Cloudflare PACT заменит CAPTCHA: три браузера впервые приняли единый протокол проверки

Протокол PACT анонсирован 22 июня 2026 года компанией Cloudflare совместно с Mozilla Firefox, Google Chrome, Microsoft Edge и Shopify. До сих пор интернет работал по бинарной модели «заблокировать или пропустить», а человека от бота отличали CAPTCHA, принудительные логины и цифровые отпечатки браузера. Cloudflare прямо заявляет: эта модель сломалась, потому что всё больше трафика генерируют ИИ-агенты (автономные программы, действующие от имени пользователя), за которыми нет живого человека. Источник новости: публикация No Hacks от 22 июня 2026 года.

Как работает Cloudflare PACT?

Суть протокола в анонимных токенах (токен, это одноразовый цифровой жетон, подтверждающий факт без раскрытия личности).

Схема такая:

1. Сайт, который обладает, по формулировке Cloudflare, «надёжным знанием о личности пользователя», выпускает анонимный токен.
2. Браузер несёт этот токен на другие сайты как доказательство: за экраном сидит человек.
3. Сайт, выдавший токен, не видит, где вы его «потратили». Сайт, принявший токен, не может привязать его к вашей личности. Два разных использования нельзя связать между собой.

Это принципиально отличается от CAPTCHA и логинов: подтверждение «человечности» происходит без сбора данных, без головоломок с картинками и без принудительной авторизации.

Три браузера и один протокол: почему это редкость?

Ситуация, когда Chrome, Firefox и Edge одновременно поддерживают один и тот же протокол на уровне доступа, встречается крайне редко. Добавьте сюда Cloudflare (сеть, через которую проходит значительная часть мирового веб-трафика) и Shopify (торговая платформа), и получится коалиция, которая охватывает браузер, сетевой край и электронную коммерцию одновременно.

По данным источника, когда подобные группы договариваются о совместном стандарте, он обычно доходит до реализации. Так было с Privacy Pass и с passkeys (аппаратными ключами доступа).

PACT пока не существует как продукт

На момент объявления участники обязались разработать протокол и подать его на стандартизацию. Ни кода, ни пробной версии, ни тестового запуска для сайтов нет. Источник прямо указывает: разрыв между серьёзной коалицией и работающим протоколом обычно измеряется годами.

Это значит, что внедрять нечего, но готовиться к выбору стратегии нужно уже сейчас.

Cloudflare PACT отвечает только на один вопрос из двух

Вот ключевое разделение, ради которого стоит разобраться в теме:

• Трек «человечности» (personhood track). PACT проверяет: за действием стоит живой человек? Это нужно для борьбы с фродом, фейковыми аккаунтами, накрученными отзывами. Чем меньше реальных людей в общем трафике, тем ценнее этот сигнал.
• Трек авторизации агентов (authorization track). Когда ИИ-агент действует автономно, без человека «в петле», нужен ответ на другой вопрос: кто этот агент, от чьего имени действует, что ему разрешено? PACT на этот вопрос не отвечает. По замыслу авторов, он и не должен.

Второй трек строят другие. Источник приводит примеры: Google зарегистрировал своего веб-агента под верифицируемой идентичностью, проект Web Bot Auth позволяет идентифицируемым краулерам подписывать запросы, Эстония начала выдавать агентам государственные ID-коды с ограниченными правами (просмотр, редактирование, оплата до лимита).

Что понадобится

• Доступ к настройкам вашего сайта или сервера (панель хостинга, Cloudflare-аккаунт, если используете).
• Понимание, какой трафик приходит на ваш сайт сейчас: живые пользователи, боты, агенты.
• Время: 30 минут на аудит и принятие решения о стратегии.

Пошаговая инструкция: определите свой трек уже сейчас

Пока протокол не выпущен, единственное полезное действие, это разобраться, какой именно трек нужен вашему проекту.

1. Откройте аналитику трафика вашего сайта. Посмотрите долю бот-трафика. В Cloudflare это раздел «Security» и «Bot Analytics». Если не используете Cloudflare, подойдёт серверный лог или «Яндекс.Метрика» с фильтром по роботам.

2. Разделите угрозы на два списка. Первый: фрод, фейковые регистрации, спам-отзывы, скликивание рекламы. Это проблема «человечности», и здесь Cloudflare PACT будет полезен, когда выйдет. Второй: автоматические агенты, парсеры, ИИ-ассистенты, покупающие от имени клиента. Это вопрос авторизации, и PACT его не решит.

3. Зафиксируйте решение письменно. Запишите: «Наш основной риск, фрод / агентный трафик / оба», и укажите, какие инструменты закрывают каждый из них сейчас (CAPTCHA, rate limiting, проверка заголовков). Это станет основой для перехода на PACT, когда протокол будет доступен.

4. Если у вас есть файл robots.txt, проверьте его. Убедитесь, что правила для известных ботов актуальны. Это не связано с PACT напрямую, но относится к треку авторизации и показывает, насколько осознанно вы управляете агентным трафиком.

5. Подпишитесь на обновления Cloudflare PACT. Следите за блогом Cloudflare и за процессом стандартизации. Когда появится пробная версия, вы будете готовы к быстрому внедрению, потому что уже знаете свой трек.

Что делать прямо сейчас, по ролям

Авторам Дзена и контент-мейкерам. Если ваш сайт или блог получает трафик через Cloudflare, разделение на два трека поможет понять, какие визиты реальны, а какие нет. Это напрямую влияет на статистику и на доход от рекламы.

Маркетологам. CAPTCHA убивает конверсию: каждый лишний шаг на пути пользователя, это потерянные заявки. Cloudflare PACT обещает убрать этот барьер, сохранив защиту от ботов. Следите за стандартом и закладывайте в планы на 2027 год.

Разработчикам и предпринимателям в РФ и СНГ. Cloudflare доступен в России, хотя с ограничениями. Даже если PACT запустится с задержкой для российского сегмента, логика двух треков универсальна. Разделите свой бот-трафик сейчас, это не зависит от конкретного протокола.

Два трека, «человечность» и «авторизация агента», это не выбор между двумя продуктами, а два фундаментально разных вопроса к каждому входящему запросу. Cloudflare PACT закрывает первый. Второй открыт, и именно за ним стоит следить тем, кто строит сервисы для автономных ИИ-агентов.