Cloudflare voegt analyses van persoonlijke agents en toegangsbeheer per agent toe

Cloudflare maakte op 4 november 2026 bekend dat het analyses van activiteiten van persoonlijke agents en fijnmaziger toegangsbeleid introduceert. Zo kunnen site-eigenaren agents herkennen die namens mensen handelen en voor elke ondersteunde agent andere voorwaarden instellen.

Deze producten pakken een classificatieprobleem voor websites aan. Een klant kan een agent vragen producten te vergelijken, ondersteuningsartikelen te vinden of een aankoop af te ronden, maar alle drie de interacties komen binnen als geautomatiseerd verkeer. Zonder te weten welke agent de site bezoekt en wat die doet, kan een bedrijf nuttige activiteiten namens klanten moeilijk onderscheiden van risico’s; bovendien kan het blokkeren van alle agents betekenen dat klanten worden geweerd.

Verkeer van persoonlijke agents wordt zichtbaar

Security Analytics vermeldt Persoonlijke assistenten nu als categorie in Botanalyse, naast Geverifieerde bot, Waarschijnlijk menselijk, Waarschijnlijk geautomatiseerd en Geautomatiseerd. Door deze categorie te selecteren, wordt het verkeer van persoonlijke agents over een bepaalde periode afzonderlijk weergegeven, los van het bredere overzicht van geautomatiseerd verkeer.

Een widget voor Persoonlijke assistenten in Topstatistieken vermeldt welke agents een site bezoeken en telt de verzoeken van elke agent. Als je op één agent filtert, worden de andere widgets bijgewerkt met de opgevraagde paden, de ontvangen statuscodes en de netwerken waar het verkeer vandaan komt. Zo is te zien of een agent inlogt, productpagina’s leest, de checkout bereikt of fouten tegenkomt op pagina’s die de agent niet kan gebruiken.

Sites die Account Abuse Protection gebruiken, dat momenteel in vroege toegang beschikbaar is, krijgen ook inzicht op gebruikersniveau. In het populatieoverzicht staat welke persoonlijke agents actief zijn bij gebruikers en hoeveel accounts ze gebruiken. Bij inlog- en registratiegebeurtenissen is te zien of een persoonlijke agent het verzoek heeft gedaan en om welke agent het gaat. Fraudeonderzoeksteams kunnen accounts filteren op gebeurtenissen met AI-assistenten of op het aantal assistenten.

In het overzicht van een afzonderlijk account staan ook de agents die aan dat account zijn gekoppeld. Zo kan een analist onderscheid maken tussen een agent die al weken wordt gebruikt en een agent die voor het eerst verschijnt. Als de activiteit op misbruik van het account wijst, kan de analist een webapplicatiefirewallregel toepassen op de Hashed User ID van dat account, in plaats van de agent voor alle andere gebruikers te blokkeren.

Het onderliggende dashboard van Account Abuse Protection werd op 2 oktober 2026 geïntroduceerd. Het systeem haalt een door de klant ingestelde identificator uit een inlog- of registratieproces, zoals een e-mailadres, gebruikersnaam of telefoonnummer, en versleutelt die met een cryptografische hash. Zo ontstaat per domein een privacyvriendelijke Hashed User ID die als basis dient voor de activiteitengeschiedenis van het account.

Toegangsbeleid kan per agent verschillen

Cloudflare breidt het bestaande beleid voor agents uit met beheeropties voor ondersteunde persoonlijke agents en hernoemt de instelling naar ‘toegangsbeleid voor AI-crawlers en agents’. In de beveiligingsinstellingen kan een site een algemeen beleid voor agents instellen en vervolgens voor elke ondersteunde persoonlijke agent kiezen uit Toestaan (niet blokkeren), Blokkeren op pagina’s met advertenties of Blokkeren.

Dankzij deze opzet zijn uitzonderingen mogelijk, in plaats van één beslissing voor alle agents. Een site kan bijvoorbeeld agents in het algemeen blokkeren op pagina’s met advertenties, maar één ondersteunde persoonlijke agent wel toestaan. Het bestaande beleid voor Search en Training blijft ongewijzigd.

Deze beheeropties bouwen voort op het beleid voor AI-verkeer dat Cloudflare op 1 juli 2026 introduceerde en waarmee het gedrag van Search, Agent en Training van elkaar werd gescheiden. De categorie Agent omvat automatisering die meestal in realtime namens iemand handelt, waaronder bots die chatinhoud ophalen en agents die een browser gebruiken. De nieuwe keuzes per agent vallen binnen die categorie en veranderen het afzonderlijke beleid voor Search en Training niet.

Tijdens het instellen van een nieuwe zone vraagt Cloudflare ook of een site inkomsten genereert met advertenties op pagina’s. Op basis van het antwoord worden passende beleidsaanbevelingen gedaan. De beheeropties blijven later beschikbaar in de beveiligingsinstellingen, zodat de oorspronkelijke aanbevelingen opnieuw kunnen worden bekeken wanneer de voorkeuren van een site veranderen.

De identiteit van een agent geeft geen uitsluitsel over de gebruikerscontext

Cloudflare zei dat het volgende doel is om de context van de relatie tussen een site en zijn gebruikers te behouden wanneer persoonlijke agents als tussenpersoon optreden. Het identificeren van een agent maakt niet duidelijk of de persoon erachter al klant is, welke handelingen die persoon heeft toegestaan, of er een abonnement geldt en welke beschermingsmaatregelen van toepassing moeten zijn.

De volgende stappen die Cloudflare voorstelt, omvatten privacyvriendelijke mechanismen om gebruikerscontext via een agent door te geven, sites te helpen de reputatie te beoordelen en duidelijke verantwoordingsregels vast te stellen wanneer er iets misgaat. Cloudflare is van plan meer informatie te delen terwijl het met agentbeheerders en andere deelnemers aan het ecosysteem onderzoekt of sites agents ruimere toegang kunnen geven en tegelijk hun relatie met gebruikers kunnen behouden.

Voor site-eigenaren wordt toegang voor agents zo een concrete zakelijke keuze in plaats van een algemene reactie op automatisering. De mogelijkheid om ruimere toegang te verlenen blijft afhankelijk van een moeilijkere voorwaarde: de klantrelatie behouden wanneer een agent tussen het bedrijf en de gebruiker in staat.