قالت Cloudflare في 16 أكتوبر 2026 إن هوية البوت الموثّق لا تكفي للحكم على سلوكه. فهي تتتبع داخليًا التزام هذه البوتات بتفضيلات المواقع مع الوقت، ومنها robots.txt والاستجابة لإشارة HTTP 429.
لكن النظام قيد الاستخدام الداخلي فقط، وليس ميزة تفعّلها اليوم.
الخلاصة أولًا
- الفكرة: الهوية وحدها لا تضمن أن البوت سيتصرف بمسؤولية.
- ما يُقاس: التزام البوت بتفضيلات الموقع مع الوقت، مثل robots.txt والاستجابة لـHTTP 429.
- الوضع الحالي: يُستخدم داخليًا فقط.
- المخطط: إتاحته لكل عملاء Cloudflare بعتبة ثقة يختارونها، ونشر الدرجات علنًا في Radar «مستقبلًا».
- ما لم يُعلن: الموعد والسعر، وكيف تُحسب «نطاقات الثقة».
ما المشكلة التي تحاول Cloudflare حلها؟
| البند | ما تذكره Cloudflare |
|---|---|
| المشكلة | «الهوية وحدها لا تضمن أن البوت سيتصرف بمسؤولية». فقد يتجاهل البوت المعروف تفضيلات الموقع أو يرهق الخادم أو يتحايل على الضوابط، وهذا «ليس خبيثًا دائمًا» وغالبًا «خطأ تهيئة أو عيب» |
| ما يُقاس | احترام التعليمات، والاستجابة للتغذية الراجعة المباشرة |
| المخرج | «نطاق ثقة قابل للتفسير» يبيّن مدى الاتساق وأي سلوكيات أسهمت فيه، لا حكمًا دائمًا على البوت أو مشغّله |
| الوضع الحالي | تستخدمه Cloudflare داخليًا في «مرحلة أولية» لبناء التاريخ وصقل النظام |
| المخطط | إتاحته لكل عملاء Cloudflare واختيارهم عتبة الثقة. ونشر الدرجات علنًا في Radar «في المستقبل» |
كيف يُوثَّق البوت أصلًا؟
تذكر Cloudflare ثلاثة شروط للتوثيق: أن يعرّف البوت بنفسه بدقة وأمان، وأن «يفعل ما يقول فقط»، وألا يمارس سلوكًا مسيئًا.
وتقول الوثائق (آخر تحديث 8 أكتوبر 2026) إن التحقق يستند إلى توقيع Web Bot Auth، أو قائمة عناوين IP منشورة مع وكيل مستخدم ثابت أو DNS عكسي. ويُضاف إلى ذلك سلوك غير مسيء: احترام robots.txt، ومعدلات طلب معقولة، وعدم التحايل.
وفي البوتات تصنيفات (من BotBase): بحث ووكيل وتدريب ومعاملات وجمع بيانات واختبار أمني وSEO وتحقق إعلانات ومعاينة روابط وجلب خلاصات ومراقبة، مع تمييز «مباشر» و«وسيط». وفي 1 يوليو 2026 انتقل التمييز بين البوت الموثّق والوكيل الموقّع إلى بيانات BotBase.
ما الفرق بين الثقة والخطر؟
الخطر هو احتمال أن يكون طلب ما ضارًا لحظةَ وصوله. أما الثقة فـ«تُبنى بمرور الوقت عبر سلوك متكرر ومتسق». ولهذا يلزم تاريخ طويل قبل أن يعني الحكم شيئًا. والإشارات الأولية المعلنة:
- robots.txt: هل حركة المرور المرصودة متسقة مع القواعد المنشورة عبر الوقت (RFC 9309). المخالفة المعزولة قد لا تهم، أما النمط المتكرر فيهم. وتقول Cloudflare إن robots.txt يضع حدًا أدنى ولا يعني أن ما لم يُذكر مسموح.
- HTTP 429: إبطاء البوت أو توقفه بعد 429 «يزيد الثقة»، وتجاهلها المتكرر «يخفضها».
- طرق قياس أخرى «في المستقبل» دون تحديدها.
وتقر المقالة بأن التقييم يرصد أنماطًا مستمرة لا أحداثًا معزولة، وبأن الإشارات «قواعد بديهية»، وبأن النطاقات ليست دائمة. ولم تحدد كيف تُحسب النطاقات، ولا هل ستظهر العتبات في قواعد WAF أو في Bot Management.
ما المتاح الآن وما المخطط؟
| الحالة | العنصر |
|---|---|
| متاح الآن | برنامج Verified bots وتصنيفاته، وقواعد WAF للفئات القديمة، وإعدادات مسبقة لفئات Search وAgent وTraining، وBot Management، وBot Preference Sync لنشر التفضيلات |
| داخلي فقط | تقييم سلوك البوتات (robots.txt وإشارات 429) لدى Cloudflare |
| مخطط بلا موعد | إتاحة اختيار عتبة الثقة لكل العملاء، ونشر الدرجات علنًا في Radar، وإشارات إضافية |
وتضرب المقالة مثالًا واحدًا: أزالت Cloudflare بوت Perplexity من قائمة التوثيق في 2025 لوصوله إلى مواقع اختارت الاستبعاد ومحاولته الالتفاف على الحجب. أي أن الشارة قابلة للسحب فعلًا.
ماذا تفعل بعد ذلك؟
- لا شيء تفعّله لهذا النظام بعينه اليوم؛ كل ما أُعلن مخطط.
- إن كنت تستخدم Cloudflare، فنقترح أن تراجع robots.txt وBot Preference Sync وقواعد الفئات الحالية، فهي ما يُقاس به التزام البوتات.
- لا تعتمد على شارة «Verified» وحدها: لم تقل Cloudflare إنها تمنع تجاوز التفضيلات.
أسئلة وأجوبة
هل نظام الثقة السلوكية متاح لعملاء Cloudflare؟
لا. تستخدمه Cloudflare داخليًا، وإتاحته للعملاء خطة بلا موعد.
ما الذي يقيسه؟
التزام البوت بتفضيلات الموقع مثل robots.txt واستجابته لـHTTP 429، مع الوقت.
هل يعني الحكم أن البوت خبيث؟
لا. تقول Cloudflare إن المخالفة ليست خبيثة دائمًا وغالبًا خطأ تهيئة أو عيب، والنطاق ليس حكمًا دائمًا على البوت أو مشغّله.
هل تحمي شارة Verified موقعي من بوت يخالف robots.txt؟
لا. الشارة تثبت الهوية وشروط التوثيق، وهذا النظام الجديد وُضع لأن الهوية وحدها لا تضمن السلوك.
مصطلحات بلغة مبسطة
- البوت الموثّق: بوت تعرّفت Cloudflare على هويته وفق شروط التوثيق.
- robots.txt: ملف يحدد للبوتات ما يُسمح لها بزيارته.
- HTTP 429: رد من الخادم معناه أن الطلبات كثيرة فليبطئ المرسل.
- WAF: جدار يحمي الموقع بقواعد تفحص الطلبات الواردة.
المصادر
- Cloudflare: Continuous accountability for Verified bots (16 أكتوبر 2026)
- وثائق Cloudflare: Verified bots
رُوجعت الوقائع على الصفحات المذكورة في 18 أكتوبر 2026. أُسندت الخطط المستقبلية إلى Cloudflare ولا تُعد التزامًا بموعد.
