Белый список для агента ChatGPT: как пустить его на свой сайт

Агент ChatGPT ходит по сайтам сам: открывает страницы, заполняет формы, оформляет заказы. Проблема в том, что для защиты от ботов он выглядит как бот, и капча или WAF отправляют его обратно. Если вы владелец сайта и хотите, чтобы такие визиты доходили, агента нужно внести в белый список на стороне CDN или файрвола. Разбираем, как ChatGPT подписывает свои запросы и что конкретно нажимать в Cloudflare, Akamai, HUMAN и Vercel.

Зачем это нужно

Каждый исходящий HTTP-запрос агента ChatGPT подписан. Подпись нужна ровно для того, чтобы вы могли отличить настоящий трафик от того, кто представляется агентом. Разрешив его на границе, вы убираете ложные срабатывания защиты и не портите картину живым посетителям.

Обратная сторона тоже понятна: разрешение означает, что автоматический сценарий сможет пройти по сайту как обычный пользователь. Решать, нужно ли это вашему проекту, придётся самим.

Как устроена подпись

Агент использует стандарт HTTP Message Signatures, описанный в RFC 9421. В каждом запросе есть:

• заголовки Signature и Signature-Input с самой подписью;
• заголовок Signature-Agent со значением "https://chatgpt.com" (кавычки входят в значение).

Публичный ключ выкладывается на well-known адресе по отдельному черновику стандарта, так что ваш пограничный сервис может забрать ключ, проверить подпись и убедиться, что запрос подлинный.

Cloudflare

Агент ChatGPT есть в каталоге ботов и агентов Cloudflare как подписанный агент: тег chatgpt-agent, идентификатор детекта 129220581. Порядок:

1. В панели Cloudflare откройте Security и раздел WAF, создайте новое пользовательское правило.
2. В выражении выберите условие по Bot Detection ID и найдите поиском "ChatGPT Operator", чтобы подставить нужный идентификатор.
3. Сохраните и разверните правило.

Правило должно пропускать запрос или явно его разрешать при совпадении идентификатора. Свою проверку подписи писать не нужно: Cloudflare делает её сам, и этих шагов достаточно.

Akamai

Здесь агент относится к категории ботов искусственного интеллекта в списке проверенных ботов Akamai. Порядок:

1. В конфигурации безопасности откройте нужную политику, зайдите в Bot management, затем Custom Bot Categories и в настройках выберите Manage Bot Categories.
2. Добавьте новую категорию ботов, а внутри неё создайте бота с типом Akamai-Defined и именем ChatGPT Agent.
3. Вернитесь в Custom Bot Categories и поставьте новой категории действие Allow.

Проверку подписи Akamai тоже берёт на себя.

HUMAN и Vercel

В HUMAN Sightline агент числится доверенным ИИ-агентом в списке известных ботов и краулеров. Идёте в Policies, дальше Traffic Policy Settings и Known bots & Crawlers, находите нужное правило, переводите его в положение ON и ставите ответ Allow.

В HUMAN AgenticTrust агент проверяется криптографически, а его намерения отслеживаются в каждой сессии. Важная деталь: по умолчанию ему разрешено читать страницы, входить в аккаунт и совершать покупки. Если такой набор прав вас не устраивает, права правятся в консоли Sightline в разделе Policies, пункт AI Agents Permissions.

С Vercel проще всего: делать не нужно ничего. Агент добавлен в их каталог проверенных ботов под именем chatgpt-operator, и система проверки ботов пропускает такие запросы по умолчанию.

Если у вас другой CDN

Тогда доверять трафику придётся самостоятельно, по заголовкам:

• убедиться, что значение заголовка Signature-Agent совпадает с "https://chatgpt.com" в точности, вместе с кавычками;
• забрать публичный ключ с well-known адреса, указанного в подписи;
• проверить подлинность подписи по правилам RFC 9421.

Если после настройки агент всё равно не проходит, первым делом проверьте промежуточные прокси: заголовки Signature, Signature-Input и Signature-Agent должны доходить до вашего приложения без потерь. Достаточно одного звена, которое вырезает незнакомые заголовки, чтобы проверка перестала сходиться.

И трезвое замечание: белый список это разрешение, а не гарантия. Сценарий агента может споткнуться о капчу, двухфакторный вход или нестандартную форму, и никакая настройка CDN тут не поможет.

Где купить ChatGPT из России

Режим агента доступен только на платных тарифах, а оплатить их российской картой на сайте OpenAI нельзя. Подписку оформляем на вашу почту: ChatGPT Go, Plus, Pro 5x и Pro 20x, плюс пополнение API. Оплата картой РФ или СБП, выдача в день заказа.