Trusted Agent Protocol oder Web Bot Auth? Der Vergleich
Zwei Verfahren beantworten die Frage, wessen Agent eine Website besucht: Web Bot Auth aus dem Umfeld von Cloudflare und der IETF und das Trusted Agent Protocol von Visa. Sie bauen auf derselben Technik auf und setzen unterschiedliche Schwerpunkte.
Leutrim Miftaraj, Gründer, Innopulse Consulting GmbH
Veröffentlicht am
Das Wichtigste in Kürze
- Beide Verfahren signieren HTTP-Anfragen nach RFC 9421 und belegen, wessen Agent anfragt.
- Web Bot Auth ist allgemein für Bots und Agenten gedacht, das Trusted Agent Protocol ergänzt Angaben für den Handel.
- Keines belegt die Befugnis für einen Kauf; dafür braucht es eine Kaufabsicht oder ein Mandat.
Worum es geht
Web Bot Auth lässt Betreiber von Bots und Agenten jede Anfrage mit HTTP Message Signatures nach RFC 9421 signieren. Die Website prüft die Signatur mit dem veröffentlichten Schlüssel des Betreibers. Das Verfahren ist als Entwurf in der IETF und allgemein für automatisierten Verkehr gedacht.
Das Trusted Agent Protocol von Visa nutzt dieselbe Grundlage und richtet sich an den Handel. Es soll Händlern helfen, vertrauenswürdige Einkaufsagenten zu erkennen und Angaben zum Verbraucher und zum Bezahlvorgang zuzuordnen.
Der Vergleich
| Merkmal | Web Bot Auth | Trusted Agent Protocol |
|---|---|---|
| Herkunft | Cloudflare, Entwurf in der IETF | Visa, entwickelt mit Cloudflare |
| Grundlage | RFC 9421 | RFC 9421 |
| Zielgruppe | alle Websites, Bots und Agenten | Händler und Einkaufsagenten |
| Zusätzliche Angaben | Herkunft der Anfrage | Angaben für Handel und Bezahlung |
| Schlüssel | Verzeichnis des Betreibers | Schlüssel des Agentenbetreibers |
| Prüfung in KYA | Signatur nach RFC 9421 | Signatur nach RFC 9421 |
Wann was passt
- Web Bot Auth für jede Website, die automatisierten Verkehr unterscheiden und signierte Agenten bevorzugt behandeln will.
- Trusted Agent Protocol für Händler im Kartennetz, die Einkaufsagenten erkennen und mit dem Bezahlvorgang verbinden wollen.
- Beide lassen sich nebeneinander prüfen, weil sie auf derselben Signaturtechnik aufbauen.
Wie beides zusammenspielt
Ein Shop kann am Rand des Netzes Signaturen nach Web Bot Auth prüfen und so signierte Agenten von unsigniertem Verkehr trennen. Für den Kauf selbst wertet er die zusätzlichen Angaben aus dem Trusted Agent Protocol aus. Ob die Kundin diesen Kauf in diesem Rahmen wollte, belegt keines der beiden; dafür dient eine signierte Kaufabsicht wie Verifiable Intent.
Häufige Missverständnisse
- «Die Verfahren konkurrieren.» Sie teilen die Technik und unterscheiden sich im Zweck. Ein Shop kann beide unterstützen.
- «Eine Signatur nach dem Trusted Agent Protocol erlaubt den Kauf.» Sie belegt, welcher Agent anfragt, nicht die Befugnis für einen bestimmten Kauf.
- «Wer RFC 9421 prüft, prüft alles.» Die Signatur ist die Grundlage; Herkunft und Gültigkeit des Schlüssels müssen zusätzlich stimmen.
Rolle von KYA
KYA prüft Signaturen nach RFC 9421, wie sie beide Verfahren verwenden, und weist das Urteil ohne Mandat als unbestimmt aus, weil Identität keine Befugnis ist. Die Signaturbasis zeigt das Werkzeug Signaturbasis nach RFC 9421; den Unterschied zur Bot-Erkennung erklärt der Vergleich Web Bot Auth oder Bot-Erkennung?.
Entscheidungshilfe in drei Fragen
- Wollen Sie automatisierten Verkehr allgemein unterscheiden? Dann prüfen Sie Signaturen nach Web Bot Auth.
- Sind Sie Händler im Kartennetz und wollen Einkaufsagenten mit dem Bezahlvorgang verbinden? Dann kommt das Trusted Agent Protocol hinzu.
- Lösen Agenten Käufe aus? Dann verlangen Sie zusätzlich eine Kaufabsicht oder ein Mandat.
Häufige Fragen
Was ist der Unterschied zwischen dem Trusted Agent Protocol und Web Bot Auth?
Beide signieren Anfragen nach RFC 9421. Web Bot Auth ist allgemein für Bots und Agenten gedacht, das Trusted Agent Protocol richtet sich an den Handel und ergänzt entsprechende Angaben.
Muss ein Shop beide Verfahren unterstützen?
Nicht zwingend. Weil beide auf RFC 9421 aufbauen, lässt sich die Prüfung aber mit geringem Mehraufwand für beide einrichten.
Belegt eine Signatur die Befugnis eines Agenten?
Nein. Sie belegt, welcher Betreiber anfragt. Ob ein Kauf im Auftrag einer Kundin liegt, zeigt erst eine Kaufabsicht oder ein Mandat.
Wer steht hinter den Verfahren?
Web Bot Auth wurde von Cloudflare vorgeschlagen und wird in der IETF beraten. Das Trusted Agent Protocol stammt von Visa und wurde mit Cloudflare entwickelt.
Was prüft KYA?
Die Signatur nach RFC 9421, ihre Basis und die Bindung an den Schlüssel. Ohne Mandat bleibt das Urteil unbestimmt.
Wo finde ich die Schlüssel der Agentenbetreiber?
Betreiber veröffentlichen ihre Schlüssel in einem Verzeichnis an einer bekannten Adresse. Die Spezifikationen der Verfahren beschreiben, wo und in welchem Format.
Gelten die Verfahren auch für Agenten in Apps?
Beide sind für HTTP-Anfragen gedacht und funktionieren unabhängig davon, ob ein Agent im Browser, in einer App oder auf einem Server läuft.
Quellen
- Trusted Agent Protocol (Visa): https://github.com/visa/trusted-agent-protocol
- Web Bot Auth: Architektur-Entwurf (IETF): https://datatracker.ietf.org/doc/draft-meunier-web-bot-auth-architecture/
- RFC 9421: HTTP Message Signatures: https://www.rfc-editor.org/rfc/rfc9421