Warum du RelvatoBot siehst
Relvato durchsucht nicht das Web. RelvatoBot besucht eine Website nur, wenn ein Relvato-Kunde — in der Regel die Inhaberin oder deren Agentur — genau diese Website zum Monitoring verbunden und nachgewiesen hat, dass sie ihm gehört. Es gibt keine Entdeckung, kein Verfolgen von Links über Domains hinweg und kein Interesse an deinen Inhalten.
Dort führt er die eingerichteten Monitore aus: wichtige Seiten laden, eine Testbestellung abschließen, sich anmelden, Erreichbarkeit und Seitentempo messen und Seiten mit einer freigegebenen Referenz vergleichen — damit die Inhaberin von einem Fehler erfährt, bevor ihre Kundschaft darüber stolpert.
Relvato versucht nicht, Zugriffskontrollen zu umgehen. Es löst keine CAPTCHAs und umgeht keine Bot-Protection. Blockiert deine Firewall eine Anfrage, schlägt der Lauf fehl und Relvato meldet diese Blockade dem Kunden — der dann entscheiden kann, sie zuzulassen.
So erkennst du RelvatoBot
Cloudflare hat RelvatoBot verifiziert: Er steht als verifizierter Bot im Bot-Verzeichnis von Cloudflare Radar (Monitoring & Operations, betrieben von Relvato), mit dem unten genannten Schlüsselverzeichnis. Verifizierter Bot — RelvatoBot →
Vier Signale, das stärkste zuerst. Die Signatur ist das einzige, das beweist, dass eine Anfrage wirklich von Relvato stammt; die übrigen dienen dem Abgleich und der Einordnung.
| Signal | Details |
|---|---|
| Web-Bot-Auth-Signatur | Jede Anfrage ist mit einer Ed25519-HTTP-Message-Signature (RFC 9421) signiert: die Header Signature, Signature-Input und Signature-Agent, getaggt mit „web-bot-auth“. Signature-Agent verweist auf Relvatos öffentliches Schlüsselverzeichnis (unten), sodass dein CDN oder deine WAF die Signatur selbst prüfen kann. Nur dieses Signal lässt sich nicht nachahmen. Cloudflare und AWS WAF können es validieren. |
| User-Agent | Ein echter Chrome- oder Safari-User-Agent — die Engine ist tatsächlich Chromium, und die Website soll das ausliefern, was auch Besucher sehen — ergänzt um Relvatos Produkt-Token. Gleiche auf den Token ab; der Browser-Teil ändert sich mit Engine-Updates. |
| X-Relvato-Token-Header | Ein websitespezifisches Secret, einmalig für deine Website und in deren Relvato-Einstellungen sichtbar. Es ist eine Autorisierung, kein Herkunftsnachweis: Nutze es, um Relvato auf deiner eigenen Website zuzulassen. Behandle es als Geheimnis — wer es besitzt, könnte es mitsenden. |
| Netzwerkherkunft | Anfragen kommen aus von Relvato kontrollierter Infrastruktur mit Chromium. Die Adressen wechseln, verlass dich also nicht allein darauf; die aktuellen sind für Firewalls veröffentlicht, die nur nach Adresse filtern können. |
User-Agent: RelvatoBot/1.0 (+https://www.relvato.com/bot)
Schlüsselverzeichnis: https://www.relvato.com/.well-known/http-message-signatures-directory
Cloudflare Radar: https://radar.cloudflare.com/bots/directory/relvatobot
Maschinenlesbare Identität: https://www.relvato.com/.well-known/relvato-bot.json
Aktuelle Adressen: https://www.relvato.com/bot-ips.json
Wie sich RelvatoBot verhält
Was der Bot auf deinem Server tut — damit du es beurteilen kannst, ohne uns glauben zu müssen:
- Geltungsbereich: nur Websites, die deren Inhaber mit Relvato verbunden haben, und nur deren eigene Seiten.
- Anfragetakt: entzerrt und leicht variiert, immer nur ein Monitor pro Domain gleichzeitig, mit bewusstem Abstand zwischen den Monitoren eines Durchlaufs. Blockiert eine Firewall einen Monitor, wird der Rest der Warteschlange zurückgehalten, statt in dieselbe Wand zu laufen.
