Cloudflare Services for Private Origins chega à disponibilidade geral

A Cloudflare liberou a disponibilidade geral dos serviços para origens privadas. Você aponta um registro A ou AAAA com proxy para um IP privado, e a Cloudflare chega à origem pela conexão Cloudflare One que você já opera (IPsec, GRE, CNI, Cloudflare Tunnel ou Cloudflare Mesh). WAF, caching, bot management, rate limiting e Workers funcionam como em origens públicas. Não há exceção de firewall de entrada. Com Cloudflare WAN, nem conector na origem é preciso. Com Mesh, um conector dentro da rede privada atende várias origens.

Por baixo, o proxy consulta a Origin API da Cloudflare, e a resposta traz a flag private_routing. Ao vê-la, o proxy entrega a requisição à camada de rede privada, em vez de tentar chegar ao IP pela Internet pública. Para quem automatiza via API, é só mais um atributo no registro DNS. A flag liga sozinha para IPv4 RFC 1918, CGNAT RFC 6598 (100.64.0.0/10) e IPv6 ULA RFC 4193 (fc00::/7), e não dá para desligar nessas faixas (a API retorna erro). Para um IP público alcançável só pela rede privada, a ativação é manual.

Pré-requisitos: habilitar o entitlement Private Origins via time de conta, ter conectividade Cloudflare One compatível e Unified Routing (exceto com Tunnel). Com WAN ou Mesh, configure a rota de retorno para as faixas de origem da Cloudflare: 100.64.0.0/12 (IPv4) e 2606:4700:cf1:5000::/64 (IPv6). Segundo a própria Cloudflare, rota de retorno ausente foi a falha de setup mais comum no beta, então confira isso primeiro se houver timeout sem tráfego chegando. Limitações: Argo Smart Routing e Dedicated CDN Egress IPs não são suportados, e health checks de origem exigem Load Balancing.

Em 10 de junho de 2026, o CEVIU noticiou "Roteie tráfego público para aplicações privadas com a Cloudflare", com o recurso em beta fechado. Em 17 de junho de 2026, em "Cloudflare lança beta para rotear tráfego público para aplicações privadas sem expor IPs", o beta era descrito para clientes Enterprise. Agora o acesso se abre além desse grupo, via entitlement na conta. Em 30 de outubro de 2026, o CEVIU já havia publicado "Cloudflare lança em GA serviços para origens privadas sem expor IP público" sobre o mesmo anúncio. A Cloudflare também indica o próximo passo: tráfego privado para privado, com beta fechado previsto para o início de 2027.

Para quem opera APIs internas, backends de agentes de IA ou servidores MCP, isso tende a reduzir a superfície exposta: sai o IP público ou o cloudflared ao lado da origem, e entram as mesmas regras de WAF e rate limiting já usadas. Na prática, vale revisar as rotas de retorno e o roteamento antes de migrar, porque o desenho de rede passa a ser o ponto de falha mais provável.