W marcu 2026 Google ogłosiło eksperyment z Web Bot Auth dla Google-Agent — pierwszego oficjalnego agenta Google który podpisuje swoje żądania HTTP kluczem prywatnym. Każdy serwer który chce zweryfikować że żądanie pochodzi od Google-Agent może sprawdzić podpis przez publiczny klucz dostępny pod https://agent.bot.goog.
To jest fundamentalnie inny model identyfikacji niż user-agent string — który każdy może sfałszować.
Czym jest Google-Agent
Google-Agent to oficjalny agent AI Google działający w imieniu użytkowników Gemini i Google Search — dostępny do kryptograficznej weryfikacji przez Web Bot Auth z kluczem publicznym pod https://agent.bot.goog — reprezentujący nowy model identyfikacji agentów użytkownika który nie opiera się na łatwo fałszowanym user-agent string ale na kryptograficznym dowodzie tożsamości.
Różnica od Googlebot
Googlebot to crawler indeksujący strony na potrzeby wyszukiwarki. Działa autonomicznie, bez konkretnego użytkownika za sobą, w celach indeksowania. Właściciel strony może go zidentyfikować przez user-agent i zweryfikować przez reverse DNS.
Google-Agent to agent działający w imieniu konkretnego użytkownika który zadał pytanie lub zlecił zadanie przez Gemini. Działa w czasie rzeczywistym, realizuje konkretne zadanie dla konkretnej osoby. Jego tożsamość jest weryfikowana przez Web Bot Auth, nie przez reverse DNS.
Ta różnica ma znaczenie dla właściciela strony: Googlebot to ruch treningowy/indeksujący, Google-Agent to ruch użytkownika przez pośrednika AI. Różne polityki mogą być właściwe dla każdego z nich.
Agent.bot.goog jako infrastruktura
Publikacja klucza publicznego pod agent.bot.goog tworzy infrastrukturę zaufania. Każdy serwer webowy, CDN lub WAF może pobrać klucz i zweryfikować że żądanie z deklaracją „Google-Agent” rzeczywiście pochodzi od Google. Bez tej infrastruktury — weryfikacja jest niemożliwa, każdy może podać się za Google-Agent.
To jest wzorzec który inne platformy AI powinny replikować — własne klucze publiczne pod przewidywalnymi adresami, kryptograficzne podpisywanie żądań.
Implikacje dla właściciela strony
Strona która chce traktować Google-Agent inaczej niż anonimowego bota (np. serwować pełną treść zamiast paywall) może zweryfikować tożsamość przez agent.bot.goog i odpowiednio obsłużyć żądanie. Bez Web Bot Auth — nie ma jak odróżnić prawdziwego Google-Agent od podróbki.