Está ocorrendo uma mudança sutil, porém significativa, na forma como a internet lida com bots. O protocolo mais recente nesse sentido é o PACT (Private Access Control Tokens), desenvolvido pela Cloudflare. Ele será implementado pelo Google Chrome, Microsoft Edge, Mozilla Firefox e Shopify. Trata-se de uma ideia simples, que permite agentes de IA legítimos e, ao mesmo tempo, bloqueia bots maliciosos.
A importância disso reside no fato de que existe um problema com bots na internet, e ele continua a crescer.
O problema dos bots está piorando.
De acordo com os dados do Radar da Cloudflare, bots automatizados passaram a representar cerca de 58% de todas as requisições HTTP para conteúdo da web. Isso significa que visitantes humanos reais representam apenas cerca de 42% do tráfego da web. Matthew Prince, CEO da Cloudflare, mencionou essa tendência no início de junho. Como ele mesmo disse, a web está sendo navegada com mais frequência por bots com inteligência artificial, como o ChatGPT e o Gemini.
O problema é que as técnicas que os sites usam para filtrar o tráfego são resquícios do passado. Captchas, login obrigatório, impressão digital do navegador, rastreamento comportamental — todas essas técnicas pressupunham que seriam pessoas clicando nos links. E quando são agentes de IA que navegam pelos links, todas essas técnicas se tornam obstáculos, além de ineficazes.
O diretor de tecnologia da Cloudflare, Dane Knecht, foi direto sobre o problema. Ele afirmou que, à medida que o tráfego impulsionado por IA cresce, as ferramentas existentes para gerenciá-lo são muito rudimentares e genéricas para acompanhar o ritmo. O PACT foi projetado para oferecer a todos, sejam humanos ou agentes, uma experiência mais fluida sem sacrificar a privacidade.
O que o PACT realmente faz
Em linhas gerais, o PACT funciona dissociando a autenticação da participação de um humano da revelação de qualquer informação sobre esse humano. Em termos muito simples, o site que possui um relacionamento de confiança com um determinado usuário pode emitir um token anônimo para o navegador desse usuário. Esse token pode então ser usado para comprovar a participação humana para outros sites sem revelar nada sobre o usuário e sem permitir o rastreamento pelo site receptor.
Segundo a Cloudflare, sites que possuem um bom conhecimento sobre "personalidade jurídica" são considerados emissores desses tokens. Especificamente, plataformas em que os usuários confiam e com as quais interagem regularmente, como seus navegadores ou lojas de comércio eletrônico, emitiriam essas credenciais anônimas.
O protocolo funciona tanto para visitas humanas quanto para visitas automatizadas. Portanto, ele não bloqueará todo o tráfego automatizado; em vez disso, permitirá que os sites distingam entre um agente de IA comprando um produto e um bot coletando conteúdo ou lançando campanhas abusivas.
Por que a Shopify está envolvida?
O envolvimento da Shopify no desenvolvimento do PACT faz todo o sentido, considerando o impacto que os bots estão tendo nos comerciantes online.
Nesse contexto, Ilya Grigorik, Engenheiro Sênior da Shopify, que anteriormente gerenciava o Relatório de Experiência do Usuário do Chrome no Google, foi bastante franco: “No comércio, cada desafio adicional e falso positivo representa um carrinho abandonado. Os lojistas precisam de proteção real contra abusos, mas os compradores reais não deveriam ter que lidar com obstáculos extras ou rastreamento invasivo para finalizar a compra”. É exatamente isso que o PACT visa resolver.
Grigorik afirmou que a Shopify está participando para ajudar os milhões de empresas em sua plataforma a distinguir entre compradores legítimos e agentes de IA autorizados, por um lado, e tráfego abusivo, por outro, tudo isso sem comprometer a privacidade do comprador.
Onde a Cloudflare se encaixa
É fundamental esclarecer desde o início o que é o PACT e o que não é. Em primeiro lugar, não se trata de um produto da Cloudflare. Trata-se, na verdade, de um protocolo aberto proposto que a Cloudflare pretende submeter à padronização.
Essa distinção é importante, pois, se o protocolo for aceito de forma ampla o suficiente, ele governará a web agética em escala global, e não apenas dentro da infraestrutura da Cloudflare.
Dito isso, a Cloudflare definitivamente não é uma participante neutra aqui. Ela já fornece infraestrutura para uma parte significativa da web. Hospeda e gerencia agentes de IA por meio da estrutura Cloudflare Agents, roteia tráfego por meio do Cloudflare Tunnels e opera o AI Gateway, por meio do qual diferentes sistemas de IA se conectam. E a empresa também não esconde suas intenções, afirmando que o uso do PACT na rede da Cloudflare eleva o padrão de confiabilidade e integridade online sem custos adicionais.
