O agente da EnterDone se apresenta — e você decide se ele entra

Quem ele é

O agente é operado pela EnterDone (Brasil) em nome dos seus clientes. Cada empresa cliente tem a própria instância — um servidor só dela — e, nela, um computador na nuvem por pessoa: um Chrome de verdade, que o agente dirige quando a pessoa pede e que a pessoa pode assumir a qualquer momento. A identidade declarada é sempre a da plataforma, https://enterdone.com — nunca o nome do cliente.

Como ele se apresenta

Toda navegação do agente leva três cabeçalhos do padrão Web Bot Auth (assinaturas HTTP, RFC 9421, perfil web-bot-auth):

• Signature-Agent: "https://enterdone.com" — onde está a chave pública.
• Signature-Input — o que foi assinado (@authority, @method, @path e o próprio signature-agent), com created, expires (1 hora), nonce e keyid.
• Signature — a assinatura Ed25519.

As chaves públicas estão em https://enterdone.com/.well-known/http-message-signatures-directory — um JWKS cujo próprio conteúdo vem assinado por cada chave listada; o keyid é o thumbprint da chave (RFC 7638). A ficha legível por máquina (Signature Agent Card) está em https://enterdone.com/.well-known/signature-agent-card.json. O User-Agent é o do Chrome com o nome do agente no fim — EnterDone-Agent/1.0 (+https://enterdone.com/agente); a identidade confiável é a assinatura, não o User-Agent.

O que ele faz

• Abre as páginas que uma pessoa da empresa pediu: sites públicos, portais de fornecedores e os sistemas da própria empresa — com as credenciais dela, guardadas no cofre cifrado da empresa; a senha nunca passa pelo modelo.
• Lê e preenche como uma pessoa faria: uma ação de cada vez, um navegador por pessoa, sem pedidos em paralelo.
• Age por pedido (fetcher): não rastreia a web, não indexa, não coleta em massa, e nada do que lê treina modelo algum — o conteúdo serve só ao trabalho daquela pessoa, dentro da instância da empresa dela.

O que ele nunca faz

• Não resolve CAPTCHA. Quando um desafio aparece, ele para e entrega o controle a uma pessoa.
• Não contorna bloqueio. Sem proxy residencial, sem disfarce de navegador, sem troca de identidade. Se o site responde 403 ou 429, ele não insiste automaticamente — relata à pessoa que pediu.
• Não faz o que a política de agentes assinados proíbe: credential stuffing, scalping, scraping em volume.
• Não esconde quem é. O código de evasão foi retirado do produto em outubro de 2026; a declaração é a identidade.

Como permitir — ou bloquear

Verifique a assinatura com as chaves do diretório (qualquer biblioteca RFC 9421 serve; os verificadores da Cloudflare, da DataDome e da Akamai fazem isso sozinhos quando o agente está cadastrado). Para permitir, libere a identidade verificada https://enterdone.com. Para bloquear, responda 403: o computador não volta ao site por 10 minutos e o agente relata à pessoa, sem nova tentativa. Um 429 é respeitado pelo Retry-After (ou 60 segundos, dobrando até 15 minutos). O ritmo é o de uma pessoa, imposto em código: no máximo 30 navegações por minuto e 600 por hora em cada site, uma de cada vez. Para fechar a porta de vez, o robots.txt também vale: User-agent: EnterDone-Agent seguido de Disallow: / — o agente honra o grupo com o nome dele (não o *, que é para rastreadores).

Dúvida, abuso ou um site que prefere não receber o agente: [email protected].

Por que assim

Um agente que se disfarça é um problema para quem opera o site e para quem o usa. A EnterDone escolheu o outro caminho: ser um visitante declarado, verificável, que para quando é bloqueado. É o caminho dos grandes agentes do mercado — e o único que escala sem virar corrida armamentista.