Компанията Cloudflare, Google, Mozilla, Microsoft и Shopify представиха съвместен проект за разработване и стандартизиране на протокола Private Access Control Tokens (PACT), който позволява да се отделят реални потребители и легитимно действащи ботове от спам трафик и неконтролирана активност на AI-ботове, като същевременно запазва конфиденциалността на потребителите. Обявено е, че новият протокол ще позволи филтриране на бот трафика на сайтове чрез анонимни токени, без необходимост от попълване на капча, задължителна аутентификация и проследяване чрез Cookies.
Идеята е, че услугите, които имат основания да смятат потребителя за истински човек, например след успешна аутентификация или проверка на антибот, ще издават на потребителя анонимни токени. След това браузърът на потребителя ще може да представя тези токени на други сайтове като доказателство, че заявката не е автоматична. Подобен подход ще позволи използването на вече проведени проверки на един сайт за свързване с други сайтове без допълнителни проверки. В същото време протоколът се проектира така, че сайтовете да не могат да използват токените за идентификация на потребителя или възстановяване на историята на посещенията.
Инициативата беше предизвикана от растежа на дела на автоматизирания трафик от AI-агенти, краулери и скрейпери, които се представят за заявки от обикновени потребители, игнорирайки правилата в robots.txt и създавайки огромна паразитна натовареност на сървъри. По-рано Cloudflare предлага да се използва механизъм Web Bot Auth за аутентификация на ботове, базиран на прикрепване на криптографски подпис към HTTP-заявките от ботове, за да се вземе решение за достъп на базата на проверими данни, а не IP адреси или лесно фалшифицирано съдържание в полето User-Agent.
Сред потенциалните рискове, свързани с внедряването на протокола PACT, се споменава, че механизмът, създаден за доброволно потвърждаване на потребителя, може да се превърне в задължителен филтър за достъп до сайтовете и да стане бариера, при която програмите, браузърите и потребителите ще трябва да доказват, че заслужават достъп.
Подобен проблем преди е била поставяна от организацията EFF (Electronic Frontier Foundation) в своята критика на API Web Environment Integrity и дистанционната атестация. Подобни механизми дават на собствениците на сайтове възможността да блокират нежелани браузъри, операционни системи и средства за автоматизация, представяйки това като борба с измамници и злонамерена активност. EFF признава, че проблемите с ботите са реални, но счита за неприемливо да се решават чрез въвеждане на нови ограничения и ограничаване правото на потребителя да управлява собственото си устройство.
Източник: opennet.ru