Perguntas que ainda precisam de respostas
No entanto, algumas questões permanecem obscuras em relação ao protocolo. A mais importante delas é como será determinado o emissor dos tokens de personalidade jurídica. Segundo a Cloudflare, sites com conhecimento abrangente sobre personalidade jurídica realizarão a emissão dos tokens, mas esse critério não foi explicado em detalhes.
Se a capacidade de emitir tokens de confiança acabar concentrada em algumas grandes plataformas, isso certamente levantará sérias preocupações sobre questões de poder e responsabilidade. Um padrão verdadeiramente aberto precisa funcionar para sites que não utilizam o Cloudflare e para usuários que não estão vinculados a nenhuma grande plataforma.
A Security Boulevard destacou que na declaração oficial do problema do protocolo, que está atualmente disponível ao público, nenhuma arquitetura foi descrita e nenhum cronograma para padronização ou implantação foi definido.
Uma Internet pós-CAPTCHA
Uma das implicações mais notáveis do PACT, caso seja adotado, pode ser o fato de que eventualmente eliminará os CAPTCHAs na web. Pode parecer insignificante, mas, na verdade, reflete uma mudança filosófica bastante substancial na abordagem da questão da verificação.
Os CAPTCHAs e os logins obrigatórios foram criados com base na premissa de que a web era para humanos e que os bots eram, em sua maioria, indesejáveis. Essa premissa já não se sustenta. Agentes de inteligência artificial, atuando em nome dos usuários, são agora participantes esperados em atividades de navegação, incluindo comércio eletrônico, pesquisa, reserva de passagens, etc. O protocolo PACT foi desenvolvido especificamente para esse novo mundo, no qual a presença de bots na web não importa mais, desde que os bots tenham razões legítimas para estarem lá.
O que vem depois
O PACT ainda não está em funcionamento e não há datas anunciadas para sua implementação. A Cloudflare e seus parceiros planejam desenvolver ainda mais o protocolo e submetê-lo à padronização. É um sinal muito promissor que o Chrome, o Edge e o Firefox estejam participando do desenvolvimento desse protocolo.
Para proprietários de sites, profissionais de marketing e todos os envolvidos com comércio eletrônico, será interessante acompanhar este projeto, pois o mecanismo de verificação de usuários e seus representantes em sites será alterado em breve.
Perguntas frequentes
P 1: O que é o protocolo PACT da Cloudflare?
PACT significa Private Access Control Tokens (Tokens de Controle de Acesso Privado). É um protocolo sugerido pela Cloudflare que permite que sites confirmem que uma pessoa real está por trás de um agente que age em seu nome, sem que essa pessoa seja rastreada ou identificada.
Pergunta 2: Quem está apoiando o desenvolvimento do PACT?
O Google Chrome, o Microsoft Edge, o Mozilla Firefox e o Shopify assinaram como participantes no desenvolvimento do PACT, juntamente com a Cloudflare. A Cloudflare planeja submeter este protocolo para padronização.
Pergunta 3: Por que o PACT é necessário agora?
De acordo com as estatísticas fornecidas pelo Radar da Cloudflare, atualmente a parcela de sistemas automatizados entre todas as solicitações da web chega a cerca de 58%. À medida que os agentes de IA realizam cada vez mais navegação em nome dos usuários, ferramentas antigas como CAPTCHA e bloqueios de login criam atrito para ações legítimas e falham em impedir a ação de agentes maliciosos.
Pergunta 4: Como o PACT funciona tecnicamente?
Um site confiável, que já tenha estabelecido uma relação com um usuário humano, é capaz de emitir um token anônimo para o navegador desse usuário. Esse token pode ser usado para autenticar um usuário real em outros sites.
P 5: O PACT é um produto da Cloudflare?
Não, o PACT é um protocolo aberto proposto, não um produto da Cloudflare. No entanto, a infraestrutura da Cloudflare é crucial para a implementação prática deste protocolo.
Pergunta 6: Por que a Shopify está envolvida no PACT?
A Shopify participa da criação do PACT porque o uso abusivo de bots prejudica os interesses dos lojistas. Finalizações de compra fraudulentas, scrapers e CAPTCHAs desnecessários causam prejuízos aos comerciantes. O PACT visa ajudar os lojistas a diferenciar clientes reais de tráfego indesejado sem criar atritos adicionais para eles.
Pergunta 7: O PACT bloqueará todos os bots de IA?
Não, esse não é o objetivo do protocolo. Ele visa distinguir agentes autorizados, que atuam em nome de usuários reais, de scrapers e bots que praticam abusos. Atividades legítimas de IA serão permitidas.
Pergunta 8: Quando o PACT estará disponível?
Não há datas anunciadas para a implementação do PACT. A Cloudflare e seus parceiros planejam desenvolver ainda mais o protocolo e submetê-lo à padronização, mas nenhuma data de implementação foi anunciada.