- 429 und 503: Der Retry-After-Header wird gelesen und beachtet — Relvato wartet mindestens so lange, wie dein Server es verlangt.
- robots.txt: wird auf jeder überwachten Website gelesen und gegen RelvatoBot abgeglichen, Crawl-delay gilt als Mindestabstand zwischen Anfragen. Die Durchsetzung von Disallow wird gerade ausgerollt: währenddessen wird ein gesperrter Pfad protokolliert statt übersprungen, damit bewusst eingerichtetes Monitoring nicht unangekündigt stoppt. Die Inhaberin kann die Regel für ihre eigene Website außerdem abschalten — sie hat den Monitor ja eingerichtet.
- Challenges: werden nie umgangen. Kein CAPTCHA-Lösen, kein Aushebeln von Bot-Protection; ein blockierter Lauf wird als blockiert gemeldet.
- Zwei Ausnahmen, die wir offenlegen, beide nur auf der eigenen, verbundenen Website eines Kunden: Der Monitor für Antwortmaschinen-Tauglichkeit fragt den Server des Kunden, ob er GPTBot, Googlebot und Ähnliche ausliefern würde, indem er genau diese User-Agents sendet; und der Monitor „Anzeichen eines Hacks“ ruft einige Seiten des Kunden als Googlebot (mit Relvatos Kennung weiterhin im User-Agent) und als Besucher aus der Google-Suche ab, um Hacks zu erkennen, die Spam oder eine Weiterleitung nur Google zeigen. Für andere Monitoring-Anfragen werden diese User-Agents nie verwendet, und nie auf einer Website, die nicht mit Relvato verbunden ist.
Zulassen
Wenn du die Website betreibst und Relvatos Monitore hinter Firewall oder CDN gelingen sollen, ist die schnellste Regel ein Abgleich des X-Relvato-Token-Headers mit dem Wert deiner Website — unsere Schritt-für-Schritt-Anleitung enthält den genauen Cloudflare-Ausdruck sowie Sucuri, Wordfence und Firewalls auf Hostebene.
Bei einer WAF, die Web Bot Auth prüfen kann (Cloudflare, AWS WAF Bot Control), kannst du stattdessen die Signatur zulassen: kein Secret zum Kopieren, und die Verifizierung ist kryptografisch. Kann deine Firewall nur nach Adresse zulassen, nutze die veröffentlichte Liste — prüfe sie aber regelmäßig nach, denn die Adressen wechseln.
Blockieren
Wenn du Relvato nicht möchtest, ist meist nichts zu tun: Es läuft nur für Websites, die Kunden verbunden und nachgewiesen haben. Wird eine deiner Websites überwacht, ohne dass du es autorisiert hast, schreib uns — wir stoppen es.
Du kannst den Bot auch wie jeden anderen Client in deiner Firewall blockieren — über den Produkt-Token im User-Agent, über die Signatur oder über die Adresse. Relvato umgeht das nicht; der Lauf schlägt schlicht fehl und der Kunde erfährt, dass er blockiert wurde.
Für Sicherheitsteams
Die Identität von RelvatoBot ist als Daten veröffentlicht: Name, Betreiber, User-Agent-Muster, Schlüsselverzeichnis, Verhalten und Kontakt. Im Verified-Bots-Modell von Cloudflare ist Relvato ein direkter Betreiber: Wir betreiben den Bot auf eigener Infrastruktur, niemand sonst kann Anfragen als RelvatoBot senden, und er erreicht ausschließlich Websites, deren Inhaber sie verbunden und nachgewiesen haben. Eingerichtet wird jeder Monitor von diesen Inhabern.
Sicherheitskontakt und Policy stehen in unserer security.txt.
Unabhängig geprüft
WebBotAuth.net bewertet veröffentlichte Web-Bot-Auth-Setups — Schlüsselverzeichnis, Signaturen und Agent Card. Dieses Abzeichen zeigt Relvatos aktuelles Ergebnis; öffne den Bericht, um es an der Quelle zu prüfen.
Maschinenlesbare Identität: https://www.relvato.com/.well-known/relvato-bot.json
security.txt: https://www.relvato.com/.well-known/security.txt
Kontakt
Fragen zum Bot, oder soll er eine Website nicht mehr besuchen, die du betreibst? Schreib uns an contact@relvato.com.