Бот подписывает каждый запрос по RFC 9421 ключом Ed25519 или другим асимметричным ключом и задаёт в параметрах подписи тег web-bot-auth, короткий интервал между created и expires и keyid, равный отпечатку JWK этого ключа. Заголовок Signature-Agent указывает на каталог по HTTPS (/.well-known/http-message-signatures-directory), откуда проверяющие стороны получают открытые ключи оператора. HMAC не допускается.
Протокол стандартизируется в рабочей группе IETF webbotauth (draft-ietf-webbotauth-httpsig-protocol, Internet-Draft от сентября 2026 года, развивающий более ранние черновики Cloudflare). Cloudflare и другие CDN проверяют эти подписи для владельцев сайтов. Инструмент проверки Web Bot Auth проверяет подписанный запрос и каталог его ключей.