A Cloudflare anunciou a adição de autenticação por e-mail ao serviço Quick Tunnels, permitindo que o desenvolvedor defina os endereços de e-mail ou domínios autorizados a acessar uma aplicação em execução localmente. O recurso está disponível a partir da versão cloudflared 2026.9.3 e não exige a criação de uma conta da Cloudflare por nenhuma das partes.
O Quick Tunnels é usado para publicar um serviço em execução no dispositivo do desenvolvedor por meio de um endereço aleatório do domínio trycloudflare.com, sem configurar DNS, abrir um painel de controle ou pagar taxas. A principal desvantagem era que qualquer pessoa que tivesse o link poderia abrir o serviço. Para resolver isso, o desenvolvedor adiciona a seguinte opção ao comando:
cloudflared tunnel --url http://localhost:8080 --allowed-mail alice@example.com
Ao abrir o link, o visitante precisa inserir seu endereço de e-mail e, em seguida, um código de uso único enviado à sua caixa de entrada. Depois de verificar a posse do e-mail, o cloudflared compara o endereço com as regras de acesso definidas localmente pelo desenvolvedor. A opção pode ser repetida para vários endereços ou pode ser usado um domínio abrangente, como *@example.com. Se a opção não for usada, o Quick Tunnels continuará público como antes.
O que muda na prática?
A atualização oferece aos desenvolvedores uma forma rápida de proteger demonstrações de aplicações locais, especialmente quando um agente de software cria um serviço em um computador pessoal e seu proprietário quer visualizá-lo pelo celular ou compartilhá-lo com pessoas específicas. A lista de convidados continua no dispositivo do desenvolvedor e não é enviada à Cloudflare; a Cloudflare Access comprova o controle sobre o endereço de e-mail, enquanto o cloudflared toma localmente a decisão de permitir o acesso.
Segundo a Cloudflare, o projeto usa um intermediário de autenticação sem estado executado no Cloudflare Workers para emitir uma autorização de curta duração e assinada. O intermediário não armazena políticas dos túneis, sessões dos visitantes ou registros de suas identidades. Após a verificação bem-sucedida, a ferramenta cria uma sessão local que dura no máximo quatro horas, ou menos tempo se a sessão de login terminar, e é encerrada imediatamente quando o processo do cloudflared é interrompido.
Limitações do recurso e alternativas
Essa autenticação é destinada ao acesso por navegador; ela verifica a posse do e-mail, mas não oferece, por si só, um sistema avançado de permissões. Para obter um nome de host fixo ou regras mais detalhadas, como grupos do provedor de identidade, a Cloudflare recomenda usar o Cloudflare Tunnel com o Cloudflare Access. Para conexões privadas bidirecionais sem um endereço público, a empresa indica o Cloudflare Mesh.
Também é possível executar o túnel protegido pela versão mais recente do Wrangler usando o comando npx wrangler tunnel quick-start. A Cloudflare afirma que o recurso é gratuito, assim como o Quick Tunnels, e que a ferramenta não exibe os endereços de e-mail nos registros de depuração. Ainda assim, o desenvolvedor precisa reiniciar o túnel para alterar a lista de pessoas autorizadas, pois não existe um painel central de conta para gerenciar a política.
Por que esta notícia é importante?
A mudança não transforma o Quick Tunnels em uma alternativa completa à infraestrutura empresarial de gerenciamento de identidade, mas resolve um risco prático evidente: publicar uma aplicação local de teste com um link público que qualquer pessoa pode descobrir ou compartilhar. A combinação da verificação de e-mail pela Cloudflare com a decisão tomada pela ferramenta no dispositivo do desenvolvedor mantém a simplicidade de operação, reduzindo a exposição de aplicações inacabadas. A proteção da aplicação continua vinculada à integridade do dispositivo e às regras de e-mail definidas pelo desenvolvedor, e a interrupção do processo corta o acesso de todos.