Protected Quick Tunnels ограничивает доступ к локальному демо по почте

Временная ссылка больше не обязана быть публичной

Quick Tunnel публикует локальный HTTP-сервис по случайному адресу trycloudflare.com. Такой подход удобен для демонстрации незавершённого приложения и не требует собственного домена. Прежняя модель позволяла открыть сервис любому, кто получил ссылку. В анонсе 2 октября Cloudflare описала allowed-mail: параметр задаёт допущенные почтовые адреса либо домены. Важная граница остаётся прежней — без этого параметра ссылка продолжает быть публичной. Обновление не меняет автоматически режим уже существующих команд и сценариев.

Проверка адреса и разрешение доступа разделены

Посетитель получает одноразовый код через Cloudflare Access и подтверждает владение почтовым ящиком. Затем локальный cloudflared сопоставляет подтверждённый адрес с разрешённым списком. Поэтому Cloudflare обеспечивает аутентификацию, а правило допуска остаётся на машине разработчика. Ни автору демо, ни посетителю не требуется аккаунт Cloudflare. Однако это подтверждение доступа к почте, а не универсальная проверка личности человека. Если разрешён целый домен, правило охватывает все подходящие адреса в нём, а не только заранее известных участников встречи.

Локальный сервис продолжает слушать выбранный порт независимо от того, разрешён ли внешний посетитель туннеля. Cloudflared выступает связующим процессом, а не заменяет приложение. После почтового подтверждения проверяется правило допуска именно этого коннектора. Поэтому разные временные туннели могут иметь разные списки, даже когда у автора нет облачного аккаунта. Авторизация остаётся частью локальной конфигурации запуска. Граница доступа определяется фактически переданными параметрами, а полученная публичная ссылка сама по себе не содержит доказательства того, что ограничение по почте включено.

Жизненный цикл привязан к процессу

Документация поясняет, что hostname меняется при создании нового Quick Tunnel и перестаёт работать после остановки процесса. Для изменения разрешённого списка туннель останавливают и запускают заново. Это удобно для временного просмотра, но отличается от постоянного размещения сервиса. Адрес нельзя считать стабильной интеграционной точкой для внешней системы. Также прекращение туннеля не является удалением локальных данных приложения: оно закрывает внешний маршрут, тогда как работающий сервис и его хранилище имеют собственный жизненный цикл.

У защищённого демо есть технические пределы

Quick Tunnels предназначены для тестирования и разработки и не имеют гарантии доступности. Документация указывает до двухсот одновременно обрабатываемых запросов и отсутствие Server-Sent Events. Проверка почты требует интерактивного браузерного сеанса и не поддерживает неинтерактивные клиенты. Поэтому простое добавление защиты может не подойти для webhook или автоматизированного API-потребителя. Сам туннель также не исправляет ошибки демонстрируемого приложения. Если посетителю разрешён доступ, он взаимодействует с тем сервисом, который разработчик действительно запустил локально.

Когда нужен другой вариант доступа

Постоянный hostname и более сложные правила относятся к управляемому Cloudflare Tunnel с Access. У временной схемы иная цель: быстро показать рабочую версию ограниченной группе. Для агента, который создаёт демо, параметр доступа можно описать в рабочих инструкциях, но источник напоминает о необходимости проверять фактически запущенную команду. Наличие инструкции не доказывает её исполнения. Дата события — 2 октября, а минимальная упомянутая версия коннектора — 2026.9.3; это историческое условие появления функции, а не утверждение, что данная версия сегодня является последней.