Documentação do agente

M-Agents

O M-Agents é o navegador na nuvem da plataforma M360M. Ele só abre um site quando um usuário M360M autenticado pede uma tarefa concreta, como uma compra, uma reserva ou o preenchimento de um formulário.

Atualizado em 22 de outubro de 2026

O que ele faz

Age por uma pessoa autenticada, numa tarefa que essa pessoa pediu.
Pede confirmação à pessoa antes de qualquer ação sensível, como pagar ou enviar.
Não é um crawler: não indexa sites nem usa o conteúdo deles para treinar modelos de IA.
Não resolve CAPTCHAs nem contorna desafios anti-bot: CAPTCHAs, códigos de dois fatores e confirmações passam para a pessoa numa visualização ao vivo.

Como ele se identifica

Todo pedido que o navegador na nuvem faz (páginas, frames, imagens, scripts e XHR/fetch) leva HTTP Message Signatures (RFC 9421), no formato Web Bot Auth que a Cloudflare verifica.

Signature-Agent: "https://m360m.ai/.well-known/http-message-signatures-directory"
Signature-Input: sig1=("@authority" "signature-agent");created=…;keyid="…";alg="ed25519";expires=…;nonce="…";tag="web-bot-auth"
Signature: sig1=:…:

Signature-Agent: https://m360m.ai/.well-known/http-message-signatures-directory
Signature-Input: tag="web-bot-auth" Cobre @authority e signature-agent; Ed25519; válida por 60 segundos, com nonce; keyid = thumbprint JWK da chave (RFC 7638).
Signature: A assinatura Ed25519 desses componentes.
Diretório de chaves: https://m360m.ai/.well-known/http-message-signatures-directory Chaves públicas (JWKS), servidas como application/http-message-signatures-directory+json e assinadas por cada chave.
User-Agent: O User-Agent original do motor Chromium (Linux), sem token de produto. Identifique o M-Agents pela assinatura, não pelo User-Agent nem pelo endereço IP.

As chaves são Ed25519 e rodam: uma chave nova aparece no diretório antes de começar a assinar, e uma antiga fica lá até expirar.

Controle pelo robots.txt

O M-Agents é um agente iniciado pelo usuário (como o ChatGPT-User): ele só abre uma página quando uma pessoa pede no chat, por isso não é um crawler. Antes de abrir uma página, ele respeita as regras do robots.txt dirigidas ao token M-Agents (as regras genéricas User-agent: * para crawlers não se aplicam a um pedido de uma pessoa). Para bloqueá-lo, adicione ao seu robots.txt:

User-agent: M-Agents
Disallow: /

Como verificar o tráfego: assinatura e endereços IP

Verificar

Confira a assinatura com o diretório de chaves acima. Na Cloudflare, depois que o M-Agents for aceito como agente assinado, o tráfego dele aparece como verificado nestes campos: cf.bot_management.verified_bot, cf.verified_bot_category, cf.bot_management.signed_agent

Onde ele roda

Na nuvem da M360M na AWS: um Chromium real, com janela, por sessão.
Quando um site precisa de uma conexão local, os pedidos podem sair por um IP de um provedor comercial de proxy na região atual da pessoa. Levam a mesma assinatura.
Opcionalmente, no computador da própria pessoa, pela extensão M360M do navegador. Esses pedidos nunca levam a nossa assinatura: são o navegador, o IP e os logins da própria pessoa.

Decidir

Permita, desafie, limite ou bloqueie com as suas próprias regras, por exemplo uma regra de WAF ou uma política de bots de IA para a categoria Agent. Quem decide é você; não tentamos contornar as suas regras.

Reportar

Se notar um problema ou quiser dizer como o M-Agents deve tratar o seu site, escreva para o endereço abaixo.

Comportamento

Abre só as páginas de que a tarefa precisa, com no máximo três sessões de navegador simultâneas por pessoa.
Age em ritmo humano: movimento do ponteiro, digitação e rolagem acontecem passo a passo.
Um agente configurado para um site só pode abrir esse site e as páginas de login dele; qualquer outra navegação é bloqueada.

Contato

Segurança, abuso e dúvidas sobre o agente. Inclua o URL, o horário (UTC) e, se tiver, o keyid da assinatura: dpo@m360m.ai