Cloudflare lança em GA serviços para origens privadas sem expor IP público

A Cloudflare tornou geralmente disponível o serviço para origens privadas. O modelo é simples: um registro DNS A ou AAAA com proxy aponta para um IP privado, e a Cloudflare chega à origem pela conectividade Cloudflare One que o cliente já opera (IPsec, GRE, CNI, Cloudflare Tunnel ou Cloudflare Mesh). Terminação TLS, WAF, regras e caching continuam rodando na rede da Cloudflare. A origem não precisa de IP público nem de exceção de firewall de entrada. Com Cloudflare WAN ou Mesh, nem software conector na origem.

Tecnicamente, o roteamento privado é um atributo extra no registro DNS. Quando o proxy vê o flag private_routing, entrega a requisição à camada de rede privada, em vez de tentar conectar ao IP pela Internet pública. Para faixas RFC 1918, RFC 6598 (100.64.0.0/10) e RFC 4193 (fc00::/7), o recurso liga sozinho e não pode ser desativado. Há restrições: Argo Smart Routing e Aegis não funcionam, e health checks de origem exigem Load Balancing. Os pré-requisitos são o entitlement Private Origins, conectividade Cloudflare One e Unified Routing. Com WAN ou Mesh, é preciso rota de retorno para 100.64.0.0/12 e 2606:4700:cf1:5000::/64. A própria Cloudflare diz que a rota de retorno ausente foi a falha de setup mais comum no beta.

Em 10 de junho de 2026, o CEVIU noticiou "Roteie tráfego público para aplicações privadas com a Cloudflare", com o recurso em beta fechado. Em 17 de junho de 2026, em "Cloudflare lança beta para rotear tráfego público para aplicações privadas sem expor IPs", o beta era descrito para clientes Enterprise. Agora o acesso se abre além desse grupo, que antes pedia entrada pelo account team. O entitlement Private Origins ainda precisa ser ativado pelo account team, segundo a fonte.

Para quem opera APIs internas, servidores MCP ou backends de agentes de IA, a leitura é que dá para ter WAF e bot management sem ampliar a superfície de ataque com IP público. Isso tende a simplificar revisões de segurança e compliance. Em contrapartida, a arquitetura passa a depender de Cloudflare One e Unified Routing, o que merece avaliação de acoplamento e custo antes da adoção.