Cloudflare, Cloudflare Gateway ve Data Loss Prevention’ı uç bilişim platformu Cloudflare Workers ile entegre ettiğini duyurdu. Bu adım, güvenli web ağ geçidini izin verme, engelleme ve izolasyon gibi sabit kararlar modelinden çıkararak güvenlik politikası değerlendirme akışının kendisi içinde özel kod çalıştırılmasını sağlıyor.
Bu entegrasyon Zero Trust planlarında kullanılabiliyor ve Gateway politikalarından bir Worker çağırmak için iki temel yol sunuyor: şu anda genel beta aşamasında bulunan Forward adlı yeni bir eylem ile 2026 yılının sonundan önce kullanıma sunulması beklenen Custom Functions.
İstekleri yönlendirme veya özel mantık çalıştırma
Forward eylemi, politikayla eşleşen istekler için satır içi bir proxy olarak çalışıyor. Worker, HTTP istek başlıklarını ve gövdesini alabiliyor; bunları asıl hizmete göndermeden önce değiştirebiliyor ve ardından yanıtı kullanıcıya geri göndermeden önce değiştirebiliyor. Gateway ise TCP bağlantılarını, TLS sonlandırmayı, yeniden şifrelemeyi, sertifika yönetimini ve HTTP sürümü anlaşmasını üstleniyor; böylece Worker’a yalnızca dönüşüm mantığı kalıyor.
Forward, istek akışını kesintiye uğratmadan Slack veya PagerDuty’ye bildirim gönderme, verileri R2’ye kaydetme, bir webhook çağırma ya da bir KV deposunu güncelleme gibi yan etkili işlemleri gerçekleştirmek için de kullanılabiliyor. Cloudflare, Worker çağrısının Gateway’i çalıştıran aynı altyapı üzerinde ve trafiğin ayrı bir ağ üzerinden geçirilmesini gerektirmeyen yerel bir çağrıyla gerçekleştirildiğini belirtiyor.
Custom Functions ise politika değerlendirmesi sırasında Worker’ı çağırıyor ve metin, sayı veya boole türünde bir değer döndürüyor. Bu değer, HTTP veya ağ politikalarında selector olarak kullanılabiliyor. Worker, politikanın aşamasına bağlı olarak kaynak IP adresi, kullanıcı kimliği, cihaz durumu, HTTP başlıkları ve bağlantı verilerini içeren bir bağlam alabiliyor.
Kullanım örnekleri
Cloudflare, özel bir işlevin JWT claim’ini okuyup kullanıcının rolünü veya grubunu çıkarabileceğini ve ardından sonucu erişime izin vermek ya da asıl hizmete yönlendirilen isteğe X-App-Role gibi bir başlık eklemek için kullanabileceğini açıklıyor. Ayrıca kullanıcıdan hassas bir hedefe erişimi gerekçelendirmesini isteyen müdahale sayfaları oluşturulabilir; oturum KV’de, denetim günlüğü ise D1’de veya Hyperdrive aracılığıyla dahili bir veritabanında saklanabilir.
Diğer kullanım alanları arasında dosyaların harici bir sandbox hizmeti aracılığıyla incelenmesi, bir DLP kuralıyla eşleşme olduğunda anlık bildirim gönderilmesi ve birden fazla dahili kaynağa dayanan risk hesaplamalarının yürütülmesi bulunuyor. Cloudflare iki yol arasındaki farkı açıkça ortaya koyuyor: Custom Functions hızlı, belirli ve durum bilgisi tutmayan değerlendirmeler için uygunken Forward, canlı isteklerin dönüştürülmesini ve istek ile yanıtın işlenmesini hedefliyor.
DLP yeteneklerinin genişletilmesi
Cloudflare ayrıca DLP için özel doğrulama işlevlerinin kullanılabileceğini duyurdu. Bu işlevler, müşterilerin yaptırım kararını vermeden önce tespit sonucunu doğrulamak için kendi gerçeklik kaynaklarını kullanmasına olanak tanıyor. Örneğin tespit edilen bir GitHub anahtarının gerçekten etkin olup olmadığını doğrulamak mümkün; yalnızca gizli bilgiler veya belirteçlere benzeyen bir kalıpla eşleşmekle yetinilmiyor.
Doğrulama işlevi, verilerin bir bölümünü ve eşleşen kısmın konumunu alıyor; ardından harici bir API çağırarak eşleşme puanı veya veto kararı içeren bir sonuç döndürebiliyor. Böylece hassas bir kalıbın varlığı ile belirli durumun gerçekten bir sızıntıyı veya yetkisiz kullanımı temsil edip etmediği birbirinden ayrılabiliyor.
Pratikte ne değişiyor?
Cloudflare, güvenlik ekipleri tarafından yönetilen ve yalnızca JWT claim’lerini okumak veya başlıkları değiştirmek için kullanılan NGINX grupları gibi ara altyapılara duyulan ihtiyacı azaltmayı amaçlıyor. Ancak yeni esneklik, sorumluluğun bir bölümünü müşteri koduna aktarıyor: Forward kullanan uygulamalar, kullanıcı deneyimini olumsuz etkilememeleri için dikkatle tasarlanmalı; ayrıca Custom Function’ın başarısız olması veya yürütme zaman aşımına uğraması durumunda uygulanacak geri dönüş davranışı önceden belirlenmeli.
Workers’a yönlendirilen trafik, normal Workers istekleri olarak ücretlendiriliyor. İşlevler Workers Free, Workers Paid ve Workers for Enterprise ile çalışıyor; ancak ücretsiz plan yürütme süresi ve günlük istek sayısı konusunda sınırlar getiriyor. Cloudflare, her iki yolun genel kullanıma tüm müşteriler ve tüm plan türleri için açılacağını belirtiyor. Şirket ayrıca Cloudflare One paketi içindeki entegrasyon noktalarını genişletmeyi ve bir sonraki adım olarak Email Security’yi eklemeyi planlıyor.