کلودفلر (Cloudflare) به همراه سه شرکت بزرگ سازنده مرورگرهای اینترنتی، می خواهند راهی پیدا کنند تا ثابت کنند در پشت ترافیک ورودی به سایت شما، یک «انسان» واقعی قرار دارد. آن ها در تاریخ ۲۲ ژوئن ۲۰۲۶، از نحوه انجام این کار رونمایی کردند؛ درست در زمانی که روزبه روز بخش بیشتری از ترافیک وب توسط ربات های هوشمند و خودمختار (Agents) ایجاد می شود که هیچ انسانی در پشت آن ها نیست.
پروتکل PACT دقیقاً برای سناریویی طراحی شده که در آن یک «انسان» در چرخه تعامل حضور دارد. اما در مورد آینده ای که وب به سمت آن حرکت می کند – یعنی ربات های هوشمندی که کاملاً مستقل عمل می کنند – PACT هیچ دخالتی نمی کند و پاسخی برای آن ندارد.
مکانیزم توکن های کنترل دسترسی خصوصی (PACT)
در ۲۲ ژوئن، کلودفلر با همکاری موزیلا فایرفاکس، گوگل کروم، مایکروسافت اج و پلتفرم فروشگاه ساز شاپيفای (Shopify) از پروتکل PACT (مخفف Private Access Control Tokens یا توکن های کنترل دسترسی خصوصی) رونمایی کرد.
ایده اصلی این است: یک وب سایت که به گفته کلودفلر «شناخت قوی و مطمئنی از انسان بودن کاربر» دارد، یک توکن ناشناس صادر می کند. سپس مرورگر شما این توکن را به وب سایت های دیگر می برد تا ثابت کند که یک انسان واقعی در حال وب گردی است، یا اینکه این ربات یک نماینده مجاز و تایید شده از طرف یک انسان است.
این سیستم قرار است جایگزین کپچاها (CAPTCHAs) و ورودهای اجباری به سایت شود؛ همان تصاویری که از شما می خواهند چراغ های راهنمایی یا خطوط عابر پیاده را انتخاب کنید و تجربه کاربری (UX) را به شدت مختل می کنند. دلیل اصلی کلودفلر برای این کار، تغییر پارادایم اینترنت به سمت «عاملیت هوش مصنوعی» است: اینترنت در حال گذار از کلیک های انسانی به سمت فعالیت ربات های هوشمند است و قانون صفر و یکی قدیمیِ «مسدود کردن یا اجازه دادن» دیگر برای این فضا مناسب نیست.
یک اینفوگرافیک فنی و ایزومتریک که نحوه عملکرد PACT را نشان می دهد. یک صادرکننده مورد اعتماد توکن صادر می کند، مرورگر آن را حمل کرده و به سایت مقصد تحویل می دهد تا “سیگنال انسانی تایید شده” را بدون کپچا و با حفظ حریم خصوصی منتقل کند.
حریم خصوصی و امنیت داده ها در PACT
اگر این موضوع به نظرتان شبیه به یک کابوس وحشتناک در زمینه نقض حریم خصوصی و ردیابی کاربران می آید (اینکه یک سایت شما را تایید کند و این تاییدیه در سراسر وب به دنبال شما کشیده شود)، باید بگوییم که PACT دقیقاً برای جلوگیری از همین اتفاق ساخته شده است!
این توکن ها کاملاً ناشناس هستند و از نظر طراحی غیرقابل پیوند (Unlinkable) ساخته شده اند. این همان رویکرد حفظ حریم خصوصی است که در حال حاضر نیز در بسیاری از بخش های وب جایگزین کپچاها شده است:
- وب سایتی که توکن را صادر می کند نمی تواند ببیند شما آن را در کجا خرج می کنید.
- وب سایتی که توکن را به آن تحویل می دهید نمی تواند آن را به هویت شما ربط دهد.
- دو بار استفاده از توکن به هیچ وجه به یکدیگر متصل نمی شوند.
