Cloudflare lanza un registro abierto para autenticar los bots web
Cloudflare ha presentado una propuesta ambiciosa que podría transformar la forma en que las plataformas web identifican y gestionan el tráfico automatizado.
La empresa estadounidense, un pilar de la infraestructura de Internet mundial, desea introducir un formato de registro abierto para autenticar los bots y agentes web, una solución descentralizada basada en claves criptográficas verificables, en lugar de los tradicionales sistemas de identificación por dirección IP.
¿Por qué es necesario este cambio?
Históricamente, los servidores identificaban a los bots a partir de su dirección IP, un mecanismo efectivo en la época de las redes fijas. Sin embargo, hoy en día, los agentes inteligentes y los bots de IA, como motores de búsqueda y asistentes, utilizan infraestructuras compartidas, proxies o direcciones IP dinámicas.
Como resultado:
- Surgen falsos positivos, donde bots legítimos son bloqueados,
- y falsos negativos, donde bots maliciosos logran eludir la detección.
Cloudflare considera que es hora de adoptar un sistema más confiable, abierto y verificable.
¿Cómo funciona el nuevo formato?
El registro abierto propuesto por Cloudflare permitirá a los creadores de bots publicar claves públicas verificables de manera estandarizada. Estas claves serán accesibles a través de archivos de texto simples, alojados en repositorios públicos (como GitHub) o distribuidos por correo electrónico, siguiendo un formato inspirado en los estándares de la web.
Por ejemplo, un bot de ChatGPT podría listar su clave en https://chatgpt.com/.well-known/agent-registry-keys. Un servidor web podría entonces consultar esta URL para confirmar que el tráfico proviene realmente del bot declarado, sin necesidad de pasar por una autoridad central.
En resumen: en lugar de confiar en la dirección IP de un agente, se verificará su identidad criptográfica.
Un modelo descentralizado e interoperable
Este enfoque representa un cambio con respecto a las listas propietarias y filtros cerrados utilizados hasta ahora. Cualquiera, desde un desarrollador independiente hasta una gran empresa, podría mantener su propio registro, interoperable con otros.
Los beneficios son múltiples:
- Comercio en línea: distinguir claramente los bots de compra legítimos de los scrapers maliciosos.
- Investigación e IA: evitar bloquear erróneamente a los crawlers académicos.
- Interoperabilidad: permitir a las plataformas validar automáticamente agentes externos.
Cloudflare ya está trabajando con Visa y Mastercard para aplicar este principio en la seguridad de los agentes comerciales autónomos.
Un prolongamiento del trabajo en Web Bot Auth
Este proyecto se basa en trabajos anteriores de Cloudflare sobre Web Bot Auth, un sistema de autenticación criptográfica de bots lanzado anteriormente. La diferencia: aquí, el registro tiene como objetivo estandarizar y abrir el proceso para todo el ecosistema de Internet, más allá de los servicios de Cloudflare.
Cloudflare presenta esta innovación como un paso hacia una infraestructura de confianza universal, fundada no en la reputación de una IP, sino en una identidad digital verificada. Esto podría reducir los bloqueos abusivos, facilitar los intercambios entre sitios y bots, y reforzar la seguridad global de la web.
«El futuro del tráfico automatizado debe basarse en la criptografía, no en la presunción», resume un ingeniero de Cloudflare citado en el informe.
Los desafíos que se avecinan
Los expertos aplauden esta iniciativa, pero señalan varios desafíos:
- Adopción comunitaria: el formato debe convertirse en un estándar reconocido, no en una simple herramienta de Cloudflare.
- Gobernanza: ¿quién arbitrará en caso de conflictos entre claves o abusos?
- Interoperabilidad: será necesario convencer a los grandes actores de la web (Google, Amazon, Meta…) de adoptar el mismo protocolo.
Cloudflare, fiel a su ADN de código abierto, publicará el formato en GitHub (github.com/cloudflare/agents), con la esperanza de reunir una comunidad de desarrolladores e investigadores.
Al lanzar este registro de agentes verificables, Cloudflare no se limita a realizar una actualización técnica, sino que propone un nuevo paradigma de confianza en Internet, donde cada bot, cada agente, cada asistente de IA podrá probar su identidad de manera transparente y universal.
Una pequeña revolución criptográfica para una web más segura, abierta y colaborativa.
