Cada controle abaixo está no código, não num roadmap. Nada foi implantado ainda. Listamos o que fazemos e o que não fazemos, porque as ausências fazem parte da arquitetura – não são lacunas a preencher.
Livro-razão somente-acréscimo por construção
As entradas do registro são endereçadas por conteúdo e encadeadas. O hash de cada entrada inclui o hash da entrada anterior. Modificar ou excluir uma entrada quebra a cadeia – detectável na próxima verificação.
Tokens delimitados ao workspace, sem chaves de API compartilhadas
Tokens de superfície e de gateway valem para um só workspace. Perdidos ou rotacionados, afetam só esse workspace. Um token pode ser preso por DPoP, então uma cópia roubada sem a chave do cliente é recusada.
Uma leitura da equipe na sua conta entra no seu livro-razão, não só no nosso
O console administrativo da equipe existe para trabalho operacional legítimo – triagem de incidentes, reconciliação de cobrança, resposta a abuso. Quando um membro da equipe abre a sua conta ou uma das suas assinaturas, uma entrada admin_read somente-acréscimo é escrita na cadeia Tops do seu próprio workspace, nomeando o operador, a superfície e o registro. Gatilhos SQLite impõem o somente-acréscimo no nível do banco de dados, então nem o console administrativo consegue reescrever o rastro das próprias ações – e a entrada é carimbada como de origem da plataforma por um canal assinado que nenhum cliente possui, então ninguém consegue forjar uma em nenhum dos sentidos. Varreduras em massa de operadores que não nomeiam nenhum cliente são registradas na nossa cadeia de auditoria de provedor; preferimos que o seu livro-razão continue sendo sinal a enchê-lo. Os 9 tipos de Infraestrutura são configuráveis pelo cliente por workspace (filtros de ambiente, taxas de amostragem, chaves por tipo) – com um piso de kill-switch nas ações que devem ser sempre registradas.
Caminho jurisdicional dos dados
Escolha uma região ao criar o workspace. As três regiões europeias guardam dados sob a jurisdição UE da Cloudflare: ela mantém os dados na UE e escolhe o datacenter; Regional Services mantém a computação na jurisdição. Os checkpoints assinam sob WEUR ou ENAM.
Criptografia em trânsito e em repouso
TLS 1.3 em todo tráfego de clientes. D1, Aurora e R2 criptografam em repouso com chaves do provedor; chaves de assinatura de checkpoint ficam em Cloudflare Secrets, e as credenciais upstream são seladas sob uma chave de criptografia.
Sem telemetria de terceiros sobre dados de clientes
Nenhum APM ou analytics de terceiros acessa o conteúdo dos registros de clientes. O site de marketing se limita a analytics agregado de visualizações, sem cookies, onde ativo.
Isolamento do banco por plano
Os workspaces Free e Starter dividem um banco Cloudflare D1 regional, e toda leitura e escrita leva o id do workspace; Pro, Pro+ e Team têm cada um seu próprio armazenamento separado na Cloudflare na região escolhida, um por workspace, com isolamento estrito entre clientes, incluído no plano. Scale, Enterprise e o add-on de isolamento têm o banco Amazon Web Services Aurora próprio do workspace, sem esquema compartilhado para consultar.
Acesso de pessoal registrado
Cada leitura do plano de dados pela equipe escreve uma entrada Tops contra o workspace afetado, com a identidade do membro da equipe, o carimbo de tempo e o motivo. O console administrativo autentica via Cloudflare Access + WebAuthn por administrador + tokens de API por administrador. O acesso administrativo do lado do provedor (admin Cloudflare, admin AWS) é registrado no provedor.
