Web Bot Auth(ウェブボット認証)とは?
Web Bot Auth(ウェブボット認証)とは、ボットやAIエージェントがHTTPリクエストに電子署名を付けて、自分が名乗っているとおりの相手であることを証明する仕組みのこと。自己申告のUser-Agent文字列やIPアドレスの照合に代わり、公開鍵暗号で偽造できない身分証を持たせます。
実務での使い方
これまでボットの判別は、User-Agent文字列の自己申告か、ボット提供者が公開するIPアドレス範囲との照合で行われてきました。前者は名乗るだけなので詐称でき、後者はボット提供者がIPの一覧を公開・維持し続けなければ機能しません。Web Bot Authは、RFC 9421(HTTP Message Signatures)を土台に、リクエストそのものへ電子署名を付けることでこの問題を解きます。
サイト運営者にとっての意味は明確です。「名乗っているだけのボット」と「本当にそのボット」を区別できるようになります。AIクローラーを用途別に許可・拒否する判断をしても、名前を詐称されれば設定は意味を持ちません。Web Bot Authは、その前提を埋める部品にあたります。
仕組みはどうなっている?
ボットの提供者は、自分が管理するドメインのwell-known配下に公開鍵をJWKS形式で掲示します。リクエストを送るときは対応する秘密鍵で署名を作り、Signature・Signature-Input・Signature-Agentの3つのヘッダーを付けて送ります。受け取った側(実務ではCDNやWAF)は、Signature-Agentが指す先から公開鍵を取得して署名を検証します。署名アルゴリズムにはEd25519が使われています。
検証に成功すれば、そのリクエストは確かにその鍵の持ち主から送られたものだと確認できます。IPアドレスの一覧を配って回る必要も、逆引きDNSを引く必要もありません。鍵の入れ替えも、提供者側が掲示しているファイルを更新するだけで済みます。
名乗り(User-Agent)ではなく署名で判別する。詐称した第三者は正しい署名を作れない。
標準化は終わっている?
終わっていません。土台となるRFC 9421(HTTP Message Signatures)は2024年2月にIETFのProposed Standardとして発行済みですが、Web Bot Auth自体はまだ個人提出のインターネットドラフトの段階です。2026年にIETFにワーキンググループが設置されたものの、2026年8月時点で正式に採択された文書はありません。鍵の発見方法、鍵のローテーションの扱い、署名の構造について議論が続いています。
一方で実装は先行しています。Cloudflareは2025年7月に、署名付きリクエストを送るボットをVerified Bots Programへ組み込むことを発表し、以後の登録では既存の検証方式より署名を推奨しています。AWS WAFも2025年11月にサポートを発表しました。標準になる前に実装が広がっている段階だと理解しておくのが正確です。日本語の解説には「新しい標準規格」とだけ書いて標準化ステータスに触れないものがあるため、社内説明では区別してください。
サイト運営者は何をすればいい?
情報サイトやコーポレートサイトの側で実装するものは、現時点ではありません。署名を付けるのはボットの提供者側で、検証するのはCDNやWAFです。運営者ができるのは、利用しているCDNのボット検証機能が署名検証に対応しているかを確認し、対応していれば検証済みのボットだけを通す設定を選ぶことです。
ただし普及は途上です。たとえばGoogleでは、AIブラウジングのエージェントは署名を付ける一方、検索インデックス用のクローラーはまだ署名していません。署名のないボットを一律で落とす設定にすると検索の入口を閉じる恐れがあるため、当面は用途別の許可・拒否を主、署名検証を従として組み合わせるのが安全です。