Le bot signe chaque requête selon la RFC 9421 avec une clé Ed25519 ou une autre clé asymétrique, en utilisant le tag web-bot-auth, un court intervalle entre created et expires et un keyid égal à l’empreinte JWK de la clé. Un en-tête Signature-Agent pointe vers un annuaire HTTPS (/.well-known/http-message-signatures-directory) où les vérificateurs récupèrent les clés publiques de l’opérateur. HMAC n’est pas autorisé.
Le protocole est en cours de normalisation au sein du groupe de travail webbotauth de l’IETF (draft-ietf-webbotauth-httpsig-protocol, un Internet-Draft de septembre 2026 qui s’appuie sur des versions préliminaires antérieures de Cloudflare). Cloudflare et d’autres CDN vérifient ces signatures pour le compte des exploitants de sites. Le vérificateur Web Bot Auth vérifie une requête signée et son annuaire de clés.