هدف نهایی این است که بدون نیاز به لاگین کردن، حل کپچا و روش های تهاجمی مانند Fingerprinting (انگشت نگاری مرورگر)، ثابت شود که یک انسان واقعی در سایت حضور دارد. اما سوال سخت تر اینجاست که چه کسی حق دارد به عنوان صادرکننده مورد اعتمادِ «تاییدیه انسانیت» عمل کند؟ این یک قدرت واقعی برای تعیین این است که چه کسی در فضای آنلاین انسان محسوب می شود و متاسفانه، این قدرت در دست همان چند شرکت معدود ارائه دهنده زیرساخت متمرکز شده است.
در تیم دانش وب، ما همواره به مشتریان خود توصیه می کنیم که در طراحی سایت و سئو، به زیرساخت های امنیتی و تجربه کاربری بدون اصطکاک توجه ویژه ای داشته باشند تا در چنین تغییرات بزرگی دچار افت ترافیک نشوند.
حمایت ۳ مرورگر رقیب از ۱ پروتکل واحد؛ سیگنالی برای آینده
اینکه بتوانیم کروم، فایرفاکس و اج را در لایه دسترسی (Access Layer) برای یک هدف مشترک دور یک میز جمع کنیم، اتفاق بسیار نادری است. اضافه شدن کلودفلر و شاپيفای به این جمع نیز به این معناست که این پیشنهاد به طور همزمان مرورگرها، شبکه های توزیع محتوا (Edge Network) و یک پلتفرم بزرگ تجارت الکترونیک را پوشش می دهد.
وقتی چنین گروه قدرتمندی به یک پروتکل مشترک متعهد می شوند، معمولاً آن فناوری در نهایت به یک استاندارد واقعی تبدیل می شود؛ درست مانند اتفاقی که برای Privacy Pass و Passkeys (کلیدهای عبور) افتاد. بنابراین، قطعاً باید PACT را زیر نظر داشته باشیم.
البته در حال حاضر، این فقط یک پیشنهاد (Proposal) است. این شرکت ها متعهد شده اند که آن را توسعه داده و برای استانداردسازی ارائه کنند. هنوز هیچ چیزی به صورت عمومی منتشر نشده، هیچ نسخه آزمایشی اولیه ای (Origin Trial) وجود ندارد و در این سه ماهه هیچ نسخه ای که وب سایت شما بتواند با آن سازگار شود در دسترس نیست. فاصله بین تشکیل یک ائتلاف جدی تا رسیدن به یک پروتکل قابل استفاده، معمولاً در مقیاس «سال» اندازه گیری می شود.
تصویری مفهومی از نمایندگان گوگل (کروم)، مایکروسافت (اج)، موزیلا (فایرفاکس) و کلودفلر که دور یک میز کنفرانس مدرن جمع شده اند. آن ها یک گواهی دیجیتال بزرگ PACT را که نشان دهنده استاندارد جدید وب است، به صورت مشترک نگه داشته اند.
مرزهای PACT: تایید حضور انسان، نه مجوز ربات
پروتکل PACT تایید می کند که یک انسان واقعی در صحنه حضور دارد. این دقیقاً همان سناریوی هدایت شده توسط انسان است: یک شخص روی چیزی کلیک می کند، یا یک ربات را مامور انجام کاری می کند، و در این چرخه یک انسان وجود دارد که می توان حضورش را تایید کرد. این یک نیاز واقعی است و اثبات تمیز و بی دردسر آن بدون نیاز به کپچا یا ردیابی، یک پیشرفت و بهبود واقعی در وب محسوب می شود.
تشخیص انسان واقعی از ربات ها ارزش بالایی دارد و هرچه ربات ها بیشتر وب را تسخیر می کنند، این ارزش بیشتر هم می شود. یک سیگنال انسانی شفاف، دقیقاً همان چیزی است که هر کسی که در حال مبارزه با تقلب، حساب های کاربری فیک یا نظرات دستکاری شده در سایت است، به آن نیاز دارد و هرچه انسان های واقعی در ترافیک سایت ها کمیاب تر شوند، ارزش این سیگنال بالاتر می رود.
مسیرهای مجزا در لایه دسترسی وب
اما PACT تنها به یکی از دو سوالی پاسخ می دهد که وبِ مبتنی بر هوش مصنوعی در حال تقسیم شدن به آن هاست. وقتی هیچ انسانی پشت سیستم نیست، شما همچنان باید بدانید که آیا این ربات خودمختار اجازه حضور در سایت شما را دارد؟ به نمایندگی از چه کسی عمل می کند؟ و مجاز به انجام چه کاری است؟ PACT به این سوالات پاسخی نمی دهد. بر اساس طراحی اش، این پروتکل فقط به سوال اول (حضور انسان) پاسخ می دهد.
