Todos los navegadores de OpenWAF Browsers firman sus peticiones con Web Bot Auth bajo el mismo Signature-Agent, "https://browsers.openwaf.dev". Dentro de esa identidad, cada organización firma con su propia clave Ed25519. El identificador de la clave, keyid (su huella JWK según el RFC 7638), va en el Signature-Input de cada petición de los navegadores de la organización.
Qué ve un sitio
| Campo | Igual para | Le dice al sitio |
|---|---|---|
Signature-Agent | Todos los clientes | La petición viene de un navegador de OpenWAF Browsers. |
keyid en Signature-Input | Una organización | Las peticiones con la misma keyid vienen de los navegadores de la misma organización. |
Así, un sitio puede reconocer o permitir OpenWAF Browsers en conjunto por su Signature-Agent, y reconocer, limitar o bloquear los navegadores de una organización por su keyid sin afectar a las demás.
Una keyid es la huella de una clave, no el nombre de una cuenta: OpenWAF no publica qué organización tiene cada clave.
El directorio
Todas las claves están en un único directorio:
https://browsers.openwaf.dev/.well-known/http-message-signatures-directoryRecoge la clave de cada organización aprobada y, mientras se siga usando, la clave compartida que firmaba por todas las organizaciones antes de las claves por organización. La respuesta del directorio va firmada con cada clave que recoge (una firma por clave, con la etiqueta http-message-signatures-directory), así un verificador puede comprobar que cada clave del directorio pertenece a https://browsers.openwaf.dev.
Ciclo de vida de una clave
- Aprobación. Cuando un operador aprueba OpenWAF Browsers para una organización, su clave se crea y se publica en el directorio. Pasa unos 10 minutos de calentamiento para que los verificadores la descarguen antes de que se use; mientras tanto, los navegadores de la organización firman con la clave compartida. Después firma la clave de la organización.
- Rotación. Solo un operador de OpenWAF rota la clave de una organización, por ejemplo si ha podido quedar expuesta. Una organización no puede rotar su propia clave: así se libraría de los bloqueos que los sitios tengan sobre su
keyid. La clave nueva pasa el mismo calentamiento. La actual sigue firmando hasta que la nueva está activa; después sigue en el directorio unos 10 minutos más y se retira. - Retirada. Cuando se retira el acceso, o la organización se suspende o se borra, sus claves salen del directorio en el momento. Los sitios detrás de OpenWAF dejan de aceptar firmas hechas con ellas en un minuto, más o menos.
Pasar la cuota mensual no cambia la clave: los navegadores se paran y, cuando vuelven, la clave es la misma.
Encuentra tu keyid
- Panel: Navegadores → Resumen, tarjeta Identidad Web Bot Auth, con un botón para copiarla. Su estado es En calentamiento (con la hora a la que empieza a firmar), Activa, o Rotando mientras hay una rotación en curso.
- API: el campo
wbadeGET /v1/orgs/{org}/browsers(mira el resumen). - CLI:
openwaf-cloud ctl browsers status.
Quién lo verifica
- Los sitios detrás de OpenWAF. El control de rastreadores IA verifica las firmas Web Bot Auth contra este directorio como uno de sus métodos de verificación de bots. Una clave solo cuenta mientras la respuesta del directorio lleva una firma válida hecha con ella.
- Cloudflare verifica las firmas Web Bot Auth de los agentes registrados en Cloudflare. Aplica la misma regla al directorio: acepta una clave del directorio solo si la respuesta del directorio va firmada con esa clave.
- Cualquier sitio puede verificar las firmas por su cuenta con los pasos de verificarlo en tu sitio.
Desactivar Web Bot Auth en un navegador o por defecto en la organización quita la firma y, con ella, la keyid: mira desactivarlo.