Cloudflare anunció la integración de Cloudflare Gateway y Data Loss Prevention con la plataforma de computación perimetral Cloudflare Workers, en un paso que transforma la puerta de enlace web segura, basada en decisiones fijas como permitir, bloquear y aislar, en la ejecución de código personalizado dentro del propio flujo de evaluación de la política de seguridad.
Esta integración está disponible para los planes Zero Trust y ofrece dos vías principales para invocar un Worker desde las políticas de Gateway: una nueva acción denominada Forward, disponible actualmente en fase beta pública, y Custom Functions, cuyo lanzamiento está previsto antes de finales de 2026.
Redirigir solicitudes o ejecutar lógica personalizada
La acción Forward funciona como un intermediario inline para las solicitudes que coinciden con la política. El Worker recibe las cabeceras y el cuerpo de una solicitud HTTP, y puede modificarlos antes de enviarlos al servicio de origen; después, puede modificar la respuesta antes de devolverla al usuario. Gateway se encarga de las conexiones TCP, la terminación de TLS, el nuevo cifrado, la gestión de certificados y la negociación de la versión de HTTP, lo que deja al Worker únicamente la lógica de transformación.
Forward también puede utilizarse para ejecutar acciones secundarias sin interrumpir el flujo de la solicitud, como enviar una alerta a Slack o PagerDuty, registrar datos en R2, invocar un webhook o actualizar un almacén KV. Cloudflare afirma que la invocación del Worker se realiza en la misma infraestructura que ejecuta Gateway y mediante una llamada local que no requiere pasar el tráfico por una red independiente.
Por su parte, Custom Functions invoca un Worker durante la evaluación de la política y devuelve un valor de tipo texto, número o booleano. Este valor puede utilizarse como selector en políticas HTTP o de red. El Worker puede recibir un contexto que incluya la dirección IP de origen, la identidad del usuario, el estado del dispositivo, las cabeceras HTTP y los datos de conexión, según la fase de la política.
Ejemplos de uso
Cloudflare explica que una función personalizada puede leer una afirmación JWT y extraer el rol o el grupo del usuario, para después utilizar el resultado para permitir el acceso o añadir una cabecera como X-App-Role a la solicitud dirigida al servicio de origen. También se pueden crear páginas de intercepción que soliciten al usuario justificar el acceso a un destino sensible, guardando la sesión en KV y el registro de auditoría en D1 o en una base de datos interna mediante Hyperdrive.
Otros usos incluyen examinar archivos mediante un servicio sandbox externo, enviar alertas inmediatas cuando coincide una regla de DLP y ejecutar cálculos de riesgo basados en múltiples fuentes internas. Cloudflare diferencia claramente ambas vías: Custom Functions es adecuada para evaluaciones rápidas, específicas y sin estado, mientras que Forward está orientada a la transformación de solicitudes activas y al procesamiento de solicitudes y respuestas.
Ampliación de las capacidades de DLP
Cloudflare también anunció la disponibilidad de funciones de validación personalizadas para DLP. Estas funciones permiten a los clientes utilizar su propia fuente de verdad para verificar el resultado de la detección antes de tomar una decisión de aplicación. Un ejemplo sería comprobar si una clave de GitHub detectada está realmente activa, en lugar de limitarse a identificar un patrón parecido a secretos o tokens.
La función de validación recibe un fragmento de los datos y la ubicación de la parte coincidente; después, puede invocar una interfaz externa y devolver un resultado que incluya un grado de coincidencia o una decisión de veto. De este modo, es posible distinguir entre la presencia de un patrón sensible y el hecho de que el caso concreto represente una filtración real o un uso no autorizado.
¿Qué cambia en la práctica?
Cloudflare busca reducir la necesidad de contar con una infraestructura intermedia gestionada por los equipos de seguridad, como grupos de NGINX utilizados únicamente para leer afirmaciones JWT o modificar cabeceras. Sin embargo, la nueva flexibilidad traslada parte de la responsabilidad al código del cliente: las aplicaciones que utilicen Forward deben diseñarse cuidadosamente para no afectar negativamente a la experiencia del usuario, y los fallos de una Custom Function o el vencimiento de su tiempo de ejecución requieren definir previamente un comportamiento alternativo.
El tráfico redirigido a Workers se contabiliza como solicitudes normales de Workers. Las funciones funcionan con Workers Free, Workers Paid y Workers for Enterprise, pero el plan gratuito impone límites al tiempo de ejecución y al número diario de solicitudes. Cloudflare afirma que la disponibilidad general de ambas vías será para todos los clientes y todos los tipos de planes, mientras que planea ampliar los puntos de integración dentro del conjunto de Cloudflare One, con Email Security como siguiente paso.