Web Bot Auth (RFC 9421): der Agent weist sich auf HTTP-Ebene aus
Web Bot Auth nutzt HTTP Message Signatures nach RFC 9421: Ein Agent signiert jede Anfrage mit seinem Schlüssel und verweist auf ein Verzeichnis, unter dem der Schlüssel veröffentlicht ist. Netzwerke wie Cloudflare und Visas Trusted Agent Protocol erkennen ihn so als registrierten Agenten.
Transport, nicht Befugnis
Web Bot Auth beantwortet, wer anfragt — nicht, ob diese Person die Handlung erlaubt hat. Es ergänzt die Vollmacht, ersetzt sie aber nicht: Erkennung an der Tür, Mandat am Schalter.
Bei Mandact
Das SDK umhüllt fetch (withWebBotAuth) und signiert jede Anfrage mit dem Ed25519-Schlüssel des Agenten; das Signatur-Verzeichnis zeigt auf die Organisation bei Mandact. Optional reist das Mandats-Token in derselben Anfrage mit.
Was der Händler gewinnt
Ein Agent, der sich auf Transportebene ausweist und ein prüfbares Mandat vorzeigt, ist von einem Scraper unterscheidbar — und von einem Agenten ohne Befugnis.
Stand
SDK-Funktion withWebBotAuth; Einsatz in Cloudflare-/TAP-Umgebungen dokumentiert (docs/WEB-BOT-AUTH.md).