Web Bot Auth: Nový standard ověřování AI agentů za hranicí hlaviček
Web Bot Auth: Konec éry User-Agentů a IP adres v ověřování botů
Doba, kdy jsme se spoléhaly na User-Agent hlavičky, IP adresy nebo reverse DNS, končí. Tyto metody byly vždy slabé. Šikovný útočník je snadno oklamal. S rostoucím počtem AI agentů na webu to nestačí. Je to jako ověřovat totožnost baterkou, místo biometrie.
Přichází Web Bot Auth. Experimentální protokol IETF, který testuje Google. Zásadně mění, jak ověřujeme boty.
Problémy starých metod
Podívejme se na realitu. Tradiční ověřování botů stojí na:
- User-Agent hlavičkách – kdykoli je lze změnit
- IP reputaci – funguje, ale selhává při změnách lokací
- Reverse DNS – závisí na cizí infrastruktuře
- Vzorůch požadavků – plné chybových poplachů
Tyto triky brání amatérům. Pro profesionály jsou bezcenné. A když zablokujete legitimní AI agenta kvůli špatné IP? Podpora exploduje stížnostmi.
Jak Web Bot Auth funguje
Tento protokol přináší kryptografickou jistotu. Místo hádání "vyzerá to jako Google?", ověříte "je tento požadavek podepsaný Google?".
Agenti podepisují požadavky klíči. Podpis validujete samostatně. Identita se neváže k IP adrese. To řeší:
- Stálé změny IP v cloudu – žádné allowlisty podle adres
- Nemožné padělání – hlavičky ignorujete, kontrolujete podpis
- Přesný přehled – vidíte, kdo a kdy navštívil
Je to jako podpis smlouvy oproti podání ruky.
Experimentální fáze
Pozor, není to hotové řešení. Google podepisuje jen část provozu. Specifikace IETF se mění. Nepřepínejte nic hned.
Co to znamená?
- Podpisují jen někteří Google agenti
- Protokol se ještě ladí
- Změny jsou možné
Staré metody si nechte. IP, DNS a User-Agent zůstávají základem. Web Bot Auth je jen vrstva navíc.
Implementace dnes
Velké platformy jako Cloudflare nebo AWS WAF to už podporují. Podívejte se do dashboardu – často stačí zapnout.
Pro vlastní řízení postupujte takto:
1. Načtěte veřejné klíče
Stáhněte z https://agent.bot.goog/.well-known/http-message-signatures-directory. Cacheujte podle Cache-Control.
2. Hledejte Signature-Agent hlavičku
Obsahuje g="https://agent.bot.goog". Signál, že je podpis přítomen.
3. Validujte podle RFC 9421
Kontrolujte Signature proti Signature-Input. Tady kryptografie rozhodne.
4. Sledujte expirace
Podpisy i klíče mají své termíny. Ověřujte odděleně.
5. Vždy zálohujte
Ne každá požadavka je podepsaná. Kombinujte s IP, DNS a User-Agent.
Tip pro rychlé appky: Validujte asynchronně. Odpovězte hned, ověřte později. Žádné zpomalení.
Proč to ovlivní vaši infrastrukturu
Pro API, SaaS nebo weby to řeší klíčové bolesti:
- Přesné rozlišení botů – legitimní od škodlivých
- Čistá analýza – žádné falešné IP
- Méně chyb – méně blokovaných zákazníků
- Příprava na budoucnost – AI agenti jsou standard
Web se stává místem, kde mají stroje ověřitelnou identitu.
Co dělat hned teď
Zkontrolujte poskytovatele – Cloudflare, AWS? Hledejte podporu ve WAF.
Prověřte současné metody – Zapište slabiny. Kde pomůže kryptografie?
Sledujte IETF – Změny přijdou. Buďte v obraze.
Testujte s Google – Kontaktujte jejich tým pro zkušební provoz.
Plánujte upgrade – Ať třetí strany nebo vlastní kód, načrtněte cestu.
Širší pohled
Web Bot Auth uznává: Boty jsou součástí webu. Místo boje je nechte dokazovat identitu. Weby pak rozhodnou chytře.
Je to experiment. Ale experimenty se stávají standardy. A standardy infrastrukturou. Připravte se na kryptografickou éru ověřování botů. Ruka v ruce končí. Podpis začíná.