El bot firma cada solicitud según el RFC 9421 con una clave Ed25519 u otra clave asimétrica, usando la etiqueta web-bot-auth, tiempos created y expires cortos y un keyid que es la huella digital JWK de la clave. Un encabezado Signature-Agent apunta a un directorio HTTPS (/.well-known/http-message-signatures-directory) del que los verificadores obtienen las claves públicas del operador. No se permite HMAC.
El protocolo se está estandarizando en el grupo de trabajo webbotauth del IETF (draft-ietf-webbotauth-httpsig-protocol, un Internet-Draft de septiembre de 2026 basado en borradores anteriores de Cloudflare). Cloudflare y otras CDN verifican estas firmas para los operadores de sitios. El comprobador de Web Bot Auth verifica una solicitud firmada y su directorio de claves.