سوال دوم مسیر (Track) مخصوص به خود را دارد و افراد دیگری در حال ساخت زیرساخت های آن هستند:
- گوگل: ربات های وب خود را تحت یک هویت قابل تایید ثبت کرده است. سیستم Web Bot Auth به خزنده های (Crawlers) قابل شناسایی اجازه می دهد تا درخواست های خود را امضا و تایید کنند.
- استونی: به سمت صدور کدهای شناسایی تحت حمایت دولت برای ربات ها حرکت کرده است که دسترسی های محدودی مانند مشاهده، ویرایش یا پرداخت تا یک سقف مشخص را به آن ها می دهد.
تمامی این ها تلاش هایی برای شناسایی و اعطای مجوز به خود ربات ها هستند. در مقابل، PACT در مسیر «تایید هویت انسانی» قرار دارد. لایه دسترسی در حال تقسیم شدن به این دو مسیر مجزا است و این دو به هیچ وجه قابل جایگزینی با یکدیگر نیستند.
تصویری مفهومی و آینده نگرانه که لایه دسترسی وب را به دو مسیر مجزا تقسیم می کند. مسیر سمت چپ “تایید هویت انسانی PACT” (با فیگورهای انسانی) است و مسیر سمت راست “مجوز ربات های خودمختار” (با فیگورهای روبات) است. این تصویر بر تفاوت های بنیادین این دو رویکرد تأکید دارد.
نتیجه گیری
همان طور که گفته شد، از آنجایی که هنوز هیچ چیزی به صورت رسمی فعال نشده، فعلاً نیازی به پیاده سازی فنی در سایت ندارید. بهترین اقدام کاربردی در زمان حاضر (که این طرح هنوز در مرحله پیشنهاد است) این است که بررسی کنید ترافیک وب سایت شما واقعاً به کدام مسیر نیاز دارد؛ زیرا این دو، مشکلات کاملاً متفاوتی هستند که به زیرساخت های متفاوتی نیاز دارند. (برای مثال، متخصصان ما در آژانس دیجیتال مارکتینگ دانش وب می توانند با تحلیل ترافیک و رفتار کاربران سایت شما، بهترین استراتژی را برای مواجهه با این تحولات به شما پیشنهاد دهند).
اگر ریسک اصلی کسب وکار شما تقلب و سوءاستفاده از طریق ترافیکی است که وانمود می کند انسان است (مانند حملات دیداس، ساخت اکانت های فیک یا ثبت سفارشات جعلی)، شما به مسیر «تایید هویت انسانی» نیاز دارید و PACT دقیقاً همان چیزی است که باید اخبار آن را دنبال کنید. اما اگر آینده کسب وکار شما به گونه ای است که ربات های هوشمند قرار است به نمایندگی از مشتریان در وب سایت شما تراکنش انجام دهند (مثلاً یک دستیار هوش مصنوعی برای مشتری شما بلیت یا محصولی را بخرد)، شما به مسیر «اعطای مجوز به ربات ها» (Authorization) نیاز دارید و PACT هیچ کمکی به شما نخواهد کرد. اکثر وب سایت ها تا پیش از سال جاری هرگز مجبور نبودند این دو مورد را از هم تفکیک کنند، زیرا به صورت پیش فرض، هر بازدیدکننده ای یک انسان در نظر گرفته می شد.
پروتکل PACT یک پاسخ واقعی به یک سوال واقعی است: «آیا انسانی در اینجا حضور دارد؟». اما اشتباه بزرگ این است که آن را به عنوان پاسخی برای سوال اصلیِ وبِ مبتنی بر هوش مصنوعی در نظر بگیریم؛ یعنی: «وقتی هیچ انسانی پشت یک ربات نیست، باید با آن چه کار کنیم؟». این سوال هنوز بی پاسخ مانده و این همان موضوعی است که ارزشِ به دقت زیر نظر گرفتن را دارد.