Gateway programável: a política de segurança também precisa de tratamento de falhas

A Cloudflare anunciou extensões para executar lógica própria no caminho de inspeção e decisão do Gateway e do DLP.[15] A ação Forward está em beta público, validadores personalizados de DLP são anunciados como disponíveis e Custom Functions estão previstas até o fim do ano.[15] Essas fases precisam ficar separadas antes de desenhar uma integração como se tudo já estivesse pronto para produção.

O que muda para quem desenvolve

Forward opera sobre tráfego já permitido pelas políticas HTTP: a primeira regra correspondente o encaminha a um Worker que recebe cabeçalhos e corpo e pode modificar requisição e resposta.[15] O Gateway continua responsável por conexões, TLS, certificados e negociação HTTP.[15] Portanto, o mecanismo não deve ser descrito como um desvio das regras de bloqueio anteriores.

Custom Functions são propostas para receber contexto e devolver um valor tipado usado na condição de política, inclusive em regras de rede.[15] No DLP, os validadores personalizados podem conferir se um dado aparentemente sensível é relevante antes da decisão, em vez de depender apenas de formato e expressão regular.[15]

Minha análise é que programabilidade transforma a política em um pequeno sistema distribuído. Se uma decisão consulta outro serviço, o projeto precisa definir o que fazer quando a consulta demora, falha ou responde de maneira incompleta. Não existe segurança operacional em deixar essa resposta implícita.

Como aplicar

Comece com uma política estreita em homologação, como registrar uma justificativa de acesso a um recurso de teste. Use dados sintéticos e delimite quais campos o Worker realmente precisa ler.

Prepare uma matriz de cenários: acesso autorizado, acesso negado, contexto ausente, resposta inválida do serviço auxiliar e timeout. Para cada caso, escreva previamente se a ação deve bloquear, permitir ou encaminhar para outro fluxo, e qual evidência deve ficar registrada.

Depois, execute os cenários e compare a decisão observada com a esperada. Meça latência adicional e volume de chamadas, inclusive nas falhas. Uma integração que funciona apenas quando todos os componentes respondem não demonstrou ainda seu comportamento de segurança.

O texto inclui um exemplo de leitura de JWT que apenas decodifica o conteúdo.[15] Em uma implementação de autorização, exija validação de assinatura, emissor e audiência, ou uma cadeia de confiança previamente verificada. Ler uma alegação não equivale a confiar nela.

Cuidados e limites

Segundo o fornecedor, Gateway e Workers executam na mesma infraestrutura, evitando um salto externo apenas para despachar a função.[15] Isso não elimina o tempo do código ou de consultas externas, e as chamadas são cobradas como requisições Workers, sujeitas aos limites do plano.[15]

Também avalie o destino dos trechos inspecionados e as credenciais do validador. Minha recomendação é minimizar dados, limitar autoridade e testar contingência antes de ampliar o tráfego. Código no caminho de segurança não pode virar um ponto cego só porque está próximo do gateway.

Fonte

[15] Fonte: Cloudflare Blog. Publicação: 15/10/2026 às 14:11:12.