Доверие / РАЗБОР
Web Bot Auth: кто именно пришёл на сайт
Внешний агент представился закупщиком. Одной строки User-Agent недостаточно, чтобы ему поверить. Web Bot Auth использует криптографические подписи HTTP-запросов для подтверждения технической личности отправителя.
Представьте обычную рабочую ситуацию
Это похоже на проверяемую подпись на конверте. Она помогает установить, кто отправил запрос. Но даже настоящая подпись не доказывает, что человек поручил этому отправителю купить товар на любую сумму.
Как это работает по шагам
- Получите доверенный открытый ключ по согласованным правилам.
- Проверьте подпись и подписанные части запроса.
- Проверьте время и защиту от повторной отправки.
- Отдельно проверьте права на запрашиваемое действие.
Если чуть глубже
Демонстрация проверяет настоящую Ed25519-подпись ограниченного профиля HTTP Message Signatures / Web Bot Auth: метод, домен, путь, Content-Digest и Signature-Agent. Ключ берётся только из доверенного списка демонстрации. Срок подписи ограничен 60 секундами; повтор отслеживается в памяти процесса.
Где проходит граница
Учебный ключ создаётся в памяти сервера и не даёт доступа к закрытым данным. Внешние URL ключей не загружаются. Боевой допуск сторонних агентов и подтверждение полномочий покупателя не включены. Это проверка ограниченного профиля, а не полная реализация всех вариантов Web Bot Auth.
За чем слежу дальше
Для реального допуска определить доверенных издателей ключей, отдельную авторизацию действий и устойчивое к перезапуску хранилище защиты от повтора.
Дата проверки означает редакционную сверку с источниками. Это не обещание непрерывного мониторинга и не дата выпуска спецификации.
Журнал проверок и обновлений →