O bot assina cada requisição conforme a RFC 9421 com uma chave Ed25519 ou outra chave assimétrica, usando a tag web-bot-auth, uma janela curta entre created e expires e um keyid que é a impressão digital da JWK (JWK thumbprint) da chave. Um cabeçalho Signature-Agent aponta para um diretório HTTPS (/.well-known/http-message-signatures-directory) do qual os verificadores obtêm as chaves públicas do operador. HMAC não é permitido.
O protocolo está sendo padronizado no grupo de trabalho webbotauth da IETF (draft-ietf-webbotauth-httpsig-protocol, um Internet-Draft de setembro de 2026, que se baseia em rascunhos anteriores da Cloudflare). A Cloudflare e outras CDNs verificam essas assinaturas para os operadores de sites. O verificador de Web Bot Auth confere uma requisição assinada e o diretório de chaves dela.