Bài viết này do AI tạo ra, có thể mắc sai sót.
Cloudflare công bố khả năng áp dụng Access trực tiếp lên Cloudflare Worker. Khi bật, xác thực diễn ra trước khi request đến code, bất kể request đi qua custom domain, route, workers.dev hay URL preview. Mô hình này xử lý lỗ hổng vận hành thường gặp: thêm hostname mới nhưng quên cập nhật chính sách Access.
Chính sách gắn Worker bảo vệ mọi URL liên kết với Worker đó. Người quản trị chọn bảo vệ riêng preview hoặc toàn bộ hostname. Đây là thay đổi quan trọng với ứng dụng nội bộ được tạo nhanh bởi nhiều nhóm, nơi một preview URL công khai vô ý có thể làm lộ dữ liệu hoặc công cụ nội bộ.
Chính sách Access cấp tài khoản có thể áp cho toàn bộ Worker hiện tại và tương lai. Admin chọn phạm vi preview traffic, production traffic hoặc cả hai. Worker cần công khai vẫn có thể được bypass riêng, thay vì đảo ngược mô hình để mọi dự án tự nhớ bật bảo vệ.
Cloudflare cũng mở mẫu internal static-site platform: Access đặt một lần trên dispatch Worker của Workers for Platforms để các site triển khai phía sau private mặc định.
Worker được Access bảo vệ có thể dùng ctx.access.getIdentity() để lấy email, tên và group của người đã xác thực. Theo Cloudflare, việc này loại bỏ nhu cầu ứng dụng tự parse token, xác minh chữ ký JWT và tách claim. Các IDP hiện có, email/domain/group hoặc service token cho agent đều dùng được làm điều kiện truy cập.
Local development hỗ trợ block access.dev trong wrangler.jsonc để giả lập identity, giúp test phân quyền trước khi deploy.
Cloudflare cho biết tính năng dựa trên FL2, modular proxy viết Rust. Routing Worker phải chạy trước Access để Access biết Worker đích, rồi mới thực thi code. Nếu nhiều policy cùng khớp, thứ tự ưu tiên là hostname, Worker, rồi tài khoản.
Đây là chi tiết cần lưu ý khi chuyển cấu hình cũ: policy hostname cụ thể vẫn có thể thắng policy rộng hơn gắn vào Worker hay account.
ctx.access cục bộ và đảm bảo ứng dụng trả lỗi rõ ràng khi thiếu identity.Gắn policy vào Worker thay hostname giảm số bước thủ công mỗi khi deploy hoặc thêm domain. Với đội phát triển phân tán, đây là cách giảm rủi ro “public by accident” thực tế hơn so với checklist bảo mật.
Preview thường chứa dữ liệu thử nghiệm, API nội bộ hoặc chức năng chưa audit. Đặt private mặc định tại account biến bảo vệ preview thành policy hạ tầng thay vì trách nhiệm từng lập trình viên.
Metadata identity sẵn trong runtime giúp ứng dụng giảm logic JWT riêng. Tuy nhiên phân quyền nghiệp vụ vẫn phải kiểm tra trong ứng dụng; Access xác thực người gọi, không tự quyết định mọi quyền dữ liệu.
Thông báo Cloudflare Access for Workers, 14/08/2026.
