Der Bot signiert jede Anfrage nach RFC 9421 mit einem Ed25519- oder einem anderen asymmetrischen Schlüssel, mit dem Tag web-bot-auth, einem kurzen Gültigkeitsfenster aus created und expires und einem Parameter keyid, der dem JWK-Thumbprint des Schlüssels entspricht. Ein Header Signature-Agent verweist auf ein HTTPS-Verzeichnis (/.well-known/http-message-signatures-directory), aus dem Verifizierer die öffentlichen Schlüssel des Betreibers abrufen. HMAC ist nicht erlaubt.
Das Protokoll wird in der IETF-Arbeitsgruppe webbotauth standardisiert (draft-ietf-webbotauth-httpsig-protocol, ein Internet-Draft vom September 2026, der auf früheren Entwürfen von Cloudflare aufbaut). Cloudflare und andere CDNs prüfen diese Signaturen für Website-Betreiber. Der Web-Bot-Auth-Checker prüft eine signierte Anfrage und ihr Schlüsselverzeichnis.