Pada 4 November, Cloudflare meluncurkan seperangkat fitur analitik dan kontrol untuk lalu lintas agen pribadi. Pemilik situs kini bisa melihat di dasbor agen-agen yang membandingkan harga, mencari informasi, dan memesan atas nama pengguna, lalu menetapkan kebijakan akses untuk masing-masing agen secara terpisah.
Lalu lintas semacam ini sebelumnya sulit ditangani. Di balik setiap agen ada pengguna sungguhan, sehingga memblokir semuanya bisa membuat pelanggan hilang, sedangkan mengizinkan semuanya membuat pemilik situs tidak tahu apa yang dilakukan agen-agen itu. Pendekatan Cloudflare kali ini adalah memisahkan agen dari lalu lintas otomatis lainnya terlebih dahulu, lalu menyerahkan aturan akses kepada pemilik situs.
“Better visibility into agent activity allows you to decide what access makes sense for your site.”
(Dengan visibilitas yang lebih baik atas aktivitas agen, Anda bisa memutuskan akses seperti apa yang masuk akal bagi situs Anda.)
Apa yang baru di dasbor
Analitik. Grafik Bot Analysis di Security Analytics kini punya kategori baru, Personal Assistants, yang sejajar dengan Verified Bot, Likely Human, Likely Automated, dan Automated. Top statistics juga mendapat komponen tambahan yang mencantumkan agen-agen yang mengunjungi situs beserta jumlah permintaannya. Setelah Anda memfilter satu agen, komponen lain ikut menampilkan jalur yang diminta agen tersebut, kode status yang diterimanya, dan jaringan asalnya.
Tingkat akun. Situs yang mengaktifkan Account Abuse Protection juga dapat melihat agen tersebut bertindak atas nama pengguna yang mana. Peristiwa login dan pendaftaran akan menandai apakah dimulai oleh agen pribadi dan agen yang mana, sehingga tim antipenipuan dapat menyaring akun berdasarkan peristiwa atau jumlah dari agen. Jika penyerang mengambil alih sebuah akun lewat agen, aturan WAF dapat ditulis berdasarkan Hashed User ID untuk menindak satu akun itu saja, sementara pengguna lain yang memakai agen yang sama tidak terdampak. Kemampuan ini masih dalam tahap akses awal.
Kebijakan. Kebijakan bot AI yang lama terbagi menjadi tiga kategori: Search, Training, dan Agents. Kini Agents diperluas ke agen pribadi yang didukung, dan nama pengaturannya berubah menjadi AI Crawler and Agent access policies. Setiap agen punya tiga pilihan:
- Allow, tidak diblokir;
- Block on pages with ads, diblokir hanya di halaman yang memuat iklan;
- Block, langsung diblokir.
Kebijakan Search dan Training tidak berubah. Saat situs baru dihubungkan, alur panduan akan menanyakan apakah situs dimonetisasi lewat iklan, lalu merekomendasikan kebijakan sesuai jawabannya.
Pilihan kedua paling jelas menunjukkan maksud fitur ini. Ketika agen membaca halaman web untuk seseorang, tidak ada yang melihat iklannya, sehingga situs yang hidup dari iklan kehilangan pendapatan tayangan. Sebaliknya, agen yang sama yang membuka halaman produk untuk memesankan barang adalah kabar baik bagi situs. Memblokir berdasarkan jenis halaman lebih sesuai dengan kebutuhan nyata pemilik situs daripada memukul rata berdasarkan identitas.
Bagian yang tidak ditulis di blog
Artikel tidak mencantumkan daftar agen yang didukung dan hanya menyebut bahwa pilihan spesifiknya dapat dilihat di dasbor. Artikel juga tidak menyebut paket mana yang mendapat fitur-fitur ini, atau kategori mana yang menampung agen yang tidak dikenali. Soal dasar identifikasi, artikel hanya menyebut bahwa Cloudflare memelihara direktori bot terverifikasi terbesar, tanpa menjelaskan apa yang harus dilakukan agen agar masuk ke direktori itu.
Hal-hal ini berpengaruh langsung pada efektivitasnya. Agen yang tidak menyebut identitasnya dan terus menyatu dengan lalu lintas biasa tidak akan terjangkau oleh tiga tingkat kebijakan. Ketika Amazon memblokir Muse milik Meta pada September, salah satu alasannya persis soal ini: agen tersebut tidak menyatakan identitasnya saat menjelajah.
Cloudflare menyatakan langkah berikutnya mencakup tiga hal: meneruskan konteks pengguna dengan cara yang menjaga privasi, membantu menilai reputasi, dan memperjelas pertanggungjawaban ketika terjadi masalah. Rancangan rinci dan jadwalnya belum diumumkan.
Bagaimana bagi situs di Tiongkok
Situs yang memakai dasbor berbahasa Mandarin Cloudflare bisa langsung memeriksa pengaturan ini di Security Settings. Lebih aman mengamati datanya dulu selama beberapa waktu sebelum bertindak: situs konten bisa mencoba “blokir hanya di halaman beriklan” lebih dulu, sedangkan situs e-commerce dan situs alat yang mendapati agen membawa pendaftaran dan pesanan akan lebih diuntungkan bila mengizinkannya.
Sisi ponsel di Tiongkok juga bergerak ke arah serupa. Ketika ByteDance merilis versi konsumen asisten ponsel Doubao pada September, perusahaan itu sekaligus mengumumkan protokol SAEP, yang memungkinkan aplikasi pihak ketiga menyatakan apakah asisten boleh melakukan otomatisasi layar. Keduanya bekerja di lapisan yang berbeda, satu di gerbang jaringan dan satu di layar sistem, tetapi gagasannya sejalan: pihak yang diakses mulai memiliki sakelar yang jelas.
Dengan sakelar di tangan pemilik situs, vendor agen menghadapi situasi baru, yaitu asisten yang sama akan bisa melakukan hal-hal yang makin berbeda di tiap situs. Siapa yang akan disalahkan pengguna ketika tugas gagal, sampai kini belum ada jawabannya.
Sumber: Blog resmi Cloudflare, CocoLoop; cakupan fitur mengikuti pengumuman Cloudflare, sedangkan latar belakang terkait Doubao dan Amazon berasal dari pemberitaan publik.