Web Bot Auth（署名付きエージェント）(WBA)

台頭しつつある IETF ドラフト標準（Cloudflare と Google）で、RFC 9421 の HTTP Message Signatures を用いて、エージェントがウェブサイトに対して自らの身元を暗号的に証明できるようにする。エージェントは各送信リクエストを Ed25519 鍵で署名し、公開鍵を /.well-known/http-message-signatures-directory に JWKS 鍵ディレクトリとして公開し、Signature-Agent ヘッダーでそれを指し示す。オリジンはそのディレクトリを取得して署名を検証し、当該トラフィックを許可・拒否・レート制限・課金のいずれにするかを判断する。これは壊れやすい IP レンジや User-Agent の許可リストを置き換えるものであり、Cloudflare の Signed Agents はこれをエッジで製品化している。authenticated-delegation とは異なる。あちらはユーザーからエージェントへの権限を証明するのに対し、Web Bot Auth はその逆で、エージェントがウェブサイトに対して自らの出所を証明する。