# Identidad Web Bot Auth

> Los navegadores de cada organización firman con su propia clave bajo el Signature-Agent común, así los sitios distinguen organizaciones por su keyid.

Todos los navegadores de OpenWAF Browsers firman sus peticiones con [Web Bot Auth](https://developers.openwaf.dev/es/browsers/web-bot-auth/) bajo el mismo `Signature-Agent`, `"https://browsers.openwaf.dev"`. Dentro de esa identidad, cada organización firma con **su propia clave Ed25519**. El identificador de la clave, `keyid` (su huella JWK según el RFC 7638), va en el `Signature-Input` de cada petición de los navegadores de la organización.

## Qué ve un sitio

| Campo | Igual para | Le dice al sitio |
|---|---|---|
| `Signature-Agent` | Todos los clientes | La petición viene de un navegador de OpenWAF Browsers. |
| `keyid` en `Signature-Input` | Una organización | Las peticiones con la misma `keyid` vienen de los navegadores de la misma organización. |

Así, un sitio puede reconocer o permitir OpenWAF Browsers en conjunto por su `Signature-Agent`, y reconocer, limitar o bloquear los navegadores de una organización por su `keyid` sin afectar a las demás.

Una `keyid` es la huella de una clave, no el nombre de una cuenta: OpenWAF no publica qué organización tiene cada clave.

## El directorio

Todas las claves están en un único directorio:

```text
https://browsers.openwaf.dev/.well-known/http-message-signatures-directory
```

Recoge la clave de cada organización aprobada y, mientras se siga usando, la clave compartida que firmaba por todas las organizaciones antes de las claves por organización. La respuesta del directorio va firmada con **cada** clave que recoge (una firma por clave, con la etiqueta `http-message-signatures-directory`), así un verificador puede comprobar que cada clave del directorio pertenece a `https://browsers.openwaf.dev`.

## Ciclo de vida de una clave

- **Aprobación.** Cuando un operador aprueba OpenWAF Browsers para una organización, su clave se crea y se publica en el directorio. Pasa unos 10 minutos de calentamiento para que los verificadores la descarguen antes de que se use; mientras tanto, los navegadores de la organización firman con la clave compartida. Después firma la clave de la organización.
- **Rotación.** Solo un operador de OpenWAF rota la clave de una organización, por ejemplo si ha podido quedar expuesta. Una organización no puede rotar su propia clave: así se libraría de los bloqueos que los sitios tengan sobre su `keyid`. La clave nueva pasa el mismo calentamiento. La actual sigue firmando hasta que la nueva está activa; después sigue en el directorio unos 10 minutos más y se retira.
- **Retirada.** Cuando se retira el acceso, o la organización se suspende o se borra, sus claves salen del directorio en el momento. Los sitios detrás de OpenWAF dejan de aceptar firmas hechas con ellas en un minuto, más o menos.

Pasar la cuota mensual no cambia la clave: los navegadores se paran y, cuando vuelven, la clave es la misma.

## Encuentra tu keyid

- **Panel:** **Navegadores → Resumen**, tarjeta **Identidad Web Bot Auth**, con un botón para copiarla. Su estado es *En calentamiento* (con la hora a la que empieza a firmar), *Activa*, o *Rotando* mientras hay una rotación en curso.
- **API:** el campo `wba` de `GET /v1/orgs/{org}/browsers` (mira el [resumen](https://developers.openwaf.dev/es/browsers/reference/#overview)).
- **CLI:** `openwaf-cloud ctl browsers status`.

## Quién lo verifica

- **Los sitios detrás de OpenWAF.** El control de rastreadores IA verifica las firmas Web Bot Auth contra este directorio como uno de sus métodos de [verificación de bots](https://developers.openwaf.dev/es/ai-crawl-control/verification/). Una clave solo cuenta mientras la respuesta del directorio lleva una firma válida hecha con ella.
- **Cloudflare** verifica las firmas Web Bot Auth de los agentes registrados en Cloudflare. Aplica la misma regla al directorio: acepta una clave del directorio solo si la respuesta del directorio va firmada con esa clave.
- **Cualquier sitio** puede verificar las firmas por su cuenta con los pasos de [verificarlo en tu sitio](https://developers.openwaf.dev/es/browsers/web-bot-auth/#verify).

Desactivar Web Bot Auth en un navegador o por defecto en la organización quita la firma y, con ella, la `keyid`: mira [desactivarlo](https://developers.openwaf.dev/es/browsers/web-bot-auth/#turn-it-off).