{"id":10641,"date":"2026-10-05T18:10:00","date_gmt":"2026-10-05T16:10:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=10641"},"modified":"2026-09-25T09:45:52","modified_gmt":"2026-09-25T07:45:52","slug":"web-bot-auth-jak-podpisywane-sa-zadania-agentow-i-co-dowodzi-podpis","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/cloud-ai-pl\/web-bot-auth-jak-podpisywane-sa-zadania-agentow-i-co-dowodzi-podpis\/","title":{"rendered":"Web Bot Auth: jak podpisywane s\u0105 \u017c\u0105dania agent\u00f3w i co dowodzi podpis"},"content":{"rendered":"

Przegl\u0105darka agentowa wygl\u0105da w raporcie analitycznym jak cz\u0142owiek, bo jest prawdziwym silnikiem przegl\u0105darki. Pytanie, kto w\u0142a\u015bciwie pyta, da si\u0119 z zachowania tylko oszacowa\u0107 – albo odpowiedzie\u0107 na nie od strony przeciwnej, przez podpisanie.<\/p>\n

W\u0142a\u015bnie tym jest Web Bot Auth. Mechanizm jest kr\u00f3tki, kryptografia niespektakularna, a najciekawsze w nim jest to, czego wyra\u017anie nie dowodzi.<\/p>\n

\n\"Graf
Pi\u0119\u0107 kraw\u0119dzi jest ci\u0105g\u0142ych i dowodliwych. Sz\u00f3sta jest przerywana, bo nie istnieje – i w\u0142a\u015bnie j\u0105 zwykle ma si\u0119 na my\u015bli w rozmowach o zweryfikowanych agentach.<\/figcaption><\/figure>\n

Co le\u017cy na \u0142\u0105czu<\/h2>\n

Podstaw\u0105 jest RFC 9421, podpisy wiadomo\u015bci HTTP. Operator agenta tworzy par\u0119 kluczy Ed25519, publikuje cz\u0119\u015b\u0107 publiczn\u0105 jako zestaw kluczy JSON pod ustalon\u0105 \u015bcie\u017ck\u0105 w domenie, kt\u00f3r\u0105 kontroluje, i podpisuje ka\u017cde wychodz\u0105ce \u017c\u0105danie. Wynik nios\u0105 trzy nag\u0142\u00f3wki.<\/p>\n

