Cloudflare Gateway ahora ejecuta tu código en línea para lógica de seguridad personalizada

Cloudflare ha anunciado una expansión significativa de su plataforma Zero Trust, que permite a los desarrolladores ejecutar código personalizado directamente dentro de la ruta de evaluación de políticas de la pasarela web segura. Lanzada el 15 de octubre de 2026, esta actualización integra Cloudflare Workers con los servicios Gateway y Data Loss Prevention (DLP), permitiendo ejecutar lógica arbitraria en línea en el borde de la red.

Qué ocurrió

Durante décadas, las pasarelas web seguras han operado bajo un modelo rígido: el tráfico coincide con una condición predefinida y el sistema ejecuta una acción terminal como permitir, bloquear o registrar. Aunque eficaz para casos de uso estándar, este enfoque tiene dificultades con requisitos complejos y específicos del entorno. Los equipos de seguridad a menudo se enfrentan a una elección binaria entre mantener infraestructura de proxy personalizada costosa para obtener máxima flexibilidad o aceptar las restricciones del proveedor que limitan su capacidad para resolver problemas únicos.

Para abordar esto, Cloudflare está introduciendo dos nuevas capacidades: la acción Forward y las Custom Functions. La acción Forward, disponible hoy en beta pública, dirige las solicitudes HTTP coincidentes a un Cloudflare Worker, que actúa como middleware en línea. Esto permite a los desarrolladores modificar encabezados, transformar cuerpos de solicitud o desencadenar acciones asincrónicas como el registro en sistemas externos antes de que el tráfico alcance su destino. Las Custom Functions, programadas para su lanzamiento antes de fin de año, permitirán que los Workers devuelvan valores tipificados durante la evaluación de políticas, creando efectivamente selectores dinámicos basados en datos internos o lógica compleja.

Esta integración aprovecha la infraestructura existente de Cloudflare, donde Gateway y Workers se ejecutan en las mismas máquinas en más de 330 ubicaciones globales. Dado que la distribución es una llamada de función local en lugar de un salto de red, no hay latencia adicional por enviar el tráfico de ida y vuelta a un entorno cloud separado. Esta arquitectura busca proporcionar la personalización de los proxies autoalojados sin la sobrecarga operativa de gestionar la infraestructura.

Cómo funciona

La acción Forward transforma un Cloudflare Worker en un proxy programable. Cuando una política de Gateway coincide con una solicitud, reenvía todo el contexto HTTP —incluidos encabezados y cuerpo— al Worker especificado. El Worker puede inspeccionar la solicitud, modificarla y luego pasarla aguas arriba utilizando la función next(). También puede modificar la respuesta antes de que regrese al usuario. Gateway gestiona las conexiones TCP subyacentes, la terminación TLS y la gestión de certificados, mientras que el Worker se centra exclusivamente en la lógica a nivel de aplicación.

Las Custom Functions operan de manera diferente al integrarse directamente en el motor de decisión de políticas. Un Worker recibe contexto como la IP de origen, la identidad del usuario y la postura del dispositivo, y luego devuelve una cadena simple, un número o un booleano. Este valor devuelto se convierte en un nuevo selector en el constructor de políticas de Gateway. Por ejemplo, una función podría analizar un JSON Web Token para extraer el rol de un usuario y devolverlo como una cadena. Los administradores pueden entonces escribir reglas como "Permitir si Custom Function Role equals finance_contractor", combinando selectores integrados con datos personalizados calculados.

Detalles clave

• Forward Action: Dirige el tráfico HTTP coincidente a un Worker para transformación en línea, disponible en beta pública desde el 15 de octubre de 2026.
• Custom Functions: Permite a los Workers devolver valores tipificados para su uso en condiciones de políticas, previsto para lanzarse antes de finales de 2026.
• Cero Sobrecarga de Latencia: La distribución a un Worker es una llamada de función local en la misma máquina, evitando viajes de ida y vuelta de red.
• Disponibilidad Universal: Ambas funciones estarán disponibles en todos los planes de Zero Trust, incluidos los niveles Free, Paid y Enterprise.
• Facturación: El tráfico distribuido a Workers se factura como solicitudes estándar de Worker, sujeto a los límites existentes de tiempo de ejecución y solicitudes diarias.
• Seguridad de Respaldo: Las Custom Functions requieren valores predeterminados para garantizar un comportamiento determinista si el código falla o expira.

Por qué importa

Para ingenieros de software y líderes de seguridad, este cambio elimina la necesidad de desplegar y mantener proxies NGINX separados o pipelines complejos de webhook para transformaciones menores de tráfico. Tareas que previamente requerían levantar infraestructura dedicada —como inyectar encabezados HTTP basados en reclamaciones JWT o crear pistas de auditoría para accesos sensibles— ahora pueden manejarse con unas pocas líneas de TypeScript en un Worker. Esto reduce la deuda operativa y acelera la implementación de políticas de seguridad específicas para las herramientas internas y flujos de trabajo de una organización.

La capacidad de ejecutar código arbitrario en línea también mejora la capacidad de respuesta en tiempo real. En lugar de depender de registros retrasados enviados a un SIEM para alertas, una acción Forward puede desencadenar notificaciones inmediatas a Slack o PagerDuty cuando se activa una regla DLP. Además, las Custom Functions habilitan controles de acceso más matizados al incorporar fuentes de datos externas, como sistemas internos de puntuación de riesgo, directamente en el proceso de toma de decisiones del firewall sin exponer esos sistemas a Internet público.

Qué puedes hacer

• Evalúa la beta pública de la acción Forward para probar la inyección de encabezados en línea o la modificación de solicitudes para tus aplicaciones internas.
• Identifica tareas actuales de proxy manual, como el análisis de JWT o el registro personalizado, que podrían migrarse a Cloudflare Workers.
• Diseña Custom Functions que se integren con bases de datos o APIs internas para crear selectores de políticas dinámicos basados en el contexto del usuario en tiempo real.
• Revisa tus políticas DLP existentes para determinar dónde la lógica de validación personalizada podría reducir falsos positivos comprobando la relevancia de los datos contra registros internos.
• Monitorea los límites de ejecución y costos de Worker, especialmente si planeas dirigir tráfico de alto volumen a través de acciones Forward.
• Prepárate para el lanzamiento de fin de año de Custom Functions mapeando la lógica de evaluación compleja que actualmente requiere post-procesamiento externo.