ボットは、Ed25519 などの非対称鍵を使い、RFC 9421 に従って各リクエストに署名します。その際、タグ web-bot-auth、間隔を短くした created と expires の時刻、鍵の JWK サムプリントである keyid を使います。Signature-Agent ヘッダーは HTTPS 上のディレクトリ（/.well-known/http-message-signatures-directory）を指し、検証者はそこから運営者の公開鍵を取得します。HMAC は使用できません。
このプロトコルは、IETF の webbotauth ワーキンググループで標準化が進められています（draft-ietf-webbotauth-httpsig-protocol。2026年9月のインターネットドラフトで、Cloudflare の以前のドラフトを基にしています）。Cloudflare などの CDN は、サイト運営者に代わってこれらの署名を検証します。Web Bot Auth チェッカーは、署名付きリクエストとその鍵ディレクトリを検証します。