssel an einer stabilen Adresse.
- Verknüpfen Sie die erkannte Identität bei Käufen immer mit einem Nachweis der Befugnis, etwa einem Mandat.
Bezug zu KYA
KYA prüft signierte Anfragen nach Web Bot Auth gegen die Referenzimplementierung von Cloudflare: Signaturbasis, Ed25519, ECDSA und RSA-PSS sowie die Bindung an den Betreiber. Weil Identität keine Befugnis ist, bleibt das Urteil ohne Mandat «unbestimmt».
Zugehöriger Prüfschritt: Aussteller (issuer_resolution). Ist der Schlüssel an den Aussteller gebunden – über eine DID oder weil die prüfende Stelle ihm vertraut?
Häufige Fragen
Was ist Web Bot Auth?
Ein Verfahren, mit dem Bots und KI-Agenten ihre HTTP-Anfragen signieren. Websites prüfen die Signatur mit dem veröffentlichten Schlüssel des Betreibers und erkennen so zuverlässig, wer anfragt.
Ersetzt Web Bot Auth die Bot-Erkennung?
Es ergänzt sie. Bot-Erkennung schätzt anhand von Verhalten, Web Bot Auth beweist die Herkunft einer Anfrage kryptografisch. Unsignierter Verkehr wird weiterhin wie bisher behandelt.
Warum ist das Ergebnis in KYA «unbestimmt»?
Weil eine gültige Signatur nur belegt, wessen Agent anfragt. Ob er etwas kaufen oder buchen durfte, zeigt erst ein Mandat. KYA trennt diese beiden Aussagen bewusst.