机器人按 RFC 9421 用 Ed25519 或其他非对称密钥对每个请求签名，使用标签 web-bot-auth，created 与 expires 时间间隔很短，keyid 取该密钥的 JWK 指纹。Signature-Agent 头部指向一个 HTTPS 目录（/.well-known/http-message-signatures-directory），验证者从中获取运营者的公钥。不允许使用 HMAC。
该协议正在 IETF 的 webbotauth 工作组中标准化（draft-ietf-webbotauth-httpsig-protocol，2026年9月的互联网草案，建立在 Cloudflare 早期草案的基础上）。Cloudflare 和其他 CDN 会替网站运营者验证这些签名。Web Bot Auth 检测工具可以验证已签名的请求及其密钥目录。