auth.md — ajanların kullanıcı adına kayıt oluşturması için açık protokol

• Her hizmetin kendi alan adının kökünde barındırdığı auth.md dosyası standardı
• Ajana kullanıcı adına nasıl kayıt yapacağını anlatarak, ayrı bir üyelik formu olmadan ajanın kullanıcıyı kaydetmesini sağlar
• Dosya; desteklenen flow'ları, mevcut scope'ları ve hizmete nasıl kayıt olunacağını içerir
• Üç aktörden oluşur
  • agent: kullanıcı adına hareket eden aktör
  • agent provider: kimlik beyanı ID-JAG düzenleyen IdP
  • service: beyanı kabul edip kimlik bilgisi düzenleyen aktör
• Ajan auth.md dosyasını alır, desteklenen flow'lardan birini seçer, ardından verified identity assertion sunar veya kullanıcıya yönelik kod doğrulama claim sürecini yürütür
• Kayıt yöntemi pazarlama açısından iki tür olarak tanıtılsa da, uygulamada anonymous dahil üç tür vardır
  • Agent verified: ajanın IdP'si kullanıcıyı doğrular, insan müdahalesi yoktur
  • User claimed: provider gerekmez; kullanıcı giriş yaptıktan sonra ajanın gösterdiği kodu doğrular. RFC 8628 tarzı claim ceremony (cihaz akışı yöntemi) kullanılır
  • Anonymous Registration: ajan önce pre-claim scope ile çalışır, ardından kullanıcı sahipliği üstlenince post-claim token seviyesine yükseltilir
  • Uygulamaların çoğu her iki yöntemi de destekler; ajan duruma göre uygun olanı seçer
• Ajana kullanıcıya bağlı scoped access token verilir; ömrü kısadır ve iptal edilebilir
• Standart OAuth üzerinde verildiği için mevcut API kimlik doğrulaması aynen yeniden kullanılabilir
  • ID-JAG düzenleme → RFC 7523 JWT-bearer grant ile access_token değişimi, /.well-known/oauth-authorization-server keşfiyle çalışır
• WorkOS tarafından hazırlanmıştır ancak WorkOS altyapısına bağlı olmayan açık bir protokoldür
  • Mevcut OAuth standartlarını (Protected Resource Metadata, ID-JAG) birleştirerek hesap olmadan yayınlama ve okuma imkanı sağlar
• Uygulamalar/hizmetler hangi flow'ları kabul edeceğini ve hangi kimlik bilgilerini düzenleyeceğini doğrudan kontrol edebilir
• Yalnızca spesifikasyon değil, agent provider ve service tarafları için örnek uygulamalar ile skill manifest rolündeki AUTH.md dosyası da sunulduğundan gerçekten çalıştırıp denenebilir
• Cloudflare, Firecrawl, Resend, monday.com gibi çeşitli hizmetler bunu şimdiden benimsedi
• MIT lisansı

[bichi]

Bu neden AUTH.md değil?

[laeyoung]

Firecrawl ve Resend için auth.md.

Cloudflare, protokolün tanıtım sayfasında ilk uygulama örneği olarak yer alıyor; ancak tıklayıp girince not found :( görünüyor.