Bài viết này do AI tạo ra, tổng hợp và diễn giải từ thông tin công bố của Cloudflare.
Cloudflare công bố OHTTP Gateway ở giai đoạn closed beta, bổ sung vai trò gateway vào bộ hạ tầng Oblivious HTTP (OHTTP). Dịch vụ nhắm tới ứng dụng muốn nhận request mà backend không thấy địa chỉ IP và dấu vân tay TLS của người dùng, nhưng vẫn giữ được ranh giới tin cậy giữa relay với phía xử lý nội dung.
Điểm quan trọng: đây không phải VPN hay lớp mã hóa thay thế HTTPS. OHTTP tách metadata kết nối khỏi nội dung request theo mô hình hai chặng, còn HTTPS/HPKE bảo vệ dữ liệu trên các chặng tương ứng.
Trong HTTP thông thường, máy chủ ứng dụng có thể thấy IP nguồn, ASN, vị trí gần đúng và các tín hiệu TLS. Những tín hiệu này có thể giúp liên kết nhiều request về cùng một người dùng, ngay cả khi nội dung request không chứa tên tài khoản.
OHTTP đưa relay vào giữa client và gateway. Relay biết metadata kết nối của client nhưng chỉ chuyển tiếp payload đã mã hóa; gateway giải mã lớp OHTTP rồi gửi HTTP thông thường tới application server. Vì vậy, app server nhận nội dung request nhưng không nhận trực tiếp danh tính mạng của client.
Hiệu quả riêng tư của OHTTP phụ thuộc vào việc relay và phía gateway/application server không cùng kiểm soát hoặc không thông đồng. Nếu một bên nhìn được cả IP client lẫn request đã giải mã, mô hình “double-blind” mất ý nghĩa.
Cloudflare nêu rõ Gateway mới phù hợp khi application server đã đặt sau CDN hoặc Workers của Cloudflare, còn relay phải do bên thứ ba vận hành. Theo thiết kế, Gateway sẽ từ chối giải mã request gửi từ Workers hoặc host proxied của Cloudflare nhằm tránh vô tình đặt cả relay lẫn gateway trong cùng một miền tin cậy.
Gateway được gắn với một zone và dùng endpoint /.well-known/ohttp-gateway. Client gửi request OHTTP đến endpoint này; Gateway xử lý giải mã, tạo subrequest đến app server rồi đóng gói response mã hóa trả về client. Request HTTP không phải OHTTP vẫn đi theo luồng bình thường.
Dịch vụ hỗ trợ OHTTP tiêu chuẩn và chunked OHTTP. Cloudflare khuyến nghị chế độ chunked vì cho phép xử lý dữ liệu theo từng phần, hữu ích hơn cho hiệu năng của request dài hoặc streaming.
OHTTP dựa trên HPKE để relay không đọc được nội dung request. Gateway cần công bố cấu hình khóa công khai để client mã hóa payload. Cloudflare cho biết sẽ tự quản lý khóa và trả public key configuration qua yêu cầu GET đến endpoint gateway, giảm một phần gánh vận hành cho đội ứng dụng.
Gateway cần tin relay về khâu xác thực client. Để hạn chế relay không được phép, Cloudflare cho phép đưa Cloudflare Access chạy trước khi request được giải mã. Chính sách có thể dùng mTLS, service credential tĩnh hoặc logic xác thực ngoài.
OHTTP không tự xóa dữ liệu định danh nằm trong body. Nếu client vẫn gửi email, user ID hoặc token định danh trong payload, gateway không thể biến request đó thành ẩn danh ở tầng ứng dụng.
Đây là thay đổi đáng chú ý vì OHTTP vốn khó triển khai đúng hơn là khó hiểu về mặt giao thức. Một gateway managed giúp giảm phần vận hành khóa, endpoint và năng lực xử lý mã hóa, nhưng không giải quyết thay cho thiết kế trust boundary. Đội triển khai vẫn phải chọn relay độc lập, kiểm tra logging, xác định dữ liệu định danh trong body và đo latency end-to-end.
Với hạ tầng đã đặt application server sau Cloudflare, việc có gateway cùng edge có thể giảm chặng gateway-to-origin. Đổi lại, kiến trúc phải giữ relay ở bên khác. Không nên coi closed beta là tín hiệu sẵn sàng cho workload nhạy cảm: cần thử tải, kiểm tra failure mode, quy trình xoay khóa và audit quyền Access trước khi mở cho người dùng thật.