Signature-Agent: \"https:\/\/przyklad-agent.pl\"\nSignature-Input: sig=(\"@authority\" \"signature-agent\");\n                 created=1700000000;\n                 expires=1700011111;\n                 keyid=\"poqkLGiymh_W0uP6PZFw-dvez3QJT5SolqXBCW38r0U\";\n                 tag=\"web-bot-auth\"\nSignature: sig=jdq0SqOwHdyHr9+r5jw3iYZH6aNGKijYp\/EstF4RQTQdi5N5YYKrD+mCT1HA1nZD\u2026\n\n  katalog       \/.well-known\/http-message-signatures-directory\n  typ treści    application\/http-message-signatures-directory+json\n\n  Nawias po sig= nazywa to, co jest podpisane. Tu są to dwa\n  składniki: host docelowy i wskazanie katalogu.<\/code><\/pre>\n
Weryfikator czyta Signature-Agent<\/code>, pobiera stamt\u0105d katalog, szuka w nim klucza wskazanego przez keyid<\/code>, odtwarza podstaw\u0119 podpisu ze sk\u0142adnik\u00f3w nazwanych w Signature-Input<\/code> i przelicza podpis.<\/p>\n
Czego podpis dowodzi<\/h2>\n
Dw\u00f3ch rzeczy, i obie s\u0105 mocne. Po pierwsze: kto go wytworzy\u0142, posiada klucz prywatny do publicznego opublikowanego pod okre\u015blon\u0105 domen\u0105. Po drugie: kontroluje t\u0119 domen\u0119, bo inaczej nie m\u00f3g\u0142by tam nic z\u0142o\u017cy\u0107. Razem daje to sprawdzalne pochodzenie, a to wi\u0119cej, ni\u017c ci\u0105g w user agencie kiedykolwiek stanowi\u0142.<\/p>\n
Dochodzi do tego zamiennik ochrony przed powt\u00f3rzeniem: expires<\/code> ogranicza wa\u017cno\u015b\u0107, a podpis przedstawiony po tej chwili zostaje odrzucony. Przechwycone \u017c\u0105danie nie da si\u0119 zatem u\u017cywa\u0107 dowolnie d\u0142ugo.<\/p>\n
Czego nie dowodzi<\/h2>\n
Podpis obejmuje sk\u0142adniki nazwane, w opublikowanym przyk\u0142adzie host docelowy i wskazanie katalogu. Tre\u015bci \u017c\u0105dania nie obejmuje, a o zamiarze nie m\u00f3wi nic. Dowodzi to\u017csamo\u015bci, nie zachowania.<\/p>\n
Wa\u017cny podpis nie jest zatem pozwoleniem. Czysto podpisany agent mo\u017ce zebra\u0107 t\u0119 sam\u0105 tre\u015b\u0107 co niepodpisany, tylko dowodliwie. Zysk le\u017cy nie w obronie, lecz w przypisywalno\u015bci: kto wie, kt\u00f3ry operator pyta\u0142, mo\u017ce ustawi\u0107 regu\u0142\u0119 na operatora – a w sporze udowodni\u0107, kto tam by\u0142.<\/p>\n
Jak da si\u0119 to sprawdzi\u0107<\/h2>\n
Sprawdzenie jest ogarnialne i warte przej\u015bcia jako \u0107wiczenie, bo pokazuje granice metody wprost. Cztery kroki: odczyta\u0107 Signature-Agent<\/code> i sprawdzi\u0107 wobec oczekiwanej domeny; pobra\u0107 katalog pod ustalon\u0105 \u015bcie\u017ck\u0105 i wyszuka\u0107 klucz do keyid<\/code>; z\u0142o\u017cy\u0107 podstaw\u0119 podpisu ze sk\u0142adnik\u00f3w nazwanych w Signature-Input<\/code>, w podanej kolejno\u015bci; przeliczy\u0107 weryfikacj\u0119 Ed25519 i zestawi\u0107 expires<\/code> z w\u0142asnym zegarem.<\/p>\n
Krok trzeci jest tym, na kt\u00f3rym w\u0142asne wdro\u017cenia si\u0119 wyk\u0142adaj\u0105, bo podstawa podpisu musi zgadza\u0107 si\u0119 bajt w bajt. Kto zbuduje j\u0105 raz r\u0119cznie, ten rozumie potem tak\u017ce, dlaczego tre\u015b\u0107 nie jest podpisywana razem z ni\u0105: musia\u0142aby zosta\u0107 w ca\u0142o\u015bci zbuforowana, zanim rozpocznie si\u0119 pierwsze sprawdzenie.<\/p>\n
Stan rzeczy, nazwany uczciwie<\/h2>\n
Obie specyfikacje s\u0105 projektami internetowymi – architektura i katalog, ten drugi w pi\u0105tej wersji. Grupa robocza IETF zajmuje si\u0119 tym od pocz\u0105tku 2026, przyj\u0119tego dokumentu nie ma, a projekty jak najbardziej zmieniaj\u0105 jeszcze nazwy nag\u0142\u00f3wk\u00f3w i \u015bcie\u017cki.<\/p>\n
