Ferramenta Gratuita de Teste de Autenticação de Bot Web da Fingerprint para Desenvolvedores de Agentes de IA

O que é Web Bot Auth e por que é importante

Web Bot Auth (WBA) é um padrão aberto emergente que está avançando pelo IETF e permite que clientes automatizados assinem criptograficamente suas requisições HTTP. Métodos de identificação legados como strings de User-Agent podem ser facilmente falsificados, e listas de permissão de IP são demoradas e manipuláveis. O WBA resolve isso permitindo que operadores de bots gerem pares de chaves assimétricas, hospedem chaves públicas em diretórios detectáveis e assinem requisições de saída com chaves privadas.

Como funciona a assinatura do Web Bot Auth

Uma requisição WBA devidamente assinada inclui três cabeçalhos:

• Signature-Input define os componentes que estão sendo assinados e parâmetros incluindo: tag definida como web-bot-auth, keyid correspondendo à impressão digital JSON Web Key (JWK) da sua chave de assinatura, timestamps created e expires, e um nonce (fortemente recomendado para reduzir o risco de replay)
• Signature contém a assinatura criptográfica real sobre esses componentes
• Signature-Agent aponta para o seu diretório de chaves, facilitando para servidores descobrirem e armazenarem em cache sua chave pública

A Fingerprint requer chaves Ed25519, e seu diretório de chaves precisa ser hospedado via HTTPS em /.well-known/http-message-signatures-directory, com a resposta do diretório em si assinada para impedir que outra pessoa a espelhe.

A ferramenta de teste gratuita

A página de teste Web Bot Auth da Fingerprint é um endpoint público e gratuito onde você pode enviar uma requisição assinada e receber feedback claro sobre se sua assinatura valida corretamente. Nenhuma conta é necessária, e a ferramenta de teste é de código aberto com repositórios de frontend e backend disponíveis.

O endpoint está em: fingerprint.com/web-bot-auth/test/

Começando com WBA

Se você está implementando WBA:

1. Gere um par de chaves Ed25519 e converta sua chave pública para o formato JWK
2. Hospede seu diretório de chaves em /.well-known/http-message-signatures-directory via HTTPS, com a resposta do diretório assinada usando sua chave privada
3. Assine as requisições HTTP de saída do seu bot com os cabeçalhos Signature-Input, Signature e Signature-Agent
4. Envie uma requisição de teste para fingerprint.com/web-bot-auth/test/ para confirmar que tudo valida

Quando seu bot assina requisições corretamente, sites que usam a Detecção de Bots da Fingerprint podem identificá-lo como um bot assinado em vez de tratá-lo como tráfego automatizado desconhecido.