A Cloudflare publicou um sistema para acompanhar o comportamento de bots verificados, que são programas automáticos cuja identidade foi confirmada pela empresa. A ideia central é que saber quem opera um bot não basta para confiar nele: o que importa é como ele se comporta depois. Um bot conhecido pode, por exemplo, ignorar as preferências de um site, sobrecarregar o servidor ou burlar controles. Nem sempre há má intenção, muitas vezes é apenas uma configuração errada ou um erro no programa.

Para ser um bot verificado da Cloudflare, é preciso atender a alguns critérios, e a identificação é feita com a tecnologia Web Bot Auth, que assina as requisições para comprovar a identidade do bot. Depois de confirmar quem é o bot, a empresa foca na segunda pergunta: ele pode ser confiável? A regra central é não causar dano. Para medir isso, o sistema observa se o bot respeita as preferências publicadas pelos sites, principalmente no arquivo robots.txt, que indica quais partes do site podem ser acessadas. Violações isoladas não pesam muito; o que interessa são padrões repetidos de desrespeito. A empresa também considera se o bot diminui o ritmo quando recebe a resposta HTTP 429, que significa 'muitas requisições' e pede para o visitante reduzir a frequência.

Os resultados serão transformados em uma faixa de confiança, uma espécie de termômetro que mostra com que consistência um bot respeita as preferências dos sites e quais comportamentos levaram a essa avaliação. Não é um julgamento definitivo, e pode mudar com o tempo. Como exemplo, a Cloudflare retirou o bot da Perplexity da lista de bots verificados em 2025, depois que ele tentou acessar páginas de sites que tinham optado por não permitir coleta de dados e tentou contornar os bloqueios.

Esse sistema funciona junto com o Bot Preference Sync, que ajuda donos de sites a publicar suas preferências, e com o Bot Management, que permite decidir como o tráfego automatizado é tratado. A empresa diz que já usa a ferramenta internamente e planeja disponibilizá-la a todos os clientes, que poderão escolher o nível de confiança exigido. Os dados também devem aparecer publicamente no Radar. Para quem administra um site, a mensagem é acompanhar o tráfego de bots e não confiar apenas na identidade declarada.