Jednocze\u015bnie kilku du\u017cych dostawc\u00f3w sieciowych i bezpiecze\u0144stwa sprawdza te podpisy ju\u017c w ruchu produkcyjnym. Dla pojedynczej witryny znaczy to: zrozumie\u0107 tak, polega\u0107 jeszcze nie. A zdanie, kt\u00f3re trzeba dopowiada\u0107 sobie przy czytaniu zapowiedzi, stoi na obrazku jako kraw\u0119d\u017a przerywana – podpis dowodzi, kto pyta, i nigdy tego, co zamierza.<\/p>\n
\n
Pytania i odpowiedzi<\/h2>\n
Czy da si\u0119 po prostu wpisa\u0107 w nag\u0142\u00f3wek Signature-Agent domen\u0119 znanego operatora?<\/h3>\n
Wpisa\u0107 tak, przej\u015b\u0107 weryfikacj\u0119 ju\u017c nie. Sprawdzenie pobiera klucz z katalogu w\u0142a\u015bnie tej domeny, a bez pasuj\u0105cego klucza prywatnego weryfikacja Ed25519 si\u0119 nie powiedzie. Poniewa\u017c sam Signature-Agent nale\u017cy do podpisanych sk\u0142adnik\u00f3w, nie da si\u0119 go te\u017c p\u00f3\u017aniej zamieni\u0107 na inn\u0105 domen\u0119.<\/p>\n
Czy przechwyconego, wa\u017cnego podpisu da si\u0119 u\u017cy\u0107 ponownie przed up\u0142ywem expires?<\/h3>\n
W tym oknie czasowym co do zasady tak. expires jest tylko zamiennikiem ochrony przed powt\u00f3rzeniem: ogranicza czas wa\u017cno\u015bci podpisu, ale nie przeszkadza w tym, by ten sam podpis przedstawi\u0107 w tym czasie kilka razy. W przyk\u0142adzie created i expires dzieli 11 111 sekund, czyli nieco ponad trzy godziny.<\/p>\n
Do tego dochodzi pytanie, co jest podpisane. W przyk\u0142adzie tylko host docelowy i wskazanie katalogu, a nie \u015bcie\u017cka, metoda ani tre\u015b\u0107. Kto zna trzy nag\u0142\u00f3wki takiego \u017c\u0105dania, mo\u017ce je wi\u0119c w tym czasie do\u0142\u0105czy\u0107 tak\u017ce do innego adresu na tym samym ho\u015bcie, a sprawdzenie i tak si\u0119 powiedzie.<\/p>\n
W praktyce wymaga to, by nag\u0142\u00f3wki w og\u00f3le trafi\u0142y w obce r\u0119ce. Przez HTTPS s\u0105 na \u0142\u0105czu zaszyfrowane, ale wida\u0107 je wsz\u0119dzie tam, gdzie ko\u0144czy si\u0119 TLS, na przyk\u0142ad w CDN albo w odwrotnym proxy, oraz w logach zapisuj\u0105cych nag\u0142\u00f3wki. Dla regu\u0142y na operatora oznacza to, \u017ce wa\u017cny podpis dowodzi, i\u017c operator wytworzy\u0142 te nag\u0142\u00f3wki, ale niekoniecznie, \u017ce wys\u0142a\u0142 w\u0142a\u015bnie to \u017c\u0105danie.<\/p>\n
Czy Web Bot Auth pomaga odfiltrowa\u0107 agent\u00f3w z raportu analitycznego?<\/h3>\n
Tylko tam, dok\u0105d docieraj\u0105 nag\u0142\u00f3wki \u017c\u0105dania. Podpis stoi w nag\u0142\u00f3wkach \u017c\u0105dania HTTP, a te widzi serwer, stoj\u0105cy przed nim CDN albo log serwera. Tag pomiarowy dzia\u0142aj\u0105cy w przegl\u0105darce jako JavaScript nie mo\u017ce odczyta\u0107 nag\u0142\u00f3wk\u00f3w \u017c\u0105dania, kt\u00f3rym wczytano jego w\u0142asn\u0105 stron\u0119, wi\u0119c przegl\u0105darka agentowa liczy si\u0119 tam nadal jak cz\u0142owiek.<\/p>\n
Rozr\u00f3\u017cnienie w raporcie wymaga wi\u0119c decyzji na serwerze: przeprowadzenia tam sprawdzenia i przekazania jego wyniku dalej, na przyk\u0142ad jako znacznika, kt\u00f3ry strona przekazuje tagowi, albo pomiaru bezpo\u015brednio na serwerze. Zak\u0142ada to, \u017ce agent w og\u00f3le podpisuje; agenci bez podpisu pozostaj\u0105 tak samo niewidoczni jak wcze\u015bniej.<\/p>\n<\/div>\n
\n
\u0179r\u00f3d\u0142a<\/h2>\n